Financial Impact in der Business Impact Analysis

Ab welcher finanziellen Schadenshöhe ist eine Geschäftsunterbrechung gering, moderat, erheblich oder schwerwiegend? In vielen Business Impact Analysen steht darauf eine Tabelle mit runden Eurobeträgen, deren Herkunft niemand mehr erklären kann. Dieser Beitrag zeigt ein praxistaugliches Vorgehensmodell: wie Unternehmen den Financial Impact in der BIA aus ihrer wirtschaftlichen Risikotragfähigkeit ableiten, welche Finanzkennzahlen sich dafür eignen und wie die Unterbrechungsdauer in die Bewertung eingeht – mit Formeln, einem durchgerechneten Beispiel und einer interaktiven Grafik.

Er vertieft damit ein Thema, das der Beitrag Vom geopolitischen Risiko zur finanziellen Resilienz als eigenständige Frage offen gelassen hat.

Christian Horres

Experte für Business Continuity Management (BCM), Risikomanagement und organisatorische Resilienz, insbesondere im Umfeld kritischer Infrastrukturen. Sein Schwerpunkt liegt auf Business Impact Analysen (BIA), Risikoanalysen sowie dem Aufbau und der Weiterentwicklung von BCM- und Krisenmanagementstrukturen. Im NOVELEDGE-Netzwerk unterstützt er Organisationen bei der praktischen Umsetzung resilienter Strukturen unter Berücksichtigung internationaler Standards wie ISO 22301, ISO 27001 und ISO 31000 und geltender Regulatorik.

Ausgangsproblem

Warum finanzielle BIA-Schwellen oft willkürlich sind

Finanzielle Impact-Schwellen entstehen in der Praxis häufig auf einem von drei Wegen: Sie werden aus einer Vorlage übernommen, aus einer früheren BIA fortgeschrieben oder in einem Workshop als „vernünftige“ Beträge festgelegt. Typisch sind Grenzen wie 100.000 Euro, 500.000 Euro und eine Million Euro oder pauschale Anteile wie 1 Prozent oder 5 Prozent des Jahresumsatzes.

Daraus entstehen methodische Probleme:

• Fehlender wirtschaftlicher Bezug. Ein fester Betrag sagt nichts darüber aus, was er für das Unternehmen bedeutet. Dieselbe Million kann einen Konzern kaum berühren und eine Tochtergesellschaft in Zahlungsschwierigkeiten bringen.
• Falsche Bezugsgröße. Umsatz beschreibt Geschäftsvolumen, nicht Belastbarkeit. Zwei Unternehmen mit gleichem Umsatz können völlig unterschiedliche Ergebnisse und Liquiditätsreserven haben.
• Keine Verbindung zu Entscheidungen. Wenn eine Stufengrenze keine Konsequenz auslöst – keine Eskalation, keine Prognoseanpassung, keine Investitionsentscheidung –, ist sie für die Steuerung bedeutungslos.
• Veralten. Absolute Beträge wachsen nicht mit dem Unternehmen und werden durch Inflation schleichend entwertet.
• Vermischung von Schadensarten. Ergebnisschaden, Liquiditätsbedarf und Finanzierungsrisiko werden in einer Zahl zusammengefasst, obwohl sie unterschiedliche Fragen beantworten.

Die Folge: Prozesse werden zu hoch oder zu niedrig eingestuft, Wiederherstellungsziele lassen sich nicht begründen, und Investitionen in Resilienz konkurrieren mit Bewertungen, denen niemand traut.

Vier Begriffe

Das methodische Grundgerüst

Die methodische Grundlage dieses Beitrags ist eine Unterscheidung, die in vielen BIA-Systematiken fehlt. Finanzielle Belastbarkeit und finanzielle Toleranz sind nicht dasselbe:

Ein Unternehmen kann wirtschaftlich in der Lage sein, einen Verlust von fünf Millionen Euro zu verkraften. Das bedeutet nicht, dass es bereit ist, einen solchen Verlust bei einem einzelnen Geschäftsprozess hinzunehmen. Die Impact-Skala der BIA übersetzt deshalb nicht die Tragfähigkeit, sondern die Toleranz in Stufen – und die Tragfähigkeit markiert die äußere Grenze, die keine Toleranzfestlegung überschreiten darf.

Normative Grundlagen

Was ISO 22301 und ISO/TS 22317 tatsächlich verlangen

ISO 22301 verlangt in Abschnitt 8.2.2 eine Business Impact Analysis. Die Organisation muss dabei unter anderem die für ihren Kontext relevanten Auswirkungsarten und Bewertungskriterien festlegen, die Auswirkungen einer Unterbrechung im Zeitverlauf bewerten, den Zeitraum bestimmen, nach dem die Auswirkungen nicht mehr akzeptabel wären, und darunter priorisierte Wiederherstellungszeiten festlegen.^[1] Diese Zeiträume werden üblicherweise als Maximum Tolerable Period of Disruption (MTPD) und Recovery Time Objective (RTO) bezeichnet; mehr dazu im Beitrag zu RTO, RPO, RTA und SLA.

Die Norm schreibt weder vor, dass finanzielle Auswirkungen bewertet werden müssen, noch nennt sie Beträge, Prozentsätze oder Kennzahlen. Sie verlangt, dass die Kriterien zum Kontext der Organisation passen. ISO/TS 22317 ist eine Technische Spezifikation mit Leitlinien zur Durchführung der BIA und enthält Empfehlungen, keine zertifizierungsrelevanten Anforderungen. Sie behandelt finanzielle Auswirkungen als eine von mehreren Auswirkungsarten neben etwa rechtlichen, vertraglichen oder reputationsbezogenen Folgen.^[2]

Für die Praxis ergibt sich daraus eine klare Trennung:

In Deutschland kommt ein gesellschaftsrechtlicher Rahmen hinzu. Der Vorstand einer Aktiengesellschaft muss geeignete Maßnahmen treffen, damit den Fortbestand gefährdende Entwicklungen früh erkannt werden.^[4] Seit 2021 verpflichtet § 1 StaRUG die Geschäftsleitung juristischer Personen allgemein, fortlaufend über bestandsgefährdende Entwicklungen zu wachen und bei Bedarf Gegenmaßnahmen zu ergreifen.^[5] Der Prüfungsstandard IDW PS 340 n.F. stellt für das Risikofrüherkennungssystem die Risikotragfähigkeit in den Mittelpunkt: das maximale Schadensausmaß, das ein Unternehmen ohne Gefährdung seines Fortbestands tragen kann.^[6] An diese Größe kann eine BIA anknüpfen.

Finanzkennzahlen

Welche Kennzahl welche Frage beantwortet

Keine einzelne Finanzkennzahl erfüllt alle Anforderungen. Umsatz, Deckungsbeitrag, EBITDA, EBIT, Cashflow und Liquidität beschreiben unterschiedliche wirtschaftliche Sachverhalte. Hilfreich ist deshalb, nicht nach „der richtigen Kennzahl“ zu fragen, sondern nach der Frage, die eine Kennzahl beantworten soll:

Warum der Umsatz als Schwellenbasis täuscht

Ein pauschaler Schwellenwert von 1 Prozent des Umsatzes wirkt objektiv, ist es aber nicht. Zwei fiktive Unternehmen erzielen je 250 Millionen Euro Umsatz. Das erste erreicht eine EBIT-Marge von 2 Prozent, also 5 Millionen Euro, das zweite eine Marge von 15 Prozent, also 37,5 Millionen Euro. Ein Prozent des Umsatzes sind in beiden Fällen 2,5 Millionen Euro. Für das erste Unternehmen entspricht das der Hälfte des Jahresergebnisses, für das zweite knapp 7 Prozent. Dieselbe Schwelle beschreibt also völlig unterschiedliche Belastungen.

Deckungsbeitrag als Schadensgröße

Für die Schadensberechnung eignet sich häufig der entgangene Deckungsbeitrag: Umsatzerlöse abzüglich variabler Kosten, beschränkt auf Leistungen, die nicht nachgeholt werden können. Hinzu kommen Zusatzkosten der Störung und vertragliche Folgekosten. Der Umsatzverlust allein überschätzt den Schaden, weil variable Kosten entfallen, und unterschätzt ihn zugleich, weil Zusatzkosten fehlen.

EBITDA, Cashflow und Liquidität als Prüfkriterien

EBITDA und EBIT beschreiben die Ergebnisbelastung. Sie sind wichtig, wenn Finanzierungsverträge daran anknüpfen, aber sie sind keine Liquiditätskennzahlen. Ob ein Unternehmen seinen Zahlungsverpflichtungen nachkommen kann, zeigen Cashflow und verfügbare Liquidität. Diese Unterscheidung ist auch für die Finanzberichterstattung relevant: Die ESMA erwartet für die Abschlüsse 2026 unternehmensspezifische Angaben zu Liquiditätsrisiken und Covenants.^[7] In der BIA sollten diese Größen deshalb nicht in der Impact-Skala aufgehen, sondern als eigene Eskalationskriterien geprüft werden.

Eigenkapital

Das bilanzielle Eigenkapital zeigt die Verlustabsorptionsfähigkeit über längere Zeit, ist aber eine Bestandsgröße und keine verfügbare Liquidität. Als alleinige Bezugsgröße für die Bewertung einzelner Unterbrechungen ist es zu grob.

Risikotragfähigkeit

Was ein Unternehmen wirtschaftlich verkraften kann

Die finanzielle Risikotragfähigkeit beschreibt, welchen Schaden ein Unternehmen innerhalb eines Betrachtungszeitraums tragen kann, ohne definierte Mindestanforderungen zu verletzen. Sie lässt sich aus drei Puffern ableiten:

• Ergebnispuffer: Abstand zwischen geplantem Ergebnis und dem Mindestergebnis, das nicht unterschritten werden soll, etwa wegen Ausschüttungen, Rating oder Gesellschaftervorgaben.
• Finanzierungspuffer: Rückgang des EBITDA, den die vertraglichen Finanzkennzahlen gerade noch zulassen.
• Liquiditätspuffer: verfügbare Zahlungsmittel und zugesagte, frei verfügbare Kreditlinien abzüglich der Mindestliquidität.

Weil jeder dieser Puffer für sich eine harte Grenze darstellt, bestimmt der kleinste von ihnen die Tragfähigkeit:

RTF = min(P_Ergebnis; P_Finanzierung; P_Liquidität)

Die Formel setzt voraus, dass ein Unterbrechungsschaden in voller Höhe zahlungs- und ergebniswirksam ist. Wirkt ein Schaden anders, etwa weil ein Teil in Lagerbeständen gebunden ist, wird jede Perspektive mit ihrem eigenen Betrag geprüft.

Beispiel: die fiktive Beispiel-Industrie GmbH

Die Risikotragfähigkeit beträgt damit 8 Millionen Euro. Bindend ist der Ergebnispuffer. Die anderen Puffer bleiben trotzdem wichtig: Sie werden später als Eskalationskriterien gebraucht.

Die Risikotragfähigkeit ist eine Größe für alle Risiken eines Jahres, nicht für ein einzelnes Ereignis. Wie sich Einzelrisiken zu einer Gesamtrisikoposition verdichten, beschreibt der Beitrag zur Risikoaggregation.

Risk Appetite und Risk Tolerance

Was ein Unternehmen zu akzeptieren bereit ist

ISO Guide 73 beschreibt den Risikoappetit sinngemäß als Umfang und Art von Risiken, die eine Organisation einzugehen oder beizubehalten bereit ist, und die Risikotoleranz als Bereitschaft, ein Risiko nach seiner Behandlung zu tragen, um die eigenen Ziele zu erreichen.^[3] Für die BIA heißt das:

• Risikotragfähigkeit ist eine Eigenschaft des Unternehmens. Sie ergibt sich aus Zahlen und lässt sich berechnen.
• Risikoappetit ist eine strategische Haltung: Welche Risiken nimmt das Unternehmen bewusst in Kauf, um Chancen zu nutzen?
• Risikotoleranz ist die operative Übersetzung: Welche Belastung durch ein einzelnes Ereignis wird hingenommen, ohne dass zusätzliche Maßnahmen ergriffen werden müssen?

Die Toleranz je Ereignis muss deutlich unter der Tragfähigkeit liegen. Ein Unterbrechungsszenario ist selten das einzige Risiko eines Jahres; Lieferkettenstörungen, Cybervorfälle und Marktveränderungen können zusammentreffen. Eine einfache Festlegung ist ein Toleranzanteil τ:

R = τ × RTF

Für die Beispiel-Industrie GmbH legt die Geschäftsführung fest, dass ein einzelnes Unterbrechungsszenario höchstens die Hälfte der Risikotragfähigkeit beanspruchen darf. Mit τ = 50 Prozent ergibt sich die Referenzgröße der Impact-Skala:

R = 0,5 × 8,0 Mio. € = 4,0 Mio. €

Der Toleranzanteil ist eine Managemententscheidung. Er wird nicht berechnet, sondern begründet, etwa mit der Zahl der wesentlichen Risikoszenarien, ihrer Abhängigkeit voneinander und der gewünschten Sicherheitsreserve.

Ableitung der Schwellenwerte

Von der Referenzgröße zu Eurobeträgen

Aus der Referenzgröße werden die Grenzen der Impact-Stufen abgeleitet. Rechnerisch ist das einfach:

S_k = p_k × R

Die eigentliche Arbeit liegt in den Prozentsätzen p_k. Sie sollten nicht aus einer Vorlage stammen, sondern an Entscheidungen gekoppelt sein, die bei Erreichen einer Stufe ausgelöst werden. Für die Beispiel-Industrie GmbH ergeben sich drei solche Anker:

So entsteht die vierstufige Skala:

Alle Prozentsätze sind illustrative Modellannahmen für ein fiktives Unternehmen. Sie sind keine normativen Vorgaben und nicht ohne Weiteres auf andere Unternehmen übertragbar.

Ist diese Skala sinnvoll?

Die Abstände der Skala sind ungleich: Von 600.000 Euro auf 1,8 Millionen Euro verdreifacht sich die Grenze, von 1,8 auf 3,0 Millionen Euro steigt sie nur um zwei Drittel. Das ist kein Fehler, solange jede Grenze an eine Entscheidung gebunden ist. Es lohnt sich aber, Alternativen bewusst zu prüfen:

• Gleichabständige Skala (zum Beispiel 25, 50 und 75 Prozent): leicht zu erklären, unterscheidet aber im unteren Bereich kaum. Viele Prozesse landen dann gemeinsam in Stufe 1.
• Geometrische Skala (zum Beispiel jeweils Faktor 3: rund 11, 33 und 100 Prozent): bildet ab, dass Schäden über Größenordnungen streuen, und differenziert kleine wie große Schäden gleichmäßig.
• Fünfstufige Skala: Eine zusätzliche Stufe „existenzgefährdend“ oberhalb der Risikotragfähigkeit – im Beispiel ab 8 Millionen Euro, also 200 Prozent der Referenzgröße – macht sichtbar, wenn ein Szenario die Grenze des Unternehmens überschreitet.

Eine Empfehlung lässt sich daraus ableiten: Die oberste Grenze sollte sich an der Toleranz orientieren, die Zwischenstufen an Eskalations- und Entscheidungsschwellen. Wo Szenarien die Tragfähigkeit erreichen können, gehört eine eigene Stufe dafür in die Skala.

Eskalationskriterien für Liquidität und Finanzierung

Die Impact-Skala bewertet den wirtschaftlichen Schaden. Liquiditäts- und Finanzierungsrisiken werden zusätzlich geprüft und können die Einstufung übersteuern. Für die Beispiel-Industrie GmbH gilt:

• Übersteigt der zahlungswirksame Mittelabfluss eines Szenarios innerhalb von 30 Tagen den Liquiditätspuffer von 14 Millionen Euro, wird das Szenario unabhängig vom Schaden als schwerwiegend eingestuft.
• Gefährdet der EBITDA-Rückgang den Covenant, also ein Rückgang um mehr als 10 Millionen Euro, gilt dasselbe.
• Ebenso, wenn die Zahlungsfähigkeit einer einzelnen Gesellschaft gefährdet ist oder eine notwendige Refinanzierung nicht mehr möglich wäre.

Damit bleibt die Skala einheitlich, und kritische Liquiditäts- oder Finanzierungsereignisse werden trotzdem gesondert erfasst.

Zeitabhängiger Financial Impact

Wie Schadenskurven entstehen

Ein finanzieller Schaden ist keine feste Zahl, sondern eine Funktion der Unterbrechungsdauer. Für einen Prozess lässt sich der kumulierte Schaden zum Zeitpunkt t vereinfacht so beschreiben:

D(t) = DB_entgangen(t) + K_zusätzlich(t) + V(t)

Dabei ist DB_entgangen(t) der entgangene Deckungsbeitrag nicht nachholbarer Leistungen, K_zusätzlich(t) die Summe der Zusatzkosten (Störungsbeseitigung, Überstunden, Expressbeschaffung) und V(t) die Summe vertraglicher Folgekosten wie Vertragsstrafen. Vermiedene Kosten und Nachholeffekte sind bereits abgezogen. Die Bestandteile wachsen unterschiedlich: Zusatzkosten fallen sofort an, der Deckungsbeitrag geht erst verloren, wenn Lagerbestände aufgebraucht sind, Vertragsstrafen setzen an vertraglichen Fristen ein.

Für einen Produktionsausfall der Beispiel-Industrie GmbH ergibt sich folgende fiktive Zerlegung:

Gegen die Skala gelesen ist der Ausfall nach 24 Stunden mit 800.000 Euro moderat (20 Prozent der Referenzgröße), nach 72 Stunden mit 2,7 Millionen Euro erheblich (67,5 Prozent) und nach sieben Tagen mit 4,5 Millionen Euro schwerwiegend – er überschreitet dann sogar die Toleranz von 4 Millionen Euro, bleibt aber unter der Tragfähigkeit von 8 Millionen Euro.

Die Grafik macht diese Zusammenhänge veränderbar. Passen Sie Risikotragfähigkeit, Toleranz je Ereignis und Stufengrenzen an, und wählen Sie RTO und MTPD: Die Schadenskurve bleibt gleich, die Einstufung ändert sich.

Was die Kurve für MTPD und RTO bedeutet

Zwischen den Betrachtungszeitpunkten verbunden, überschreitet die Kurve die Grenze zu „schwerwiegend“ nach rund 88 Stunden und die Toleranzgrenze nach knapp sechs Tagen. Aus finanzieller Sicht wäre eine MTPD von 72 Stunden damit begründbar: Bis dahin bleibt der Schaden erheblich, danach wird er schwerwiegend. Eine RTO von 48 Stunden liegt mit 1,6 Millionen Euro noch im moderaten Bereich und lässt Spielraum für den Wiederanlauf.

Die MTPD darf jedoch nicht allein aus der finanziellen Kurve abgeleitet werden. Regulatorische, vertragliche, sicherheits- oder reputationsbezogene Auswirkungen können eine Unterbrechung früher unvertretbar machen. Die finanzielle Kurve liefert die wirtschaftliche Begründung, die übrigen Auswirkungsarten können die Zeitgrenze verkürzen.

Konzern und Tochtergesellschaft

Auf welcher Ebene Schwellen gelten

Finanzielle Schwellen können auf Konzern-, Gesellschafts-, Standort- oder Prozessebene festgelegt werden. Jede Ebene hat Vor- und Nachteile:

Ein Beispiel zeigt das Problem: Eine Tochtergesellschaft der Beispiel-Industrie GmbH hat eine eigene Risikotragfähigkeit von 1,5 Millionen Euro, mit demselben Toleranzanteil also eine Referenzgröße von 750.000 Euro. Ein Ausfall mit 800.000 Euro Schaden nach 24 Stunden ist auf Konzernebene moderat, für die Tochter liegt er bereits über ihrer Toleranz.

Bewährt hat sich ein zweistufiges Vorgehen:

• Einheitliche Methodik: Schadensberechnung, Formeln und Prozentsätze gelten konzernweit.
• Referenzgrößen je Gesellschaft: Jede rechtliche Einheit mit eigener Liquidität und Finanzierung erhält eine eigene Risikotragfähigkeit und Toleranz.
• Doppelte Bewertung, höhere Stufe gilt: Ein Prozess wird gegen die Skala seiner Gesellschaft und gegen die Konzernskala bewertet; maßgeblich ist die höhere Einstufung.

Prozesse und Standorte erhalten keine eigenen Schwellen. Ihre Schäden werden gegen die Skala der Gesellschaft gemessen, zu der sie gehören.

Operational Risk Management

Schadenshöhe und Wahrscheinlichkeit verbinden

Die BIA beantwortet, wie hoch der Schaden bei einer bestimmten Unterbrechungsdauer ist. Das Operational Risk Management ergänzt, wie wahrscheinlich ein Szenario ist und wie lange die Unterbrechung voraussichtlich dauert. Verbunden werden beide über den erwarteten Verlust:

EL = p × Σ_i (q_i × D(t_i))

Dabei ist p die Eintrittswahrscheinlichkeit des Szenarios pro Jahr, q_i die Wahrscheinlichkeit, dass die Unterbrechung im Ereignisfall die Dauer t_i erreicht, und D(t_i) der Schaden aus der BIA-Kurve. Für das Szenario „Ausfall eines kritischen Ersatzteils“ der Beispiel-Industrie GmbH gelten folgende fiktive Annahmen:

Bei einer Eintrittswahrscheinlichkeit von 5 Prozent pro Jahr ergibt sich ein erwarteter Verlust von 0,05 × 2,02 Millionen Euro = 101.000 Euro pro Jahr. Für die Steuerung reicht dieser Wert nicht aus: Tritt das Ereignis ein, kann der Schaden 4,5 Millionen Euro erreichen und damit die Toleranz überschreiten. Deshalb werden erwarteter Verlust und Extremschaden immer gemeinsam betrachtet.

Im Risikomodell von NOVELEDGE fließt die Impact-Stufe der BIA als Auswirkung in die Bewertung der Ressourcen ein; daraus werden Prozess- und Unternehmensrisiko aggregiert. Der Risikorechner zeigt diese Berechnung interaktiv. Wichtig ist dabei, dass die Impact-Skala der BIA und die Auswirkungsskala des Risikomanagements dieselben Grenzen verwenden. Sonst bewerten beide Disziplinen denselben Schaden unterschiedlich.

Vorgehensmodell

Die vollständige Skala in sechs Schritten

Zusammengefasst ergibt sich ein Vorgehensmodell in sechs Schritten, das Unternehmen für die Entwicklung oder Überprüfung ihrer finanziellen BIA-Bewertung nutzen können:

Wer die Skala dokumentiert, sollte zu jedem Schritt festhalten, welche Daten verwendet wurden, wer entschieden hat und welche Annahmen gelten. Erst diese Dokumentation macht die Schwellen prüfbar.

Governance

Wer welche Verantwortung trägt

Entscheidend ist die Trennung zwischen Berechnung und Festlegung: Controlling, Treasury und Risikomanagement liefern Zahlen, die Unternehmensleitung entscheidet über Toleranz und Skala. Das BCM sorgt dafür, dass die Skala in jeder BIA gleich angewendet wird.

Validierung und Aktualisierung

Wann Schwellen überprüft werden müssen

Werden Schwellen als Anteil einer Referenzgröße definiert, passen sie sich bei jeder Neuberechnung der Referenzgröße an. Trotzdem sollten sie in festen Abständen und bei bestimmten Anlässen überprüft werden:

• Jährlich mit der Unternehmensplanung: Neue Plan-Ergebnisse und Liquiditätsplanung verändern die Puffer.
• Bei Inflation: Absolute Beträge verlieren an Bedeutung; anteilige Schwellen müssen gegen aktuelle Kosten- und Preisniveaus geprüft werden.
• Bei Wachstum, Akquisitionen oder Verkäufen: Neue Gesellschaften brauchen eigene Referenzgrößen.
• Bei geänderter Finanzierung: Neue Kreditverträge und Covenants verschieben den Finanzierungspuffer.
• Nach Vorfällen: Der tatsächliche Schaden wird mit der BIA-Kurve verglichen. Große Abweichungen zeigen, wo Annahmen falsch waren.
• Bei geändertem Risikoappetit: Eine neue Strategie oder neue Gesellschaftervorgaben können den Toleranzanteil verändern.

Fazit

Finanzielle Kritikalität nachvollziehbar machen

Finanzielle Schwellenwerte in der BIA werden belastbar, wenn sie nicht als runde Beträge gesetzt, sondern aus der Situation des Unternehmens abgeleitet werden. Die Grundlage ist die Unterscheidung von vier Begriffen: Risikotragfähigkeit beschreibt, was das Unternehmen verkraften kann, Risikotoleranz, was es hinnehmen will, der BIA-Impact, welcher Schaden entsteht, und die Kritikalität, wie dieser Schaden einzuordnen ist.

Daraus folgt ein nachvollziehbarer Weg: Puffer ermitteln, Tragfähigkeit bestimmen, Toleranz festlegen, Stufengrenzen an Entscheidungen koppeln, Liquidität und Finanzierung als Eskalationskriterien ergänzen und Schadenskurven über die Zeit bewerten. Eine so begründete Skala lässt sich prüfen, aktualisieren und im Konzern einheitlich anwenden – und sie liefert die wirtschaftliche Begründung für Wiederherstellungsziele und Resilienzmaßnahmen.

Häufige Fragen

Kurze Antworten für die Praxis

Weiterführend

Vertiefung zu BIA und finanzieller Resilienz

• Vom geopolitischen Risiko zur finanziellen Resilienz
• Business Impact Analyse: Grundlagen und Vorgehen
• Risikoaggregation: vom Ressourcenrisiko zum Unternehmensrisiko
• NOVELEDGE Risikorechner
• RTO, RPO, RTA und SLA im Business Continuity Management
• BIA-Vorlage 2.0 – Excel-Template für die Business Impact Analyse
• Schulungen zur Business Impact Analyse

Quellen

Die Angaben in diesem Beitrag stützen sich auf die folgenden Quellen. Aus kostenpflichtigen Normen und Standards wird nicht wörtlich zitiert; ihre Inhalte sind sinngemäß wiedergegeben. Alle Unternehmensdaten und Zahlenbeispiele sind fiktiv.

1. ISO 22301:2019 – Security and resilience – Business continuity management systems – Requirements, Abschnitt 8.2.2 (Business Impact Analysis). Kostenpflichtig über den Normenhandel. iso.org ↑
2. ISO/TS 22317:2021 – Security and resilience – Business continuity management systems – Guidelines for business impact analysis. Kostenpflichtig über den Normenhandel. iso.org ↑
3. ISO Guide 73:2009 – Risk management – Vocabulary, Begriffe Risikoappetit und Risikotoleranz. Kostenpflichtig über den Normenhandel. iso.org ↑
4. § 91 Abs. 2 Aktiengesetz (AktG), Früherkennung den Fortbestand gefährdender Entwicklungen. gesetze-im-internet.de ↑
5. § 1 Unternehmensstabilisierungs- und -restrukturierungsgesetz (StaRUG), Krisenfrüherkennung und Krisenmanagement. gesetze-im-internet.de ↑
6. Institut der Wirtschaftsprüfer (IDW): IDW PS 340 n.F. – Prüfung des Risikofrüherkennungssystems, verabschiedet am 27.05.2020, anzuwenden für Geschäftsjahre ab dem 01.01.2021. Kostenpflichtig; Zusammenfassung bei Forvis Mazars ↑
7. European Securities and Markets Authority (ESMA): European common enforcement priorities for 2026 corporate reporting, Public Statement vom 13.10.2026, ESMA32-2064178921-9738. esma.europa.eu ↑