Die Reaktion auf Vorfälle ist niemals nur die Aufgabe einer einzigen Abteilung

Ein Sicherheitsvorfall bleibt selten auf die Sicherheitsteams beschränkt. Sobald eine Person, ein Geldbetrag, ein Gerät oder eine Aufsichtsbehörde davon betroffen ist, wird er auch zum Problem anderer. Wer diese anderen sind und wie schnell sie davon erfahren müssen, hängt davon ab, was Ihr Unternehmen tut und wo es tätig ist.

Das ist der Grundgedanke hinter unserem neuen Planungstool, dem „Cross-Functional Incident Workbook“, das Sicherheitsverantwortliche durch sechs Abteilungen (Personalwesen, IT, Rechtsabteilung, Risikomanagement, Gebäudemanagement sowie Arbeitssicherheit und Gesundheitsschutz) führt und aufzeigt, wer in welchen Fällen die Verantwortung trägt, wenn ein Vorfall abteilungsübergreifend ist. Die Arbeitsblätter sind so konzipiert, dass sie sich flexibel an Ihre Organisation anpassen lassen, doch je nach Branche sieht die Problemstellung unterschiedlich aus. Hier sehen Sie, wie das in einigen Branchen aussieht.

Finanzen: Wenn ein Vorfall gleichzeitig ein Compliance-Ereignis ist

Im Finanzdienstleistungssektor kann ein Vorfall im Bereich der physischen Sicherheit bereits lange bevor der erste Bericht fertiggestellt ist, eine ganze Reihe von Dokumentationspflichten auslösen. Eine Unregelmäßigkeit beim Zugang mit dem Ausweis in einer Filiale, ein verlorenes Gerät einer Person mit Kontozugriff oder die Untersuchung eines Diebstahls im Pausenraum, die Auswirkungen auf die Personalakte eines Mitarbeiters hat – all dies sind Fälle, für die Dokumentationspflichten gelten, die zwar nicht in den Zuständigkeitsbereich der Sicherheitsteams fallen, von diesen aber dennoch ausgelöst werden.

Kartendaten und Zahlungsumgebungen erhöhen das Risiko noch weiter. Wenn ein physischer Vorfall einen Bereich betrifft, in dem Karteninhaberdaten verarbeitet oder gespeichert werden, sollten Sie prüfen, ob die PCI-DSS-Anforderungen gelten, bevor Ihr Team davon ausgeht, dass es sich um einen rein physischen Vorfall handelt. Das Gleiche gilt für jeden Vorfall, bei dem Zugangsdaten im Zusammenhang mit Finanzsystemen eine Rolle spielen: Die IT- und Compliance-Abteilungen müssen innerhalb einer Stunde informiert werden, nicht erst im wöchentlichen Bericht.

Fertigung: Wenn der Vorfall die Produktion zum Erliegen bringt

In einer Produktionsstätte steht die Reaktion auf Zwischenfälle im Wettbewerb mit dem Produktionsplan, und jede Stunde, in der ein Zwischenfall ungelöst bleibt, kann Kosten verursachen, die sich eher in der Produktionsleistung als in einem Polizeibericht niederschlagen. Ein Auftragnehmer, dessen Zugangsberechtigung eigentlich mit dem Ende seines Arbeitsauftrags hätte erlöschen sollen, ein Sicherheitsvorfall in der Produktionshalle, ein Diebstahl von Materialien oder Fertigprodukten: Für jeden dieser Vorfälle ist ein anderer Verantwortlicher zuständig, je nachdem, ob er sich auf die Personalstärke, den Durchsatz oder die Lieferkette auswirkt.

Hersteller, die Waren grenzüberschreitend transportieren, unterliegen zudem Verpflichtungen zur Einhaltung von Handelsvorschriften. Wenn ein Vorfall die Sicherheit der Lieferkette oder Ein- und Ausfuhrkontrollen betrifft, sollte geprüft werden, ob C-TPAT-Verpflichtungen gelten, anstatt davon auszugehen, dass dies nicht der Fall ist. Dies ist einer der eindeutigeren Fälle, in denen die Rechts- und Compliance-Abteilungen von Beginn der Reaktion an mit am Tisch sitzen müssen – und nicht erst im Nachhinein.

Einzelhandel: Wenn der Vorfall auch ein Imageproblem für die Marke darstellt

Bei der Krisenbewältigung im Einzelhandel müssen zwei Zielgruppen berücksichtigt werden, mit denen die meisten anderen Branchen nicht in gleichem Umfang zu tun haben: die Öffentlichkeit und die Medien. Eine Untersuchung von Warenverlusten, ein Vorfall von Gewalt am Arbeitsplatz im Verkaufsraum oder eine Verletzung eines Kunden erfordern jeweils interne Abläufe, doch im Einzelhandel kommt noch eine weitere Ebene hinzu: Die Kommunikations- und PR-Abteilungen müssen schnell genug informiert werden, um einer Geschichte zuvorzukommen, anstatt nur darauf zu reagieren.

Einzelhandelsketten mit mehreren Standorten sehen sich zudem mit einer Variante der Frage nach der gemeinsamen Arbeitgeberhaftung konfrontiert, die sich je nach Standort unterschiedlich darstellt: an einem Standort sind es vertraglich gebundene Sicherheitskräfte, an einem anderen festangestellte Mitarbeiter und überall Saisonkräfte. Die RACI-Übung im Arbeitsbuch ist genau auf diese Art von Variationen ausgelegt, bei denen dieselbe Vorfallart je nach Standort, an dem sie sich ereignet hat, einen anderen Verantwortlichen haben kann.

Immobilienverwaltung: Wenn ein Vorfall mehrere Beteiligte gleichzeitig betrifft

Ein einzelner Vorfall in einer verwalteten Immobilie – ein Feueralarm, ein unbefugtes Betreten oder eine Verletzung in einem Gemeinschaftsbereich – kann gleichzeitig den Eigentümer, den Mieter, einen Dienstleister und die Verwaltungsgesellschaft selbst in die Haftung ziehen. Die Facility- und Risikomanagement-Teams in diesem Bereich benötigen Vorfalldaten, die detailliert genug sind, um ein geringfügiges Wartungsproblem von einem Vorfall zu unterscheiden, der zu einem Schadensfall führen könnte.

Der Zugang von Dienstleistern und Auftragnehmern ist ein immer wiederkehrendes Thema bei der Reaktion auf Vorfälle in der Immobilienverwaltung. Der Ausweis eines Wartungsmitarbeiters, der Einsatzort eines Sicherheitsmitarbeiters, der Gebäudezugang eines Reinigungsteams: Für jeden gilt ein anderer Weg zur Entziehung der Zugangsberechtigung, und für jeden muss bereits vor dem Vorfall – und nicht erst währenddessen – ein Verantwortlicher benannt worden sein.

Gesundheitswesen: Wenn der Vorfall Patienten und klinisches Personal betrifft

In Krankenhäusern und Kliniken bleibt ein Sicherheitsvorfall selten lange nur eine reine Sicherheitsangelegenheit. Ein aggressiver Patient oder Besucher, eine Warnmeldung zur Patientensicherheit, ein Diebstahl von kontrollierten Substanzen oder ein Vorfall von Gewalt am Arbeitsplatz, an dem klinisches Personal beteiligt ist, kann die Pflegeleitung, die Compliance-Abteilung, die Personalabteilung und das Risikomanagement gleichzeitig auf den Plan rufen – oft innerhalb weniger Minuten.

Die Privatsphäre der Patienten stellt eine weitere Einschränkung dar, da die Dokumentation von Vorfällen geschützte Gesundheitsdaten enthalten kann, die Einfluss darauf haben, wer den Bericht einsehen darf und wie er weitergegeben wird. Auch die Akkreditierungsstandards zur Prävention von Gewalt am Arbeitsplatz sorgen dafür, dass die Dokumentation der Maßnahmen ebenso wichtig ist wie die Maßnahmen selbst. Unser funktionsübergreifendes Arbeitsbuch zu Vorfällen in Krankenhäusern wendet denselben RACI-Ansatz auf die Pflege, die Compliance-Abteilung und die anderen Abteilungen an, die von einem Vorfall im Krankenhaus betroffen sind, während der Evidenzbericht zur Prävention von Gewalt am Arbeitsplatz in Krankenhäusern den Präventionsaspekt behandelt.

Öffentlicher Sektor: Wenn der Vorfall öffentlich bekannt wird

Behörden und Organisationen des öffentlichen Sektors sehen sich mit jeder der oben genannten Herausforderungen konfrontiert – hinzu kommen Anforderungen an die Aktenführung und Transparenz, denen die meisten privaten Organisationen nicht in gleicher Weise ausgesetzt sind. Ein Vorfallbericht kann Gegenstand eines Antrags auf Zugang zu öffentlichen Unterlagen werden, was Auswirkungen darauf hat, was und wie dokumentiert wird. Die Einbeziehung von Rechts- und Compliance-Abteilungen ist hier unverzichtbar, und die Weitergabe muss oft früher erfolgen als in anderen Branchen, da die Fristen für die Meldung und die öffentliche Bekanntgabe parallel laufen können.

Die behördenübergreifende Koordination stellt eine weitere Ebene dar. Ein Sicherheitsvorfall auf öffentlichem Gelände muss möglicherweise gleichzeitig an die Gebäudeverwaltung, die Risikomanagementstelle und eine externe Behörde weitergeleitet werden. Die im Arbeitsbuch betonte Notwendigkeit, eine konkrete Rolle (und nicht nur eine Abteilung) zu benennen, ist hier besonders hilfreich, da es in Organisationen des öffentlichen Sektors oft mehrere Ebenen zwischen dem Moment, in dem „die Sicherheitskräfte den Vorfall bemerken“, und dem Moment, in dem „die zuständige Person davon erfährt“, gibt.

Das Muster, das sich überall zeigt

In jeder Branche taucht immer wieder dieselbe Lücke auf: Vorfälle, an denen Auftragnehmer und Lieferanten beteiligt sind, verlaufen anders als dieselben Vorfälle, an denen Mitarbeiter beteiligt sind, und die meisten Unternehmen haben diesen Ablauf nicht schriftlich festgehalten. Die Deaktivierung von Ausweisen, der Status der Hintergrundüberprüfung und die Vertragsbedingungen beeinflussen, wer für die Reaktion verantwortlich ist – selbst wenn der Vorfall auf dem Papier identisch erscheint. Das gilt unabhängig davon, ob Sie eine Bankfiliale, ein Distributionszentrum, ein Einzelhandelsgeschäft, ein verwaltetes Gebäude oder eine öffentliche Einrichtung betreiben.

Eine weitere Tatsache ist: Die Lücke lässt sich auf dem Papier leichter erkennen als mitten in einem tatsächlichen Vorfall. Genau aus diesem Grund gibt es das Arbeitsbuch.

Ein RACI-Modell für häufige funktionsübergreifende Vorfälle

Ein RACI-Raster gibt an, wer für jeden Schritt einer Reaktion verantwortlich (Responsible), rechenschaftspflichtig (Accountable), zu konsultieren (Consulted) und zu informieren (Informed) ist. Jede Organisation füllt es anders aus – genau darum geht es in diesem Arbeitsbuch –, doch im Folgenden wird dargestellt, wie die Zuständigkeiten häufig für fünf Arten von Vorfällen aufgeteilt sind, die abteilungsübergreifend sind, und zwar sowohl für Sicherheitsteams in Unternehmen als auch für Sicherheitsdienstleister.

Art des Vorfalls	Verantwortlich	Verantwortlich	Abgefragt	Informiert
Gewalt am Arbeitsplatz	Sicherheit	Sicherheitsleiter	Personalwesen, Rechtsabteilung	Einrichtungen, Gesundheit und Sicherheit
Verlorenes oder gestohlenes Gerät mit Systemzugriff	ES	CISO oder IT-Leiter	Sicherheit, Recht	Personalwesen, Compliance
Zugangsberechtigung des Auftragnehmers nicht widerrufen	Ausstattung	Gebäudemanager	Sicherheit, Beschaffung	IT, Recht
Arbeitsunfall eines Mitarbeiters auf der Baustelle	Gesundheit und Sicherheit	EHS-Manager	Personalwesen, Rechtsabteilung, Risikomanagement	Sicherheit, Einrichtungen
Diebstahl von Materialien oder Lagerbeständen	Sicherheit	Sicherheitsleiter	Risiko, Recht	Finanzen, Betrieb

Betrachten Sie diese eher als Gesprächsanlässe denn als Regeln. Ihr Organigramm, Ihre Verträge und Ihre Aufsichtsbehörden entscheiden über die endgültige Antwort.

Den Plan in Routing-Regeln umsetzen

Ein RACI-Raster ist nur dann hilfreich, wenn die richtigen Personen tatsächlich rechtzeitig von dem Vorfall erfahren. Trackforce hat TrackTik entwickelt, damit der Plan zur Vorgehensweise bei Vorfällen wird.

• Ein Formular für jede Art von Vorfall. Die Meldung von Sicherheitsvorfällen in TrackTik unterstützt anpassbare Vorfallformulare und Schweregrade, sodass eine Meldung über Gewalt am Arbeitsplatz von Anfang an genau die Informationen enthält, die die Personalabteilung und die Rechtsabteilung benötigen.
• Automatische Benachrichtigungen. E-Mail- oder SMS-Benachrichtigungen erreichen die richtigen Beteiligten, und Probleme können bei Bedarf an Dritte und Kunden weitergeleitet werden.
• Weiterleitungs- und Eskalationsregeln. Mit dem TrackTik Command Center können Sie Weiterleitungsregeln, Eskalationsverfahren und Benachrichtigungsauslöser individuell anpassen.
• Beweismaterial, das jede Abteilung nutzen kann. Mit einem Zeitstempel versehene Foto-, Video-, Audio- und GPS-Beweise sorgen dafür, dass jede Abteilung auf der Grundlage derselben Fakten arbeitet.
• Mit dem restlichen Systemverbund vernetzt. Über eine dokumentierte REST-API und Webhooks werden Vorfalldaten an die HR-, IT- und GRC-Systeme weitergeleitet, die andere Abteilungen bereits nutzen.

Laden Sie das funktionsübergreifende Arbeitsbuch für Vorfälle herunter und arbeiten Sie es gemeinsam mit Ihren Abteilungsleitern durch. Wenn Ihr Unternehmen bereits TrackTik einsetzt, können die von Ihnen ausgefüllten RACI-Tabellen als Weiterleitungsregeln für Ihre Plattform dienen, sodass der Plan nicht nur ein Dokument bleibt, sondern tatsächlich die Grundlage für die Bearbeitung von Vorfällen bildet.