BUSINESS RESILIENCE: FLEXIBILITÄT VS. STABILITÄT?

Und man muss sich dabei fragen: Welche Dinge sind in welchen Dimensionen für mein Geschäft relevant? Wie resilient kann ich dagegen sein und wo muss ich nachsteuern? Dazu muss ich mir jeweils ein Bündel von Resilienz-Indikatoren für das jeweilige Thema überlegen.

Eine solche Bewertung ist immer individuell und hängt vom jeweiligen Geschäft ab und davon, wo man mit der eigenen digitalen Transformation steht und wie die Struktur der Workforce aussieht. Auch der demografische Wandel ist eine interessante Dimension für Resilienz.

Eine Ritterrüstung hält jeden Speer ab, aber man kann sich darin auch nicht bewegen. Hier gilt es, das optimale Gleichgewicht zu finden. Es ist aber eine Mär, zu denken, man kann so resilient sein, dass alle Systeme zu 100 Prozent weiterlaufen, wenn ein Notfall eintritt. Die Frage ist, auf welchen Grad falle ich dann zurück und was läuft dann noch in welchem Ausmaß?

Das lässt sich nur gemeinsam mit dem Business herausfinden und zwar in einem agilen Modus. Man darf nicht erwarten, sich in einem großen Projekt einmal gemeinsam aufzustellen und dann für alle Zeiten und Notfälle gerüstet zu sein. Sämtliche systemische Erwartungswerte und Abweichungen müssen da laufend bearbeitet und aktualisiert werden.

Und das gilt für jede Industrie, jedes Unternehmen und jede Organisation. Zum Beispiel der Impact, den eine Minute Ausfall in einem bestimmten System bedeutet und kostet.

Die Herausforderung ist, das immer im Gesamtkontext zu bewerten – das System oder der Bereich, für die man verantwortlich ist, sind immer nur einzelne Räder im großen Ganzen. Das wirklich zu verinnerlichen, ist auch ein Kulturthema.

In der Energiebranche werden wir natürlich ununterbrochen gemessen, weil das Energiesystem extrem resilient sein muss und permanent auf jeden kleinen Stromausfall sofort reagiert werden muss. Hier kommen viele neueste Technologien geballt zum Einsatz, um das bestmöglich zu gewährleisten. Trotzdem wäre es eine falsche Erwartungshaltung, aus diesen Messungen zu schließen, wir sind zu 97 oder zu 99 Prozent resilient, wenn der große Blackout kommt.

Messungen sind immer Szenarien-basiert – Szenarien, die es noch gar nicht gibt, lassen sich daher auch nicht zuverlässig messen. Ich kann und muss allerdings natürlich dennoch für solche Szenarien vorausplanen: Wenn dieser Fall eintritt und diese und jene Folgen auslöst, kann ich das so und so ausgleichen.

Es wird meines Erachtens darauf hinauslaufen, dass einerseits generelle Resilienz-Standards etabliert werden und darüber hinaus auch Spezifizierungen für einzelne Branchen geschaffen werden. Letztlich muss Resilienz für jedes Unternehmen aber individuell evaluiert werden. Hier wird es spannend: Wie kann der Test in der Praxis erfolgen? Was sind die einzelnen Szenarien, für die man welche Notfälle antizipieren muss? Was sind besondere Situationen, die man normalerweise gar nicht antizipiert?

Solche Ausnahmesituationen muss man in der Praxis erproben – so wird die Reaktionsfähigkeit einer Organisation wirklich gefordert: durch das Erlebnis entsteht Lernen und Verbesserung der Resilienz, viel mehr als durch Checklisten und Scoring. Ein Test, der wie ein geplanter Feueralarm pünktlich um 10 Uhr startet, ist zur Bewertung von Resilienz nicht sinnvoll.

Prozesse werden per se definiert, um sichtbar vorzugeben, wie etwas funktioniert und um die Leute dazu anzuhalten, jeden Schritt dieses Ablaufes einzuhalten. Ich glaube, damit hat man einen falschen Weg eingeschlagen, weil man sich so der von Dokumentationsrichtlinien geprägten Denkweise im Qualitätsmanagement untergeordnet hat.

Ein Prozess ist aber kein Selbstzweck, sondern sollte eigentlich immer der beste Weg sein, um ein bestimmtes Ziel zu erreichen – und dieser Weg muss in Ausnahmesituationen auch ein anderer sein können. Solch eine Ausnahmesituation muss nicht immer gleich eine große Krise sein, sondern kann zum Beispiel auch der Bedarf sein, dass eine Beschaffung einmal schneller als mit dem standardisierten Prozess gehen muss. Tatsächlich wird es für ein Unternehmen immer wichtiger, in solchen Fällen rasch und agil reagieren zu können.

Die entscheidende Fähigkeit, um die es nämlich bei fast allen Aspekten der Resilienz geht, ist Selbstorganisation – bei einem Team genauso wie bei einer größeren Organisation. Dafür braucht es einerseits Autonomie, weil so nicht die ganze Chain of Command durchlaufen werden muss.

Und es braucht andererseits auch einen gemeinsamen Wert und ein großes Ziel, das Environment schafft und zugleich dafür sorgt, dass nicht jeder nur an seinen eigenen Aufgaben arbeitet. Das ist wichtiger als jede exakte Definition von Mikroprozessen, um auf Unvorhergesehenes zu reagieren – unabhängig, ob das jetzt eine Katastrophe oder eine Business Disruption ist.

In der Versicherungsbranche sind Notfallübungen schon lange ein zentraler Faktor – unser Business Resilience Manager wirft uns da sozusagen einen Tag lang in realistische Szenarien hinein. Die Ergebnisse fließen dann natürlich in Handbücher und Notfallpläne ein, wobei die am öftesten gewonnene Erkenntnis dabei ist, dass die Kommunikation noch weiter verbessert werden muss. Deshalb investieren wird sehr viel Zeit, um unsere Teams zusammenzuschweißen, und zwar übergreifend.

Gleichzeitig wird der Spagat zwischen Agilität und Stabilität ein immer wichtigerer Leadership-Aspekt: Wie führen wir Mitarbeitende zu mehr Agilität? Wir sind gerade dabei, nicht nur die Organisation dahingehend umzustellen, sondern vor allem auch die Art und Weise, wie wir arbeiten. Ein wesentlicher Treiber dafür sind unsere Planungszyklen in einem dynamischeren Rhythmus, die uns wesentlich rascher und flexibler in unseren Planungs- und Entscheidungsprozessen machen.

Wo gibt es Schnittstellen, die noch nicht automatisiert sind? Wo gibt es daher noch keine echte Durchgängigkeit? Hier gibt es noch immer einiges an Potenzial. Gleichzeitig sind wir heute allerdings schon in einigen Prozessen und Industrien sehr optimiert – im klassischen Sinn sind die Systeme hier zum Teil schon ausgereizt. Wenn wir vor diesem Hintergrund resilienter werden wollen, müssen wir uns deshalb die Frage stellen: Was kann und muss sich grundsätzlich beim Einsatz und der Nutzung von Technologie ändern? Sind die Methoden, die wir einsetzen, noch die richtigen? Wie kann uns Technologie zu einer echten Transformation verhelfen?

Für die IT ist das eine extreme Herausforderung, aber zugleich auch Chance, um Technologie komplett neu zu denken, von ganz oben bis ganz unten. Weil IT heute wirklich überall verankert ist und weil es in einem Unternehmen keinen Prozess mehr gibt, der ohne IT funktioniert.

Für 99 Prozent aller Fälle benötige ich diese Flexibilität nicht. Wenn dann aber doch einmal ein Fall eintritt, für den ein solcher Exit notwendig wäre, hat man sich den versperrt. Es gibt also sehr wohl einen Punkt, an dem man sich gut überlegen muss, ob man einen Prozess darüber hinaus noch weiter ausoptimiert und automatisiert, weil man so vielleicht sämtliche Vorgaben bis ins kleinste Detail perfekt abdeckt, oder, ob man sich einen letzten Rest Freiraum bewahren will.

Es gibt immer mehr coole technologische Ansätze, die vieles möglich machen. Man muss sich aber genau anschauen, inwieweit solche Dinge möglicherweise nur für „Schönwetter-Anwendungen“ geeignet sind, oder auch, wenn es einmal wirklich kracht und stürmt.

Und damit zugleich auch zu verstehen, wo und wie Workarounds geschaffen werden können. Aus kaskadierten Ausfallprozessen resultiert ein Dominoeffekt, wenn man einen Schritt nicht machen kann: der Single Point of Contact wird dann zum Single Point of Failure.

Im Prozess-Design gilt es daher, auch Situationen zu antizipieren, die im klassischen Ablauf, beispielsweise in Notfalls- oder Disaster Recovery Plänen, nicht abgebildet sind.

Das hat architektonisch große Auswirkungen: Wir bauen die Systeme ganz anders auf, nämlich so, dass, wenn eines ausfällt, ein anderes quasi als Bypass einspringen und dessen Aufgabe abdecken kann. Dabei fallen 10 Prozent unserer Systeme wirklich unter Kern-Funktionalität, 90 Prozent sind Support-Systeme, die zuliefern. Unter anderem auch deshalb, weil die Regularien extrem viele Absicherungen fordern.

Das gilt ganz besonders, wenn man Cloudtechnologien nutzt. Zugleich sagen die großen Software-Hersteller, dass man sich darüber eigentlich gar nicht mehr groß Gedanken machen muss, weil es in ein paar Jahren ohnehin alle Software-Anwendungen nur noch in der Cloud gibt. Da driften Legislative und Anbietermärkte aktuell weit auseinander und müssen mittelfristig hamonisiert werden.

Auch hier gilt das Gleiche wie bei den Prozessen selbst: beim Design in den Workflows gewisse Freiheiten zu lassen, auch, wenn die in der Regel kaum jemals genutzt werden müssen.

Auch hier muss ich das Ziel im Auge haben und nicht die Funktionalität, und deshalb die Workflows so gestalten, dass sie im Not- oder einfach Bedarfsfall die Möglichkeit für Agilität bieten, um die organisatorische Resilienz sicherstellen zu können.

Die Zahl an Audits, die wir als IT-Organisation In der Versicherungsbranche jedes Jahr durchlaufen, nimmt immer mehr zu. Aufgrund branchenspezifischer oder auch interner Rahmenbedingungen, aber verstärkt auch aufgrund neuer EU-Verordnungen.

Da gilt es einen Weg zu finden, um die nötige Business Resilience umzusetzen und andererseits die dafür notwendige Agilität nicht durch dieselben Regularien einschränken zu lassen. Und die Verantwortung dafür, das sicherzustellen, liegt zunehmend bei den CIOs und CDOs.

Die Vorlaufzeit für die Umsetzung wird dadurch umso kürzer. Wenn man sich nicht selbst proaktiv darauf vorbereitet, wird man davon kalt erwischt. Deshalb tracken wir sowohl im Verkehrs- als auch im IT-Bereich möglichst frühzeitig sämtliche Entwürfe für neue Richtlinien und Verordnungen und versuchen zu sondieren, was dadurch alles auf uns zukommen könnte.

Und dabei darf man nicht nur die IT-Brille aufsetzen, sondern muss das gemeinsam mit den verschiedenen Business Units machen, um zu verstehen und möglichst zu antizipieren: Was bedeutet das in der Praxis und wie beeinflusst das unser Geschäft? Was müssen wir dafür wirklich können? Trotzdem kann man kaum immer alles auf dem Radar haben und muss sich dann mit manchen Dingen sehr kurzfristig und dafür umso intensiver auseinandersetzen.

Beispielsweise im Kontext von jährlichen Release-Zyklen und vor speziell zu übergreifenden Themen wie in unserem Bereich etwa zum Thema Einwegpfand. Unser Entwicklungsteam ist zwar in der Lage agil zu arbeiten und in Sprints individuell auf spezielle Gestaltungswünsche einzugehen, aber bei umfangreichen beziehungsweise komplexen Abhängigkeiten stoßen wir in unserem Ökosystem auf Grenzen, signifikante Änderungen robust und effizient umsetzen zu können.

An diesem Punkt gilt es entweder, kreative Lösungen zu finden oder zu akzeptieren, dass man die vorhandenen Limitierungen nicht vollständig auflösen kann.

Der entscheidende Faktor bei der erfolgreichen Bewältigung der vergangenen Krisen war jedoch zumeist weniger, dass es gute Handbücher gegeben hat, sondern vor allem, dass die Leute gut und eng zusammengearbeitet und zusammengehalten haben. Das ist ein Learning, dem in Planungen und Konzepten viel zu wenig Aufmerksamkeit eingeräumt wird. Es braucht gelebte Prozesse, damit die Zusammenarbeit so klappt.

Daraus stellt sich vor allem die Frage: Wie kann das künftig auch so gut funktionieren? Denn die Voraussetzungen dafür haben sich durch Faktoren wie zum Beispiel Homeoffice geändert. Früher sind alle Leute im Büro zusammengesessen, haben einander persönlich gekannt – man wusste um die Stärken und Schwächen der anderen. Wenn man heute zum Teil nur zwei Tage im Büro ist und ansonsten alleine daheim arbeitet – kann da solch ein sozialer Kit überhaupt entstehen? Es wird sich nicht verhindern lassen, dass der Stellenwert eines Unternehmen für die Identität der einzelnen Mitarbeiter:innen zurückgeht.

Da ist es ganz selbstverständlich, einander, wenn es dringenden Handlungsbedarf gibt, am Handy anzurufen – und das kann dann viel entscheidender sein als ein noch so sauber ausdefinierter Notfallprozess.

Als ausgebildeter Prozessmanager sehe ich es kritisch, dass die Entwicklung immer mehr in die Richtung geht, Resilienz durch Regelungen und Prozesse erreichen zu wollen. Für mich liegt der Fokus hier viel mehr auf der Frage: Wie schafft man es, Best Practices aus solchen funktionierenden Teams auf eine Weise in größere Organisationen zu übertragen, dass sie dort auch funktionieren?

Dies erschwert das Aufbauen von Resilienz, weil Vertrauen und gute Zusammenarbeit remote einfach erst später entstehen. Deshalb starten wir mit dem Homeoffice für die Mitarbeiter:innen auch bewusst erst nach der Onboarding-Phase, die dafür extrem wichtig ist.

Der zunehmende interkulturelle Aspekt schafft Herausforderungen, aber auch Chancen. Interkulturelle Teams aktiv zu fördern, ist eine Aufgabe, für die man sich genug Zeit nehmen muss, und natürlich bedarf es auch Personen, die dabei mitgehen. Das kann aber gerade im Sinn der Resilienz große Vorteile bringen, weil sich daraus vielfältigere Perspektiven ergeben. Wenn nicht alle aus dem gleichen Umfeld kommen, kann das ganz andere Lösungsansätze erschließen. Wir setzen bei der Aufstellung unserer Teams auch bewusst auf eine Kombination aus Alt und Jung und damit aus unterschiedlichen Stärken und Perspektiven und haben damit sehr positive Erfahrungen gemacht.

Bei der täglichen Arbeit machen alle letztlich größtenteils ihr eigenes Ding. In einem Krisenfall gibt es aber ein klares gemeinsames, großes Ziel, nämlich alles am Laufen zu halten, und es gibt genau dafür dann auch entsprechende klare Strukturen und vorgegebene Prozesse – durch die das Ganze dann funktioniert. Das haben wir in den vergangenen Krisen, aber auch mit bei unseren Übungen immer wieder gemerkt, und zwar bei allen Mitarbeiter:innen bis hinauf zum Management.

Das, was die besonders gut vernetzten Teams ausmacht, die durch sozialen Kit zusammengeschweißt werden, ist, dass sie dann besonders gut funktionieren, wenn etwas Unvorhergesehenes passiert, etwas, das man gar nicht feingranular üben konnte.

Der Großteil der heutigen Führungskräfte in Unternehmen ist nicht mit digitalen Systemen und Tools aufgewachsen, aber die Mitarbeiterinnen, sind zunehmend welche, die gar nichts anderes kennen. Für die wird Identität nicht so stark durch das physische Beieinandersein geprägt wie für frühere Generationen, und die erleben virtuelle Kommunikation in sozialer Hinsicht viel positiver als das heutige Management.

Deshalb lässt sich kaum eine allgemeine, generationenübergreifende Definition von Identität treffen. Etwas lässt sich allerdings vermutlich schon generell beobachten, nämlich, dass die jüngeren Generationen sozialen Zusammenhalt und Arbeitsleben viel weniger miteinander verbinden. Deshalb legen sie auch weitaus weniger Wert auf eine emotionale Bindung zu einem Unternehmen, die über ihren Job hinaus ausstrahlt.

Die Anzahl der Freelancer, die projektweise und dabei oft zuhause arbeiten, nimmt stetig zu. Es gibt immer mehr junge Leute, die sagen, sie arbeiten einfach bewusst zwei Jahre an einem Projekt, das ihnen Spaß macht, und suchen sich dann ein neues. Die bringen natürlich weitaus weniger emotionale Bindung zu einem Unternehmen mit und die sind in einem Resilienzmodell auch nicht wirklich integriert.

Gleichzeitig gehört der Wissensaustausch der Mitarbeiter:innen heute zu den großen Herausforderungen – und das nicht nur vor dem Hintergrund des Generationenwechsels. Gerade in Krisen- und Ausnahmesituationen ist es wichtig, möglichst schnell auf gesammeltes Wissen zugreifen zu können und es ebenso schnell verteilen zu können. Auch hier bietet Innovation mit Hilfe von Technologie eine Riesenchance, wenn man bedenkt, welche Dinge beispielsweise mit KI möglich werden, zum Beispiel, um Schwarmwissen anzuzapfen.

Und wie sich hier die Know-how-Übergabe durch die älteren Mitarbeiter, die unsere Geschäftsprozesse und die IT-Systeme in- und auswendig kennen, an die junge Generation gestalten lässt, von der viele nur noch Java Developer sind und nur noch Frontend oder Backend kennen. Man braucht aber beides.

Es müssen gar nicht einmal so viele ältere Mitarbeiter auf einen Schlag in Pension gehen, damit dieses Thema zum kritischen Faktor wird – es reichen schon ein paar, damit eine Menge wertvolles Wissen verloren geht. Und zugleich muss parallel zu diesem kritischen Wissenstransfer neues Wissen aufgebaut werden, unter anderem auch, um neue Regularien umsetzen zu können. In der IT treffen diese vielfältigen Anforderungen letztlich geballt aufeinander.

Bei der Digitalen Transformation ist grundsätzlich die offene Herangehensweise von jemandem nicht so Erfahrenen an neue Prozesse und Geschäftsmodelle sehr bereichernd und häufig auch notwendig. Gerade für digitale Innovationen ist es ja eher hinderlich, wenn da jemand mit 20 Jahren Erfahrung stets sagt: Das haben wir alles schon probiert, das funktioniert so nicht. Innovation ist gerade auch für die Resilienz ein entscheidender Faktor. Alle Systeme die wir entwickeln, um Vorhersehbarkeit zu erzeugen, entstehen grundsätzlich aus Innovation heraus. Innovation ist also nicht nur in der Krise entscheidend, sondern schon davor, damit es gar nicht zur Krise kommt.

Aber gerade, wenn es um Resilienz geht, ist es auch wichtig, schon gemachte Erfahrungen zu berücksichtigen, um sich nicht allzu blauäugig in alle möglichen Ansätze hineinzustürzen und die gleichen Erfahrungen noch einmal zu machen. Gerade, wenn Geschwindigkeit gefordert ist, wäre das alles andere als effizient.

Wie schaffen wir dafür eine gesunde Workforce, die auch in Krisen oder bei schnellen Veränderungen, in der Lage ist, Performance zu zeigen? Welche Skills braucht es dafür, welche Organisationsform, aber auch welches Risikobewusstsein?

Entwicklungen wie Citizen Developer Ansätze oder wie Generative AI spielen hier mit hinein, weil sie auf kultureller und organisatorischer Ebene eine Demokratisierung mit sich bringen – bei der Nutzung von Daten und von Fähigkeiten, die daraus entstehen. Und das ist ein Faktor, der auch für Resilienz eine wichtige Rolle spielt.

Das ist die Voraussetzung, damit sich die IT – neben dem ganz alltäglichen Wahnsinn – damit beschäftigen kann und nicht nur dafür da ist, Vorgaben von außen zu erfüllen, mit denen die Unternehmen konfrontiert sind. Das ist nicht nur für die einzelnen Unternehmen eine strategische Herausforderung, sondern auch aus der globalen Perspektive essenziell, damit Europa aufholen kann und nicht zwischen Cloud Hyperscalern und AI Companies in Ost und West und angesichts von Entwicklungen wie Quantencomputing wirtschaftlich völlig abgehängt wird.

Das ist letztlich auch eine Frage des Zugangs. Gerade beim Thema Resilienz wird das sehr deutlich: Der europäische Zugang fokussiert sich stark auf eine möglichst hundertprozentige Fehlervermeidung und darauf, Resilienz und sämtliche Gefahren möglichst genau zu dokumentieren und zu definieren. In anderen Teilen der Welt interpretiert man Resilienz in erster Linie als Fähigkeit, sich an Krisen und Veränderungen anzupassen und an Dinge anders und neu heranzugehen, wenn sie nicht mehr so wie gewohnt funktionieren.