SWISS GRC DAY 2021 BCM-UMSETZUNG EINER SYSTEMRELEVANTEN BANK POSTFINANCE AG - SANDRA GREMINGER LEITERIN BCM / KRISENMANAGEMENT, POSTFINANCE AG ...

SWISS GRC DAY 2021
BCM-Umsetzung einer systemrelevanten Bank
PostFinance AG

Sandra Greminger
Leiterin BCM / Krisenmanagement, PostFinance AG

In Zusammenarbeit mit:                            In Zusammenarbeit mit:

    Parter-              Partner-   Partner-
     Logo                 Logo       Logo

Agenda

 Einleitung PostFinance AG

 Business Continuity Management PostFinance AG

 Corona-Ereignis – BCM-Auswirkungen

PostFinance AG | 05.05.2021 | V1.00 | öffentlich | BCM - KM | Sandra Greminger, Leiterin BCM/KM   Seite 2

Einleitung – Organisation PostFinance AG

 Privatrechtliche AG und 100%ige Tochter der
  Schweizerischen Post AG.

 Oberstes Gremium ist der PF-Verwaltungsrat.
  Die operative Führung liegt bei der PF-GL.

 Banklizenz seit 2013. Unterstellung der
  Eidgenössischen Finanzmarktaufsicht (FINMA).

 Systemrelevante Bank seit 2015.

 Rund 3600 MA und 3 Mio. KundInnen;
  1.9 Mio. E-Finance Zugänge.

 1.2 Mia. Zahlungsverkehrs-Transaktionen/Jahr.

 124 Mia. CHF Kundenvermögen.

 Gewinn vor Steuern 2020: 93 Mio. CHF.

PostFinance AG | 05.05.2021 | V1.00 | öffentlich | BCM - KM | Sandra Greminger, Leiterin BCM/KM   Seite 3

Business Continuity Management – PostFinance AG

Wenn Sie diesen Text lesen können, müssen Sie die Folie im Post-Menü mit der Funktion «Folie
einfügen» erneut einfügen. Sonst kann die Fläche nicht eingefärbt werden!

BCM Grundsätze
Mit dem BCM stellt PostFinance sicher, dass die kritischen Geschäftsfunktionen/-Prozesse im Fall interner oder
externer Ereignisse aufrechterhalten oder zeitgerecht wiederhergestellt werden können.
Das BCM zielt auf eine Minimierung der personellen, finanziellen, rechtlichen und reputationsbezogenen
Auswirkungen solcher Ereignisse.
Das BCM bezieht sich auf alle Geschäfts- und Organisationsbereiche von PostFinance und umfasst alle
Aktivitäten, die PF im Ereignisfall vor grossem oder sogar Existenz bedrohendem Schaden bewahren.

PostFinance orientiert sich bei der Implementierung
des BCM am ISO Standard 22301
(Societal security – Business continuity
management systems – Requirements)

PostFinance AG | 05.05.2021 | V1.00 | öffentlich | BCM - KM | Sandra Greminger, Leiterin BCM/KM                  Seite 5

BCM Regelkreis
                                                         Phase                      Themen
                                                         Policy                     Vorgaben, BCM-Strategie*
                                                                                    Sicherheitsorganisation
                                                         Verankerung BCM            Lernarrangement Sicherheit, BCM,
                                                                                    Krisenmanagement
                                                         Analyse                    Business Impact Analyse (BIA)*
                                                                                    Risikoanalyse
                                                         Design                     Business Recovery Optionen*

                                                         Implementation             Notfall-/Krisenorganisation
                                                                                    Notfall-/Krisenpläne (BCP)
                                                         Validierung                Übungen, Tests, Audits
                                                                                    Kontrollen (2nd Line)
Good Practice Guidelines                                                            Interne und Externe Revisionen
BCI – Business Continuity Institute
Leitfaden für die Umsetzung von Business Continuity.
Stützt sich auf die internationale ISO-Norm ISO 22301   * Verbindlicher Mindeststandard gem. BCM-Empfehlungen der SBVg

BCM Regelkreis
Policy: Den Rahmen für das BCM geben die Richtlinie BCM (stützt sich auf die Weisung Security) und im Detail das
Handbuch BCM, indem sie die Vorgaben, Zuständigkeiten und Verantwortungen festlegen.
Verankerung des BCM: Durch Schulungen und Sensibilisierungsmassnahmen wird das Vertrauen der Mitarbeitenden in
das BCM geschaffen. Das Management wird via CISO-Reporting über den Umsetzungsstand des BCM informiert.
Analyse: Mit der Business Impact Analyse (BIA) werden die geschäftskritischen Marktangebote sowie die
zugrundeliegenden kritischen Ressourcen (Mitarbeitende, IT, Partner und Arbeitsplätze) identifiziert und die Anforderungen
an ihre Verfügbarkeit festgelegt. Im Rahmen der Risikoanalyse (RA) werden zudem jene Risiken eruiert, für die BCM-
Vorkehrungen erforderlich sind.
Design: Mit den Business Recovery Optionen zeigt PostFinance die Optionen für die Aufrechterhaltung der
Betriebsbereitschaft der in der Business Impact Analyse eruierten kritischen Ressourcen auf und bewertet und priorisiert sie.
Implementation: Im Business Continuity Plan (BCP) sind die Handlungsanleitungen (z.B. Notfallhandbücher)
für die Notfall- und Krisenorganisation im Ereignisfall enthalten.
Validierung: Mittels Übungen, Tests und Reviews wird die Anwendbarkeit des BCP von PostFinance überprüft und
verbessert. Zudem wird die Notfall- und Krisenorganisation befähigt, Ereignisse erfolgreich zu bewältigen.
Programm Management: Die Fachstelle BCM sorgt für die Implementierung des BCM und für die Einhaltung der
Lieferergebnisse des Regelkreises.

PostFinance AG | 05.05.2021 | V1.00 | öffentlich | BCM - KM | Sandra Greminger, Leiterin BCM/KM                           Seite 7

Corona-Ereignis – Ausblick BCM-Auswirkungen

Wenn Sie diesen Text lesen können, müssen Sie die Folie im Post-Menü mit der Funktion «Folie
einfügen» erneut einfügen. Sonst kann die Fläche nicht eingefärbt werden!

Corona-Ereignis – BCM-Auswirkungen
 Zukünftige Zusammenarbeit: physisch, virtuell und hybride.

 Dezentrales, ortsunabhängiges Arbeiten: (lokale) Providerabhängigkeiten, Security, Bandbreiten, Remote.

 Krisenstab – Übungen und Schulungen: weiterführen, bzw. nach Corona-Einsatz wieder aufnehmen.

 Notfall- und Krisenbewältigung: um virtuelle und hybride Möglichkeiten ergänzen, schulen und üben.

 HO-Tätigkeiten – Anpassung der bisherigen Governance überdenken: Beispiel Druckfunktion, Toolrestriktionen.

 K-Backup Dokumente weiterführen: Ausweichstandorte, Notarbeitsplätze, Beispiel Handel.

 Schutz der Mitarbeitenden/Prävention: Influenza (Kommunikation und Angebote Hygienemassnahmen, Influenza
  Impfangebote), Operational Split (kritische Funktionen/Teams).

 Sich nicht auf den Lorbeeren ausruhen!

PostFinance AG | 05.05.2021 | V1.00 | öffentlich | BCM - KM | Sandra Greminger, Leiterin BCM/KM             Seite 9

Vielen Dank für Ihre
                                                                                Aufmerksamkeit.

                                                                                Sandra Greminger, Leiterin BCM / Krisenmanagement
                                                                                sandra.greminger@postfinance.ch

In Zusammenarbeit mit:
Wenn Sie diesen Text lesen können, müssen Sie die Folie im Post-Menü mit der Funktion «Folie
    Partner-         Partner-       Partner-
einfügen»
     Logo    erneut einfügen.
                      Logo    Sonst kann
                                     Logo die Fläche nicht eingefärbt werden!