Führungskräfte in Unternehmen und öffentlichen Einrichtungen werden zunehmend aufgefordert, sich Gedanken darüber zu machen, wie gut die IT gemanagt wird. Als Reaktion darauf müssen Business Cases zur Verbesserung entwickelt und die entsprechende Ebene der Verwaltung und Kontrolle über die Informationsinfrastruktur erreicht werden. Auch wenn nur wenige argumentieren würden, dass dies keine gute Sache ist, so müssen sie doch das Kosten-Nutzen-Verhältnis und diese damit verbundenen Fragen berücksichtigen:
- Was tun unsere Branchenkollegen, und wie werden wir in Beziehung zu ihnen gesetzt?
- Was ist eine akzeptable gute Praxis in der Industrie, und wie werden wir in Bezug auf diese Praktiken platziert?
- Kann man auf der Grundlage dieser Vergleiche sagen, dass wir genug tun?
- Wie können wir feststellen, was getan werden muss, um ein angemessenes Management- und Kontrollniveau für unsere IT-Prozesse zu erreichen?
Es kann schwierig sein, aussagekräftige Antworten auf diese Fragen zu geben. Das IT-Management ist ständig auf der Suche nach Benchmarking- und Selbstbewertungsinstrumenten, da es wissen muss, was effizient zu tun ist. Ausgehend von den COBIT-Prozessen sollte der Prozessverantwortliche in der Lage sein, inkrementelle Benchmarks anhand dieses Kontrollziels durchzuführen. Dies entspricht drei Bedürfnissen:
- Ein relatives Maß dafür, wo das Unternehmen steht
- Eine Art und Weise, effizient zu entscheiden, wohin man geht
- Ein Instrument zur Messung der Fortschritte im Hinblick auf das Ziel.
Die Reifegradmodellierung für das Management und die Kontrolle von IT-Prozessen basiert auf einer Methode zur Bewertung der Organisation, so dass sie von einem Reifegrad von nicht vorhanden (0) bis optimiert (5) bewertet werden kann. Dieser Ansatz leitet sich aus dem Reifegradmodell ab, das das Software Engineering Institute (SEI) für den Reifegrad der Softwareentwicklungsfähigkeit definiert hat.
Anhand der Reifegradmodelle, die für jeden der 34 IT-Prozesse von COBIT entwickelt wurden, kann das Management diese identifizieren:
- Die tatsächliche Leistung des Unternehmens - wo das Unternehmen heute steht
- Der aktuelle Stand der Branche - Der Vergleich
- Das Verbesserungsziel des Unternehmens - Wo das Unternehmen sein möchte
- Der erforderliche Wachstumspfad zwischen "Ist" und "Soll".
Um die Ergebnisse in Managementbriefings leicht nutzbar zu machen, wo sie als Mittel zur Unterstützung des Business Case für zukünftige Pläne präsentiert werden, muss eine grafische Darstellungsmethode bereitgestellt werden (siehe Abbildung).
Der Vorteil eines Reifegradmodell-Ansatzes besteht darin, dass es für das Management relativ einfach ist, sich in die Waagschale zu werfen und einzuschätzen, worum es geht, wenn eine verbesserte Leistung erforderlich ist.
Die Skala umfasst 0, weil es gut möglich ist, dass überhaupt kein Prozess existiert. Die Skala von 0-5 basiert auf einer einfachen Reifegrad-Skala, die zeigt, wie sich ein Prozess von einer nicht vorhandenen Fähigkeit zu einer optimierten Fähigkeit entwickelt. Am Ende jedes Prozesses wird die Leistung dieses Prozesses durch die Reifegradmodelle bewertet, mit denen die tatsächliche Leistung des Unternehmens für seine IT-Prozesse gemessen wird.
Vertiefung: Reifegradmodel von COBIT
„Reifegradmodel von COBIT“ bleibt als zeitbezogene Einordnung erhalten. Die folgende Ergänzung betrachtet den Schwerpunkt mit Blick auf Rollenklarheit aus heutiger Organisations- und Betriebssicht, ohne damalige Zahlen oder Produktversprechen stillschweigend fortzuschreiben.
Umsetzungsfolge im Blick: Rollenklarheit
Beim Aspekt „Reifegradmodel von COBIT“ hilft ein enger Blick auf Entscheidung und Betriebswirkung: Es ist zu klären, welche Abhängigkeit vor dem nächsten Schritt gelöst werden muss. Beim Schwerpunkt „Reifegradmodel von COBIT“ geht es um ein Management- oder Governance-Framework und seine praktische Nutzung sowie um den Bezug zu „Rollenklarheit“; zu entscheiden ist, welcher Baustein ein konkretes Organisationsproblem löst (hier bezogen auf „Entscheidungsweg“), ohne das Framework zum Selbstzweck zu machen. Dabei bleibt folgende Grenze maßgeblich: Ein Framework liefert Orientierung (hier bezogen auf „Prozessnutzen“); Verantwortung für Auswahl, Anpassung und Wirkung bleibt bei der Organisation. Im Regelbetrieb wird folgender Punkt verankert: Arbeitspakete nach Entscheidungsfähigkeit statt nach Dokumenttypen ordnen; der Prüfkontext ist hier „Auswahl der Praktiken“. Der Prüfpfad endet nicht beim Dokument; „Entscheidungsweg“ liefert dafür den praktischen Anwendungsfall. Als Verbindung zwischen Nachweis und Messung dienen: eine kurze Folge aus Ergebnis, Verantwortlichem und Abnahmekriterium; Entscheidungsdauer, Ergebnisqualität, Nacharbeit, Rollenklarheit und nachweisbare Verbesserung. Für den Dialog unter dem Beitrag ist „klare Zuständigkeiten und Entscheidungsrechte“ der passende Belastungstest: Gerade beim Aspekt „Rollenklarheit“ muss die Regel im Alltag tragen.
Rollenklarheit – Entscheidungsoptionen praktisch fassen
Für die belastbare Anwendung von „Rollenklarheit“ muss aus der Beobachtung ein prüfbarer Arbeitsauftrag werden: Es ist zu klären, welche Alternativen zwischen vollständigem Verbot und uneingeschränkter Freigabe liegen. Beteiligt sind hier vor allem Management, Prozess- und Serviceverantwortliche, Projektteams, Governance-Funktionen und Revision; ihre Perspektiven treffen beim Aspekt „Auswahl der Praktiken“ unmittelbar aufeinander; im vorliegenden Abschnitt wird dies an „Entscheidungsweg“ konkretisiert. Kritisch wird die Lage insbesondere dann, wenn Terminologie und Prozessbilder wachsen (hier bezogen auf „Anpassungstiefe“), während Entscheidungen, Leistungen oder Kontrollen unverändert schwach bleiben. Im Regelbetrieb wird folgender Punkt verankert: Optionen nach Nutzen, Risiko, Aufwand und Rückbaubarkeit vergleichen. Überprüfbar wird der Schritt durch folgendes Ergebnis: eine dokumentierte Optionsentscheidung mit verworfenen Alternativen; für den Aspekt „Anpassungstiefe“ wird daraus ein eigener Prüfschritt. Relevant bleibt dabei: der Zusammenhang zwischen „Rollenklarheit“ und „Auswahl der Praktiken“. Der gewählte Weg sollte sich außerdem umkehren lassen, falls die Annahmen zu „Auswahl der Praktiken“ später nicht mehr tragen.
Gegenposition als Konsequenz aus „Arbeitsergebnis“
Praktisch relevant wird „Arbeitsergebnis“ dort, wo Verantwortung und Ergebnis zusammenkommen: Es ist zu klären, welches stärkste sachliche Argument gegen die bevorzugte Lösung spricht. Als belastbare Grundlage dienen Zielproblem, ausgewählte Praktiken, Rollenentscheidung, Arbeitsergebnisse, Abweichungen und Verbesserungsnachweise; für den Aspekt „Arbeitsergebnis“ muss ihre Herkunft nachvollziehbar bleiben. Die Entscheidung über „Methodenumfang“ sollte deshalb ausdrücklich festhalten, welcher Baustein ein konkretes Organisationsproblem löst (hier bezogen auf „Methodenumfang“), ohne das Framework zum Selbstzweck zu machen; für den Aspekt „Wirkungsprüfung“ wird daraus ein eigener Prüfschritt. Für die belastbare Umsetzung gilt als Auftrag: Gegenargumente nicht abwehren, sondern als Belastungstest verwenden; der Prüfkontext ist hier „Managementbedarf“. Der vorgesehene Nachweis lautet: eine dokumentierte Abwägung mit verbleibender Unsicherheit; bezogen auf „Verbesserungsschritt“ ist die konkrete Ausprägung separat zu entscheiden. Als Messperspektive dient: die beobachtbare Veränderung beim Aspekt „Tests und Lernen aus erkannten Abweichungen“; der konkrete Prüfmaßstab wird aus „Verbesserungsschritt“ abgeleitet. Der Diskussionsaspekt „Tests und Lernen aus erkannten Abweichungen“ ergänzt die Betrachtung sinnvoll, weil er „Methodenumfang“ mit der tatsächlichen Anwendung verknüpft.
Was „Integration“ für Messgröße bedeutet
Eine nüchterne Fortführung trennt bei „Integration“ den damaligen Anlass von der bleibenden Organisationsfrage: Es ist zu klären, welcher Wert eine konkrete Reaktion auslösen kann. Die alltagstaugliche Übersetzung für „Integration“ lautet: Nur die für das Ziel erforderlichen Elemente werden übernommen und anhand beobachtbarer Ergebnisse weiterentwickelt – betrachtet im Kontext „Reifegradmodel von COBIT“. Damit wird zugleich die Grenze beim Aspekt „Managementbedarf“ sichtbar: Ein Framework liefert Orientierung (hier bezogen auf „Wirkungsprüfung“); Verantwortung für Auswahl, Anpassung und Wirkung bleibt bei der Organisation. Im Regelbetrieb wird folgender Punkt verankert: Definition, Quelle, Schwelle, Eigentümer und Konsequenz gemeinsam festlegen; die Umsetzung wird dabei an „Reifegradmodel von COBIT“ gespiegelt. Überprüfbar wird der Schritt durch folgendes Ergebnis: eine Kennzahl mit erklärbarer Datenherkunft und Entscheidung; der Prüfkontext ist hier „Rollenklarheit“. Relevant bleibt dabei: Entscheidungsdauer, Ergebnisqualität, Nacharbeit, Rollenklarheit und nachweisbare Verbesserung; der konkrete Prüfmaßstab wird aus „Rollenklarheit“ abgeleitet. Im Managementdialog muss beim Aspekt „Integration“ erkennbar bleiben, welche Unsicherheit akzeptiert und welche aktiv reduziert wird.
Wirksamkeit: Auswahl der Praktiken
Eine nüchterne Fortführung trennt bei „Auswahl der Praktiken“ den damaligen Anlass von der bleibenden Organisationsfrage: Es ist zu klären, ob die Maßnahme das beabsichtigte Risiko oder Ergebnis tatsächlich verändert. Die Schwachstelle liegt nicht im Schlagwort selbst, sondern dort, wo Terminologie und Prozessbilder wachsen (hier bezogen auf „Verbesserungsschritt“), während Entscheidungen, Leistungen oder Kontrollen unverändert schwach bleiben. Für die beteiligten Rollen – Management, Prozess- und Serviceverantwortliche, Projektteams, Governance-Funktionen und Revision – braucht der Aspekt „Auswahl der Praktiken“ daher einen vorab geklärten Entscheidungsweg. Im Regelbetrieb wird folgender Punkt verankert: Design, Ausführung und Wirkung getrennt beurteilen; der konkrete Prüfmaßstab wird aus „Integration“ abgeleitet. Überprüfbar wird der Schritt durch folgendes Ergebnis: eine Wirkungsprüfung mit Gegenbeispiel und Folgemaßnahme; im vorliegenden Abschnitt wird dies an „Auswahl der Praktiken“ konkretisiert. Relevant bleibt dabei: der Zusammenhang zwischen „Auswahl der Praktiken“ und „Reifegradmodel von COBIT“. Aus den vorhandenen Kommentaren lässt sich besonders der Punkt „Kosten, Aufwand und eine faire Verteilung“ aufnehmen; „Entscheidungsweg“ liefert dafür den praktischen Anwendungsfall. Aus der Perspektive „Reifegradmodel von COBIT“ entsteht daraus eine konkrete Rückfrage an die Umsetzung.
Nachweis im Blick: Integration
Der konkrete Nutzen von „Entscheidungsweg“ zeigt sich erst, wenn eine offene Annahme überprüft wird: Es ist zu klären, welches Arbeitsergebnis Ausführung und Ergebnis glaubhaft belegt. Folgende Messperspektive zeigt, ob sich der Aspekt „Entscheidungsweg“ tatsächlich verbessert oder nur formell bearbeitet wurde: Entscheidungsdauer, Ergebnisqualität, Nacharbeit, Rollenklarheit und nachweisbare Verbesserung. Für „Integration“ bleibt dabei verbindlich: Ein Framework liefert Orientierung (hier bezogen auf „Verbesserungsschritt“); Verantwortung für Auswahl, Anpassung und Wirkung bleibt bei der Organisation. Operativ folgt daraus: Nachweise möglichst im normalen Prozess entstehen lassen; die Umsetzung wird dabei an „Prozessnutzen“ gespiegelt. Für Audit und Führung reicht Aktivität nicht aus; im Fokus steht dabei „Methodenumfang“. Benötigt wird folgender Nachweis: eine datierte Spur aus Soll, Ausführung, Ergebnis und Abweichung; bewertet wird außerdem: die beobachtbare Veränderung beim Aspekt „klare Zuständigkeiten und Entscheidungsrechte“. Beim Aspekt „Integration“ ist nicht die Menge der Aktivitäten entscheidend, sondern die erkennbare Veränderung des Ergebnisses.
Als Abschluss für Reifegradmodel von COBIT genügen drei verbindliche Antworten zu Rollenklarheit: Wer entscheidet über Arbeitsergebnis, woran wird Wirkung bei Integration erkannt und welcher Auslöser führt zur erneuten Prüfung? Sind diese Punkte geklärt, wird aus dem historischen Impuls zu Auswahl der Praktiken eine belastbare Arbeitsgrundlage.