Das Wichtigste in Kürze
- COBIT ist ein Framework des Berufsverbands ISACA für die Governance und das Management der Unternehmens-IT; es beschreibt vor allem, was gesteuert und kontrolliert werden muss, nicht wie.
- Die erste Version erschien 1996; COBIT 2019 hat Ende 2018 COBIT 5 (2012) abgelöst und umfasst 40 Governance- und Managementziele in fünf Domänen.
- Als Nachfolger hat die ISACA COBIT 7 angekündigt: Das Zertifikat „COBIT 7 Foundation“ ersetzt ab dem 27. Oktober 2026 das bisherige COBIT-2019-Foundation-Zertifikat.
- COBIT und ITIL ergänzen sich: COBIT setzt den Steuerungs- und Kontrollrahmen, ITIL beschreibt bewährte Praktiken für den Betrieb von IT-Services.
COBIT (ursprünglich „Control Objectives for Information and Related Technology“, heute nur noch als Abkürzung verwendet) ist ein weltweit anerkanntes Framework zur Steuerung der Informationstechnologie. Es beschreibt Governance- und Managementziele mit den zugehörigen Prozessen und Kontrollvorgaben, um die IT an den Unternehmenszielen auszurichten. COBIT ist ein wichtiges Hilfsmittel für IT-Manager wie CIO und CISO, weil es hilft, die IT transparent, effizient und sicher zu steuern. Lesen Sie, wie man dieses Rahmenwerk im Unternehmen einführt und nutzt.
Was ist COBIT?
IT-Governance, also die Organisation, Leitung und Überwachung der Informationstechnologie, umfasst alle Strukturen, Regeln und Prozesse, mit denen Unternehmen ihre IT steuern. Darunter fallen neben Prozessen und Vorgehensweisen alle anderen Aspekte rund um die Organisation und Sicherheit des Informationssystems.
COBIT ist ein verbreitetes Framework, das Organisationen dabei unterstützt, ihre Geschäftsziele zu erreichen. Es legt fest, welche Ziele, Prozesse und Verantwortlichkeiten eine Organisation für die Steuerung ihrer IT braucht – nicht aber, mit welchen Werkzeugen sie umgesetzt werden. Ziel ist es, Geschäftsbereiche und IT optimal aufeinander abzustimmen, damit die IT messbar zu den Unternehmenszielen beiträgt und Risiken beherrschbar bleiben.
Die erste Version von COBIT veröffentlichte die ISACA (damals Information Systems Audit and Control Association) im Jahr 1996. Heute ist COBIT zudem Grundlage einer Zertifizierung, die sich an Personen richtet, etwa an IT-Governance-Verantwortliche, IT-Auditoren und Berater.
Grundprinzipien von COBIT
Mit COBIT haben IT-Manager ein Modell an der Hand, mit dem sie Mehrwert für das Unternehmen schaffen können. Es hilft dabei, Best Practices einzuführen, um die Risiken zu beherrschen, die mit IT-Prozessen im digitalen Zeitalter verbunden sind. Es ist ein umfassendes Steuerungsinstrument, um alle IT-Funktionen so zu lenken, dass sie zum Unternehmenserfolg beitragen. Darüber hinaus wird das Rahmenwerk bei IT-Prüfungen (Audits) eingesetzt.
COBIT 5 beruhte auf fünf Prinzipien. Das Framework sollte:
● die Anforderungen aller Beteiligten erfüllen,
● das gesamte Unternehmen abdecken,
● ein einheitliches, integriertes Rahmenwerk darstellen,
● einen ganzheitlichen Ansatz ermöglichen und
● Governance und Management voneinander trennen.
Herausgeber und Eigentümer von COBIT ist die internationale ISACA. Im deutschsprachigen Raum ist der Verband mit regionalen Vereinen vertreten, etwa dem ISACA Germany Chapter e. V.
Wie ist COBIT 2019 aufgebaut?
COBIT 2019 ist die Weiterentwicklung von COBIT 5 und wurde von der ISACA Ende 2018 veröffentlicht. Laut dem Vergleich der beiden Versionen durch die ISACA unterscheidet sich die aktuelle Version vor allem in drei Punkten von ihrem Vorgänger:
- Prinzipien: Statt fünf gibt es sechs Prinzipien für das Governance-System: Schaffung von Nutzen für die Stakeholder, ganzheitlicher Ansatz, dynamisches Governance-System, Trennung von Governance und Management, Ausrichtung auf die Bedürfnisse des Unternehmens und durchgängiges Governance-System. Hinzu kommen drei Prinzipien für das Framework selbst, darunter die Abstimmung mit anderen wichtigen Standards.
- Ziele: Statt der 37 Prozesse von COBIT 5 umfasst COBIT 2019 insgesamt 40 Governance- und Managementziele. Sie sind in fünf Domänen gegliedert: EDM (Evaluate, Direct and Monitor) für die Governance sowie APO (Align, Plan and Organize), BAI (Build, Acquire and Implement), DSS (Deliver, Service and Support) und MEA (Monitor, Evaluate and Assess) für das Management.
- Designfaktoren: Elf Designfaktoren, etwa Unternehmensziele, Risikoprofil oder aktuelle IT-Probleme, helfen dabei, das Governance-System auf die eigene Organisation zuzuschneiden.
Die Leistungsfähigkeit der Prozesse bewertet COBIT 2019 auf einer Skala von 0 bis 5, die sich am CMMI-Modell orientiert. Als Nachfolger hat die ISACA bereits COBIT 7 angekündigt: Laut ISACA ersetzt das Zertifikat „COBIT 7 Foundation“ ab dem 27. Oktober 2026 das bisherige COBIT-2019-Foundation-Zertifikat.
COBIT in der Praxis: Rahmen und Tools
Das COBIT-Framework entwickelte sich im Laufe der Zeit weiter, um sich an Veränderungen und Innovationen anzupassen, mit denen Unternehmen konfrontiert sind. Seit der ersten Veröffentlichung sind mehrere aktualisierte Versionen erschienen:
● Version 2 im Jahr 1998,
● Version 3 im Jahr 2000,
● Version 4.0 im Jahr 2005 und Version 4.1 im Jahr 2007,
● COBIT 5 im Jahr 2012,
● COBIT 2019, Ende 2018 veröffentlicht. Als Nachfolger hat die ISACA COBIT 7 angekündigt; das Zertifikat „COBIT 7 Foundation“ löst am 27. Oktober 2026 das bisherige COBIT-2019-Foundation-Zertifikat ab.
Es gibt keine allgemeingültige Vorgehensweise, um COBIT anzuwenden. Das Wichtigste ist, dass jede Organisation am Ende ein Gleichgewicht zwischen ihren Zielen und Prioritäten auf der einen Seite und den organisatorischen Zwängen auf der anderen herstellen kann, um im Laufe der Zeit eine Veränderung herbeizuführen.
Der CIO oder der CISO muss zunächst die spezifischen Anforderungen in Bezug auf Governance und IT-Management identifizieren. Dabei gilt es, klar zu definieren, welche Unternehmensziele mithilfe von COBIT erreicht werden sollen. Damit die Implementierung gut abläuft, sollte man ein Team bilden, das für die Umsetzung von COBIT verantwortlich ist.
Mit welcher Methode die genutzten Tools eingeführt werden, hängt vom jeweiligen Unternehmen ab. Es geht darum, das Framework – heute in der Regel COBIT 2019 – an den spezifischen Kontext und die spezifischen Anforderungen des Unternehmens anzupassen. Der von der ISACA veröffentlichte Text ist keine strikte Vorgabe, die absolut einzuhalten ist, sondern er vermittelt lediglich Leitlinien, die aufzeigen, wie man die Qualität des IT-Managements verbessern kann. Sie entscheiden, wie Sie dabei vorgehen und welche Tools Sie dafür nutzen.
Vorteile der COBIT-Implementierung
Die Implementierung von COBIT bietet einem Unternehmen oder einem IT-Spezialisten zahlreiche Vorteile, angefangen mit optimierten Geschäftsprozessen. Papierlose Abläufe, die fortschreitende Automatisierung bestimmter Aufgaben sowie die digitale Transformation haben dazu geführt, dass alle Prozesse immer stärker von der IT abhängig sind.
Eine wirksame IT-Governance hilft, diese Abläufe gezielt zu verbessern, und kann so Produktivität und Effizienz steigern.
Das COBIT-Framework unterstützt kleine, mittlere und große Unternehmen dabei, die IT effizient für die Erreichung der Unternehmensziele einzusetzen. Eine gute IT-Governance kann dem Unternehmen dabei helfen, operative Spitzenleistungen zu erreichen. Darüber hinaus hilft COBIT, den Nutzen von IT-Investitionen transparent zu machen und zu steigern. Durch klar definierte Kontrollziele stärkt COBIT zudem die Compliance in Bezug auf Gesetze, Regelungen und vertragliche Pflichten.
Herausforderungen und Lösungsansätze bei der Umsetzung von COBIT
Bei der Umsetzung des COBIT-Frameworks im Unternehmen können sich verschiedene Probleme ergeben. Häufig sind Manager mit folgenden Herausforderungen konfrontiert:
● Widerstand von Beteiligten gegen die Veränderung,
● fehlendes Verständnis für die Vorteile des COBIT-Frameworks,
● ungenügende Ressourcen für die Umsetzung,
● Schwierigkeiten bei der Verankerung einer soliden Governance-Kultur im Unternehmen.
Der Widerstand gegen Veränderungen kann vor allem dann sehr groß sein, wenn das COBIT-Rahmenwerk die bestehenden Abläufe erheblich verändert.
Um diesen Widerstand zu überwinden, muss der IT-Manager eine wirksame Kommunikationsstrategie entwickeln. Ziel muss es sein, die Beteiligten auf allen Ebenen einzubinden und bei der Umsetzung von COBIT nichts zu überstürzen, sondern schrittweise vorzugehen. Auch die Anpassung des Vorgehens aufgrund von Erfahrungswerten und Rückmeldungen kann ein gutes Hilfsmittel für eine gelungene COBIT-Einführung sein.
COBIT in die IT-Strategie integrieren
Wenn Sie COBIT in Ihre IT-Strategie integrieren, hilft dies dabei, die Governance und das IT-Management zu optimieren. Das Rahmenwerk unterstützt die Einhaltung geltender Vorschriften, erhöht die Sicherheit und verbessert das Risikomanagement. Für IT-Fachleute stellt COBIT einen wichtigen Leitfaden dar, wie sie die Abläufe auf die Unternehmensziele abstimmen und auf diese Weise den langfristigen Erfolg des Unternehmens in einer sich stetig wandelnden Technologielandschaft sichern.
Was ist der Unterschied zwischen COBIT und ITIL?
COBIT und ITIL werden oft in einem Atemzug genannt, verfolgen aber unterschiedliche Ziele. COBIT ist ein Governance-Framework: Es legt fest, welche Ziele die IT erreichen muss, wer dafür verantwortlich ist und wie die Zielerreichung überwacht wird. ITIL ist dagegen ein Leitfaden für das IT-Service-Management und beschreibt bewährte Praktiken dafür, wie IT-Services geplant, bereitgestellt und betrieben werden.
| Kriterium | COBIT | ITIL |
|---|---|---|
| Schwerpunkt | Governance und Management der gesamten Unternehmens-IT | Betrieb und Weiterentwicklung von IT-Services |
| Leitfrage | Was muss gesteuert und kontrolliert werden? | Wie werden IT-Services erbracht? |
| Zielgruppe | Geschäftsleitung, IT-Leitung, Revision, Risikomanagement | IT-Service-Management, IT-Betrieb, Support |
| Herausgeber | ISACA | PeopleCert (früher Axelos) |
In der Praxis schließen sich beide Frameworks nicht aus: COBIT dient häufig als übergeordneter Steuerungsrahmen, ITIL als Grundlage für die operative Umsetzung. COBIT 2019 ist ausdrücklich darauf ausgelegt, mit anderen Standards wie ITIL, ISO/IEC 20000 oder ISO/IEC 27001 zusammenzuspielen. Wie sich ITSM und ITIL zueinander verhalten, erklären wir im Beitrag ITSM vs. ITIL.
Häufig gestellte Fragen
Was ist COBIT einfach erklärt?
COBIT ist ein Rahmenwerk des internationalen Berufsverbands ISACA, mit dem Unternehmen ihre IT steuern und kontrollieren. Es beschreibt, welche Ziele die IT verfolgen soll, wer dafür verantwortlich ist und wie die Zielerreichung überprüft wird. So hilft COBIT, die IT an den Unternehmenszielen auszurichten, Risiken zu beherrschen und gesetzliche Anforderungen nachweisbar einzuhalten.
Ist COBIT 2019 noch aktuell?
COBIT 2019 hat Ende 2018 COBIT 5 abgelöst und ist die derzeit verbreitete Fassung des Frameworks. Die ISACA hat jedoch bereits COBIT 7 als Nachfolger angekündigt: Ab dem 27. Oktober 2026 ersetzt das Zertifikat „COBIT 7 Foundation“ das COBIT-2019-Foundation-Zertifikat, das am 26. April 2027 ausläuft. Wer COBIT neu einführt, sollte die Inhalte von COBIT 7 prüfen.
Kann sich ein Unternehmen nach COBIT zertifizieren lassen?
Nein, eine Zertifizierung von Unternehmen nach COBIT, vergleichbar mit ISO/IEC 27001, gibt es nicht. Die ISACA bietet Zertifikate für Personen an, etwa COBIT Foundation oder COBIT Design & Implementation. Unternehmen können ihre IT-Prozesse jedoch anhand der Fähigkeitsstufen von COBIT bewerten lassen, zum Beispiel im Rahmen eines internen oder externen IT-Audits.
Was versteht man unter IT-Governance?
IT-Governance umfasst die Führungs- und Organisationsstrukturen sowie die Prozesse, mit denen ein Unternehmen sicherstellt, dass seine IT die Unternehmensstrategie unterstützt, Risiken angemessen gesteuert und Ressourcen wirtschaftlich eingesetzt werden. Die Verantwortung liegt bei der Unternehmensleitung. COBIT liefert dafür einen strukturierten Rahmen. Mehr dazu lesen Sie in unserem Beitrag zur IT-Governance.
Für welche Unternehmen eignet sich COBIT?
COBIT ist nicht an eine bestimmte Unternehmensgröße oder Branche gebunden. Über die Designfaktoren von COBIT 2019 lässt sich das Framework an Strategie, Größe, Risikoprofil und regulatorische Anforderungen anpassen. Besonders nützlich ist COBIT in regulierten Branchen wie Banken und Versicherungen, weil es eine gemeinsame Sprache für IT-Leitung, Revision und Geschäftsführung schafft.
