IT-Governance einzuführen heißt, verbindlich festzulegen, wer über den Einsatz der IT entscheidet und nach welchen Regeln und Kennzahlen er gesteuert wird. Typische Schritte sind: das Mandat der Geschäftsleitung sichern, Ist-Zustand und Reifegrad analysieren, IT-Ziele aus der Unternehmensstrategie ableiten, Rollen und Gremien festlegen, ein Framework wie COBIT auswählen, Prozesse einführen sowie Ergebnisse kommunizieren, messen und verbessern.
Das Wichtigste in Kürze
- Die Verantwortung für die IT-Governance liegt bei der Geschäftsleitung; die IT-Leitung bzw. der CIO setzt sie operativ um.
- Die Einführung beginnt mit einem klaren Mandat und einer Analyse des Ist-Zustands und endet nicht mit dem Go-live, sondern mündet in regelmäßige Messung und Verbesserung.
- Bewährte Rahmenwerke sind COBIT für Governance und Management der IT, ISO/IEC 38500 als Norm für die Unternehmensleitung und ITIL für das IT-Service-Management.
- Klare Rollen, Entscheidungsgremien und eine verständliche Kommunikation entscheiden darüber, ob die neuen Regeln im Alltag gelebt werden.
Was ist IT-Governance?
Der Begriff IT-Governance entstand in den 1990er-Jahren und umfasst mehrere Aspekte der Informationstechnik. Es handelt sich dabei um einen Rahmen, der gewährleisten soll, dass Unternehmensstrategie und -ziele durch die IT unterstützt werden. Die Verantwortung für die IT-Governance trägt die Geschäftsleitung; im Wesentlichen wird sie von der IT-Leitung bzw. dem Chief Information Officer (CIO) umgesetzt, darüber hinaus ist aber das Know-how aller IT-Mitarbeiter gefragt. IT-Governance umfasst mehrere Teilbereiche, darunter:
- IT-Management,
- IT-Compliance,
- IT-Aktivitäten,
- Risikomanagement.
Jeder dieser Teilbereiche hat eine spezifische Funktion, wobei alle darauf ausgerichtet sind, die Unternehmensstrategie umzusetzen und die gesteckten Ziele zu erreichen. Im IT-Management wird der Einsatz der IT-Ressourcen geplant und organisiert. IT-Compliance stellt sicher, dass die IT gesetzliche Vorgaben wie die DSGVO, vertragliche Pflichten und interne Richtlinien einhält, etwa beim Schutz personenbezogener und sensibler Unternehmensdaten.
Unter IT-Aktivitäten fallen alle Tätigkeiten der IT-Abteilung, die der Zielerreichung des Unternehmens dienen. Was das Risikomanagement angeht, so versteht man darunter die Gesamtheit aller Regelungen und Maßnahmen, um die Sicherheit des IT-Systems zu gewährleisten.
Bedeutung einer effizienten IT-Governance
Die Einführung einer effizienten IT-Governance hat wesentlichen Anteil daran, dass die computergestützten Abläufe im Unternehmen reibungslos funktionieren. Sie hilft Ihnen dabei, die Informationssysteme Ihres Unternehmens so einzusetzen, dass Sie die gesteckten Ziele erreichen. Misslingt die Einführung der IT-Governance, kann das beispielsweise eine fehlerhafte Datenermittlung oder Sicherheitsprobleme nach sich ziehen und damit dem Unternehmen im schlimmsten Fall sogar schaden.
Eine unproduktive IT-Governance kann darüber hinaus der Grund sein, dass der Einsatz der Ressourcen nicht im Einklang mit den Unternehmenszielen erfolgt. Die Ziele sind daher schwerer erreichbar, was sich wiederum negativ auf die Wertschöpfung auswirkt. Die gelungene Einführung einer IT-Governance bietet dem Unternehmen dagegen zahlreiche Vorteile und kann bei der Lösung verschiedenster Probleme helfen.
Vorgehensweise für die erfolgreiche Einführung einer IT-Governance
Die erfolgreiche Einführung einer IT-Governance verläuft in mehreren Etappen. Diese müssen genau eingehalten werden, damit der Prozess zur Wertschöpfung des Unternehmens beitragen kann. Der erste Schritt ist die Vorbereitung. Dabei ist es wichtig, alle Bereiche, die daran beteiligt sind, dass die Unternehmensprozesse reibungslos ablaufen, in die IT-Governance einzubeziehen. Dazu gehören neben der IT-Leitung vor allem die Geschäftsleitung und die Fachbereiche, gegebenenfalls auch wichtige Geschäftspartner. Zudem muss gewährleistet sein, dass die verschiedenen Tätigkeiten und die damit verbundene Verantwortung den jeweiligen Abteilungen richtig zugeordnet werden. Auf diese Weise entwickelt man die richtige IT-Strategie, um die Wertschöpfung des Unternehmens zu sichern. Weiterhin müssen Sie Prioritäten definieren und festlegen, welche Mitarbeiter für das IT-Ressourcenmanagement verantwortlich sind.
Anschließend erstellen Sie einen konkreten Maßnahmenplan. Dieser muss mögliche Probleme und spezifische IT-Projekte berücksichtigen. Die Ziele der IT-Governance müssen den Erwartungen des Unternehmens im Hinblick auf die Wertschöpfung entsprechen. Über allem stehen immer die strategischen Unternehmensziele. Diese dürfen Sie bei der Einführung einer IT-Governance nicht aus den Augen verlieren. Erstellen Sie daher eine langfristige Roadmap, um diese Ziele zu erreichen.
Am Ende des Prozesses geht es darum, die eingeführte IT-Governance kommunikativ gut zu vermitteln. Das ist ebenfalls ein wesentlicher Erfolgsfaktor, denn alle Beteiligten müssen den Plan für die IT-Governance kennen, damit die Umsetzung in die Praxis reibungslos erfolgen kann.
IT-Governance einführen: die 7 Schritte im Überblick
Wie die Einführung im Detail aussieht, hängt von Größe, Branche und Reifegrad Ihres Unternehmens ab. Die folgenden sieben Schritte haben sich als Leitfaden bewährt:
- Mandat sichern: Die Geschäftsleitung beauftragt das Vorhaben, benennt eine verantwortliche Person und stellt Budget bereit.
- Ist-Zustand analysieren: Erfassen Sie bestehende Entscheidungswege, Richtlinien, Risiken und den Reifegrad der IT-Prozesse, etwa mit einer COBIT-Reifegradbewertung.
- Ziele ableiten: Leiten Sie aus der Unternehmensstrategie konkrete, messbare IT-Ziele ab.
- Rollen und Gremien festlegen: Bestimmen Sie, wer worüber entscheidet, zum Beispiel ein IT-Steuerungskreis für Investitionen und Prioritäten.
- Framework auswählen und anpassen: Nutzen Sie COBIT oder ISO/IEC 38500 als Rahmen und passen Sie ihn an Ihr Unternehmen an, statt ihn vollständig zu übernehmen.
- Prozesse und Richtlinien einführen: Starten Sie mit wenigen, besonders wichtigen Prozessen, zum Beispiel in einem Pilotbereich.
- Kommunizieren, messen, verbessern: Schulen Sie die Beteiligten, verfolgen Sie Kennzahlen und passen Sie die Regeln regelmäßig an.
Die Norm ISO/IEC 38500 fasst die Aufgabe der Unternehmensleitung in drei Tätigkeiten zusammen: den Einsatz der IT bewerten (Evaluate), steuern (Direct) und überwachen (Monitor). Die aktuelle Fassung ISO/IEC 38500:2024 richtet sich ausdrücklich an die Mitglieder der Leitungsorgane. Daran sollten Sie sich bei der Einführung orientieren: IT-Governance ist zuerst eine Führungsaufgabe und erst danach ein IT-Projekt.
Best Practices für IT-Governance
Es gibt zahlreiche Best Practices in Bezug auf IT-Governance. Bewährt hat sich die Orientierung an den fünf Handlungsfeldern des IT Governance Institute (ITGI): strategische Ausrichtung, Wertbeitrag, Risikomanagement, Ressourcenmanagement und Leistungsmessung. Das erste Handlungsfeld ist die Erarbeitung einer zielführenden Strategie. Dazu gehört auch, die Planungsprozesse von IT-System und Unternehmen zu verknüpfen. Zudem muss das IT-System auf die Unternehmensaktivitäten abgestimmt werden.
Anschließend geht es darum, dass geeignete Steuerungsinstrumente vorhanden sind, die dabei helfen, das Informationssystem zu managen und dessen Performance zu messen. Solche Tools werden auch für die Kommunikation über das IT-System eingesetzt.
Weiterhin ist es wichtig, den Nutzen der Aktivitäten aufzuzeigen. IT-Projekte und -Projektportfolios müssen so gesteuert werden, dass sie zur Wertschöpfung beitragen.
Die vierte Best Practice in diesem Zusammenhang besteht darin, sich der Risiken bewusst zu sein, die mit dem Einsatz der IT verbunden sind. Diese Risiken müssen Sie nicht nur kennen, sondern mit ihnen umgehen können. Und letzten Endes ist ein gutes Ressourcenmanagement (Personal, Infrastruktur, Anwendungen und Budgets) ebenfalls eine Best Practice der IT-Governance.
Strategische Ausrichtung der IT-Governance an den Unternehmenszielen
Dieses Handlungsfeld klingt einfach, ist aber für die Wirksamkeit der IT-Governance entscheidend. Es geht darum, strategische Prozesse zu entwickeln, mit denen Sie die wirtschaftlichen Ziele des Unternehmens erreichen können. Henderson und Venkatraman haben dafür 1993 das Strategic Alignment Model entwickelt. Es unterscheidet vier Perspektiven der Ausrichtung:
- die Strategieumsetzung,
- die Entwicklung eines technologischen Potenzials,
- die Entwicklung eines Wettbewerbsvorteils basierend auf der Technologie,
- die Verbesserung der Servicequalität innerhalb des Unternehmens.
Alle Vorgänge und Tätigkeiten der Mitarbeiter, vor allem der IT-Leitung, müssen den Unternehmenszielen untergeordnet sein.
Tools und Frameworks zur Unterstützung der IT-Governance
Es gibt ein breites Spektrum an IT-Tools und Frameworks, um die IT-Governance zu unterstützen. Zu den bekanntesten zählen die Frameworks COBIT, COSO und CIS.
COBIT Framework
Das COBIT-Framework (Control OBjectives for Information and related Technology) ist ein Hilfsmittel, das ursprünglich bei IT-Audits eingesetzt wurde. Es wurde jedoch weiterentwickelt und ist heute in der Version COBIT 2019 ein umfassendes Rahmenwerk für Governance und Management der Unternehmens-IT. Es definiert Ziele, die von der strategischen Ausrichtung bis zum Risikomanagement reichen.
ITIL
ITIL (Information Technology Infrastructure Library) ist kein Governance-Framework im engeren Sinn, sondern die bekannteste Sammlung bewährter Verfahren für das IT-Service-Management. Sie hilft, die Vorgaben der IT-Governance im IT-Betrieb umzusetzen. Auf diese Weise wird sichergestellt, dass die IT-Dienstleistungen auf die Managementpraktiken des Unternehmens ausgerichtet sind.
ISO
Für die IT-Governance selbst gibt es mit ISO/IEC 38500 eine eigene internationale Norm: Sie richtet sich an die Unternehmensleitung und beschreibt, wie diese den Einsatz der IT bewertet, steuert und überwacht. Daneben sind vor allem Normen zur Informationssicherheit relevant. Mit ISO/IEC 27001 kann ein Unternehmen die Computer- und Netzwerksicherheit optimieren und umfassende Systeme einrichten, die die Sicherheit der verarbeiteten Informationen gewährleisten.
CMMI
Das Referenzmodell CMMI (Capability Maturity Model Integration) hilft dabei, die Performance der IT im Unternehmen zu verbessern. Mit seiner Hilfe wird der Reifegrad von Prozessen auf einer Skala von 1 bis 5 bewertet.
Das COSO-Framework ist ein Rahmenwerk für interne Kontrollsysteme und Risikomanagement, das nicht speziell für die IT-Governance entwickelt wurde. Sie können es jedoch nutzen, um Risiken einzuschätzen und mit ihnen umzugehen, sowie um Betrug innerhalb der Organisation zu verhindern. Ein weiteres Hilfsmittel zur Reduzierung von IT-Risiken sind die CIS Controls des Center for Internet Security. Sie umfassen priorisierte Schutzmaßnahmen, um die Resilienz der technologischen Infrastruktur zu stärken.
Die Effizienz der IT-Governance messen und bewerten
Sie sollten die Effizienz der IT-Governance Ihres Unternehmens messen und bewerten. Das hilft Ihnen, Schwachstellen und Unzulänglichkeiten des Projekts zu erkennen und es dadurch zu verbessern. Externe Prüfer können Teilbereiche bewerten, etwa im Rahmen einer COBIT-Reifegradbewertung oder einer Zertifizierung nach ISO/IEC 27001 bzw. ISO/IEC 20000.
Ein anerkanntes Zertifikat stärkt zudem die Glaubwürdigkeit Ihres Unternehmens gegenüber Kunden und Partnern. Für die interne Bewertung eignen sich Kennzahlen aus Ihren Dashboards, unter anderem zu folgenden Punkten:
- Performance der IT-Systeme,
- Management der IT-Ressourcen,
- Risikomanagement,
- Übereinstimmung von IT-Governance und Unternehmensstrategie.
Sofern Unzulänglichkeiten bestehen, können Sie an diesen zentralen Punkten arbeiten, um die IT-Governance zu verbessern.
Wer ist für die IT-Governance verantwortlich?
Eine der häufigsten Ursachen für eine wirkungslose IT-Governance sind unklare Zuständigkeiten. Legen Sie deshalb früh fest, welche Rolle welche Aufgabe übernimmt:
| Rolle | Aufgabe in der IT-Governance |
|---|---|
| Geschäftsleitung bzw. Vorstand | Trägt die Gesamtverantwortung, gibt die Richtung vor und überwacht die Ergebnisse |
| IT-Steuerungskreis (IT-Board) | Entscheidet über Prioritäten, Budgets und große IT-Investitionen |
| CIO bzw. IT-Leitung | Setzt die Vorgaben operativ um und berichtet über Leistung und Risiken |
| Fachbereiche | Bringen Anforderungen ein und verantworten den Nutzen ihrer Anwendungen |
| Risikomanagement, Informationssicherheit und Compliance | Bewerten Risiken und prüfen die Einhaltung von Gesetzen und Richtlinien |
| Interne Revision | Prüft unabhängig, ob die IT-Governance wirksam ist |
Halten Sie diese Zuständigkeiten schriftlich fest, zum Beispiel in einer Verantwortungsmatrix, und überprüfen Sie sie mindestens einmal im Jahr. So vermeiden Sie, dass Entscheidungen liegen bleiben oder an der Geschäftsleitung vorbei getroffen werden. In kleineren Unternehmen können mehrere Rollen in einer Person zusammenfallen; wichtig ist nur, dass jede Aufgabe eindeutig zugeordnet ist und Kontrolle und Umsetzung möglichst getrennt bleiben.
Fazit: die Vorteile einer gut eingeführten IT-Governance
Da heutzutage sowohl die Gesellschaft als auch das wirtschaftliche Umfeld aller Branchen einem konstanten Wandel unterworfen sind, ist die Bedeutung von IT-Governance unbestritten. Jedes Unternehmen benötigt sie. In Zeiten, in denen Informationen einen immer wichtigeren Platz einnehmen, ist eine gut eingeführte IT-Governance unverzichtbar. Sie trägt zur Wertschöpfung bei und verbessert so die Rendite der IT-Investitionen.
Durch Digitalisierung und Automatisierung der verschiedenen Tätigkeiten hilft sie dabei, die Geschäftsprozesse zu optimieren. Manuelle Tätigkeiten werden reduziert, wodurch letztlich die Betriebskosten sinken. Eine gut eingeführte IT-Governance hilft zudem, die mit der IT verbundenen Risiken zu reduzieren. Performance und Wettbewerbsfähigkeit des Unternehmens werden gesteigert und das Ergebnis verbessert sich.
Damit neue Regeln und Prozesse im Alltag ankommen, müssen die Mitarbeitenden die betroffenen Anwendungen sicher beherrschen. Knowmore unterstützt Sie dabei mit Anleitungen direkt in den Anwendungen und interaktiven Software-Schulungen.
Häufig gestellte Fragen
Was macht eine IT-Governance?
IT-Governance legt fest, wie ein Unternehmen über den Einsatz seiner IT entscheidet und ihn steuert. Sie sorgt dafür, dass IT-Investitionen die Unternehmensstrategie unterstützen, Risiken beherrschbar bleiben, Ressourcen sinnvoll eingesetzt werden und Gesetze sowie interne Richtlinien eingehalten werden. Dazu definiert sie Entscheidungsrechte, Gremien, Richtlinien und Kennzahlen, mit denen die Leistung der IT regelmäßig überprüft wird.
Was ist der Unterschied zwischen IT-Governance und IT-Management?
IT-Governance bestimmt, was die IT erreichen soll und wer darüber entscheidet: Sie setzt Ziele, Regeln und Prioritäten und überwacht die Ergebnisse. Das IT-Management sorgt dafür, wie diese Vorgaben umgesetzt werden: Es plant, baut, betreibt und überwacht die IT im Tagesgeschäft. Governance liegt bei der Unternehmensleitung, das Management bei der IT-Leitung und ihren Teams.
Was ist der Unterschied zwischen IT-Governance und IT-Compliance?
IT-Compliance ist ein Teilbereich der IT-Governance. Sie stellt sicher, dass die IT gesetzliche Vorgaben wie die DSGVO, regulatorische Anforderungen, vertragliche Pflichten und interne Richtlinien einhält. IT-Governance ist umfassender: Sie richtet die gesamte IT an der Unternehmensstrategie aus und regelt neben der Compliance auch Wertbeitrag, Risiken, Ressourcen und Leistungsmessung.
Welches Framework eignet sich für die Einführung einer IT-Governance?
Am weitesten verbreitet ist COBIT, das Governance- und Managementziele für die gesamte Unternehmens-IT beschreibt. Die Norm ISO/IEC 38500 gibt der Unternehmensleitung Grundsätze für die IT-Governance vor. ITIL ergänzt beide für das IT-Service-Management, ISO/IEC 27001 für die Informationssicherheit. In der Praxis kombinieren Unternehmen diese Rahmenwerke und passen sie an ihre Größe an.
Wie lange dauert die Einführung einer IT-Governance?
Die Dauer der Einführung einer IT-Governance hängt von der Größe des Unternehmens, dem Ausgangsreifegrad und dem gewählten Umfang ab. Erste Ergebnisse wie ein Mandat, klare Rollen und ein IT-Steuerungskreis lassen sich meist in wenigen Monaten erreichen. Bis Prozesse, Kennzahlen und Richtlinien im ganzen Unternehmen gelebt werden, vergehen dagegen oft ein bis mehrere Jahre. Ein schrittweises Vorgehen mit Pilotbereichen hat sich bewährt.
