Resilienz – eine Führungs­entscheidung

Operationelle Resilienz ist die Fähigkeit, kritische Produkte und Dienstleistungen auch während einer Störung weiterhin bereitzustellen.

Sie ist ein zentraler Bestandteil der unternehmerischen Resilienz und fokussiert darauf, unter Stress die Kontinuität aufrechtzuerhalten und gleichzeitig operative sowie finanzielle Auswirkungen zu minimieren.

Finanzielle Resilienz ist die Fähigkeit, finanzielle Schocks zu absorbieren – gestützt auf eine solide Liquidität, diversifizierte Ertragsquellen, wirksames Kapitalkapitalmanagement sowie eine robuste Governance.

Das Business Continuity Management konzentriert sich primär auf die Wiederherstellung von Prozessen nach einer Störung.

Operationelle Resilienz hingegen setzt früher an: Sie zielt darauf ab, kritische Dienste während einer Störung aufrechtzuerhalten und verfolgt einen umfassenderen, unternehmensweiten Ansatz.

DORA verpflichtet Unternehmen dazu, das ICT-Risikomanagement zu stärken, die Kontinuität kritischer Dienste sicherzustellen, Risiken im Zusammenhang mit Drittanbietern zu steuern und regelmässige Resilienztests unter realistischen Szenarien durchzuführen.

Auswirkungstoleranz definiert das maximale Ausmass einer Störung, das ein Unternehmen absorbieren kann, bevor ein inakzeptabler Schaden für Kunden oder das Geschäft entsteht.

Sie dient dazu, Prioritäten zu setzen und klare Schwellenwerte für kritische Dienste festzulegen.

Dabei handelt es sich um realistische Störungsereignisse – etwa Cyberangriffe, Systemausfälle oder Lieferkettenunterbrüche.

Unternehmen nutzen diese Szenarien, um zu testen, ob ihre Resilienzfähigkeiten auch unter realistischen Bedingungen wirksam funktionieren.

Der Aufbau operationeller Resilienz umfasst die Identifikation kritischer Dienste, das Verständnis von Abhängigkeiten, die Stärkung von Risiko- und Krisenmanagementfähigkeiten sowie regelmässige Tests anhand realistischer Szenarien.

Ziel ist es, auch während einer Störung handlungsfähig zu bleiben und die Auswirkungen gezielt zu begrenzen.

Die Verantwortung liegt in der Regel bei der Geschäftsleitung und dem Verwaltungsrat, unterstützt durch die Bereiche Risiko, Technologie und Betrieb.

Eine klare Governance und genau definierte Rollen sind entscheidend für eine wirksame Reaktion unter Druck.

Eine zentrale Plattform – etwa ein ERP‑System, eine Kundenplattform oder ein Produktionssystem – fällt aus. Dies führt dazu, dass der Betrieb zum Stillstand kommt oder stark eingeschränkt wird.

Zentrale Fragestellungen

• Was passiert, wenn ein kritisches System morgen ausfällt?

• Welche Dienste wären zuerst betroffen?

• Wie lange können wir unter eingeschränkten Bedingungen weiterarbeiten?

Wo Unternehmen häufig Schwierigkeiten haben

• Geringe Transparenz über kritische Dienste

• Fehlende Abstimmung zwischen Business-Prioritäten und IT‑Wiederherstellung

• Starke Abhängigkeit von einzelnen Systemen

Was resiliente Unternehmen anders machen

• Klar definierte Priorisierung kritischer Dienste

• Wiederherstellung der Technologie an den geschäftlichen Auswirkungen ausrichten

• Etablierung strukturierter Prozesse für die Reaktion auf Vorfälle und die Eskalation

Eine Störung in der Lieferkette unterbricht die Lieferung, Produktion oder betriebliche Kontinuität.

Zentrale Fragestellungen

• Wie abhängig sind wir von einzelnen Lieferanten?

• Wie schnell können wir alternative Anbieter einsetzen?

• Welche Risiken bestehen über Tier‑1‑Lieferanten hinaus?

Wo Unternehmen häufig Schwierigkeiten haben

• Begrenzte Transparenz über Abhängigkeiten in der Lieferkette

• Übermässiger Fokus auf Kostenoptimierung zulasten der Resilienz

• Unzureichende laufende Überwachung der Risiken durch Lieferantenkonzentration

Was resiliente Unternehmen anders machen

• Durchgängige Abbildung kritischer Lieferantenabhängigkeiten

• Frühzeitige Identifizierung einzelner Schwachstellen

• Integration von Resilienz in Sourcing‑ und Beschaffungsentscheidungen

Ein Drittanbieter erbringt Leistungen unzureichend oder fällt aus, wodurch kritische Abläufe beeinträchtigt werden.

Zentrale Fragestellungen

• Wer trägt die Verantwortung, wenn Probleme auftreten?

• Haben wir operative Kontrolle oder lediglich vertragliche Absicherung?

• Was geschieht, wenn der Anbieter vollständig ausfällt?

Wo Unternehmen häufig Schwierigkeiten haben

• Mangelhaftes Management von Drittparteien-, Outsourcing- und Lieferantenrisiken

• Begrenzte operative Transparenz bezüglich externer Anbieter

• Fehlende Ausweich- oder Ausstiegsstrategien

Was resiliente Unternehmen anders machen

• Klare Festlegung von Zuständigkeiten und Verantwortlichkeiten

• Kontinuierliche Überwachung kritischer Dienstleister

• Bereithaltung und regelmässiges Testung von Ausweich- und Ausstiegsoptionen

Ein schwerwiegender Vorfall tritt ein, doch die Reaktion erfolgt verzögert, unklar oder inkonsistent.

Zentrale Fragestellungen

• Sind Entscheidungsträger darauf vorbereitet, unter Druck zu handeln?

• Sind Eskalationswege klar definiert?

• Kann die Führungsebene auch bei unvollständigen Informationen schnell entscheiden?

Wo Unternehmen häufig Schwierigkeiten haben

• Krisenpläne existieren nur auf dem Papier

• Unklare Entscheidungsbefugnisse

• Fehlendes realistisches Simulationsübungen für Teams

Was resiliente Unternehmen anders machen

• Etablierung klarer Governance-Strukturen für Krisensituationen

• Durchführung regelmässiger Simulationsübungen

• Abstimmung der Führungsteams vor Eintritt einer Störung