Anzeige
Anzeige
Anzeige
Beitrag drucken

Komplexe Systeme kontrollieren

Risikomanagement in der Produktion

Trotz allem technologischen Fortschritt lassen sich Risikismen wie Maschinenstillstände und Produktionsausfälle nicht vollständig vermeiden. Bedingt durch unter Kosten- und Effizienzdruck optimierte Produktionsabläufe, bei denen ‚Just-in-time‘ oder ‚Just-in-sequence‘ geliefert wird, fallen die Folgen von Fehlfunktionen, Unfällen oder anderen Unwägbarkeiten für produzierende Unternehmen sogar zunehmend gravierender aus. Grund genug für Betriebe, potenzielle Risikofelder unter die Lupe zu nehmen, um im Notfall besser gerüstet zu sein. Denn mangelnde Sicherheitsvorkehrungen können die Existenz eines Betriebs gefährden.

Bild: Fotolia – th-photo

Die Zeiten haben sich geändert. Geschäftsführer und Vorstände müssen sich aufgrund komplexer Liefernetzwerke und damit zunehmender Abhängigkeit von äußeren Einflüssen nicht mehr ’nur‘ um den Schutz der eigenen Mitarbeiter und unternehmensinternen Anlagen kümmern. Auch die vertraglichen Verpflichtungen gegenüber Kunden und Lieferanten haben in den letzten Jahren stark zugenommen. Und nicht zu vergessen gilt es die zahlreichen gesetzlichen Verpflichtungen im Bereich IT-Sicherheit entlang der gesamten Wertschöpfungskette – angefangen bei Forschung und Entwicklung (F&E) bis hin zur Auslieferung der fertigen Produkte – die Betriebe ebenfalls erfüllen müssen.

Insgesamt kein leichtes Unterfangen für die Verantwortlichen. Denn das Risiko von negativen Auswirkungen auf den Geschäftserfolg hat sich potenziert: Neben unwägbaren wirtschaftlichen Schwankungen erwächst auch aus dem Bereich der Informationstechnologie zunehmend ein hohes Risikopotenzial. Gleichwohl ist die Bedeutung der IT für die Weiterführung der Geschäftstätigkeit nicht der einzige Grund dafür, ein gehöriges Maß an Aufmerksamkeit auf die Absicherung der eigenen IT-Systeme zu richten. Auch der Gesetzgeber fordert dies mit Nachdruck ein: Zum Beispiel im Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (Kontrag), im Bundesdatenschutzgesetz (BDSG) oder auch im Aktiengesetz (AktG) sind Normen aufgeführt, die unter anderem den ordnungsgemäßen Umgang mit Unternehmensdaten festlegen. Besonders bei Branchen, in denen Hersteller unternehmensübergreifend mit vielen Zulieferern und Kunden zusammenarbeiten und ein ständiger Austausch sensibler Daten stattfindet, wird von Unternehmen gefordert, dass sie sich mit Themen rund um IT-Sicherheit und Verfügbarkeit genauestens auseinandersetzen. Bei Nichtbeachtung drohen im schlimmsten Fall zivilrechtliche Haftung gegenüber dem eigenen Unternehmen und Dritten genauso wie strafrechtliche Verantwortlichkeit.

Abhängigkeit von der Infrastruktur birgt Risiken

Auch die Anforderungen in der Produktion sind zunehmend gestiegen: Bedingt durch Fertigung basierend auf Just-in-time- (JIT) und Just-in-sequence-Szenarien (JIS) stehen Betriebe vor drastisch verkürzten Produktentwicklungsprozessen oder dem Anspruch, Änderungen bis zum letzten Moment in die laufende Produktion überführen zu müssen. Dies alles wäre ohne IT-Unterstützung nicht realisierbar, folglich sind IT-Systeme als integraler Bestandteil der Wertschöpfungskette nicht mehr wegzudenken. Darüber hinaus ist die Infrastruktur im Unternehmen auch Träger sämtlicher Prozesse, Anwendungen und Daten. Genau hier liegt der Knackpunkt: Eine unvorhersehbare Krise kann die Existenz des Unternehmens gefährden. Denn aufgrund der hohen Abhängigkeit von der Infrastruktur bedeuten IT-Störungen oftmals eine umgehende Unterbrechung von Geschäfts- und Fertigungsprozessen.

Vom Druckerstillstand zum Lieferengpass

Die Ursachen für eine Krise sind mitunter recht trivial. Wenn etwa aufgrund einer defekten Druckerstation keine Fracht- und Lieferpapiere ausgefüllt werden können, behindert dies eventuell eine rechtzeitige Auslieferung von dringend angeforderten Ersatzteilen. Aber die Sachlage kann auch sichtbar gravierend sein, insbesondere in der Fertigung, weil die industriellen Produktionsanlagen immer anfälliger für Angriffe von außen werden. Denn hier sind heute vermehrt statt herstellerspezifischer Kommunikationsprotokolle zusammenhängende Ethernet-Lösungen oder Betriebssysteme wie Windows oder Linux im Einsatz. Die Nutzung von Informationstechnologien ermöglichen dabei eine so genannte vertikale Integration, also die Zusammenführung von technischen Prozessen und Geschäftsprozessen. Eine Kehrseite der Medaille: Durch das Zusammenwachsen der bis dato isolierten Produktions- und Bürobereiche entstehen neue Schwachstellen im System. Denn über diese Vernetzung können auch in Produktionsanlagen schwerwiegende Konsequenzen, etwa Maschinenschäden oder Produktionsausfälle, durch Schadsoftware wie Viren oder Würmer hervorgerufen werden. Das zeigte im letzten Jahr das Schadprogramm Stuxnet.

Einführung und Umsetzung von Risikomanagement

Empfohlene Vorgehensweisen und zentrale Werkzeuge

  • Business Impact Analyse (BIA): Hierdurch wird unter anderem ermittelt, welche konkreten finanziellen Auswirkungen der Ausfall bestimmter Geschäfts- und Fertigungsprozesse bedeutet.
  • Information Security Management System (ISMS): Ein Managementsystem für Informationssicherheit klassifizert Daten, etwa nach Relevanz für den Unternehmenserfolg oder gesetzlichen Auflagen – beispielsweise für den Datenschutz.
  • Bestandsaufnahme der IT: Aufnahme zentraler IT-Komponenten und Prozesse sowie deren verständliche Darstellung in einem geschäftsbezogenen logischen Modell.
  • Bestandsaufnahme von Risiken (Risk-Assessment): Als Grundlage dient der Abgleich der Prozesse mit zugehörigen IT-Anwendungen, sowie die entsprechende Bewertung der Risiken (Scoring und Priorisierung).
  • Bestandsaufnahme des Sicherheits-Status (Security-Assessment): Im Rahmen dieser Überprüfung wird zum Beispiel durch Penetrationstests und andere Angriffsverfahren ermittelt, wie schnell sich ein Unbefugter Zugriff zum Unternehmensnetzwerk verschaffen kann.

Gezieltes Risikomanagment als Gegenmittel

Für den richtigen Umgang mit solchen Vorfällen und ihren potenziellen Auswirkungen muss ein Prozess im Unternehmen etabliert werden, um alle internen und externen Risiken systematisch zu identifizieren und erfassen sowie im Weiteren einzeln zu definieren und zu beschreiben. Der nächste Schritt auf dem Weg zur optimalen Einführung von IT-Risikomanagements besteht aus der Bewertung aller Risiken um die kritischen Punkte herauszukristallisieren, die etwa die Existenz des Unternehmens bedrohen könnten. Hierzu muss unter anderem untersucht werden, welche Abläufe essenziell für die Gewinnerzielung des Unternehmens sind, welche Services diese Prozesse unterstützen und welche Verfügbarkeitsanforderungen an die IT bestehen. Dabei gilt es auch Ausfallfolgen wie Konventionalstrafen oder schlechte Reputation zu bedenken. Für die wirtschaftliche Betrachtung von Risiken müssen wiederum Eintrittswahrscheinlichkeit und die zu erwartende Schadenshöhe in Relation gesetzt werden. Eine sorgfältige Abschätzung der Risiken ist auch wichtig, da bei einer vernünftigen Kosten-/Nutzenbetrachtung nicht die gesamte IT gleichmäßig abgesichert werden kann. Daher muss die Geschäftsführung entscheiden, welche Risiken sie noch zu tragen bereit ist.

Insgesamt unterstützt ein so aufgebauter Risikomanagement-Prozess neben dem bewussten Umgang mit organisatorischen Risiken durch den Einsatz von IT letztlich auch eine optimale Absicherung der Infrastruktur, orientiert an Unternehmenszielen und Geschäftsfunktionen. Dazu ist es unumgänglich, alle zur Absicherung nötigen technischen, organisatorischen und rechtlichen Schritte zusammenzufassen. Daraufhin können konkrete Maßnahmen für Business Continuity und Business Secirity angeleitet werden. Darunter fällt das Einrichten eines Backup-Servers, der im Bedarfsfall sofort in Betrieb genommen werden kann, genauso wie Verschlüsselungsmaßnahmen, um das Unternehmen gegen Spionage abzusichern. Der hohe Schutzbedarf produzierender Unternehmen fordert eine intelligente und umfassende Strategie – überhastete, punktuelle Aktionen sind nur selten zielführend.

Durchgehende Sicherheit benötigt einen Regelkreis

Risikomanagement ist Chefsache – für Einführung und Kontrolle bedarf es der Festlegung klarer Zuständigkeiten. Des Weiteren muss ein systematischer Regelkreislauf etabliert werden. Denn für eine effiziente Sicherheitsstrategie gilt es, unternehmensspezifische Gegebenheiten regelmäßig zu überprüfen – und damit unter anderem auch, ob Schutzziele und Bedrohungsszenarien noch bestehen oder ob sich neue Sachverhalte ergeben haben. Insgesamt entsteht durch diesen Prozess eine Transparenz, die nicht nur zur Reduzierung von Kosten führt, sondern auch das zeitnahe Schließen von Sicherheitslücken ermöglicht. So trägt Risikomanagement dazu bei, betriebliche und IT-bedingte Ausfälle möglichst im Vorfeld zu verhindern und notfalls auf mögliche Folgen eines Ausfalls angemessen reagieren zu können.


Das könnte Sie auch interessieren:

Viele ERP-Lösungen wurden einst von Spezialisten entwickelt und danach nur noch angepasst, erweitert und mit Updates versorgt. Doch steigende Digitalisierungsanforderungen, schnellere Produkteinführungen sowie der Fachkräftemangel schrauben die Anforderungen in die Höhe. Könnte Low-Code-Softwareentwicklung die Lösung sein?‣ weiterlesen

Mit einem Anstieg von 1,6 Punkte im Januar liegt das IAB-Arbeitsmarktbarometer bei 102,9 Punkten und damit über der neutralen Marke von 100. Für die Arbeitsmarktforscher deutet dies auf positive Entwicklungen auf dem Arbeitsmarkt hin.‣ weiterlesen

Mit ProKI, einem Demonstrations- und Transfernetzwerk für künstliche Intelligenz (KI) in der Produktion, soll die Anwendung von KI bei kleinen und mittleren Unternehmen (KMU) weiter vorangetrieben werden.‣ weiterlesen

Wolfgang Boos hat zum Jahreswechsel die Geschäftsführung des FIR an der RWTH Aachen übernommen. Er tritt die Nachfolge von Volker Stich an.‣ weiterlesen

Mit den Produkten der Marke Smartblick will F&M Werkzeug und Maschinenbau gerade kleineren Unternehmen ermöglichen, Fertigungsprozesse anhand von Maschinendaten zu analysieren und zu optimieren. Jetzt hat die Firma ein Modul vorgestellt, das mit künstlicher Intelligenz 'on Edge' prädiktive Qualitätsanalysen erstellt, also Predictive Quality ermöglicht.‣ weiterlesen

Die GSG Genii Software Gruppe hat die Übernahme der Camos Software und Beratung GmbH bekanntgegeben, einem Software-Spezialisten im Bereich Configure Price Quote (CPQ).‣ weiterlesen

Lichttechnische Messungen gehören bei der Produktion von Displays zum Standard. Während der Entwicklung müssen jedoch auch sehr unterschiedliche Messungen, meist detaillierter als in der Serienfertigung, durchgeführt werden. Das Zusammenspiel von Displayansteuerung, Messequipment und Auswertung der Messwerte ist dabei oft zeitaufwendig und fehlerbehaftet. Eine voll- oder teilautomatisierte Messung kann die Arbeit vereinfachen.‣ weiterlesen

Mit einem Mix aus Liefer- und Projektgeschäft wappnet sich die Firma Unterfurtner aus Österreich gegen Marktschwankungen. Dabei verursachten die unterschiedlichen Prozesse der Geschäftsbereiche früher viel Aufwand, den das alte ERP-System kaum abfederte. Der Rollout von AMS.ERP änderte das, denn die Software ist auf solche Anforderungen zugeschnitten.‣ weiterlesen

ERP-Integrationen sind herausfordernde Projekte. Oft vergrößern überbordende Funktionswünsche das Risiko des Scheiterns. Eine Alternative ist die Ausarbeitung einer langfristigen ERP-Strategie samt Roadmap.‣ weiterlesen

Julia C. Arlinghaus, Nicole Dreyer-Langlet, Katharina Hölzle, Daniel Hug, Dieter Meuser und Björn Sautter verstärken den Forschungsbeirat Industrie 4.0. Das von Acatech koordinierte Gremium berät strategisch und unabhängig, insbesondere das Bundesministerium für Bildung und Forschung (BMBF).‣ weiterlesen

Softwareanbieter Sage stellt neue Werkzeuge bereit, die eine Brücke zwischen der eigenen Systemumgebung und der Azure-Cloud von Microsoft bilden sollen.‣ weiterlesen