Das Thema Krisenvorbereitung ist seit dem Beginn der sogenannten „Wirtschaftskrise“ wieder etwas mehr in den Fokus gerückt. Im großen Zusammenhang hat dies relativ wenig mit IT zu tun, aber es gibt Parallelen aus welchen wir interessante Erkenntnisse schöpfen können.
Ich denke niemand sieht gerne einer unangenehmen Situation ins Auge, auch wenn es nur das Nachdenken über unerwünschte Möglichkeiten ist. Als „Gewohnheitstier Mensch“ empfinden wir Veränderungen, welche nicht von uns aus geplant und gewollt sind, als zumindest ärgerlich.
Unsere westliche Welt scheint sicherer denn je zu sein. Noch nie kümmerte sich die westliche Bevölkerung so wenig um das Thema Krisenvorsorge wie heute, der Bedarf scheint einfach nicht mehr vorhanden zu sein.
Ein Beispiel: Noch in den 1980er Jahren war es in Österreich bei Neubauten Pflicht, einen strahlensicheren Schutzraum einzuplanen UND diesen auch tatsächlich zu bauen. Die drohenden Konflikte des kalten Krieges machte diese Richtlinie zum MUSS. Stahltür, Sandfilter… das volle Programm. Der Zivilschutz war aufgrund eines unberechenbaren Risikos aktiv.
Glücklicherweise löste sich dieser jahrzehntelange Konflikt Anfang der 90er auf, viele der damaligen Zivilschutz Bestimmungen wurden eingestellt – die sichtbare Bedrohung war weg, somit auch der Bedarf an zusätzlichen Schutzmaßnahmen.
Mittlerweile leben wir in Europa, auch dank der EU, in einem relativ krisensicheren Gebiet. Die Grundversorgung der Menschen ist schon längst Lebensstandard, das wirtschaftliche/technologische Niveau ist sehr hoch, keine wirklich sichtbaren Bedrohungen weit und breit.
Sich zurückzulehnen und keine Sorgen machen zu müssen ist ein gutes Gefühl. Vor allem dann, wenn man denkt in Sicherheit zu sein, da alles anscheinend wie am Schnürchen läuft. Warum sollte man in so einer Situation auch schlafende Hunde wecken indem man dennoch darüber nachdenkt, was im Problemfall passieren könnte UND wie man auf diese Eventualität vorbereitet ist.
WIE sicher wir heutzutage hinsichtlich Wirtschaft, Währung und Versorgung innerhalb Europas bzw. global wirklich sind, darüber lässt sich streiten. Aber darauf möchte ich hier auch nicht weiter eingehen – auch wenn ich Ihnen empfehle sich darüber einmal Gedanken zu machen. Die Zeichen der Zeit abseits offizieller Aussagen von Politik bzw. Medien (und Werbung) sprechen eine interessante Botschaft -> vertrauen Sie auf Ihren Hausverstand.
Vorsorge! Das bedeutet als erstes Initialaufwand! Warum sollte man sich das also antun?
Wie wenig macht man sich im Alltag darüber Gedanken, was die Zukunft bringt und welche Schritte man zur genannten Vorsorge setzen kann? Warum? Weil es kompliziert, aufwändig, zeitraubend oder teuer ist und Angst macht? Kommt ganz darauf an.
Ich spreche aus eigener Erfahrung wenn ich sage, dass es mich immer wieder erstaunt wie weit man eigentlich mit dem eigenen, gesunden Hausverstand kommt. Egal um welches Thema es sich handelt, die Grundzüge verschiedenster Thematiken, die Auswirkungen und Maßnahmen sind rasch greifbar und verständlich. Es ist ein Irrglaube, dass man vermeintlich komplizierte Themen in die Verantwortung (angeblicher) Experten delegieren muss. Natürlich macht Delegation weiterführend Sinn, aber wie diese Delegation letztlich aussieht – da gibt es große Unterschiede!
Ein Beispiel für gesunde Delegation: Hat mein Auto ein Problem, stelle ich es in eine Fachwerkstatt. Selber daran herumzupfuschen würde den Schaden (aufgrund meiner bescheidenen Fähigkeiten als Mechaniker) wohl nur erhöhen. Ich kenne die Werkstatt und weiß, dass diese gute Arbeit leistet. Etwaige Kostenvoranschläge lasse ich von Dritter Stelle prüfen bzw. schaue kritisch darüber(!). Mein Auto ist ausreichend versichert und mir ist bewusst, welche Probleme bei einem Auto seines Alters auftreten können. Des Weiteren ist mir klar, dass ich mein Auto für meine Tätigkeiten dringend brauche, ich aber bei meiner Werkstatt immer die Möglichkeit eines Ersatzwagens habe. Ein KFZ kostet laufend Geld und generiert erwartungsgemäß Wartungskosten, dies ist einkalkuliert.
Ein Beispiel für blindes Vertrauen: Mein Auto welches ich für die Ausführung meines Jobs dringend benötige bricht zusammen. Da ich es schnell wieder brauche, ich aber nicht weiß wo man rasch wirklich kompetente Hilfe bekommt versuche ich, den Schaden selbst irgendwie zu richten. Das schlägt fehl. Im Stress übergebe ich der erstbesten Werkstatt mein kaputtes Fahrzeug, im Vertrauen darauf dass diese alles richten wird. Ersatzwägen sind leider alle an Stammkunden verliehen. Tage später und einige verzweifelte Anrufe später bekomme ich das Fahrzeug endlich zurück, inkl. einer Rechnung die sich gewaschen hat. In der Zwischenzeit hatte ich alle Hände voll zu tun und großen Stress, das Tagesgeschäft ohne mein eigenes KFZ zu bewerkstelligen.
Überzogen? Unrealistisch? Alles schon erlebt… Die Lösung im obigen Beispiel ist einfach. Das versteht ein jeder, ganz klar!
Wie läuft für gewöhnlich Delegation in der IT ab?
Als Geschäftsführer einer Firma hat man die Aufgabe, das Unternehmen und die darin laufenden Prozesse mittels IT zu unterstützen. Da das Themengebiet IT sich rasant entwickelt, kompliziert ist (erscheint) und spezielles Wissen benötigt wird, bedient man sich in größeren Firmen einer eigenen IT Abteilung, kleinere Unternehmen greifen auf externe IT Dienstleister zurück. War das alles was die Geschäftsleitung tun muss? Die Gelben Seiten aufschlagen, Dienstleister raussuchen und von da an einfach arbeiten lassen?
Geschäftsleitung sowie IT Dienstleister haben oftmals das Problem, dass Sie nicht verstehen was der andere eigentlich sagt und wohin er letztendlich eigentlich will. Patt! Somit wird der Basisbetrieb so weitergeführt wie man es schon immer kennt. Der einzige richtungsweisende Indikator seitens des Unternehmens scheint „es muss halt laufen“ zu sein.
Ich denke diese, streng ausgedrückt, Unfähigkeit der Unternehmensführung klare Vorgaben zu kommunizieren hat zwei grundlegende Ursachen:
- man weiß nicht, wie man die eigene IT aufgrund Ihrer Komplexität anders definieren soll
und was weitaus schlimmer ist
- der Dienstleister stellt nicht die richtigen Fragen um geeignete Antworten zu erhalten
Die IT scheint von Haus aus aber weit komplizierter als ein Auto! Da hört sich die Sache mit dem Hausverstand doch schnell wieder auf, oder?
Krisenvorbereitung in der IT nennt sich im Fachjargon IT Risiko Management. Die Risiko Analyse startet diesen Prozess. Das wunderbare daran: zu allererst hat das Ganze rein gar nichts mit Technik zu tun, das kommt erst viel später, wenn die „Rahmenbedingungen“ geklärt sind.
Wenn Sie sich überlegen, was Sie persönlich in einer Krise, egal welcher, brauchen um diese gut zu überdauern, fallen Ihnen bestimmt viele wertvolle Hinweise ein.
Erweitern wir dieses Schema der „Gedanken zur Krise machen“ ein wenig. In der IT Risiko Analyse überleget man sich als ersten Schritt, was das eigene Unternehmen eigentlich von der IT benötigt, um ordnungsgemäß zu funktionieren. Welche Abteilungen sind davon abhängig, was klappt auch ganz gut ohne IT; was würde passieren, wenn einzelne oder alle IT Services ausfallen oder nicht korrekt arbeiten würden. Wer hätte unter Berücksichtigung der Ausfallszeiten damit ein Problem?
Wie die IT derzeit konkret aufgestellt ist, ist in diesem Schritt komplett egal. Ziel ist herauszufinden, was das Unternehmen zum Funktionieren braucht. Das ist alles.
Mithilfe der richtigen Methode, um nicht die Übersicht zu verlieren, generiert man genau jene Antworten, auf welche weiterführend aufgebaut werden kann. All das, was das Unternehmen braucht um zu funktionieren, weiß das Unternehmen selbst am besten. Diese Antworten können niemals von der IT kommen.
Wir haben also ein SOLL Bild des Unternehmens, d.h. was in welcher Ausprägung gebraucht wird, um die Geschäftsprozesse optimal zu unterstützen. Erst jetzt gehen wir dazu über, uns die derzeitige IT Infrastruktur anzusehen. Bei diesem Prozess kann sich die Geschäftsführung ausklinken, dieser Schritt ist teilweise technisch und geht vorerst ins Detail.
Als Ergebnis der derzeitigen „Lage der IT“ bekommen wir den IST Zustand. Vergleichen wir das SOLL mit dem IST, können wir Abweichungen erkennen und Maßnahmen überlegen, wie diese ausgeglichen werden. Die Entscheidung darüber, ob ausgleichende Maßnahmen getroffen werden, fällt wiederrum die Geschäftsführung – nachdem ihr erklärt wurde, welche Auswirkungen aufgespürte Risiken für das Unternehmen haben – und zwar auf Deutsch, ohne Fachchinesisch!
Für diesen Ansatz bzw. für das Erstellen einer vollen Risiko Analyse, benötigt man natürlich wiederrum Hilfe von Experten, welche einen in diesem Prozess führen. Aber dieser Prozess beginnt mit den organisatorischen Vorgaben des Unternehmens und zapft die Expertise der Geschäftsführung an – die IT ist dabei nur Beiwerk.
Das Kontrollwerkzeug Risiko Management ist ein mächtiges, da es die Kontrolle und Steuerung hinsichtlich Richtung der IT wieder zurück zur Geschäftsführung bringt. Entscheidungen können aufgrund von Transparenz, eigenem Verständnis und Risikoabwägung beschlossen werden. IT braucht richtige Führung und diese muss letztendlich von der Unternehmensspitze kommen. Der Fokus im Risiko Management liegt auf der konstruktiven Zusammenarbeit mit der eigenen IT Abteilung bzw. dem Dienstleister. Diese Audits bzw. Analysen sollte man aber an Dritte delegieren, denn es bringt nichts wenn sich der zu überprüfende selbst überprüft oder auf gut deutsch „der Hund seine eigene Wurscht bewacht“.
Wer sich damit selbst beschäftigen möchte und etwas Risiko bzw. IT affin ist, der findet im Internet auch einige gute Startpunkte. Das BSI oder die Wirtschaftskammer bieten beispielsweise kurz gehaltene, verständliche Fragelisten an, welche man einfach beantworten kann um sich einen ersten Überblick zu schaffen.
Sich mit Risiken (möglichen Krisen) der eigenen IT nicht auseinanderzusetzen, weil es angeblich zu komplex wäre bzw. erscheint, gilt spätestens jetzt nicht mehr.
Um welches Thema es sich auch handelt:
Wer Vorsorge trägt, der hat im Problemfall die besseren Karten in der Hand.
Die Vorbereitung auf unerwünschte Ereignisse (Krisen) macht nur dann Angst, wenn wir nicht wissen wie wir uns entsprechend vorbereiten können.
PS: Sollten Sie über das Thema IT Risiko Management mehr wissen wollen, können Sie uns natürlich jederzeit kontaktieren -> Data Management GmbH Risiko Management
