ComputerWeekly.com/de

https://www.computerweekly.com/de/feature/So-unterscheiden-sich-BIA-und-Risikobewertung

Mit BIA und Risikobewertung die Geschäftskontinuität stärken

von Brien Posey

Unternehmen, die ihre Geschäftskontinuität im Katastrophenfall sichern möchten, kommen um zwei zentrale Instrumente nicht herum: Business Impact Analysis (BIA) und Risikobewertung. Beide Verfahren analysieren potenzielle Störungen – verfolgen dabei jedoch unterschiedliche Ziele und liefern komplementäre Erkenntnisse.

Unterschiedliche Schwerpunkte

Eine Risikobewertung ermittelt mögliche Bedrohungen für das Unternehmen und schätzt deren Eintrittswahrscheinlichkeit ein. Dabei werden sowohl interne als auch externe Risiken berücksichtigt, von technischen Ausfällen über menschliches Versagen bis hin zu Naturkatastrophen oder geopolitischen Ereignissen. Ziel ist es, Schwachstellen sichtbar zu machen und präventive Maßnahmen zu entwickeln.

Demgegenüber konzentriert sich eine Business Impact Analysis auf die Auswirkungen solcher Störungen. Sie untersucht, welche Folgen der Ausfall geschäftskritischer Prozesse für das Unternehmen hätte, etwa in Form von Umsatzeinbußen, Kostensteigerungen oder Reputationsschäden. Damit liefert sie die Grundlage für die Priorisierung von Wiederherstellungsmaßnahmen.

Beispiele aus der Praxis

In einer Risikobewertung könnten für ein Unternehmen in Küstennähe Sturmschäden oder Überschwemmungen als wahrscheinliche Gefahren identifiziert werden. Auch interne Risiken wie versehentliches Löschen von Daten oder vorsätzliche Sabotage durch Mitarbeiter werden häufig berücksichtigt. Zudem fließen externe Risiken ein, die nicht direkt aus dem Unternehmen heraus entstehen – etwa regionale Stromausfälle oder weitreichende Pandemien.

Die BIA hingegen bewertet, wie stark sich ein solcher Vorfall auf den Geschäftsbetrieb auswirkt. In einem Krankenhaus könnten beispielsweise Datenschutzverletzungen schwerwiegende Folgen durch Bußgelder und rechtliche Konsequenzen nach sich ziehen. Ein produzierendes Unternehmen müsste möglicherweise Umsatzverluste oder Lieferverzögerungen einplanen, wenn Maschinen ausfallen oder die Lieferkette unterbrochen wird.

Zwei Perspektiven – ein Ziel

Auch wenn beide Methoden oft im selben Kontext angewendet werden, handelt es sich um eigenständige Prozesse mit unterschiedlicher Methodik. Die Risikobewertung fragt: Was kann passieren – und wie wahrscheinlich ist das? Die BIA antwortet: Welche konkreten Folgen hätten diese Ereignisse für das Unternehmen?

Beide Verfahren ergänzen sich. Die Risikobewertung hilft dabei, die wahrscheinlichsten Bedrohungen zu identifizieren. Die BIA zeigt auf, welche Geschäftsbereiche im Ernstfall am stärksten betroffen wären – und ermöglicht so eine gezielte Ressourcenplanung.

Für eine belastbare Disaster-Recovery-Strategie sollten Unternehmen beide Analysen durchführen. Nur so lassen sich Risiken realistisch bewerten und gleichzeitig die Auswirkungen auf das operative Geschäft quantifizieren. Das Ergebnis ist eine fundierte Grundlage für Prävention, Notfallmaßnahmen und die Priorisierung im Krisenfall.