"Wenn Naturkatastrophen irgendwo auf der Welt passieren, schärft das den Blick"

Herr Thürig, die Aargauer Kantonalbank hat 2010 ein BCM eingeführt. Wie war die Katastrophenvorsorge vorher gelöst?

Bevor wir uns mit dem unternehmensweiten Ansatz des BCM beschäftig haben, hatten wir eine Disaster-Vorsorge. Das nannte sich Krisen- und Katastrophenvorsorge. Darin waren die Prozesse in Krisenfällen geregelt. Das reichte viele Jahre aus und erfüllte seinen Zweck. Es hatte aber nicht die Breite und den konzeptionellen Ansatz eines BCM.

Diese Krisen- und Katastrophenvorsorge bezog sich rein auf die IT?

Nein, ausser der IT waren auch noch die Gebäude Teil dieser Vorsorge. Aber das Ganze war im Unterschied zum BCM nicht von den Prozessen her angedacht.

Was war der Grund, ein BCM einzuführen?

Für die Einführung waren drei Gegebenheiten ausschlaggebend: An erster Stelle stand die Forderung der Schweizerischen Bankiervereinigung nach einer Einführung eines BCM. Zweitens sprachen verschiedene reale Vorkommnisse der letzten zwei Jahre für ein BCM. Wenn Pandemien drohen oder Naturkatastrophen irgendwo auf der Welt passieren, schärft das den Blick für die Risiken, denen man ausgesetzt ist. Drittens schliesslich sind wir 2010 auf eine neue Bankenlösung migriert. In diesem Zusammenhang mussten wir ohnehin alle Prozesse neu gestalten und auch die Notstandsabläufe überarbeiten. Da lag es auf der Hand, dies gleich mit dem BCM-Ansatz durchzuziehen.

Heisst das, es ist einfacher, BCM bei einem Systemwechsel einzuführen?

Ja, ohne Systemwechsel ist es nicht nur schwieriger, sondern es kostet auch mehr Überwindung, so ein Projekt überhaupt anzupacken. Die Einführung von BCM ist ja an sich keine besonders beliebte Angelegenheit. Da half es natürlich, dass uns die Revision im Zusammenhang mit der Migration beauftragte, die Notstandsprozesse neu zu definieren.

Von wem ging die Initiative aus?

BCM war eigentlich schon in aller Munde. Den eigentlichen Anstoss gab das Risk Management unter dessen Leitung das BCM durch ein interdisziplinäres Team eingeführt wurde. Auftraggeber war die Geschäftsleitung, und der Bankrat hat die Gesamtverantwortung dafür übernommen.

Ist es wichtig, dass BCM möglichst weit oben in einem Unternehmen angesiedelt wird?

Wichtig ist, dass man von der Geschäftsleitung Rückendeckung und einen klaren Auftrag erhält. Sonst sind solche Projekte, die ja immer mit erheblichem Mehraufwand verbunden sind, eher gefährdet.

Wer ist nun operativ dafür verantwortlich?

Das Reglement wird von der Geschäftsleitung erlassen und nachgeführt. Operativ steht das BCM unter der Führung des Bereichsleiters Risiko- und Finanzmanagement, der Mitglied der Geschäftsleitung ist. Die Nachführung, die Übungen und die Schulungen obliegen dem Krisenstab. Der wiederum besteht aus Vertretern von Business, IT, Organisation und Logistik, die das BCM sozusagen am Leben halten.

Wie aufwendig ist der Betrieb des BCM?

Einmal jährlich muss das Reglement angepasst und der Revision vorgelegt werden. Dann gibt es drei, vier Übungen im Jahr.

Wie packt man ein solches Projekt an?

Das war in unserem Fall weitgehend durch die Empfehlungen der Bankiervereinigung und den konzeptionellen Managementansatz für BCM vorgegeben. Daran haben wir uns gehalten und sind damit gut gefahren. Im Rahmen der Umsetzung identifiziert man zuerst alle kritischen Prozesse und Systeme. Weil wir schon für alle Kernprozesse eine Prozessorganisation hatten, konnten wir diese Informationen bei den jeweiligen Verantwortlichen abrufen. Anschliessend haben wir im Rahmen der BCM-Strategie die Szenarien pro kritischen Geschäftsbereich der Reihe nach festgelegt.

Und wie sieht das auf Systemebene aus?

Im Zusammenhang mit der Migration wurden der IT-Betrieb und die Applikationen an Swisscom ausgelagert. Mit ihr haben wir einen IT-Continuity-Management-Vertrag abgeschlossen, der die Verfügbarkeit der jeweiligen Systeme regelt. Nach diesen Vorgaben stellt Swisscom beispielsweise dort, wo es notwendig ist, redundante Systeme zur Verfügung. Hier liegt einer der Vorteile des Outsourcings, denn solche Back-up-Systeme selbst zu betreiben, wäre betriebswirtschaftlicher Unsinn.

Welche Tipps können Sie anderen geben?

Als Erstes sollte man sich im Klaren darüber sein, dass BCM kein Projekt ist, auf das sich die Mitarbeiter mit Freude stürzen. Die haben in der Regel andere Prioritäten und es zeichnet sich für sie auch kein unmittelbarer Nutzen ab. Deshalb sollte so ein Projekt unbedingt Topdown organisiert sein. Die Aufträge und Verantwortlichkeiten der Beteiligten müssen von Anfang an sauber definiert sein. Zudem sollten, bevor man mit BCM beginnt, für alle kritischen Geschäftsprozesse und Systeme Verantwortliche geschaffen werden. Schliesslich muss man nach der Implementierung dafür sorgen, dass die Abläufe immer wieder trainiert werden.

Hatten Sie denn schon Krisen, in denen sich das BCM bewähren musste?

Wir hatten sogenannte IT-Krisen, in denen geschäftskritische Systeme ausgefallen sind. Die waren aber nicht so gravierend, dass wir den ganzen Krisenstab aufbieten mussten. Ich denke beispielsweise an Fälle, in denen die IT in einer Filiale oder alle Bankomaten ausgefallen waren. In all diesen Fällen haben die Notstandsabläufe gut funktioniert und die Backup-Systeme konnten wie vorgesehen aktiviert werden.