Elemente eines ganzheitlichen MaRisk-konformen Notfallmanagements

Geschäftsfortführungsplan, Notfallszenario, Vorsorgemaßnahmen, Business Continuity, Alarmierungsplan, Notfallübung, Wiederanlaufplan, Business Impact Analyse – diese Begriffe schaffen häufig Unsicherheit für die Verantwortlichen in Genossenschaftsbanken…Autor: Dr. Haiko Timm, Juli 2014

Geschäftsfortführungsplan, Notfallszenario, Vorsorgemaßnahmen, Business Continuity, Alarmierungsplan, Notfallübung, Wiederanlaufplan, Business Impact Analyse – diese Begriffe schaffen häufig Unsicherheit für die Verantwortlichen in Genossenschaftsbanken. Auf welcher Basis ist ein Notfallmanagement aufzubauen, wie detailliert sind Informationen gefordert und zu dokumentieren? Welche Anforderungen stellen Prüfer der Bundesbank, BaFin oder der Genossenschaftsverbände?

Das Business Continuity Institute (BCI) beschreibt den Begriff Notfallplanung als „…Akt des Voraussehens von Zwischenfällen, die sich auf lebenswichtige Funktionen und Prozesse einer Organisation auswirken, und der Gewährleistung, dass die Organisation auf einen beliebigen Zwischenfall nach einem geplanten und erprobten Verfahren reagiert, während sich das Unternehmen erholt.“

Was aber sind diese lebenswichtigen Funktionen und Prozesse?

Bei der Betrachtung der aufsichtsrechtlichen Anforderungen im Allgemeinen Teil 7.3 der MaRisk (Notfallkonzept) wird deutlich, dass für alle wesentlichen zeitkritischen Prozesse und Aktivitäten Vorsorge zu treffen ist. Ein Notfallmanagement für alle wesentlichen Geschäftsprozesse ist somit nicht gefordert. In den IT-Sicherheitskonzepten der Genossenschaftsbanken finden sich regelmäßig zwischen 10 bis 20 zeitkritische Geschäftsprozesse.

Diese Zahl deckt sich mit der Empfehlung des Bundesamts für Sicherheit in der Informationstechnik (BSI) aus Effizienzgründen 5 bis 15 Geschäftsprozesse in das Notfallmanagement einzubeziehen. Um einen Zeitpunkt zu ermitteln, wann der Ausfall eines Geschäftsprozesses als kritisch einzustufen ist, schlägt das BSI die Durchführung einer Business Impact Analyse (Betriebsunterbrechungsanalyse) vor. Das bedeutet zu bewerten, zu welchem Zeitpunkt Abläufe in der Bank durch den Prozessausfall signifikant gestört werden. Ebenso ab wann das Image der Bank leiden wird und / oder mit einem finanziellen Schaden zu rechnen ist. Natürlich kann auch eine Verletzung geltender Gesetze oder aufsichtrechtlicher Anforderungen die Folge sein. Hier spielt natürlich Zeit eine entscheidende Rolle, da sehr wahrscheinlich finanzielle Schäden und Imageprobleme über die Länge der Ausfallzeit zunehmen werden.

Weist das Ergebnis der Business Impact Analyse einen zeitkritischen Geschäftsprozess aus, ist zusammen mit den Prozessverantwortlichen ein Notfallszenario aufzubauen, um beispielsweise bei Ausfall des Zahlungsverkehrs oder des Wertpapiergeschäfts festzulegen, welche weiteren Geschäftsprozesse, organisatorischen Einheiten und Ressourcen hiervon betroffen sind.  Ebenso ist zu untersuchen, welchen Einfluss der Ausfall des betrachteten Prozesses auf das Bankgeschäft und die Kundenbeziehung hat.

Notfallplan sieht breites Spektrum an Sofortmaßnahmen vor

Auf Basis des Notfallszenarios ist innerhalb eines Notfallplans zunächst festzulegen, welche Sofortmaßnahmen bei einem Ausfall des Geschäftsprozesses zu treffen sind. Das Spektrum reicht hier von dem Kontakt zur Rechenzentrale und Dienstleistern über die interne Information an alle Mitarbeiter bis hin zur kurzfristigen Inbetriebnahme von Backup-Lösungen.

Geschäftsfortführungspläne skizzieren alternative Handlungsanweisungen für den Notbetrieb. Hier werden oftmals manuelle Schritte durchzuführen oder ein Ausweichen auf alternative Verfahren notwendig sein. Ein Ausfall der Geldausgabeautomaten lässt sich über den Kassenbetrieb überbrücken. Bei einem technischen Ausfall einer Bankfiliale können Kunden auf andere Geschäftsstellen der Bank umgeleitet werden. Bei einer Störung des Online-Bankings sind Zahlungsverkehrsaufträge telefonisch oder per Fax anzunehmen. Teilweise bieten die Rechenzentralen alternative Notfalllösungen für den Offline-Betrieb an.

Das Vorgehen nach einer Beseitigung des Notfalls wieder zu einem Normalbetrieb zu kommen, ist in einem Wiederanlaufplan beschrieben. Hier geht es einmal darum, notwendige Pflegearbeiten wie Kontrolle der Verarbeitungsprotokolle, Nacherfassungen und Verbuchungen vorzunehmen. Weiterhin kann ein Abgleich und eine Korrektur der Daten notwendig sein um eine verloren gegangene Datenintegrität wieder herzustellen.

Die Qualität eines Notfallmanagements hängt von der inhaltlichen Ausgestaltung der Notfallpläne ab. Diese Pläne sollten detaillierte Teilschritte enthalten um Betroffenen in Konfliktsituationen eine stabile Unterstützung zu bieten, gerade in Hinsicht auf die häufig zu beobachtende Schocksituation bei Eintreten eines Notfalls.

Zur Gestaltung und Dokumentation eines Notfallmanagements gibt es jetzt eine browserbasierte Webanwendung

In dem AT 7.3. der MaRisk ist eine Durchführung von regelmäßigen Notfallübungen vorgesehen um die Angemessenheit und Wirksamkeit der im Notfallkonzept skizzierten Maßnahmen zu überprüfen. Dabei geht es einmal um technische Übungen wie z.B. die Rücksicherbarkeit von Daten, einen geregelten Wiederanlauf nach einem Systemausfall  oder die Funktionstüchtigkeit einer USV-Einrichtung sicherzustellen.

Dazu kommen Alarmierungsübungen, um festzustellen, ob alle Mitglieder des Krisenteams aber auch die erforderlichen Kommunikationswege erreichbar sind. Losgelöst von der eigentlichen IT-Thematik sind Banken angehalten, regelmäßig Brandschutzübungen durchzuführen. Die Qualität der Notfallübungen wird entscheidend durch Methodik, Angemessenheit und Übungsintervalle bestimmt. Zu einer gezielten Abwicklung eignet sich ein Mehrjahresplan mit Angabe der Testintervalle für die jeweiligen Übungen.

Zur Gestaltung und Dokumentation eines Notfallmanagements ist in diesem Jahr die browserbasierte Webanwendung FORUMBCM als Ergänzung zum Informationssicherheits­werkzeug GenoBankSafe-IT erschienen. Das Tool ermöglicht ein wirksames Business Continuity Management (BCM): Temporäre Ausfälle zeitkritischer Prozesse können durch Geschäftsfortführungspläne überbrückt werden. Durch die Aufrechterhaltung der wesentlichen Geschäftsfunktionen bleibt die Bank auch bei Notfällen handlungsfähig.

Neben den zeitkritischen Prozessen gemäß MaRisk AT. 7.3 berücksichtigt FORUMBCM auch das allgemeine Krisenmanagement für technische, kriminelle und personelle Ereignisse sowie Notfallszenarien im Bereich der höheren Gewalt und der Unfallverhütungsvorschriften (UVV). Zur effizienten Unterstützung sind zahlreiche Notfallszenarien und Notfallpläne für die genannten Bereiche hinterlegt um ein ganzheitliches Notfallmanagement in der Bank sicherzustellen.

Dr. Timm leitet das 11. Forum IT-Revision vom 17. –18. September und das 15. Forum IT-Sicherheit vom 18. – 19. September 2014 bei der Akademie Deutscher Genossenschaften auf Schloss Montabaur. Die Foren stehen unter dem Motto „IT-Revision und IT-Sicherheit gezielt vorantreiben“.