Bei der Schadensanalyse ermitteln Sie für die zuvor festgelegten Bewertungsperioden, welche Schäden bei Ausfall eines Geschäftsprozesses drohen. Dies ist vergleichsweise unproblematisch, solange ein Prozess zu beliebigen Zeitpunkten gleich bedeutsam für die betrachtete Einheit ist. Wie behandeln Sie jedoch Prozesse, die nur anlässlich bestimmter Termine oder Ereignisse eine hohe Kritikalität haben, an deren Verfügbarkeit ansonsten aber keine besonders hohen Anforderungen gestellt werden?

Wie bewerten Sie beispielsweise die Anforderung an die Verfügbarkeit

• der nur am Ende eines Monats erforderlichen Aktivitäten zur Lohn- und Gehaltsabrechnung,
• eines Produktionsverfahrens, das nur zu sehr unregelmäßigen Zeitpunkten von einem, allerdings wichtigen, Direktkunden nachgefragt wird, oder
• eines Online-Shops, der 70 Prozent seines Umsatzes in der Vorweihnachtszeit macht?

Grundsätzlich bieten sich drei Möglichkeiten an, besondere Termine und Ereignisse bei der Business Impact Analyse zu berücksichtigen:

• Die Regel: Sie nehmen den "Worst Case" an.
  Sie unterstellen, dass der betrachtete Geschäftsprozess dann ausfällt, wenn er am wichtigsten für die Institution ist. Dies führt in letzter Konsequenz zu einer hohen Absicherung der entsprechenden Prozesse und aufwändigeren Notfallkonzepten. Gleichwohl sollte diese Annahme die Regel sein, es sei denn, der erforderliche Mehraufwand ist wirtschaftlich überhaupt nicht zu rechtfertigen.
• Sie betrachten die Zeitspannen differenziert.
  Sie untersuchen die verschiedenen Kenngrößen (Schadensverläufe, Wiederanlaufparameter, Ressourcenbedarf usw.) jeweils gesondert für die verschiedenen Zeitspannen des Geschäftsprozesses. Bei dieser Variante ist der Analyseaufwand folglich umso größer, je mehr Zeitspannen zu berücksichtigen sind. Daher bietet sich dieses Vorgehen allenfalls bei nur wenigen zu betrachtenden Zeitspannen an.
• Die Ausnahme: Sie gehen vom Normalfall aus.
  Sie unterstellen, dass der Geschäftsprozess in einer Normalsituation ausfällt, also zu einem Zeitpunkt, zu dem er für die Institution weniger wichtig ist. Diese Annahme reduziert den Aufwand bei der Notfallplanung, bedeutet aber auch, dass Sie das Risiko des Ausfalls des Prozesses an einem kritischen Zeitpunkt in Kauf nehmen. Eine solche Entscheidung sollte die Ausnahme und gut begründet sein. Sie sollte außerdem einschließlich ihrer Begründung dokumentiert und von der Leitung schriftlich bestätigt werden.

Dokumentieren Sie kritische Termine und Ereignisse, beispielsweise in kalendarischer Form oder als Liste. Eine solche Zusammenstellung ist auch in späteren Phasen der Notfallvorsorge-Konzeption hilfreich. Bei der Ansetzung von Übungen und Tests sollten Sie beispielsweise Zeitpunkte vermeiden, an denen die Anforderungen an die Verfügbarkeit eines betroffenen Geschäftsprozesses besonders hoch sind.

Überlegen Sie, welche Geschäftsprozesse in Ihrer Institution nur zu bestimmten Terminen oder infolge bestimmter Ereignisse erforderlich sind. Welche Entscheidung würden Sie für diese Prozesse im Hinblick auf die Notfallvorsorge treffen?