Von Markus Groß auf Montag, 05. Juli 2021
Kategorie: IT

Der COBIT 2019 Design Guide: Maßgeschneiderte IT-Governance

D

er COBIT 2019 Design Guide ist weit mehr als ein Handbuch zum Ausfüllen von Tabellen. Er ist das fehlende Bindeglied zwischen allgemeiner „Good Practice“ und den sehr konkreten Realitäten Ihrer Organisation: Zielen, Risiken, Kultur, Technologien, regulatorischen Zwängen, Ressourcen und Ambitionen. Sein Anspruch ist nicht, ein starres Korsett zu liefern, sondern ein Bau- und Vermessungsplan für ein Governance-System, das zu Ihrem Unternehmen passt – heute, morgen und in zwei Reorganisationen.

Im Kern beantwortet der Design Guide vier Fragen:

  1. Was soll IT-Governance in dieser Organisation erreichen (und warum)?
  2. Wo setzen wir an – bei welchen Governance- und Management-Zielen?
  3. Wie sieht ein passendes Set an Komponenten, Rollen, Prozessen, Informationen und Metriken aus?
  4. Woran erkennen wir, dass das Ganze wirkt – und wie passen wir es an, wenn sich Umfeld oder Strategie ändern?

Damit wechselt COBIT von der Brille „Framework anwenden“ zur Brille „System entwerfen“. Das macht den Design Guide zum zentralen Werkzeug für CIOs, CDOs, CISOs, Enterprise-Architekten, Risk- und Compliance-Verantwortliche – aber auch für die Fachbereiche, die digitale Wertschöpfung verantworten.

Warum ein Design Guide? Vom „Best Practice“-Katalog zum Governance-System

Viele Unternehmen sind mit Frameworks vertraut und doch unzufrieden: zu generisch, zu papierlastig, zu weit weg vom Geschäft. Der Design Guide dreht die Logik um. Er startet nicht mit der Frage „Welche Prozesse fehlen?“, sondern mit Designfaktoren, also den Kräften, die in Ihrer Organisation wirken: Strategie, Risikoappetit, Regulierung, Rolle der IT, Technologien, Liefermodell, Größe, Kultur, geografische Verteilung und mehr.

Aus diesen Faktoren leitet der Guide ab, welche Governance- und Management-Ziele besonders relevant sind, wie stark sie gewichtet werden und welche Komponenten (Prozesse, Strukturen, Policies, Informationen, Menschen & Skills, Services & Anwendungen, Kultur & Verhalten) in welcher Ausprägung gebraucht werden.

Ergebnis ist kein Standard-Baukasten, sondern ein eigenes Governance-System, das fokussiert, messbar und veränderungsfähig ist – und das sich in Ihre bestehende Unternehmenssteuerung einfügt.

Ein Blick auf die COBIT-Bausteine: Zielekaskade und Systemkomponenten

Bevor wir in den Entwurf einsteigen, lohnt ein kurzer Blick auf zwei fundamentale COBIT-Ideen:

So vermeiden Sie den Klassiker „wir haben den Prozess, aber nichts funktioniert“ – weil eben Rollen, Informationen, Tools oder Kompetenzen fehlen.

Designfaktoren in der Praxis – die DNA Ihres Governance-Systems

Der Design Guide beschreibt eine Reihe von Designfaktoren, die das Governance-Design maßgeblich prägen. Keine Organisation ist identisch; genau deshalb werden diese Faktoren erfasst, gewichtet und zueinander in Beziehung gesetzt. Zu den wichtigsten gehören:

Aus diesen Faktoren entsteht eine Designfaktoren-Matrix oder Heatmap, die klar zeigt, wo die Reise hingeht: Welche Governance- und Management-Ziele sind „Must-win battles“? Wo reicht „Good Enough“? Wo sind Risikolücken und wo Werthebel?

Der Entwurfsprozess Schritt für Schritt – iterativ, evidenzbasiert, anschlussfähig

Der Design Guide schlägt einen iterativen, schrittweisen Ablauf vor. Wichtig ist: Es ist kein linearer Wasserfall; Einsichten aus späteren Schritten können frühere Entscheidungen nachschärfen.

1) Strategie und Kontext verstehen

Ohne klare Geschäftsziele gibt es keine sinnvolle IT-Governance. Der erste Schritt sammelt und konsolidiert:

Ergebnis ist eine kompakte Strategielandkarte, an die sich Governance-Ziele ankern lassen.

2) Governance- und Management-Ziele auswählen und priorisieren

Auf Basis der Designfaktoren wird entschieden, welche Ziele (EDM/ APO/ BAI/ DSS/ MEA) wie stark in den Fokus rücken. Eine gewichtete Shortlist entsteht – z. B.:

Wichtig ist, dass die Auswahl begründet ist – im Zweifel mit Designfaktoren-Scores und Risikobewertungen.

3) Governance-Systemkomponenten ausprägen

Für jedes priorisierte Ziel wird die erforderliche Ausprägung der Komponenten festgelegt:

So entsteht Substanz – nicht nur eine Zielüberschrift.

4) Performance-Management definieren: von Aktivität zu Wirkung

COBIT 2019 stärkt das Thema Performance-Management deutlich. Entscheidend ist, Ergebnis- und Frühindikatoren zu kombinieren:

Für priorisierte Ziele werden klare Messpunkte festgelegt, Datenquellen benannt (ideal: Telemetrie statt Excel) und Schwellenwerte vereinbart. Performance wird sichtbar – für Teams, Management und Audit.

5) Design validieren und iterativ ausrollen

Bevor großflächig ausgerollt wird, empfiehlt der Guide Pilotbereiche und Dry-Runs: Funktionieren Rollen, Artefakte, Workflows? Erzeugt das System Evidenz ohne überbordende Last? Entsteht Wert (z. B. schnelleres Onboarding, weniger Incidents, klarere Entscheidungen)?

Erkenntnisse fließen zurück ins Design. Dann folgt der Rollout – nicht als Big Bang, sondern entlang Wertströmen/Plattformen/Regionen. Ein Design-Backlog hält Anpassungen fest; Trigger (M&A, neue Regulierung, Strategiewechsel, Plattformwechsel) lösen Redesign-Sprints aus.

Focus Areas: thematische Vertiefungen statt lose Anhängsel

COBIT 2019 kennt Focus Areas – vertiefte Sichten für spezifische Themen oder Kontexte. Sie sind der Ort, an dem branchenspezifische oder technologiegetriebene Besonderheiten verankert werden, ohne das Kernmodell zu überladen. Beispiele:

Im Design werden passende Focus Areas hinzugezogen und in Ziele, Komponenten, Metriken übersetzt.

Integration statt Inseln: COBIT als Orchestrator zwischen Frameworks

Der Design Guide ermutigt, COBIT nicht isoliert zu sehen. In der Realität greifen oft mehrere Frameworks ineinander. COBIT liefert die Governance-Klammer:

Diese Mappings verhindern Doppelarbeit und sorgen dafür, dass alle dasselbe meinen, wenn sie über Risiken, Qualität, Nutzen und Compliance sprechen.

Rollen, Strukturen, Gremien – klare Verantwortung statt Schattensteuerung

Ein Governance-System bleibt Theorie, wenn Verantwortung diffus ist. Der Design Guide fordert klare Rollen- und Gremienbilder:

RACI-Matrizen sind Mittel zum Zweck. Entscheidend ist, dass Entscheidungsrechte und Pflichten dort liegen, wo Wert und Risiko entstehen.

Metriken, die zählen – und wie sie erhoben werden

Leistung ohne Messung bleibt Meinung. Der Design Guide fordert, Messpunkte entlang der Zielkaskade zu verankern. Einige anschauliche Beispiele:

Wichtig: Datenquellen gehören ins Design (Observability, ITSM, GRC, SIEM, FinOps, Data Catalog, IaC-Scanner, MLOps). Nur so werden Kennzahlen verlässlich und kostengünstig.

Automatisierung und Evidenz: „Controls as Code“ und Continuous Controls Monitoring

Moderne Governance lebt nicht in PDF-Richtlinien, sondern in Pipelines und Telemetrie. Der Design Guide lässt sich hervorragend mit Policy-as-Code und Continuous Controls Monitoring (CCM) verbinden:

Das Design entscheidet, welche Kontrollen zwingend, welche kompensierbar und welche informativ sind – mit klaren Schwellenwerten.

Kultur, Fähigkeiten, Veränderung: Governance, die Menschen mitnimmt

Kein Design trägt, wenn Kultur und Fähigkeiten nicht passen. Der Guide fordert, Menschen & Skills als gleichwertige Komponente zu behandeln:

So wird Governance Teil des Alltagshandelns – nicht nur Kontrollen von außen.

Drei exemplarische Anwendungsszenarien

1) Mittelständischer Hersteller auf Multi-Cloud-Kurs

Strategie: digitale Services für Maschinen, globale Expansion, starkes Partnernetz. Hoher Anteil ausgelagerter IT.

Designfaktoren priorisieren APO10 (Drittparteien), EDM03 (Risiko), BAI09 (Asset-Management), DSS04 (Kontinuität) und eine Cloud-Focus Area (FinOps/GreenOps). Governance-Komponenten setzen auf Plattform-Guardrails, Exit-Klauseln, FinOps-Dashboards, DR-Übungen in allen Regionen, SBOM-Pflichten bei Lieferanten. Metriken: Drittanbieter-Assessments on time, DR-Success-Rate, egress-Kosten pro Produkt, CO₂e-Fußabdruck je Workload, Major-Incident-Trend.

2) Reguliertes FinTech unter DORA

Strategie: Skalierung in der EU, hohe Abhängigkeit von Cloud/SaaS, Meldepflichten.

Designfaktoren erzwingen MEA01/03 (Überwachung/Conformance), DSS02/04 (Incident/Resilienz), APO12 (Risiko), APO10 (TTP), Focus Areas Resilienz-Testing (TLPT) und Incident Reporting. Komponenten: Krisen-Gremien, standardisierte Meldeketten, Threat-led-Tests, CCM für kritische Kontrollen, Vertragliche Nachweise. Metriken: Melde-SLAs eingehalten, Übungsfrequenz, Findings-Abbau, Audit-Severities, TTP-Exit-Readiness.

3) Öffentliche Verwaltung mit Souveränitäts-Fokus

Strategie: Nutzerzentrierte Services, Interoperabilität, Transparenz, Datenschutz.

Designfaktoren stärken EDM01/02 (Ausrichtung/Nutzen), APO02 (Strategie), APO13 (Sicherheit), MEA02 (System-internes Kontrollsystem). Komponenten: Interoperabilitäts-Gremien, Architekturprinzipien, Transparenz-Dashboards, Langzeit-Archivierung, Privacy-by-Design. Metriken: Time-to-Service, Wiederverwendungsquote von Bausteinen, Datenschutz-Befunde, Interop-Conformance.

Häufige Stolpersteine – und wie das Design sie vermeidet

Von der Idee zur Wirkung: Was ändert sich für die Linienorganisation?

Anpassungsfähigkeit als Prinzip – Governance, die mitwächst

Der Design Guide legt großen Wert auf Anpassungsfähigkeit. Das Governance-System enthält eingebaute Änderungsmechanismen:

So bleibt Governance lebendig und verliert nie den Anschluss an Realität und Strategie.

Fazit: Der COBIT 2019 Design Guide als Hebel für wirksame, anschlussfähige IT-Governance

Der COBIT 2019 Design Guide macht aus einem Rahmenwerk ein Engineering-Instrument. Er zwingt zur Klarheit der Ziele, zur Priorisierung durch Designfaktoren, zur Ausprägung aller nötigen Komponenten – und zu Messung mit Evidenz. Er hilft, Agilität und Sicherheit zu versöhnen, Compliance als Nebenprodukt guter Steuerung zu erreichen und Wert, Risiko und Tempo in Balance zu bringen.

Wer ihn ernsthaft anwendet, erhält kein Papier-ISMS und keinen Prozess-Zoo, sondern ein maßgeschneidertes Governance-System, das Value schafft, Risiken senkt und die Organisation befähigt – heute und unter den Veränderungen von morgen. Genau deshalb gehört der Design Guide in jede Transformations- und Steuerungsagenda: Er macht Governance greifbar, prüfbar und anpassbar – und damit wirksam.

Verwandte Beiträge