Für viele Unternehmen stellen Informationen und die Technologie, die sie unterstützt, ihr wertvollstes, aber oft am wenigsten verstandenes Kapital dar. Erfolgreiche Unternehmen erkennen die Vorteile der Informationstechnologie und nutzen sie, um den Wert ihrer Stakeholder zu steigern. Diese Unternehmen verstehen und managen auch die damit verbundenen Risiken, wie die zunehmende Einhaltung gesetzlicher Vorschriften und die kritische Abhängigkeit vieler Geschäftsprozesse von der Informationstechnologie (IT).
Die Gewissheit über den Wert der IT, das Management von IT-bezogenen Risiken und erhöhte Anforderungen an die Kontrolle über Informationen werden heute als Schlüsselelemente der Unternehmensführung verstanden. Wert, Risiko und Kontrolle bilden den Kern der IT-Governance.
Die IT-Governance liegt in der Verantwortung der Führungskräfte und des Vorstands und besteht aus der Führung, den Organisationsstrukturen und Prozessen, die sicherstellen, dass die IT des Unternehmens die Strategien und Ziele der Organisation aufrechterhält und erweitert.
Um die Geschäftsziele zu erfüllen, müssen Informationen bestimmten Kontrollkriterien entsprechen, die COBIT als Geschäftsanforderungen an Informationen bezeichnet. Ausgehend von den umfassenderen Qualitäts-, Treuhand- und Sicherheitsanforderungen werden sieben verschiedene, sich sicherlich überlappende Informationskriterien wie folgt definiert:
- Effektivität befasst sich damit, dass Informationen relevant und relevant für den Geschäftsprozess sind sowie rechtzeitig, korrekt, konsistent und brauchbar geliefert werden.
- Effizienz bezieht sich auf die Bereitstellung von Informationen durch die optimale (produktivste und sparsamste) Nutzung von Ressourcen.
- Vertraulichkeit betrifft den Schutz sensibler Informationen vor unbefugter Offenlegung.
- Integrität bezieht sich auf die Genauigkeit und Vollständigkeit von Informationen sowie auf deren Gültigkeit in Übereinstimmung mit den Unternehmenswerten und -erwartungen.
- Verfügbarkeit bezieht sich darauf, dass Informationen zur Verfügung stehen, wenn sie vom Geschäftsprozess jetzt und in Zukunft benötigt werden. Sie bezieht sich auch auf den Schutz der notwendigen Ressourcen und der damit verbundenen Fähigkeiten.
- Compliance bezieht sich auf die Einhaltung der Gesetze, Vorschriften und vertraglichen Vereinbarungen, denen der Geschäftsprozess unterliegt, d.h. sowohl extern auferlegte Geschäftskriterien als auch interne Richtlinien
- Zuverlässigkeit bezieht sich auf die Bereitstellung angemessener Informationen für das Management, um die Einheit zu betreiben und seine treuhänderischen und Führungsverantwortlichkeiten auszuüben. Darüber hinaus integriert und institutionalisiert die IT-Governance gute Praktiken, um sicherzustellen, dass die IT des Unternehmens die Geschäftsziele unterstützt. Die IT-Governance ermöglicht es dem Unternehmen, seine Informationen in vollem Umfang zu nutzen und dadurch den Nutzen zu maximieren, Chancen zu nutzen und Wettbewerbsvorteile zu erlangen. Diese Ergebnisse erfordern ein Rahmenwerk für die Kontrolle über die IT, das mit den internen Richtlinien des Committee of Sponsoring Organizations of the Treadway Commission (COSO) übereinstimmt und diese unterstützt
Organisationen sollten die Qualitäts-, Shareholder- und Sicherheitsanforderungen für ihre Informationen, wie für alle Vermögenswerte, erfüllen.
Das Management sollte auch die Nutzung der verfügbaren IT-Ressourcen, einschließlich Anwendungen, Informationen, Infrastruktur und Mitarbeiter, optimieren. Um diesen Verantwortlichkeiten gerecht zu werden und um ihre Ziele zu erreichen, sollte die Leitung den Status ihrer Unternehmensarchitektur für die IT verstehen und entscheiden, welche Governance und Kontrolle sie bieten sollte. Control Objectives for Information and related Technology (COBIT®) bietet gute Praktiken über einen Domänen- und Prozessrahmen und stellt Aktivitäten in einer überschaubaren und logischen Struktur dar. Die guten Praktiken von COBIT® stellen den Konsens der Experten dar. Sie sind stark mehr auf Kontrolle und weniger auf Ausführung ausgerichtet. Diese Praktiken tragen dazu bei, IT-gestützte Investitionen zu optimieren, die Bereitstellung von Dienstleistungen sicherzustellen und ein Maß zu liefern, anhand dessen man beurteilen kann, wann etwas schief läuft.
COBIT konzentriert sich auf das, was erforderlich ist, um eine angemessene Verwaltung und Kontrolle der IT zu erreichen, und ist auf einem hohen Niveau positioniert. COBIT wurde mit anderen, detaillierteren IT-Standards und guten Praktiken abgestimmt und harmonisiert.
COBIT fungiert als Integrator dieser verschiedenen Leitfäden und fasst die wichtigsten Ziele unter einem übergreifenden Rahmenwerk zusammen, das auch eine Verbindung zu Governance und Geschäftsanforderungen herstellt. Alle Komponenten von COBIT stehen in Wechselbeziehung zueinander und bieten Unterstützung für die Bedürfnisse der verschiedenen Zielgruppen in den Bereichen Governance, Management, Kontrolle und Sicherheit.
Prozessbeschreibungen von der tatsächlichen Verantwortung unterscheiden. Wählen Sie einen im Beitrag beschriebenen COBIT-4.1-Prozess und identifizieren Sie seine heutigen Entscheidungsinstanzen. Diese Gegenüberstellung zeigt, welche Gedanken übertragbar sind und wo eine historische Struktur angepasst werden muss.
{tmamazon asin="B0HL6NLP1M" layout="compact" align="none" label="Digital Governance" text="Regulierung, Verantwortung und Steuerung werden als zusammenhängende Führungsaufgabe betrachtet. Die Managementperspektive stellt die Frage in den Mittelpunkt, wie aus regulatorischen Vorgaben handhabbare Entscheidungen, Zuständigkeiten und Steuerungsprozesse entstehen." shorttext="Regulierung, Verantwortung und Steuerung werden als zusammenhängende Führungsaufgabe betrachtet." image="images/mg-publikationen/cover/buch-digital-governance-wie-unternehmen-regulierung-verantwortung-und-.jpg" book="1" note="Von Dr. Markus Groß" price="0" rating="0" count="0" features="0" disclosure="1"}
COBIT ist ein FRamework und unterstützender Werkzeugsatz, der es Managern ermöglicht, die Lücke in Bezug auf Kontrollanforderungen, technische Fragen und Geschäftsrisiken zu überbrücken und dieses Kontrollniveau den Interessengruppen zu vermitteln. COBIT ermöglicht die Entwicklung klarer Richtlinien und bewährter Verfahren für die IT-Kontrolle im gesamten Unternehmen. COBIT wird kontinuierlich auf dem neuesten Stand gehalten und mit anderen Standards und Richtlinien harmonisiert.
Vertiefung: COBIT 4.1 im Detail
„COBIT 4.1 im Detail“ setzt einen klaren historischen Ausgangspunkt. Die Ergänzung trennt diesen Anlass anhand von Rollenklarheit von den Fragen, die für Entscheidungen, Betrieb und Kontrolle weiterhin relevant sind.
Reifegrad: COBIT 41 im Detail
Praktisch relevant wird „COBIT 41 im Detail“ dort, wo Verantwortung und Ergebnis zusammenkommen: Es ist zu klären, welche nächste Fähigkeit wichtiger ist als eine möglichst hohe Stufe. Beim Schwerpunkt „COBIT 41 im Detail“ geht es um ein Management- oder Governance-Framework und seine praktische Nutzung sowie um den Bezug zu „Anpassungstiefe“; zu entscheiden ist, welcher Baustein ein konkretes Organisationsproblem löst (hier bezogen auf „Wirkungsprüfung“), ohne das Framework zum Selbstzweck zu machen. Die Grenze der Betrachtung bleibt eindeutig: Ein Framework liefert Orientierung (hier bezogen auf „Prozessnutzen“); Verantwortung für Auswahl, Anpassung und Wirkung bleibt bei der Organisation. Für den nächsten Review wird vereinbart: Reife an beobachtbarer Praxis statt an Selbsteinschätzung festmachen. Die Dokumentation hält zwei Dinge fest – ein priorisierter Entwicklungsschritt mit messbarem Abschluss; zusätzlich sichtbar wird: Entscheidungsdauer, Ergebnisqualität, Nacharbeit, Rollenklarheit und nachweisbare Verbesserung. Aus den vorhandenen Kommentaren lässt sich besonders der Punkt „klare Zuständigkeiten und Entscheidungsrechte“ aufnehmen; die Umsetzung wird dabei an „Prozessnutzen“ gespiegelt. Aus der Perspektive „Anpassungstiefe“ entsteht daraus eine konkrete Rückfrage an die Umsetzung.
Nachweis ohne blinden Fleck bei „Arbeitsergebnis“
Der konkrete Nutzen von „Anpassungstiefe“ zeigt sich erst, wenn eine offene Annahme überprüft wird: Es ist zu klären, welches Arbeitsergebnis Ausführung und Ergebnis glaubhaft belegt. Beteiligt sind hier vor allem Management, Prozess- und Serviceverantwortliche, Projektteams, Governance-Funktionen und Revision; ihre Perspektiven treffen beim Aspekt „Arbeitsergebnis“ unmittelbar aufeinander; die Umsetzung wird dabei an „Wirkungsprüfung“ gespiegelt. Ein realistischer Belastungstest betrachtet den Fall, dass Terminologie und Prozessbilder wachsen (hier bezogen auf „Integration“), während Entscheidungen, Leistungen oder Kontrollen unverändert schwach bleiben. Für den nächsten Review wird vereinbart: Nachweise möglichst im normalen Prozess entstehen lassen; für „Auswahl der Praktiken“ ist das Ergebnis gesondert festzuhalten. Überprüfbar wird der Schritt durch folgendes Ergebnis: eine datierte Spur aus Soll, Ausführung, Ergebnis und Abweichung; der konkrete Prüfmaßstab wird aus „Integration“ abgeleitet. Relevant bleibt dabei: der Zusammenhang zwischen „Anpassungstiefe“ und „Arbeitsergebnis“. Eine brauchbare Gegenprobe ist die Frage, ob dieselbe Entscheidung bei einer Störung rund um „Anpassungstiefe“ noch nachvollziehbar wäre.
Lernschleife ohne blinden Fleck bei „Auswahl der Praktiken“
Im Mittelpunkt von „Rollenklarheit“ steht weniger das Schlagwort als die damit verbundene Entscheidung: Es ist zu klären, wie Störungen, Rückfragen und Ausnahmen zur Verbesserung genutzt werden. Als belastbare Grundlage dienen Zielproblem, ausgewählte Praktiken, Rollenentscheidung, Arbeitsergebnisse, Abweichungen und Verbesserungsnachweise; für den Aspekt „Rollenklarheit“ muss ihre Herkunft nachvollziehbar bleiben. Die Entscheidung über „Auswahl der Praktiken“ sollte deshalb ausdrücklich festhalten, welcher Baustein ein konkretes Organisationsproblem löst (hier bezogen auf „Auswahl der Praktiken“), ohne das Framework zum Selbstzweck zu machen. Für die belastbare Umsetzung gilt als Auftrag: Muster regelmäßig auswerten und Regeln gezielt anpassen; für den Aspekt „Methodenumfang“ wird daraus ein eigener Prüfschritt. Der Prüfpfad endet nicht beim Dokument; im Fokus steht dabei „Managementbedarf“. Als Verbindung zwischen Nachweis und Messung dienen: eine Änderung, deren Anlass und erwartete Wirkung dokumentiert sind; die beobachtbare Veränderung beim Aspekt „Kosten, Aufwand und eine faire Verteilung“. Aus den vorhandenen Kommentaren lässt sich besonders der Punkt „Kosten, Aufwand und eine faire Verteilung“ aufnehmen; die Bewertung erfolgt hier aus der Perspektive „Entscheidungsweg“. Aus der Perspektive „Auswahl der Praktiken“ entsteht daraus eine konkrete Rückfrage an die Umsetzung.
Prüfbarkeit als Konsequenz aus „Verbesserungsschritt“
Für die belastbare Anwendung von „Verbesserungsschritt“ muss aus der Beobachtung ein prüfbarer Arbeitsauftrag werden: Es ist zu klären, ob eine dritte Person Entscheidung und Durchführung ohne mündliche Rekonstruktion versteht. Die alltagstaugliche Übersetzung für „Verbesserungsschritt“ lautet: Nur die für das Ziel erforderlichen Elemente werden übernommen und anhand beobachtbarer Ergebnisse weiterentwickelt – betrachtet im Kontext „COBIT 41 im Detail“. Damit wird zugleich die Grenze beim Aspekt „Methodenumfang“ sichtbar: Ein Framework liefert Orientierung (hier bezogen auf „Reifeentwicklung“); Verantwortung für Auswahl, Anpassung und Wirkung bleibt bei der Organisation. Im Regelbetrieb wird folgender Punkt verankert: Begründung, Zeitpunkt, Verantwortliche, Eingangsdaten und Ergebnis zusammenhalten; die Umsetzung wird dabei an „COBIT 41 im Detail“ gespiegelt. Der Prüfpfad endet nicht beim Dokument; der Prüfkontext ist hier „Anpassungstiefe“. Als Verbindung zwischen Nachweis und Messung dienen: einen reproduzierbaren Prüfpfad bis zur Quelle; Entscheidungsdauer, Ergebnisqualität, Nacharbeit, Rollenklarheit und nachweisbare Verbesserung. Der gewählte Weg sollte sich außerdem umkehren lassen, falls die Annahmen zu „Methodenumfang“ später nicht mehr tragen.
Als Abschluss für COBIT 41 im Detail genügen drei verbindliche Antworten zu Anpassungstiefe: Wer entscheidet über Rollenklarheit, woran wird Wirkung bei Verbesserungsschritt erkannt und welcher Auslöser führt zur erneuten Prüfung? Sind diese Punkte geklärt, wird aus dem historischen Impuls zu Arbeitsergebnis eine belastbare Arbeitsgrundlage.