Die Unternehmensleistung hängt davon ab, wie gut Störungen bewältigt werden. Und diese Störungen treten häufiger auf, sind gravierender und schwerer denn je vorherzusagen.

Die effektivsten Business-Continuity-Pläne sind eng mit Governance, Risk und Compliance verzahnt, sodass die Disziplinen für bessere Entscheidungen, schnellere Reaktionen und abgestimmte Prioritäten zusammenarbeiten. Dieses Maß an Koordination entsteht jedoch nicht von selbst. Es braucht das Engagement beider Teams – und die richtige technische Unterstützung, damit die Zusammenarbeit gedeihen kann.

Eine der größten Herausforderungen bei der Integration von Risiko und Resilienz besteht darin, dass die Teams unterschiedlich arbeiten. Das GRC-Team ist szenariogetrieben, strategisch ausgerichtet und häufig auf finanzielle, reputationsbezogene oder regulatorische Themen fokussiert. Business Continuity ist prozessorientiert, operativ und darauf ausgerichtet, Menschen, Prozesse und Systeme auch unter Stress am Laufen zu halten.

Da Aufsichtsräte und die C-Suite die Auswirkungen von Störungen auf die Unternehmensleistung minimieren wollen, steigt der Druck, diese strukturellen, kulturellen und technischen Gräben zu überwinden. So schaffen Sie die Voraussetzungen für Ihren Erfolg.

Schaffen Sie eine Grundlage für bessere Vernetzung

Der Schritt von parallelen Funktionen hin zu einem integrierten Risiko- und Resilienzprogramm erfordert keinen kompletten Neuaufbau. Starten Sie mit einigen grundlegenden – aber wichtigen – Initiativen:

  1. Bilden Sie ein funktionsübergreifendes Team. Stellen Sie ein Team zusammen, das beide Funktionen repräsentiert. Diese Gruppe kann gemeinsam Risiken identifizieren, Maßnahmen priorisieren und Lösungen entwickeln. Sie kann gemeinsame Workflows etablieren, die funktionsübergreifende Zusammenarbeit von Anfang an fest verankern. Möglicherweise stellen Sie sogar fest, dass sich mit Ihren gebündelten Anstrengungen Daten, die für eine Anforderung erhoben wurden, zur Erfüllung einer anderen nutzen lassen – und so Zeit und Aufwand für alle sparen.
  2. Etablieren Sie einen regelmäßigen Gesprächsrhythmus. Warten Sie nicht, bis Probleme auftreten. Bringen Sie das funktionsübergreifende Team regelmäßig zusammen – als Forum, um Themen anzusprechen, Lösungen zu diskutieren und Vertrauen aufzubauen.
  3. Legen Sie eine gemeinsame Sprache und Kennzahlen fest. Kommen Sie zusammen, um eine gemeinsame Taxonomie und Messkriterien für alle Stakeholder einzuführen – einschließlich der Risiko- und Resilienz-Teams sowie interner Partner. Definieren Sie gemeinsam, was „kritisch“ für Produkte, Services, Systeme und Lieferanten bedeutet – und stellen Sie sicher, dass sowohl das unternehmensweite Risikoregister als auch die BIAs dieselben Annahmen widerspiegeln. Gemeinsame Ziele und KPIs können Teams zudem motivieren, bei Lösungen zusammenzuarbeiten. Und eine gemeinsame Sprache hilft, Abweichungen und Missverständnisse zu vermeiden – was besonders wichtig ist, wenn man dem Druck von Störungen ausgesetzt ist.
  4. Etablieren Sie eine gemeinsame Governance-Struktur. Ein gemeinsamer Lenkungsausschuss hält Risiko und Resilienz im Einklang mit der Geschäftsstrategie und sorgt für eine konsistente Kommunikation bis hin zur Führungsebene und zum Aufsichtsrat. Ein Executive Sponsor, der die Arbeit der funktionsübergreifenden Gruppe vorantreibt, ist ein großer Vorteil. Diese Person hat die Autorität, breite Unterstützung im Führungskreis zu gewinnen und die erforderlichen Ressourcen zu sichern.
  5. Nutzen Sie GRC-Daten, um Resilienztests zu priorisieren. Nutzen Sie das unternehmensweite Risikoregister, um Resilienz-Test-Szenarien zu priorisieren. Wenn beispielsweise ein bestimmter Lieferant oder Standort in GRC in der höchsten Risikokategorie erscheint, sollte das Tabletop-Übungen und Recovery-Tests steuern.
  6. Übersetzen Sie den Risikoappetit in Wiederherstellungsziele. GRC-Teams legen die Toleranzen fest. Business-Continuity-Teams setzen sie operativ um. Stimmen Sie die Recovery Time Objectives mit dem definierten Risikoappetit ab, um die Brücke von der Strategie zur operativen Umsetzung zu schlagen.
  7. Stimmen Sie Risikoregister mit Business-Impact-Analysen ab. Auch wenn diese Tools häufig in Silos entwickelt werden, sind sie in Wirklichkeit zwei Seiten derselben Medaille. Wenn ein kritisches Risiko in Ihrem Risikoregister steht, sollte es einer BIA-Priorität zugeordnet werden – und umgekehrt. Das macht Ihre tatsächlichen Risikoexponierungen sichtbar.
  8. Führen Sie gemeinsame Übungen durch. Beschränken Sie das Szenariotesting nicht nur auf das Resilienz-Team. Binden Sie das funktionsübergreifende Team ein, damit alle über ihre Rollen hinausdenken und unterschiedliche Perspektiven zur Verbesserung einbringen. Gemeinsam geleitete Übungen und After-Action-Reports ermöglichen es Risiko und Resilienz, Annahmen zu validieren, blinde Flecken aufzudecken und Ergebnisse gemeinsam an Führungskräfte und Aufsichtsräte zu kommunizieren.
  9. Synchronisieren Sie Kennzahlen und Dashboards. Verknüpfen Sie Key Risk Indicators mit der operativen Recovery-Performance. Gemeinsame Dashboards können zeigen, wann Schwellenwerte überschritten werden – und wie schnell sich die Organisation erholt.

Ergänzen Sie Software, um die Verbindung zu stärken

Moderne GRC- und Business-Continuity-Software verschafft sowohl Risiko- als auch Resilienz-Teams Zugriff auf dieselben hochwertigen Daten, sodass sie Wissen austauschen und bei Maßnahmen zusammenarbeiten können. Sie stärkt das vereinbarte Vokabular, standardisiert Prozesse und schafft eine einzige, verlässliche Datenquelle für alle – vom operativen Management bis zum Aufsichtsrat.

Darauf sollten Sie achten:

Zweckgebundene Lösungen für GRC und für Resilienz. Seien Sie vorsichtig bei spezialisierten Anbietern, die Expertise in einer Disziplin beanspruchen, von der sie wenig verstehen. Suchen Sie nach Software, die speziell für die GRC-Praxis und speziell für die Resilienz-Praxis entwickelt wurde – und die zudem eng miteinander integriert ist. So erhält jedes Team die beste Lösung für seine Anforderungen – mit dem zusätzlichen Vorteil eines nahtlosen Informationsaustauschs.

Ein gemeinsames Datenmodell. Was beispielsweise als Datenleck bei einem kritischen Anbieter beginnt, kann zu operativen Risiken, Cyberrisiken, Compliance-Risiken und mehr führen. Suchen Sie nach Software, die alle risikobezogenen Daten an einem Ort zusammenführt, der für alle Stakeholder leicht zugänglich ist. Daten können einmal erfasst und von allen genutzt werden – das spart Zeit, reduziert die Fehlerwahrscheinlichkeit und erhöht die Transparenz.

Interoperabilität. Kombinieren Sie aus GRC-Sicht Dinge wie Risikoexponierungen, KRIs und Risikoappetit mit Business-Continuity-Kennzahlen wie RTO-Performance, BIA-Ergebnissen und Recovery-Assurance-Levels. Suchen Sie nach Software, die all das in einer Ansicht, mit einer gemeinsamen Sprache und in einem Kontext zusammenführt, damit Sie das Gesamtbild haben und sehen können, ob kritische Risiken und die Reaktionspläne angemessen geübt wurden.

Workflow-Automatisierung. Integrierte Technologie automatisiert Routineaufgaben, Workflows und Nachverfolgung, spart Zeit, verbessert die Genauigkeit und sorgt für mehr Konsistenz. Suchen Sie nach Software, die nicht nur die tägliche Arbeit in jeder Disziplin optimiert, sondern auch automatisch funktionsübergreifende Maßnahmen auslöst. So würde beispielsweise ein in einem Cyber-Audit gekennzeichnetes Risiko sofort eine Business-Impact-Überprüfung und einen Check des Continuity-Plans auslösen. Oder eine regulatorische Anforderung an Resilienz würde direkt in Ihr GRC-Framework einfließen – mit zugeordneten Kontrollen, getestet und einsatzbereit.

Reporting und Analysen. Aufsichtsräte wollen wissen, dass die Organisation auf alle möglichen Hindernisse vorbereitet ist. Das bedeutet, Testergebnisse, Wiederherstellungsfähigkeiten und Lücken so zu berichten, dass sie die unternehmensweite Resilienz widerspiegeln. Suchen Sie nach Software, die dem funktionsübergreifenden Team hilft, Lücken zu identifizieren, einen Maßnahmenplan festzulegen, Verantwortlichkeiten zuzuweisen und einen Zeitplan für die Umsetzung zu definieren.

Ihr nächster Schritt

Überleben inmitten ständiger Volatilität erfordert, dass Risiko und Resilienz zusammenarbeiten.

Starten Sie das Gespräch. Etablieren Sie ein gemeinsames Vokabular, teilen Sie Kennzahlen und synchronisieren Sie Ihre Prioritäten. Finden Sie Systeme und Software, die den Austausch erleichtern, Vertrauen stärken und die Art fundierter Entscheidungsfindung unterstützen, die Störungen minimiert, die Unternehmensleistung stärkt und Ihrer Organisation einen Vorsprung gegenüber Wettbewerbern verschafft.

Und warten Sie nicht. Eine gestörte Verbindung zwischen Risikomanagement und Resilienz untergräbt beide Funktionen – mit realen Kostenfolgen für die Organisation.

Wenn Sie Risiko- und Resilienz-Teams näher zusammenbringen, kann Ihre Organisation besser für das Unerwartete planen. Sie können Reaktionsfähigkeiten im Voraus aufbauen – und Ihre Chancen verbessern, jede Störung gelassen zu meistern.

Weitere Informationen dazu, wie Sie die Lücke zwischen GRC und Business Continuity schließen, finden Sie im E-Book The Power of Integrating Risk and Resilience – und sehen Sie sich Riskonnect’s Business Continuity & Resilience software an.