BCM Audit: So wird Resilienz nachweisbar

Wenn ein kritischer IT-Service ausfällt, ein Lieferant nicht mehr liefert oder ein Standort kurzfristig nicht nutzbar ist, entscheidet sich der Wert der Vorsorge nicht in einem Handbuch. Ein BCM Audit zeigt, ob Business Continuity Management tatsächlich handlungsfähige Strukturen schafft - oder ob zwischen dokumentierten Anforderungen und gelebter Notfallvorsorge eine gefährliche Lücke besteht.

Für Geschäftsführung, Informationssicherheit, Risikomanagement und Fachbereiche ist das Audit deshalb mehr als eine Compliance-Prüfung. Es schafft eine belastbare Entscheidungsgrundlage: Sind kritische Prozesse eindeutig priorisiert? Passen Wiederanlaufziele, Ressourcen und technische Wiederherstellungsfähigkeit zusammen? Kennen Krisenstab und Verantwortliche ihre Aufgaben? Und lässt sich all das auch gegenüber Aufsicht, Kunden oder Auditoren nachvollziehbar belegen?

Was ein BCM Audit prüft

Ein BCM Audit bewertet die Wirksamkeit des Business Continuity Management Systems. Im Mittelpunkt steht nicht allein, ob Richtlinien, Business-Impact-Analysen oder Notfallpläne vorhanden sind. Entscheidend ist, ob diese Elemente zu einem steuerbaren Gesamtsystem verbunden sind, das unter realistischen Belastungen funktioniert.

Der Prüfungsrahmen richtet sich nach der Organisation, ihrer Risikolage und den geltenden Anforderungen. Für Betreiber kritischer Infrastrukturen, regulierte Finanzunternehmen oder Organisationen mit hohen vertraglichen Verfügbarkeitszusagen gelten andere Nachweispflichten als für einen produzierenden Mittelständler. Anforderungen aus NIS-2, DORA, KRITIS oder BSI 200-4 können dabei den Rahmen prägen. Ein gutes Audit übersetzt diese Vorgaben jedoch in konkrete Fragen zur Betriebsfähigkeit und verliert sich nicht in Formalien.

Typischerweise werden Governance, Risikoanalyse, Business Impact Analysis, Kontinuitätsstrategien, Notfall- und Wiederanlaufpläne, Krisenmanagement sowie Übungen betrachtet. Hinzu kommt die Schnittstelle zum IT Service Continuity Management. Gerade dort entstehen häufig Brüche: Der Fachbereich erwartet die Wiederaufnahme eines Geschäftsprozesses, während die technische Wiederherstellung einzelner Anwendungen, Daten oder Infrastrukturen andere Zeitachsen und Abhängigkeiten aufweist.

Dokumentiert ist nicht gleich wirksam

Ein Plan kann vollständig aussehen und dennoch im Ernstfall scheitern. Ursachen sind oft veraltete Kontaktlisten, nicht berücksichtigte Auslagerungen, unklare Vertretungsregelungen oder Wiederanlaufmaßnahmen, die nie getestet wurden. Auch eine Business Impact Analysis verliert ihren Nutzen, wenn sie zwar kritische Prozesse benennt, daraus aber keine priorisierten und finanzierten Maßnahmen folgen.

Deshalb kombiniert ein aussagekräftiges Audit Dokumentenprüfungen mit Interviews und praktischen Nachweisen. Es fragt beispielsweise, ob Prozessverantwortliche die maximal tolerierbare Ausfallzeit bestätigen können, ob IT-Abhängigkeiten transparent sind und ob die Eskalationswege im Krisenfall belastbar funktionieren. Wo möglich, fließen Erkenntnisse aus Übungen, Störungen und tatsächlichen Wiederherstellungen ein.

Die zentralen Prüfungsfelder im BCM Audit

Die Qualität eines Audits hängt von einer klaren Prüfungslogik ab. Einzelne Dokumente isoliert zu bewerten, führt selten zu einem realistischen Bild. Relevanz entsteht erst aus dem Zusammenspiel von Organisation, Prozessen, Technologie und Menschen.

Governance und Verantwortlichkeiten

Business Continuity Management braucht einen eindeutigen Auftrag der Unternehmensleitung. Das Audit prüft, ob Rollen, Entscheidungsbefugnisse und Berichtslinien definiert sind. Dazu gehört auch die Frage, wie BCM mit Informationssicherheit, Risikomanagement, Datenschutz, Facility Management, Einkauf und Krisenmanagement zusammenwirkt.

Besondere Aufmerksamkeit verdient die Ressourcenfrage. Wenn kritische Maßnahmen, Übungen oder Planaktualisierungen regelmäßig verschoben werden, ist dies kein redaktionelles Problem. Es zeigt ein Steuerungsrisiko. Ein Audit sollte deshalb sichtbar machen, welche Entscheidungen, Budgets oder personellen Kapazitäten erforderlich sind, damit die angestrebte Resilienz erreichbar bleibt.

Business Impact Analysis und Risikoanalyse

Die Business Impact Analysis ist das fachliche Fundament. Sie bestimmt, welche Geschäftsprozesse zeitkritisch sind, welche Folgen ein Ausfall hätte und innerhalb welcher Zeit Wiederanlauf und Wiederherstellung erfolgen müssen. Das Audit bewertet dabei nicht nur die Methodik, sondern auch die Aktualität und Nachvollziehbarkeit der Ergebnisse.

Eine häufige Schwachstelle liegt in unvollständigen Abhängigkeiten. Kritische Prozesse hängen nicht nur von Anwendungen und Rechenzentren ab, sondern auch von Dienstleistern, Schlüsselpersonen, Gebäuden, Kommunikationsmitteln, Daten und Lieferketten. Werden diese Abhängigkeiten nicht erfasst, bleiben Notfallstrategien zu allgemein. Umgekehrt kann eine übermäßig detaillierte Analyse die Pflege lähmen. Die angemessene Tiefe hängt von Kritikalität, Komplexität und Veränderungsdynamik ab.

ITSCM und technische Wiederherstellungsfähigkeit

ITSCM ist kein Anhängsel des BCM. Für digital geprägte Geschäftsprozesse entscheidet die technische Wiederherstellung oft darüber, ob operative Kontinuität überhaupt möglich ist. Im Audit wird geprüft, ob Recovery Time Objectives und Recovery Point Objectives mit den Anforderungen der Fachbereiche übereinstimmen und ob die vorgesehenen Wiederanlaufverfahren technisch nachweisbar sind.

Dabei zählen konkrete Belege: Ergebnisse von Restore-Tests, dokumentierte Failover-Verfahren, Abhängigkeiten zwischen Anwendungen und Infrastruktur sowie die Verfügbarkeit qualifizierter Personen im Wiederanlauf. Ein Backup allein ist noch keine Wiederherstellungsstrategie. Ebenso kann ein technisch erreichbarer Wiederanlauf für den Geschäftsbetrieb unzureichend sein, wenn etwa Schnittstellen, Berechtigungen oder vorgelagerte Services fehlen.

Krisenmanagement und Übungen

Ein Ereignis mit weitreichenden Folgen verlangt Entscheidungen unter Zeitdruck. Das BCM Audit untersucht daher, ob Alarmierung, Lagebild, Kommunikationswege und Krisenstabsarbeit geregelt und eingeübt sind. Besonders relevant ist die Zusammenarbeit zwischen operativer Notfallbewältigung und strategischer Krisenführung.

Übungen liefern hierfür den stärksten Wirksamkeitsnachweis. Eine reine Planlesung kann sinnvoll sein, ersetzt aber keine Stabsrahmenübung oder einen technischen Wiederanlauftest. Welche Übungsform angemessen ist, hängt vom Risiko und Reifegrad ab. Organisationen mit neu aufgebautem BCM profitieren zunächst von klar moderierten Szenarien. Reife Organisationen sollten auch Schnittstellen, Zeitdruck, Kommunikationsausfälle und Abhängigkeiten zu Dienstleistern realitätsnah testen.

So wird aus dem Audit ein Verbesserungsprogramm

Ein Auditbericht sollte nicht bei einer Liste von Abweichungen enden. Er muss Management und Verantwortlichen zeigen, welche Feststellungen die Handlungsfähigkeit tatsächlich gefährden, welche regulatorischen Folgen möglich sind und in welcher Reihenfolge Maßnahmen umgesetzt werden sollten.

Dafür empfiehlt sich eine Priorisierung nach Schadenspotenzial, Eintrittswahrscheinlichkeit, regulatorischer Relevanz und Umsetzungsaufwand. Eine fehlende Stellvertretung im Krisenstab kann kurzfristig geschlossen werden. Die Entkopplung zentraler IT-Abhängigkeiten oder der Aufbau eines alternativen Betriebsstandorts erfordern hingegen strategische Entscheidungen. Beides gehört in eine Maßnahmenplanung, aber nicht auf dieselbe Zeitschiene.

Wirksam wird die Nachverfolgung, wenn Verantwortliche, Termine, Nachweise und Status zentral gepflegt werden. Gerade bei vielen Prozessen, Standorten und Dienstleistern stoßen Tabellen schnell an Grenzen. Eine spezialisierte Plattform wie [alive-IT] kann Business Impact Analysen, Notfallpläne, Aufgaben, Freigaben und Übungsergebnisse konsolidieren. Der Nutzen liegt nicht in der Software allein, sondern in einer verlässlichen Pflege und nachvollziehbaren Steuerung des Managementsystems.

Interne Prüfung, externe Prüfung oder beides?

Interne BCM Audits eignen sich, um die kontinuierliche Wirksamkeit zu kontrollieren und Verbesserungen frühzeitig anzustoßen. Sie stärken das Verständnis der Verantwortlichen und lassen sich eng mit dem bestehenden Managementzyklus verbinden. Ihre Aussagekraft hängt allerdings von ausreichender Unabhängigkeit und methodischer Kompetenz ab.

Eine externe Prüfung bringt eine unabhängige Perspektive, Erfahrung aus vergleichbaren Organisationen und einen klaren Blick auf regulatorische Erwartungen. Das ist besonders sinnvoll vor Zertifizierungen, behördlichen Prüfungen, bei wesentlichen Veränderungen oder wenn bisherige Maßnahmen festgefahren sind. Extern heißt jedoch nicht automatisch besser: Ohne aktive Beteiligung der Fachbereiche bleibt auch die beste externe Analyse eine Momentaufnahme.

In vielen Organisationen ist die Kombination zweckmäßig. Interne Audits sichern die regelmäßige Steuerung, während externe Spezialisten punktuell Reifegrad, methodische Qualität und kritische Schnittstellen bewerten. Entscheidend ist, dass aus jeder Prüfung überprüfbare Verbesserungen entstehen.

Die richtigen Fragen vor dem nächsten Audit

Vor der Beauftragung oder Durchführung sollten Verantwortliche den Zweck klar bestimmen. Geht es um die Erfüllung einer konkreten Anforderung, um die Vorbereitung auf eine Prüfung, um die Bewertung eines Standorts oder um die tatsächliche Verbesserung der Wiederanlauffähigkeit? Diese Zielsetzung bestimmt Umfang, Prüftiefe und die einzubeziehenden Personen.

Ebenso wichtig ist ein belastbarer Stichtag für Unterlagen und Nachweise. Ein Audit darf nicht durch kurzfristig nachgeführte Dokumente ein geschöntes Bild erzeugen. Relevanter ist, ob das BCM im laufenden Betrieb gepflegt wird, Veränderungen erfasst und Erkenntnisse aus Störungen konsequent verarbeitet.

Ein BCM Audit entfaltet seinen Wert dann, wenn es nicht als jährliche Pflichtübung behandelt wird. Es schafft den Anlass, Verantwortlichkeiten zu klären, kritische Annahmen zu testen und Resilienz als dauerhafte Führungsaufgabe zu verankern. Denn Handlungsfähigkeit im Ernstfall entsteht nicht durch den Prüfbericht, sondern durch die Entscheidungen und Übungen, die ihm folgen.