Die Business Impact Analyse, kurz BIA, ermittelt, welche Aktivitäten einer Organisation wie schnell nach einer Unterbrechung wieder laufen müssen und was ein längerer Ausfall kostet. Sie ist der Ausgangspunkt jedes Notfallkonzepts und in ISO 22301 verankert. Ihre Eigenart: Sie fragt nicht nach der Ursache.
Warum die Ursache offenbleibt
Das ist der wichtigste und am häufigsten missverstandene Punkt. Ob die Fertigung wegen eines Brands, eines Stromausfalls, eines Cyberangriffs oder eines Wasserschadens stillsteht, ändert an der Wirkung wenig. Die BIA betrachtet die Unterbrechung als gegeben und misst ihre Folgen über die Zeit. Die Ursachenseite bleibt der Risikoanalyse überlassen.
Der Nutzen dieser Trennung ist praktisch. Eine ursachenorientierte Planung deckt nur die Szenarien ab, die jemand vorher bedacht hat. Eine wirkungsorientierte Planung greift auch bei dem Ereignis, das niemand auf der Liste hatte.
Der Schaden verläuft nicht gleichmäßig
Die verbreitete Vorstellung ist eine gerade Linie: doppelte Ausfalldauer, doppelter Schaden. Real gibt es Sprungstellen, und sie liegen an Terminen. Der Lohnlauf, der Monatsabschluss, die Zollanmeldung, die Chargenfreigabe, ein vertraglich zugesagter Liefertermin, eine gesetzliche Meldefrist. Ein Ausfall von drei Tagen kann folgenlos bleiben und derselbe Ausfall drei Tage später ein Vielfaches kosten.
Eine BIA, die diese Sprungstellen nicht erhebt, produziert glatte Kurven und falsche Prioritäten. Fragen Sie in jedem Gespräch ausdrücklich: Gibt es Zeitpunkte im Monat oder Jahr, an denen derselbe Ausfall deutlich schwerer wiegt?
Von der Wirkung zur Vorgabe
Aus der ermittelten Wirkung entsteht zuerst die maximal tolerierbare Ausfalldauer. Danach wird die Recovery Time Objective so gesetzt, dass sie darunter liegt — mit Abstand, nicht knapp. Für Daten kommt die Recovery Point Objective hinzu. Ergänzend wird festgelegt, welches Leistungsniveau im Notbetrieb genügt; ohne diese Angabe ist unklar, was „wieder verfügbar“ bedeutet.
Zuletzt werden Abhängigkeiten erfasst. Der Punkt wird regelmäßig auf IT verkürzt. Genauso relevant sind Personen mit exklusiven Kenntnissen oder Befähigungsnachweisen, Räume, Werkzeuge, Genehmigungen und einzelne Lieferanten.
Wer die Angaben liefert und wer sie prüft
Die Zahlen kommen aus den Fachbereichen, die Gegenprüfung von jemandem, der die Folgekosten kennt. Ohne diesen zweiten Blick entsteht eine Sammlung von Wunschzeiten. Bewährt hat sich eine kurze Plausibilitätsrunde, in der die vorläufigen Vorgaben nebeneinander gelegt und mit dem Aufwand konfrontiert werden, den sie auslösen würden.
An dieser Stelle entscheidet sich, ob die BIA ein Steuerungsinstrument wird oder ein Ordner. Sobald die Vorgaben Investitionen nach sich ziehen, korrigieren sich viele Einschätzungen von selbst — und die Reihenfolge der Aktivitäten wird zum ersten Mal wirklich diskutiert.
Woran es scheitert
Alles ist kritisch. Ohne Gegenprüfung stuft jeder Bereich sich selbst als vorrangig ein. Hilfreich ist die Frage nach den Kosten: Was dürfte es kosten, diese Zeit zu halten? Sobald Aufwand im Spiel ist, differenzieren die Angaben sich von selbst.
Systeme statt Aktivitäten. Beginnt die Erhebung bei der Anwendungsliste, entsteht eine IT-Sicht. Ausgangspunkt sind die Aktivitäten, die Produkte und Dienstleistungen liefern.
Einmal erhoben, nie geprüft. Eine BIA veraltet mit jedem neuen Prozess und jedem Standortwechsel. Sie gehört in denselben Überprüfungsrhythmus wie die Managementbewertung.