Wenn der Inhaber gleichzeitig CISO, CTO und Auditor ist.

In vielen mittelständischen Unternehmen verteilen sich Funktionen, die in Konzernen über vier verschiedene Personen laufen, auf eine einzige. Der geschäftsführende Gesellschafter trifft Investitionsentscheidungen, entscheidet über IT-Strategie, akzeptiert Sicherheitsrisiken, prüft die eigene Umsetzung – und unterschreibt am Ende des Jahres die Compliance-Erklärung.

Die etablierten Governance-Frameworks bezeichnen das als Verstoß gegen die Funktionstrennung. Die operative Realität bezeichnet es als das, was möglich ist.

Diese Konzentration ist kein organisatorischer Defekt, der durch zusätzliche Rollen geheilt werden müsste. Sie ist die Strukturbedingung eines inhabergeführten Mittelstands. Wer sie ignoriert und Frameworks anwendet, die implizit eine andere Realität voraussetzen, produziert Dokumente, die Funktionstrennung suggerieren, ohne sie herzustellen.

Der ehrliche Weg ist ein anderer: die Konzentration zu dokumentieren, sie zu benennen, sie als Risiko zu kennzeichnen – und gezielt kompensierende Mechanismen einzuziehen. Eine externe Prüfung in definierten Abständen. Ein Vier-Augen-Prinzip an wenigen, hochkritischen Stellen. Ein protokollierter Beirat oder Steuerberater, der bestimmte Entscheidungen gegenliest.

Das ist nicht weniger Governance. Es ist die Form, die unter den realen Bedingungen tatsächlich trägt.

#ITGovernance #Mittelstand #Inhaberführung #Funktionstrennung