Warum sind Prozesse wichtig? Weil Sicherheit sonst von Tagesform abhängt

Ein Kunde ruft bei einem Unternehmen an, das Schließanlagen für Gewerbeimmobilien betreut.

„Unser neuer technischer Leiter braucht bis morgen einen Generalschlüssel für das Gebäude.“

Der Anruf landet bei Mitarbeiter Nummer eins. Er kennt den Kunden seit Jahren, erkennt die Stimme und sagt: „Kriegen wir hin.“ Der passende Rohling ist da, ein Kollege hat Zeit, der Auftrag geht in die Werkstatt.

Bei Mitarbeiter Nummer zwei läuft es anders. Er kennt den Anrufer nicht, hat auch viel zu tun und möchte den Auftrag wenigstens per E-Mail haben. Als die Nachricht eintrifft, legt auch er los.

Mitarbeiter Nummer drei schaut zunächst nach, wer für dieses Gebäude überhaupt solche Schlüssel bestellen darf. Er gleicht den Auftrag mit dem hinterlegten Ansprechpartner ab und klärt, wie der fertige Generalschlüssel dokumentiert an einen Berechtigten übergeben wird.

Derselbe Kunde. Derselbe Auftrag. Dasselbe Unternehmen. Drei Mitarbeiter, die alle überzeugt sind, vernünftig zu handeln – und drei verschiedene Sicherheitsniveaus.

Wir müssen die Geschichte nicht so lange weitererzählen, bis etwas schiefgeht. Die interessantere Frage lautet ohnehin: Welches dieser drei Verfahren bietet das Unternehmen eigentlich an?

Wenn die Antwort von Dienstplan oder Tagesform abhängt, bietet es kein einheitliches Verfahren an. Es bietet die persönliche Einschätzung des Mitarbeiters, der gerade ans Telefon geht.

Die kurze Antwort

Warum sind Prozesse wichtig? Weil ein Unternehmen wiederkehrende Arbeit nicht jedes Mal neu erfinden sollte – besonders nicht an Stellen, an denen falsche Entscheidungen teuer, sicherheitskritisch oder schwer rückgängig zu machen sind.

Ein guter Prozess legt nicht jedes Wort und jeden Handgriff fest. Er schafft einen gemeinsamen Mindestablauf:

• Was löst die Arbeit aus?
• Welches Ergebnis soll entstehen?
• Wer ist wofür zuständig?
• Welche Prüfungen dürfen nicht vergessen werden?
• Woran erkennen wir, dass die Arbeit richtig abgeschlossen wurde?

Damit wird aus persönlicher Erfahrung eine verlässliche Arbeitsweise des Unternehmens. Mitarbeiter dürfen weiterhin denken, entscheiden und auf Besonderheiten reagieren. Sie müssen nur nicht mehr bei jedem Auftrag selbst erfinden, was das Unternehmen für sicher und ausreichend hält.

Ein Unternehmen besteht nicht nur aus seinen erfahrensten Mitarbeitern

Erfahrene Mitarbeiter sind Gold wert. Sie erkennen merkwürdige Anfragen, erinnern sich an frühere Sonderfälle und wissen, welche Rückfrage einen kleinen Fehler von einem großen Problem trennt.

Das Problem beginnt, wenn die Arbeitsweise des Unternehmens ausschließlich aus diesem Erfahrungswissen besteht.

Dann funktioniert der Auftrag mit dem Generalschlüssel möglicherweise hervorragend, solange der Kollege beteiligt ist, der den Kunden, das Gebäude und die Vorgeschichte kennt. Im Urlaub übernimmt jemand, der ebenfalls sorgfältig arbeitet, aber andere Dinge für selbstverständlich hält. Ein neuer Mitarbeiter orientiert sich daran, was ihm der Kollege am Nachbartisch erzählt. Und unter Zeitdruck wird aus „Das prüfen wir normalerweise“ schnell „Der Kunde wird schon wissen, was er bestellt“.

Das ist kein Vorwurf an die Mitarbeiter. Das Unternehmen hat ihnen die Entscheidung überlassen, obwohl es selbst hätte entscheiden müssen.

Klare Rollen, Verantwortlichkeiten und Befugnisse beantworten deshalb nicht nur die Frage, wer eine Aufgabe bearbeitet. Sie klären auch, wer Freigaben erteilen darf, wer im Zweifel entscheidet und wer dafür sorgt, dass der gemeinsame Ablauf brauchbar bleibt.

Gewohnheit ist kein beherrschter Prozess

Viele Unternehmen sagen: „Natürlich haben wir einen Prozess. Das machen wir seit 20 Jahren so.“

Das kann stimmen. Ein Ablauf muss nicht in einer Modellierungssoftware wohnen, um ein Prozess zu sein. Wenn die Beteiligten dieselben wesentlichen Schritte kennen, Verantwortlichkeiten klar sind und die wichtigen Prüfpunkte zuverlässig eingehalten werden, kann ein Prozess sehr schlank beschrieben und trotzdem gut beherrscht sein.

Aber die Zahl der Betriebsjahre beweist das nicht.

Auch Improvisation kann sich 20 Jahre lang wiederholen. Besonders dann, wenn erfahrene Mitarbeiter die Lücken unauffällig schließen. Von außen sieht das stabil aus. Tatsächlich stabilisieren einzelne Menschen einen Ablauf, den das Unternehmen selbst nie sauber festgelegt hat.

Ein guter Test ist simpel: Stellen Sie drei Mitarbeitern unabhängig voneinander dieselbe Frage.

„Ein bisher unbekannter Ansprechpartner bestellt einen Generalschlüssel. Was passiert jetzt?“

Wenn die Antworten bei Formulierungen und praktischen Details variieren, ist das normal. Wenn aber der eine sofort produziert, der zweite irgendeine E-Mail akzeptiert und der dritte eine Berechtigung prüft, unterscheiden sich nicht nur ihre Arbeitsstile. Dann unterscheiden sich die grundlegenden Sicherheitsentscheidungen.

Ein Prozess muss nicht jeden Handgriff regeln

Beim Wort Prozess sehen manche Menschen sofort ein 47-seitiges Dokument, zwölf Freigabekästchen und ein Flussdiagramm, das nur bei 180 Prozent Zoom lesbar ist.

Das ist nicht das Ziel.

Beim Schlüsselauftrag muss nicht vorgeschrieben werden, mit welchem Satz ein Mitarbeiter das Telefon abnimmt oder in welcher Reihenfolge er zwei interne Masken öffnet. Entscheidend sind die neuralgischen Punkte:

1. Besteller: Wer darf einen solchen Auftrag erteilen?
2. Prüfung: Wie wird festgestellt, dass die Anfrage wirklich von dieser Person stammt?
3. Umfang: Für welche Türen oder Bereiche soll der Schlüssel gelten?
4. Freigabe: Wer bestätigt eine so weitreichende Berechtigung?
5. Herstellung: Wie wird verhindert, dass der falsche Schlüssel gefertigt wird?
6. Übergabe: An wen und auf welchem Weg darf er ausgegeben werden?
7. Nachweis: Wo wird festgehalten, welcher Schlüssel erstellt und wem er übergeben wurde?

Zwischen diesen Punkten darf vernünftig gearbeitet werden. Der Prozess setzt Leitplanken, keine Eisenbahnschienen.

Auch eine Prozessbeschreibung muss deshalb nicht jede denkbare Ausnahme vorwegnehmen. Sie sollte den Normalfall tragen, wichtige Abzweigungen erklären und festlegen, wohin echte Sonderfälle eskaliert werden. Wer versucht, jede mögliche Situation vollständig auszuschreiben, produziert oft ein Werk, das niemand mehr benutzt.

Unser Beitrag darüber, welche Dokumente ein ISMS wirklich benötigt, räumt mit der Vorstellung auf, ein Managementsystem werde durch möglichst viel Papier automatisch besser.

Sicherheit gehört in den Ablauf und nicht daneben

Sicherheit wird in Unternehmen gern als zusätzliche Prüfung betrachtet: Erst erledigen wir die eigentliche Arbeit, danach schaut jemand mit Sicherheitsbrille darauf.

Beim Generalschlüssel wäre das reichlich spät. Wenn der Schlüssel bereits hergestellt und ausgegeben wurde, hilft die Erkenntnis wenig, dass vorher vielleicht jemand die Bestellberechtigung hätte prüfen sollen.

Sicherheit entsteht an den Stellen, an denen der normale Auftrag ohnehin entschieden und bearbeitet wird:

• bei der Annahme der Anfrage;
• bei der Prüfung von Identität und Berechtigung;
• bei der Festlegung des Leistungsumfangs;
• bei Herstellung und Kontrolle;
• bei Übergabe und Dokumentation.

Das gilt nicht nur für Schließanlagen. In fast jedem Geschäftsprozess fließen Informationen, Entscheidungen oder Berechtigungen. Ein neuer Lieferant schickt geänderte Bankdaten. Ein Kunde bittet um eine neue Lieferadresse. Ein Mitarbeiter soll Zugriff auf vertrauliche Unterlagen erhalten. Eine Maschine soll außerhalb des normalen Wartungsfensters verändert werden.

Die Sicherheitsfrage lautet jeweils nicht nur: „Haben wir eine Richtlinie dazu?“ Sie lautet: „Taucht die notwendige Prüfung dort auf, wo der Vorgang tatsächlich bearbeitet wird?“

Genau darin liegt der praktische Sinn der Prozessorientierung eines Informationssicherheitsmanagementsystems: Sicherheit ist keine Sammlung einzelner Produkte und Verbote. Sie muss in der normalen Zusammenarbeit und im Zusammenhang funktionieren.

Erfahrung soll den Prozess verbessern und nicht ersetzen

Ein Prozess macht erfahrene Mitarbeiter nicht überflüssig. Im Gegenteil: Diese Mitarbeiter wissen meistens am besten, wo der Ablauf knirscht, welche Ausnahme regelmäßig vorkommt und welche Prüfung tatsächlich einen Unterschied macht.

Ihr Wissen sollte deshalb in den gemeinsamen Ablauf einfließen. Vielleicht stellt ein erfahrener Mitarbeiter fest, dass telefonische Bestellungen bei bestimmten Schließanlagen ein unnötiges Risiko darstellen. Vielleicht weiß ein anderer, dass ein vermeintlich eindeutiger Gebäudename in der Kundendatenbank dreimal vorkommt. Ein dritter hat gelernt, dass bei der Übergabe an Empfang oder Poststelle regelmäßig Informationen verlorengehen.

Solche Erkenntnisse sind zu wertvoll, um ausschließlich im Gedächtnis einzelner Personen zu bleiben. Das Control A.5.37 der ISO 27001 behandelt die Dokumentation betrieblicher Abläufe. Der vernünftige Gedanke dahinter reicht aber über eine Normanforderung hinaus: Wichtiges Betriebswissen muss dort verfügbar sein, wo andere es für eine zuverlässige Durchführung brauchen.

Das bedeutet nicht, dass jedes Erfahrungsdetail sofort in eine Verfahrensanweisung gehört. Entscheidend ist, ob das Unternehmen ohne dieses Wissen den Ablauf noch zuverlässig und sicher durchführen kann.

Man kann nur verbessern, was man einigermaßen gleich macht

Nehmen wir an, das Unternehmen möchte die Bearbeitungszeit für Schlüsselaufträge verkürzen. Bei einem Mitarbeiter dauert sie zwei Stunden, beim nächsten zwei Tage, beim dritten hängt sie davon ab, ob er den Ansprechpartner persönlich kennt und wie er gelaunt ist.

Was genau soll nun verbessert werden?

Solange jeder Auftrag nach einer anderen inneren Logik bearbeitet wird, lassen sich Ergebnisse kaum einem gemeinsamen Ablauf zuordnen. Vielleicht war Mitarbeiter eins schnell, weil er eine wichtige Prüfung übersprungen hat. Vielleicht war Mitarbeiter drei langsam, weil die hinterlegten Berechtigungen veraltet sind. Vielleicht hat Mitarbeiter zwei einen sinnvollen Zwischenschritt erfunden, von dem niemand sonst weiß.

Erst ein gemeinsamer Ausgangspunkt macht Unterschiede sichtbar. Dann kann das Unternehmen fragen:

• Welche Prüfung verhindert tatsächlich Fehler?
• Wo entstehen unnötige Wartezeiten?
• Welche Information fehlt regelmäßig?
• Welche Ausnahme tritt so oft auf, dass sie zum Normalfall gehört?
• Welche gute Lösung sollte künftig jeder nutzen?

Ohne einen gemeinsamen Prozess verbessert sich bestenfalls der einzelne Mitarbeiter. Mit einem gemeinsamen Prozess kann sich die Arbeitsweise des Unternehmens verbessern.

Das ist auch der Unterschied zwischen gelegentlichen guten Ideen und fortlaufender Verbesserung. Verbesserung braucht keinen starren Ablauf. Sie braucht aber etwas Gemeinsames, das beobachtet, verändert und anschließend erneut beurteilt werden kann.

Was ISO 27001 damit zu tun hat

Die ISO 27001 hat den gesunden Menschenverstand hinter Prozessen nicht erfunden. Sie verlangt auch nicht, dass jedes Unternehmen für jede Kleinigkeit ein prächtiges Ablaufdiagramm malt.

Abschnitt 8.1 fordert im Kern, dass die für das Informationssicherheitsmanagementsystem notwendigen Prozesse geplant, umgesetzt und gesteuert werden. Dazu gehören geeignete Kriterien und so viel dokumentierte Information, wie benötigt wird, um auf eine planmäßige Durchführung vertrauen zu können.

Für den Generalschlüssel bedeutet das nicht, die Norm neben die Fräsmaschine zu legen. Es bedeutet: Wenn dieser Ablauf für die Sicherheit relevant ist, muss das Unternehmen seine entscheidenden Punkte beherrschen.

Was Abschnitt 8.1 genau verlangt und wie weit die Dokumentation reichen muss, erläutern wir im eigenen Beitrag über das Planen und Steuern von Prozessen nach ISO 27001. Hier reicht die bodenständige Erkenntnis: Sicherheit sollte eine Eigenschaft der Arbeitsweise des Unternehmens sein – keine persönliche Spezialität einzelner Mitarbeiter.

So starten Sie ohne Prozesszirkus

Nehmen Sie einen wiederkehrenden Ablauf, bei dem ein Fehler unangenehm wäre. Nicht gleich das ganze Unternehmen. Einen Ablauf.

Setzen Sie zwei oder drei Mitarbeiter zusammen, die ihn tatsächlich durchführen, und beantworten Sie fünf Fragen:

1. Was löst den Ablauf aus? Eine Anfrage, ein Termin, ein Ereignis oder eine Entscheidung?
2. Was soll am Ende herauskommen? Welches Ergebnis schulden wir dem Kunden oder dem nächsten internen Empfänger?
3. Wer ist wofür zuständig? Wer bearbeitet, wer entscheidet und wer übernimmt bei Abwesenheit?
4. Wo liegen die neuralgischen Punkte? Welche Prüfung darf unabhängig von Zeitdruck und persönlicher Einschätzung nicht fehlen?
5. Woran erkennen wir, dass es funktioniert? Welcher Nachweis oder welches Ergebnis zeigt den sauberen Abschluss?

Schreiben Sie die Antworten so auf, dass ein geeigneter Kollege damit arbeiten kann. Probieren Sie den Ablauf an echten Fällen aus. Wenn er an der Wirklichkeit vorbeigeht, verbessern Sie ihn.

Das ist bereits Prozessarbeit. Ohne Tapetenrolle, Beraterdialekt und feierliche Eröffnung eines Prozessmanagementbüros.

Interesse geweckt?

Sie möchten wichtige Abläufe so festlegen, dass Sicherheit nicht länger von Erfahrung, Tagesform und Dienstplan abhängt? Sprechen Sie mit uns.