Was bedeutet IT-Governance?

IT-Governance umfasst die Rahmenwerke, Strukturen und Prozesse, die sicherstellen, dass die Informationstechnik (IT) eines Unternehmens dessen Ziele unterstützt und riskante IT-Entscheidungen vermieden werden. Sie ist ein Teilbereich der Corporate Governance, also der Leitung, Steuerung und Kontrolle des gesamten Unternehmens.

Ziel der IT-Governance

Im Kern geht es darum, IT-Ressourcen und IT-Prozesse wirksam und wirtschaftlich im Einklang mit den Unternehmenszielen zu steuern. Entscheidend ist nicht die Einführung einzelner Technologien, sondern die Frage, wie Technik strategisch verwaltet und eingesetzt wird, damit sie zum Unternehmenserfolg beiträgt. Zugleich schützt IT-Governance vor IT-bezogenen Risiken wie Systemausfällen, Sicherheitslücken oder Datenschutzverletzungen, die finanzielle Verluste oder Reputationsschäden nach sich ziehen können.

Bereiche der IT-Governance

IT-Governance umfasst unter anderem folgende Bereiche:

• IT-Strategie: Entwicklung und Umsetzung einer IT-Strategie, die mit den Geschäftszielen übereinstimmt.
• IT-Risikomanagement: Identifikation und Bewertung IT-bezogener Risiken sowie angemessene Kontrollen und Maßnahmen, siehe IT-Risikomanagement.
• Compliance: Die IT entspricht den gesetzlichen und regulatorischen Anforderungen sowie den internen Richtlinien.
• IT-Leistungsmessung: Die IT-Leistung wird anhand von Kennzahlen überprüft und bewertet.
• IT-Sicherheit: Technik, Richtlinien und Verfahren sichern Systeme, Anwendungen und Daten, siehe Informationssicherheit.

Ein wichtiger Aspekt ist die Sicherung der IT-Infrastruktur gegen interne und externe Bedrohungen, damit Vertraulichkeit, Integrität und Verfügbarkeit von Daten und IT-Diensten gewahrt bleiben. IT-Governance setzt dabei auf einen vorausschauenden Ansatz: Statt nur auf Sicherheitsvorfälle zu reagieren, halten strategische Planung, klare Richtlinien und regelmäßige Überprüfungen das Sicherheitsniveau dauerhaft hoch. Angesprochen sind vor allem IT-Leitungen, Chief Information Officers (CIOs) und IT-Sicherheitsbeauftragte. Für Wirtschaftsprüfer mit IT-Schwerpunkt gibt es den Certified Information Technology Professional (CITP) des AICPA, der auch Kenntnisse in IT-Governance abdeckt.

Abgrenzung zum IT-Management

IT-Management befasst sich vor allem mit dem operativen Betrieb und der Verbesserung der IT-Leistungen im Alltag. IT-Governance nimmt eine übergreifende, strategische Perspektive ein: Sie regelt, wie die IT-Strategie an den Geschäftszielen ausgerichtet wird, und umfasst Risikomanagement, Leistungsmessung und Ressourceneinsatz. Verbreitete Rahmenwerke dafür beschreibt der Beitrag zu Governance-Frameworks.

Beispiel: Einführung eines neuen IT-Systems

Bei der Einführung eines neuen IT-Systems geht es nicht nur um die passende Technik. Zu klären ist auch, wie das System zu den Unternehmenszielen beiträgt, welche Risiken die Einführung mit sich bringt und wie diese gesteuert werden. Die Abstimmung zwischen IT-Abteilung und Fachbereichen stellt sicher, dass die IT-Strategie im Unternehmen verstanden und mitgetragen wird.

Ein weiteres Beispiel ist eine IT-Risikoanalyse in einem mittelständischen Unternehmen. Sie deckt Schwachstellen wie unzureichend gesicherte Netzwerkverbindungen oder veraltete Software mit Sicherheitslücken auf. Daraus folgen Verbesserungen wie die Einführung einer Multi-Faktor-Authentifizierung oder regelmäßige Software-Updates.

Rahmenwerke und rechtliche Anforderungen

Für die Umsetzung gibt es Rahmenwerke und Standards wie COBIT (Control Objectives for Information and Related Technologies), das von der ISACA entwickelt wurde. Sie geben Leitlinien vor, an denen Unternehmen ihre IT-Governance-Prozesse ausrichten und bewerten können. Daneben muss IT-Governance gewährleisten, dass die IT-Praxis mit gesetzlichen Vorgaben wie der Datenschutz-Grundverordnung (DSGVO) im Einklang steht.

Häufige Fragen zu IT-Governance

Was versteht man unter IT-Governance?

IT-Governance ist der Ordnungsrahmen, der sicherstellt, dass die IT eines Unternehmens auf seine Geschäftsziele ausgerichtet ist. Sie umfasst Grundsätze und Maßnahmen für einen wirtschaftlichen IT-Einsatz, für das Management von IT-Risiken und für eine verantwortungsvolle Steuerung der IT-Ressourcen.

Warum ist IT-Governance wichtig?

IT-Governance sorgt dafür, dass IT-Projekte nicht nur technisch funktionieren, sondern einen Nutzen für das Geschäft liefern. Standards und Verfahren schaffen Transparenz, fördern die wirtschaftliche Nutzung der IT-Ressourcen, begrenzen Risiken und stellen sicher, dass IT-Investitionen auf die Unternehmensziele ausgerichtet sind.

Wer ist typischerweise für IT-Governance verantwortlich?

In vielen Unternehmen liegt die Verantwortung beim Chief Information Officer (CIO) oder bei einem Governance-Ausschuss aus Führungskräften verschiedener Fachbereiche. Diese stellen sicher, dass Entscheidungen über IT-Architektur, Investitionen und Strategie mit den Unternehmenszielen abgestimmt sind und in allen Abteilungen einheitlich gelten.

Wie wirkt sich IT-Governance auf kleine Unternehmen aus?

Auch kleine Unternehmen profitieren von IT-Governance, weil sie hilft, begrenzte IT-Ressourcen gezielt einzusetzen und sich vor IT-Risiken zu schützen. Die Strukturen können einfacher sein als in Konzernen, müssen aber wirksame Kontrollen und Richtlinien enthalten.

Welche Rolle spielen Frameworks in der IT-Governance?

Rahmenwerke wie COBIT, ITIL oder die Norm ISO/IEC 38500 bieten Richtlinien und Werkzeuge für die Umsetzung. Sie geben Vorgaben für das Management von IT-Ressourcen, die Risikobewertung und die Leistungsüberwachung und helfen, IT-Governance-Aktivitäten zu vereinheitlichen.

Wie beeinflusst IT-Governance die Unternehmenskultur?

Klare Richtlinien, Verantwortlichkeiten und Kontrollmechanismen fördern Rechenschaft und Transparenz. IT-Governance schafft ein gemeinsames Verständnis dafür, welche Bedeutung die IT für den Geschäftserfolg hat, und bezieht die Beschäftigten in die Umsetzung der IT-Strategie ein.

Wie unterstützt IT-Governance die Einhaltung von Compliance-Anforderungen?

Rahmenwerke der IT-Governance geben eine strukturierte Vorgehensweise vor, mit der IT-Systeme und Prozesse an gesetzliche und regulatorische Anforderungen angepasst werden. Sie legen Verantwortlichkeiten fest und sehen regelmäßige Prüfungen und Bewertungen vor. Verwandte Bereiche mit engerem Gegenstand sind das Informationssicherheitsmanagementsystem (ISMS) und das Compliance-Management.