Implementierung eines BCM zur Absicherung von Track and Trace

Ein Logistik- und Handelsunternehmen aus dem Konsumgüterbereich mit besonderen EU-Vorgaben rund um Track & Trace hat die 3-core beauftragt, ein Business Continuity Management System (BCMS) aufzubauen. Im Fokus stand ein besonders kritischer Bereich, bei dem ein Ausfall Auswirkungen auf Lieferfähigkeit, Rückverfolgbarkeit und damit auch auf die regulatorische Nachweisführung gehabt hätte. Aus diesem Grund war BCM aus wirtschaftlicher Sicht ein zentrales Thema.

Ausgangslage und Zielsetzung für Track and Trace

Hohe Abhängigkeiten zu internen Prozessketten und externen Partnern treffen im Track-&-Trace-Umfeld auf eindeutige Compliance-Anforderungen. Für unseren Kunden war entscheidend, Kontinuität nicht nur zu dokumentieren, sondern so aufzusetzen, dass Entscheidungen im Störfall schnell getroffen werden können und die Nachweisbarkeit gegenüber internen und externen Stakeholdern sauber bleibt. Besonders im Track and Trace-Kontext ist dabei relevant, dass nicht nur „ein Prozess“ betrachtet wird, sondern die End-to-End-Kette inklusive Schnittstellen, Datenflüsse und Verantwortlichkeiten.

Typische Fragestellungen waren dabei:

Welche Prozesse sind wirklich kritisch und ab wann wird ein Ausfall geschäftsrelevant?
Welche Abhängigkeiten (IT, Personal, Dienstleister, Standorte, Partner-Schnittstellen) sind erfolgskritisch?
Welcher Mindestoutput müssen im Notbetrieb erreicht werden, dass Track & Trace und Lieferfähigkeit weiterhin nachweisbar sind?

Track & Trace schafft Transparenz über Herkunft, Bewegung und Status von Produkten in der Lieferkette. Damit unterstützt es die Einhaltung regulatorischer Anforderungen, die auf EU-Ebene vor allem in der Richtlinie 2014/40/EU und der Verordnung (EU) 2018/574 verankert sind.

Vorgehen und Umsetzung

Die Einführung des BCMS wurde von der Prozessaufnahme über die Analyse bis zu den BC-Strategien und Notfallplanung begleitet. Grundlage war die Zusammenarbeit mit 14 Fachbereichen, um Prozesswissen, Abhängigkeiten und Notbetriebsannahmen direkt aus dem Betrieb heraus zu erheben. Neben der Prozessaufnahme lag ein Schwerpunkt darauf, Track and Trace Anforderungen nicht pauschal als „kritisch“ zu markieren, sondern in Ziele für Notbetrieb und Wiederanlauf zu übersetzen.

1. BCMS-Setup und Einbindung der Fachbereiche

2. Business Impact Analyse (BIA) und Risikoanalyse

3. Business Continuity-Strategien ableiten

4. Tool-gestützte Dokumentation und Schulung

1) BCMS-Setup und Einbindung der Fachbereiche

Zum Start wurden Ziele, Scope und Vorgehenslogik abgestimmt und die Beteiligung der Fachbereiche organisiert. Die Interviews dienten nicht nur der Prozessaufnahme, sondern vor allem der strukturierten Erhebung von Abhängigkeiten, Engpässen und externen Schnittstellen.

Im Interview-Fokus standen u. a.:

Prozessketten und Schnittstellen (inkl. externen Partnern/Dienstleistern)
Ressourcen und Engpässe (Personal, IT, Standorte, Datenflüsse)
Notbetriebsannahmen (was ist im Störfall realistisch leistbar)

2) Business Impact Analyse (BIA) und Risikoanalyse

Im nächsten Schritt wurden Kritikalitäten, tolerierbare Ausfallzeiten und Wiederanlaufanforderungen je Prozess bewertet. Parallel wurden relevante Risiken bewertet, um Prioritäten und Handlungsbedarf konsistent abzuleiten. Für Track and Trace wurde dabei gezielt festgelegt, welche Mindestfunktionalität im Notbetrieb erforderlich ist und ab wann ein Ausfall wirtschaftlich und regulatorisch kritisch wird.

Kurz eingeordnet:

BIA klärt Auswirkungen und Zeitkritikalität (was muss wie schnell wieder laufen).
Risikoanalyse bewertet Bedrohungen und Schwachstellen (was kann realistisch eintreten und wie stark wirkt es).

Aus der BIA wurden u. a. abgeleitet:

Notbetriebsziele und Mindestleistung (damit Track and Trace nachweisbar bleibt)
Wiederanlaufziele (z. B. Zeit-/Datenanforderungen) und Prioritäten im Wiederanlauf
kritische Abhängigkeiten, die Track-&-Trace-Fähigkeit direkt beeinflussen

3) Continuity-Strategien ableiten und abstimmen

Auf Basis der Analyse wurden passende Kontinuitätsstrategien entwickelt – mit Blick auf Notbetrieb, Wiederanlauf und die Umsetzbarkeit im Tagesgeschäft (inklusive externer Partner). Dabei wurde festgelegt, welche Maßnahmen den größten Hebel haben, um Lieferfähigkeit und Track-&-Trace-Nachweisführung auch bei Störungen stabil zu halten.

4) Tool-gestützte Dokumentation und Schulung

Zum Einsatz kam das 3-core BCM-Tool, das die Arbeitsschritte entlang der BSI-Standards 200-4 und 200-3 abbildet von der Prozessaufnahme über BIA und Risikoanalyse bis zur Entwicklung von Continuity-Strategien. Inhalte wurden direkt im Tool erfasst, ausgewertet und mit den Fachbereichen iterativ geschärft. Ergänzend wurden Mitarbeitende gezielt unterstützt und geschult, damit die operative Umsetzung des BCM im Unternehmen verankert ist und die Ergebnisse im BCM-Zyklus fortgeschrieben werden können.

Ergebnis für unseren Kunden

Am Ende stand ein eingeführtes Business Continuity Management System, das kritische Prozesse priorisiert, Abhängigkeiten deutlich macht und Strategien für den Notbetrieb mit Geschäftsfortführung, Wiederanlauf und Wiederherstellung bereitstellt. Für den besonders kritischen Track and Trace Bereich lagen damit Anforderungen, Notbetriebsziele und Wiederanlaufprioritäten vor, als Grundlage, um Lieferfähigkeit und Nachweisbarkeit auch bei Notfällen zu steuern. Durch die Dokumentation und die Zusammenarbeit mit den Fachbereiche entstanden individuelle Voraussetzungen für Steuerung, Nachweisführung und kontinuierliche Weiterentwicklung.

Unsere Leistungen für das BCMS

Einführung eines Business Continuity Management Systems (BCMS)

Wir haben die BCMS-Einführung für unseren Kunden zugeschnitten aufgesetzt, die Methodik festgelegt und den Gesamtprozess von der Erhebung bis zur Strategieentwicklung gesteuert und gelenkt, sodass BCM als System (und nicht als Einzeldokument) und Tool im Unternehmen verfügbar ist.

Einbindung von 14 Fachbereichen durch Interviews

Durch Interviews mit insgesamt 14 Fachbereichen wurden Prozesse, Abhängigkeiten, Ressourcen und Lieferanten aufgenommen. So entstand eine Grundlage, die fachbereichsübergreifend vergleichbar ist und Entscheidungen im Notfall unterstützt, insbesondere dort, wo Track and Trace abgesichert werden muss.

Durchführung einer Business Impact Analyse (BIA) und Risikoanalyse

Wir haben BIA und Risikoanalyse begleitend durchgeführt und die Ergebnisse so aufbereitet, dass Kritikalitäten, Notbetriebsziele, Wiederanlaufanforderungen, Wiederherstellung und die richtigen Prioritäten nachvollziehbar abgeleitet und abgestimmt werden konnten.

Instruktion und Schulung der Mitarbeitenden zur operativen Umsetzung des BCM

Mitarbeitende wurden in Vorgehen, Rollen und operativen Anforderungen geschult, damit die Ergebnisse im Betrieb genutzt, gepflegt und im BCM-Zyklus weiterentwickelt und verbessert werden können.

Erstellung einer vollständigen Dokumentation durch das 3-core BCM-Tool

Alle Arbeitsergebnisse und Analysen wurden im BCM-Tool dokumentiert. Dadurch sind Auswertungen, Reviews und Updates ohne die Verwendung verschiedener Dateien möglich und Anforderungen wie Track & Trace können konsistent und kompakt nachgehalten werden.