IT-Governance als Beitrag zur Wertschöpfung

Der Begriff Governance wird heute vielfach verwendet, mit unterschiedlichen Bedeutungen und nicht immer klarer Definition. Wichtig ist, Governance von Government abzugrenzen und nicht damit zu verwechseln.
Uns gefällt besonders ein Erklärungsansatz, der sich aus der Wortherkunft und dessen -Bedeutung ableitet: Im Altgriechischen steht er sinngemäß für "das Steuerruder führen".

Wenn wir also im Kontext von IT über Governance sprechen, meinen wir vor allem die Festlegung und Anwendung von verschiedenen Grundsätzen in Form von IT-Strategien, -Richtlinien, -Rollen und -Prozessen und -Werkzeugen etc., um eine organisierte Führung der IT zu erreichen und gewährleisten zu können.

In einem zeitgemäßen Verständnis fokussiert IT-Governance daher nicht "nur" auf Kontrolle, Steuerung und Überwachung, sondern auch und besonders auf die Befähigung der Unternehmens-IT.

IT-Governance-Strukturen wurden und werden vielfach in Adaption international anerkannter und etablierter Best-Practices-Standards wie CoBit (Control Objectives for Information and Related Technology) oder ITIL (Information Technology Infrastructure Library) ausgerichtet.
Unsere GRC-Enabler sind selbstverständlich mit den beiden häufigsten Standards in deutschen Unternehmen vertraut.

Daneben gibt es im Kontext der Organisation von IT-Governance eine ganze Reihe weiterer Standards wie das CMMI IT Governance Framework (Capability Maturity Model Integration), das TOGAF (The Open Group Architecture Framework) oder das VAL IT Governance Framework.

Da wir euch in der IT-Governance stärken und nach vorne bringen wollen, sind wir überzeugt, dass es keine "one fits for all"-Ansätze gibt. Unsere langjährige Erfahrung zeigt uns, dass es immer um unternehmensindividuelle Lösungen geht. Insofern wird für jeden Einzelfall auszuloten sein, ob und welche Bausteine der Standards weiterhelfen oder nicht.

Das Modell der drei Abwehrlinien, auch bekannt als "three lines of defense", ist ein Organisationskonzept in Unternehmen, das ursprünglich aus dem Bereich der Risikomanagement- und Kontrollsysteme stammt. Es soll eine klare Aufteilung der Verantwortlichkeiten gewährleisten.

In IT-Organisationen wird das Modell angewendet, um sicherzustellen, dass Risiken auf allen IT-Ebenen angemessen identifiziert, bewertet und gemanagt werden, wobei die verschiedenen Linien jeweils spezifische Rollen und Verantwortlichkeiten übernehmen, wodurch die Gesamtrisikobereitschaft verbessert werden soll.

Die erste Linie umfasst die operativen Einheiten (z.B. IT-Betrieb, IT-Product-Owner oder IT-Security), die zweite Linie definiert und überwacht Vorgaben (z.B. Business Continuity Management, Datenschutz, Informationssicherheit, Recht und Risikomanagement), während die dritte Linie unabhängige Prüfungs- und Überwachungseinheiten umfasst (z.B. Aufsichtsbehörden, interne Revision und Abschlussprüfung).

Die besondere Bedeutung, die die Aufsichtsbehörden der IT-Governance bei Finanzunternehmen beimessen, erklärt sich unter anderem aus der hohen Abhängigkeit ihrer Geschäftstätigkeiten von IT-gestützten Lösungen und Systemen. Vielfach ist die IT zudem der größte "Produktionsfaktor" in den Banken und Versicherungen. Im Zeitalter der Digitalisierung ist es nicht mehr denkbar, dass ein Geschäftsprozess noch ohne funktionale Unterstützung durch moderne Informations- und Kommunikationstechnologien abläuft und funktioniert.

So ist zuletzt der europäische Gesetzgeber diesem "Phänomen" beispielsweise mit der Veröffentlichung des Digital Operational Resilience Act (DORA) begegnet. Auf der nationalen Ebene haben die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) und die Bundesbank jüngst ihre bisherigen Einschätzungen und Sichtweisen zur Nutzung cloudbasierter Anwendungen und Infrastrukturen mit ihrer Aufsichtsmitteilung Cloud justiert.

Schon diese beiden Regelwerke bedingen in ihrer verbindlichen Anwendung die Weiterentwicklung bestehender IT-Governance-Strukturen. Von der Strategie über Richtlinien, Rollen und Prozessen bis zu Melde- und Informationsregistern: Wichtigste Ziele sind Stabilität, Resilienz und Zuverlässigkeit der IT, um den geschäftlichen Betrieb aufrechtzuerhalten und vor möglichen Attacken und Störungen zu schützen.

Das zu organisieren, ist eine der Kernaufgaben von IT-Governance.