Die bleibende Frage lautet: Was – Gutes wie auch Schlechtes – können wir von Unternehmen lernen, die bereits eine große Krise erlebt haben?
Doch es kann nicht alles im Voraus geplant werden. In jeder Situation ergeben sich neue Probleme; deshalb ist die Entwicklung eines gemeinsamen Handlungsgedächtnisses durch geplante Übungen (zum Beispiel Simulationen) so wichtig, weil sie Erfahrungen schaffen.
1
Kapitel 1
Entscheidungsfindung
Wir skizzieren acht wichtige Schritte zur besseren Entscheidungsfindung
Unternehmen müssen während einer Krise angemessene Aktivitäten des Vorstands und der Führungsebene festlegen: Wer trifft Entscheidungen? Wie werden diese Entscheidungen getroffen, wie wird über sie informiert und wer wird zur Unterstützung hinzugezogen?
Einige Schlüsselthemen stechen hervor:
-
-
- Rollen und Verantwortlichkeiten klären
Beginnen Sie zunächst damit, die wichtigsten Entscheidungen in der Krise zu identifizieren. Wer muss einbezogen werden? In welcher Funktion? Wer bestimmt, wann und in welcher Form ein Ereignis den Übergang von Kontinuitätsplänen in die Krise erfordert? Ist allen klar, wie sich die Entscheidungsbefugnisse in einer Krise verschieben? Es ist wichtig, das im Vorfeld zu klären; ebenso wichtig ist es, diejenigen zu bestimmen, die für das Krisenmanagement verantwortlich sind. Nur so gibt es eine klare Verantwortlichkeit für die Validierung und sie bleibt im Einklang mit der sich entwickelnden Branchenpraxis und den regulatorischen Erwartungen.
- Stellvertreter identifizieren
Steht fest, wer in einer Krise Entscheidungen treffen kann, sollte sichergestellt werden, dass es qualifizierte, erfahrene Vertretungen gibt. Ist der Treasurer beispielsweise während einer Krise im Urlaub, an wen sollte sich die Geschäftsleitung bei Fragen zu Liquidität und Kapital wenden? Wenn sie den CIO nicht erreichen können, wer sind die nächsten drei Personen in der Reihe und können sie einspringen? Alle identifizierten Entscheidungsträger sollten über die Notfallprozesse des Unternehmens voll informiert sein und die Befugnis haben, in Krisenzeiten zu handeln.
- Eskalationsprozesse und Auslöser definieren
Stellen Sie sicher, dass die Entscheidungsträger in Krisenfällen die Informationen erhalten, die sie brauchen, ohne mit unnötigen Details überflutet zu werden. Entscheiden Sie im Vorfeld einer tatsächlichen Krise, welche Schlüsselfragen an die Leiter eines Geschäftsbereichs, die Geschäftsführung, den Vorstand und andere Führungsgremien, einschließlich der Risikoausschüsse, weitergeleitet werden müssen. Wenn möglich, sollten Sie explizite Eskalationsauslöser einsetzen, um eine unbeabsichtigte Verzögerung der Kommunikation zu begrenzen. Für die Mitarbeiter ist es leicht, weitere fünf oder zehn Minuten auf die Lösung des Problems zu warten – doch diese Minuten können entscheidend sein.
- Voraussehen, wann festgelegte Schwellenwerte möglicherweise überschritten werden müssen
Während einer Krise muss ein Unternehmen gegebenenfalls größere finanzielle und betriebliche Risiken in Kauf nehmen als normalerweise. Bestätigen Sie, dass die Entscheidungsträger, einschließlich derjenigen der zweiten Reihe für Risikomanagement, Recht und Compliance, an diesen Entscheidungen beteiligt sind. Überprüfen Sie Vorschriften, Unternehmensrichtlinien (zum Beispiel Risikobereitschaft) und Versicherungsbestimmungen, um „rote Linien“ zu identifizieren, die nicht überschritten werden sollten. Außerdem sollte entschieden, dokumentiert und protokolliert werden, welche Kontrollen im Krisenfall wann und durch wen außer Kraft gesetzt werden können.
- Entscheidungsfindung in einer simulierten Krise üben
Während einige Arten von Krisen im allgemeinen Sinne vorhersehbar sind, hat jede ihre eigenen ausgeprägten Merkmale. Darüber hinaus ist die Krise, die am härtesten trifft, unvermeidlich die, mit der ein Unternehmen nicht gerechnet hat. Der Aufbau von Erfahrung bei Spitzenmanagern für Entscheidungen in der Krise – das Krisen-Handlungsgedächtnis, wenn Sie so wollen – ist von entscheidender Bedeutung. Unternehmen führen oft taktische Simulationen oder Tabletop-Übungen in ihren unteren Bereichen durch – etwa zur Liquidität oder zum Cyberspace –, aber es ist wichtig, dass diese Simulationen auch auf den obersten Ebenen des Unternehmens vollzogen werden, damit Führungskräfte wissen, wie sie in einer Krise vorgehen sollten.
- Ressourcen aus Spezialisten zusammenstellen
Während und nach der Krise benötigen Unternehmen zwangsläufig einige spezialisierte Ressourcen – zum Beispiel einen externen Rechtsbeistand für Forensik, Cybersecurity oder andere Bereiche. Möglicherweise ist auch eine Beratung in den Bereichen Datenschutz, Compliance und Öffentlichkeitsarbeit erforderlich. Die frühzeitige Identifizierung und der Abschluss von Verträgen mit glaubwürdigen Quellen für solche Ratschläge, die mit Listen genehmigter Anbieter in Versicherungspolicen abgeglichen werden, und die Sicherstellung, dass diese Quellen schnell eingebunden und lokalisiert werden können, ermöglichen es den Unternehmen, zeitnah auf diese Erfahrung und Ressourcen zuzugreifen und sie zu nutzen.
- Jemanden benennen, der „Was wäre wenn“-Fragen prüft
In der Anfangsphase einer Krise neigen Gruppen dazu, sich auf Einzelheiten dringender Maßnahmen zu konzentrieren, und gelangen manchmal zu voreiligen Schlussfolgerungen hinsichtlich des Umfangs und der Ursachen des Problems. Um ein Gruppendenken zu vermeiden, sollte jemandem die Verantwortung dafür übertragen werden, die unmittelbaren Anforderungen des Ereignisses mit Abstand zu betrachten, um alternative Erklärungen und mögliche Reaktionen zu bewerten.
- Den Rückweg zum regulären Geschäft entwerfen
So wichtig es ist zu wissen, wann Ausnahmeentscheidungen getroffen werden müssen, und ein Gefühl der Dringlichkeit zu vermitteln, so wichtig ist es auch, einen Deeskalationsansatz zu bestimmen, damit ein Unternehmen wieder zur Tagesordnung übergehen kann – und zwar in einer geordneten, kontrollierten und gut dokumentierten Weise (siehe „Vorbereitung auf Aktivitäten nach dem Ereignis“ unten).
2
Kapitel 2
Kommunikation
Eine effektive Kommunikationsstrategie umfasst folgende acht Elemente:
Unternehmen sollten eine Krisenkommunikationsstrategie entwickeln, die allen internen und externen Stakeholdern konsistente und einheitliche Botschaften vermittelt:
- Entwicklung von aktuellem Referenzmaterial für die Kommunikation
Manche Krisen lassen sich vorhersagen – vielleicht nicht bis ins letzte Detail, aber die allgemeine Situation –: Ein größeres System (zum Beispiel ein ATM-Netzwerk) ist nicht zugänglich, ein Lieferant ausgefallen oder es besteht ein größeres Wetterereignis. Unternehmen können für die 15 bis 20 häufigsten Betriebsstörungen, mit denen sie konfrontiert sein können, Informationen vorbereiten, die für verschiedene Auftraggeber, Umstände und Medienkanäle geeignet sind. Sie können Vorlagen und Skripte für Pressemitteilungen entwerfen, die über lokale und nationale Print- und Fernsehnachrichten sowie über wichtige Social Media verbreitet werden können. Sie können eine Bibliothek von Kundenmitteilungen entwickeln, die wahrscheinliche Erfahrungen und Alternativen abdecken und spezifische Botschaften für wertvolle Kunden über jedes wichtige Produkt oder jede wichtige Dienstleistung beinhalten. Die Entwürfe für Krisenkommunikation sollten auch Geschäftspartner und Lieferanten abdecken.
- Klarstellen, wer wann und wie mit den Medien spricht.
Zu oft bestimmen Unternehmen, wer in einer Krise mit den Medien sprechen sollte. PR-Richtlinien geben vor, dass Unternehmen nur geschulte, geübte Sprecher zur Stellungnahme einsetzen und bestätigen sollen, dass diese regelmäßiges Medientraining in Presse und Fernsehen erhalten (wie ihre Stellvertreter auch). Die Sprecher müssen bei der Vermittlung von Informationen über bekannte Entwicklungen genau und aktuell sein und gleichzeitig unbekannte Details ansprechen.
- Materialien vorbereiten, die Mitarbeiter teilen können
Mitarbeiter sind das Gesicht eines Unternehmens. Jede vorgegebene Kommunikationsstrategie muss ihnen Priorität einräumen und sie schnell einweisen, wobei der Schwerpunkt darauf liegt, was den Kunden mitgeteilt und was vertraulich bleiben soll. Außerdem werden Mitarbeiter wahrscheinlich eine Anleitung benötigen, wie sie bei Störungen auf alternative Dienste zugreifen können – normalerweise können diese Alternativen im Voraus ermittelt werden, um die Kunden in der Krise zu informieren.
- Aufrechterhaltung einer koordinierten, offenen Kommunikation mit den Regulierungsbehörden
Erstellen Sie ein Handbuch, wie und wann Sie mit den Aufsichtsbehörden über Angelegenheiten kommunizieren, die Risiken, Compliance, rechtliche Fragen oder themenspezifische Bereiche betreffen. Zusätzlich sollte bekannt sein, wie und wann man die Strafverfolgungsbehörden und, falls erforderlich, die Ressourcen der nationalen Sicherheit erreichen kann.
- Protokolle kennen, um Informationen mit Gleichgesinnten auszutauschen
In den letzten Jahren wurden einige wichtige Initiativen auf Branchenebene ins Leben gerufen, um den Informationsaustausch zwischen Teilen der Branche zu ermöglichen und Unternehmen bei größeren Ausfällen oder Cyberangriffen zu unterstützen. Um diese Bemühungen in einer Krise wirksam einsetzen zu können, benötigen Unternehmen im Vorfeld vereinbarte, gut dokumentierte Kommunikations- und Eskalationsprotokolle und außerdem mit den Gruppen, die diese Initiativen leiten, vereinbarte Protokolle darüber, wie die externe Kommunikation effektiv gehandhabt wird.
- Kommunikationsberatung
Selbst bei bester Vorbereitung sollten die Unternehmen den Zugang zu interner – und bei Bedarf externer – Beratung in Bezug auf Medien und juristische Fragen zu den Auswirkungen einer Krise organisieren. Auch wenn Unternehmen während einer Krise möglicherweise die gesamte Genehmigungsrunde zur Kommunikation überspringen: Öffentliche Erklärungen hinsichtlich möglicher Verantwortlichkeiten sollten mit ihrem Rechtsteam, Aussagen über laufende Verstöße mit dem Ermittlungsteam abgestimmt werden.
3
Kapitel 3
Arbeitsabläufe
Frühzeitig Prozesse einrichten, um sich auf die Reaktion in einer Krise konzentrieren zu können
Zahlreiche wichtige Entscheidungen über die Vorgehensweise in einer Krise sollten im Vorfeld unter aktiver Beteiligung der Führungskräfte und, falls erforderlich, des Vorstands getroffen werden. Die damit verbundenen Kompromisse haben direkte Auswirkungen auf die Wahrnehmung durch Kunden und Geschäftspartner, auf die Liquidität des Unternehmens und auf rechtliche Risiken. Daher sollten sie im Voraus berücksichtigt werden:
-
-
- Einführung von Prozessen zur Identifizierung der mutmaßlich am stärksten betroffenen Kunden
Für jedes erwartete Szenario können Unternehmen prospektiv die wichtigsten Kunden identifizieren, die voraussichtlich am meisten betroffen sein werden – insbesondere diejenigen, die das Unternehmen über verschiedene Geschäftsbereiche und Produkte hinweg nutzen. Im Vorfeld sollten Unternehmen planen, wie sie die Kommunikation mit diesen Kunden priorisieren und für welche Arten von Transaktionen und Kunden sie auf manuelle oder teilautomatisierte Prozesse umstellen sollten. Außerdem sollte überlegt werden, welche Zugeständnisse wie Beratung, Preisnachlässe oder Fristverlängerungen angeboten werden könnten.
- Anleitungen und manuelle Prozesse testen und Mitarbeiter für deren Anwendung schulen
Unternehmen sollten Simulationen oder Tabletop-Übungen für Kontinuitätspläne verwenden, um Engpässe und wichtige unterstützende Technologien zu identifizieren und zu managen und um Alternativen für jeden Schlüsselprozess zu bestimmen, der die Kunden unterstützt. Wenn zum Beispiel Mobilfunk- und Kreditkartennetze ausfallen, brauchen die Banken ein Verfahren, um Geldautomaten schnell wieder aufzufüllen. Unternehmen sollten überlegen, wie sie mit einem Anstieg der Anrufe und von Besuchen in Filialen umgehen, also ein Verfahren zur Einplanung zusätzlicher Mitarbeiter für die Unterstützung der Kernfunktionen entwickeln. Sie sollten ihre Anforderungen an die Eingliederung bewerten, um zu überprüfen, ob sie in Zeiten des Bedarfs schnell neue Ressourcen aufbringen können.
- Bewertung potenzieller Gefahren bezüglich Lieferanten und Geschäftspartnern
Unternehmen sollten festlegen, wie sie die potenziellen Auswirkungen einer Krise auf Dritte einschätzen würden. Und sie sollten Notfallvereinbarungen mit wichtigen Geschäftspartnern treffen, insbesondere mit entscheidenden Lieferanten. Die Unternehmen sollten sich vor Augen halten, dass ihre Reaktion auf eine Krise (zum Beispiel reduzierte Auszahlungslimits) das Vertrauen in die Solvenz und Liquidität des Unternehmens untergraben kann, weshalb sie der Kommunikation mit wichtigen Lieferanten und Geschäftspartnern Priorität einräumen sollten, um für Beruhigung zu sorgen.
- High Value Assets verstehen und schützen
Der Begriff „High Value Assets“ (HVA) bezieht sich nicht auf finanzielle Vermögenswerte, sondern auf diejenigen, die unternehmensweite Auswirkungen auf den Betrieb, die Compliance und die Rechtsfunktion sowie auf Risiken hinsichtlich Reputation und Liquidität und die Erholung nach Krisen haben. Unternehmen sollten eine Bestandsaufnahme ihrer HVA dokumentieren und sie tiefgehend verstehen, damit sie in einer Krise wissen, wo diese Vermögenswerte sind und inwiefern sie betroffen sein könnten. Dieses Wissen kann bei der Beurteilung der Auswirkungen einer Krise und bei der Entscheidungsfindung bis hin zur Lösung der Krise helfen. Die Bestandsaufnahme sollte Anknüpfungspunkte zwischen Schlüsselsystemen und Ressourcen zum Schutz von Kundendaten beinhalten, sodass die Unternehmen mit diesen Informationen Möglichkeiten zum Schutz von HVA in verschiedenen Szenarien identifizieren. Dazu gehören Engpässe zur Abwehr einer Lösegeldforderung oder Ansätze zur Quarantäne gefährdeter Systeme oder Daten.
- Krisenmanagement und Management von finanziellen Ressourcen verbinden
In Krisenzeiten benötigen Unternehmen Zugang zu soliden finanziellen Ressourcen innerhalb des Unternehmens oder von außen, die helfen, eine längere Krise zu überstehen. Sie brauchen stabile, geprüfte finanzielle Notfallpläne, die direkt mit den unternehmensweiten Prozessen zum Krisenmanagement verknüpft sind, damit die Krisen- und Einsatzteams mit den Finanzmitteln effektiv arbeiten können, um die Liquidität zu steuern.
- Dokumentationsprotokolle festlegen
Da Entscheidungen während einer Krise getroffen werden, ist es wichtig, dass sie ordnungsgemäß dokumentiert werden. Das gilt insbesondere , wenn sie aus dem üblichen Rahmen der Unternehmenspolitik herausfallen oder mehr Risiken als üblich eingegangen werden. Es sollte ein robuster, bekannter Prozess zur Dokumentation solcher Entscheidungen entworfen und umgesetzt werden.
- Herausfinden, wie die Arbeitsmoral der Mitarbeiter aufrechterhalten werden kann
Die meisten Firmen überleben Krisen, weil ihre Mitarbeiter Opfer bringen – mit ausgedehnten Stunden in Calls oder Meetings, die sich um die Krise drehen. Bei längeren Krisen kann das die Mitarbeiter erschöpfen und die Moral kann sinken. Unternehmen sollten Pläne entwickeln, wie sie die Moral während der Krise aufrechterhalten können, zum Beispiel durch interne Kommunikation, Zuschläge und andere Möglichkeiten der Belohnung des Engagements.
4
Kapitel 4
Aktivitäten nach dem Ereignis
Lernen aus dem, was passiert ist, um beim nächsten Mal noch besser vorbereitet zu sein. Das geht so:
Es geht nicht nur um die Vorbereitung auf ein Ereignis. Es ist auch wichtig, für die Zeit nach dem Ereignis – die Erholungsphase – zu planen und zu lernen, was beim nächsten Mal besser gemacht werden kann.
- Eine Bibliothek von Prozessen nach dem Ereignis zusammenstellen
Während einer Krise sollten sich Unternehmen nicht auf die Ursachenanalyse konzentrieren, so verlockend das auch sein mag. Dennoch wird eine solche Analyse irgendwann erforderlich sein, ebenso wie die Durchführung von Prozessen nach dem Ereignis, zum Beispiel ein Disaster Recovery Plan, ein Datenabgleich (insbesondere wenn die Daten des Unternehmens beschädigt wurden) und Analysen von Betriebsverlusten. Daher sollten Unternehmen diese Prozesse vollständig dokumentieren, zusammen mit dem Zeitpunkt und der Art und Weise, wie sie nach dem Ereignis eingeleitet oder wiederhergestellt werden sollten.
- Einen Audit Trail legen
Ein entscheidender Beitrag zu den Prozessen nach dem Ereignis ist die Dokumentation dessen, was während der Krise passierte, welche Entscheidungen getroffen wurden und warum. Ein solcher Audit Trail hilft Unternehmen nicht nur zu lernen, sondern demonstriert auch die Angemessenheit der Entscheidungen, die unter Berücksichtigung der Umstände und der verfügbaren Informationen getroffen wurden. Das kann angesichts des Potenzials für Rechtsstreitigkeiten oder für aufsichtsrechtliche und versicherungstechnische Diskussionen von unschätzbarem Wert sein.
- Aus vergangenen Erschütterungen lernen
Vor allem müssen die Unternehmen aus den vergangenen Ereignissen – den eigenen und denen anderer – lernen, um das Krisenmanagement kontinuierlich zu verbessern. Eine fundierte Analyse befasst sich mit „Was wäre wenn“-Szenarien und arbeitet heraus, was passiert wäre, wenn andere Entscheidungen oder Maßnahmen getroffen worden wären.
Fazit
Mit Krisen sind komplexe Fragen und Entscheidungen verbunden, die in der Hitze des Gefechts unmöglich zu lösen sind. Daher ist die Zeit unglaublich wertvoll, in der Führungskräfte ihre Krisenbereitschaft prüfen, die notwendigen Schritte unternehmen und sicherstellen, dass sie gut aufgestellt sind, um eine Krise effektiv zu bewältigen, und dass ihre Geschäfte und ihr Ruf intakt bleiben.
