IT Governance

Regieren geht über verlieren

Die IT entwickelt sich schnell, immer neue Lösungen werden angeboten, um Unternehmen noch profitabler wirtschaften zu lassen. Da kommt nicht jeder mit, der CFO aber sollte es. Denn hier gilt: Wer nicht regiert, verliert. Dr. Ing. Klaus-Rainer Müller erklärt die Grundsätze.

von Alexa v. Busse, am 6. November 2009

Cfoworld: Herr Dr. Müller, was verstehen Sie unter IT Governance?

Müller: Sie ist ein spezifischer Teilaspekt der Corporate Governance und bezeichnet die gute und verantwortungsvolle Steuerung der IT. Die IT soll finanzielle Mittel und personelle Kapazitäten im Sinne des Unternehmens optimal einsetzen und gleichzeitig verantwortungsbewusst mit Daten umgehen. Dafür sorgt IT Governance.

cfoworld: Wie gut muss ein CFO sich heute mit der IT auskennen?

Müller: Einem CFO muss klar sein: Die IT ist eine entscheidende und unverzichtbare Ressource für alle Geschäftsprozesse im Unternehmen. Mit ihr lässt sich ein großer Teil an Innovation und Effizienzsteigerung erreichen, die wiederum zu Wettbewerbsvorteilen führen können. Deshalb investieren Unternehmen in ihre IT erhebliche finanzielle Mittel und Personalkapazität.

Der erwartete Return on Investment bleibt jedoch verschiedentlich aus, entweder weil der Fokus auf der IT, oftmals sogar nur auf der Technik, und nicht auf dem geschäftlichen Nutzen liegt. Oder weil Kosten-Nutzen-Analysen von Neu- oder Weiterentwicklungen nur funktionale Anforderungen der Nutzer berücksichtigen. Ein CFO muss also seine IT und deren Kennzahlen kennen, um sie profitabel steuern zu können. Und schließlich befinden sich im Geschäftsbereich IT auch unternehmenskritische Daten, insbesondere Finanzdaten, für deren Richtigkeit der CFO Verantwortung trägt.

cfoworld: Was beinhaltet IT Governance?

Müller: Zum einen müssen gesetzliche, aufsichtsbehördliche, normative und vertragliche Vorgaben eingehalten und die sogenannten „best“ oder „good practices“ in der IT umgesetzt werden - Compliance ist gefordert. Zum anderen kommen die wirtschaftliche, am Geschäft des Unternehmens ausgerichtete Organisation und Steuerung der IT hinzu. Dies beinhaltet das Service Level Management und das Risikomanagement, zu dem das Sicherheits- und Kontinuitätsmanagement ihren Beitrag liefern.

cfoworld: Welche gesetzlichen und aufsichtsbehördlichen Vorgaben sind das genau?

Müller: Die Notwendigkeit eines Risikomanagements ist im Aktiengesetz und im Handelsgesetzbuch verankert. Zum Sicherheits- und Kontinuitätsmanagement fordert zum Beispiel das HGB, dass die Grundsätze ordnungsmäßiger Buchführung eingehalten werden. Dazu gehört zum einen, dass die Aufzeichnungen vollständig und richtig sind und nicht so verändert werden können, dass ihr ursprünglicher Inhalt nicht mehr feststellbar ist. Zum anderen müssen die Daten während der Dauer der Aufbewahrungsfrist verfüg- und lesbar sein.

Aufsichtsbehördliche Vorgaben gibt es beispielsweise für Banken und Versicherungen in den jeweiligen Mindestanforderungen an das Risikomanagement (MaRisk) der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin).

cfoworld: Und was muss das Service Level Management leisten?

Müller: Das Service Level Management dient der Überwachung und Steuerung von IT-Dienstleistungen. Damit die richtig erbracht werden, müssen mit der IT Service-Vereinbarungen geschlossen werden. Dazu sind professionelle Service-Beschreibungen und geeignete Kennzahlen, die sogenannten Service Level Objectives, erforderlich. Eine nutzerorientierte Kennzahl ist zum Beispiel die „prozentuale Anwendungsverfügbarkeit am Arbeitsplatz innerhalb der Servicezeit pro Monat“.

Zum Service Level Management gehört dann, die Einhaltung der Services kontinuierlich zu überwachen, also das Monitoring, sowie die regelmäßigen Berichte des internen oder externen Dienstleisters auszuwerten und zu besprechen. Dies erfordert auf Seiten der Nutzer und der IT eine geeignete Organisation sowie technische Überwachungseinrichtungen.

cfoworld: Aber das leisten doch die Mitarbeiter. Warum muss der CFO das so genau wissen?

Müller: Für den CFO ist es wichtig, dass die IT-Services die geschäftlichen Anforderungen erfüllen und gleichzeitig wirtschaftlich sind. Dazu muss er die Anforderungen der Nutzer kennen und unter Kosten-Nutzen-Aspekten bewerten. Hierbei unterscheidet er zwischen Kerngeschäftsprozessen und Unterstützungsprozessen. Bei ersteren stehen Innovation und die Abgrenzung vom Wettbewerb im Vordergrund, bei letzteren deren Standardisierung und Effizienz. Hier muss der CFO in einem meist iterativen Prozess das Optimum finden – für genau das ist er immer wieder verantwortlich.

Dr.-Ing. Klaus-Rainer Müller ist Fachbereichsleiter und Senior Management Consultant bei der Automation Consulting Group GmbH in Frankfurt am Main. Er berät Großunternehmen und IT-Dienstleister im Sicherheits-, Kontinuitäts- und Risikomanagement sowie im Sourcing, im Service Level Management und der Organisation der IT. Seine Bücher „Handbuch Unternehmenssicherheit“, „IT-Sicherheit mit System“ und „IT für Manager“ erschienen allesamt im Vieweg+Teubner-Verlag.