Wer feststellt, dass die eigene IT-Governance entweder fehlt oder erstickt, neigt zur Großreaktion. Ein Projekt aufsetzen, einen Berater engagieren, ein Framework einführen. Das ist fast immer zu groß und zu früh. Die ersten 30 Tage sollten der Standortbestimmung gehören, nicht der Reform. Drei Schritte reichen. Erstens: eine ehrliche Auflistung der bestehenden Governance-Aktivitäten. Welche Berichte werden…
Weiterlesen
Die meisten Governance-Einführungen scheitern nicht am ersten Tag. Sie scheitern nach 18 bis 24 Monaten. Ein Modell, das anfangs trägt, beginnt zu zerfallen: Rollen verschieben sich, Verantwortlichkeiten werden unklar, Dokumente verlieren ihren Bezug zur Realität. Audits werden mühsamer, Kontrollen werden langsamer. Die Steuerung verschwindet langsam aus dem System, ohne dass jemand sie aktiv abschafft. Dieser…
Weiterlesen
In vielen Governance-Dokumenten taucht die gleiche Beobachtung auf: Nahezu jeder Prozess, jede Anwendung, jedes Datensystem wird als „kritisch" oder „hoch" eingestuft. Die Folgen wirken auf den ersten Blick wie Sorgfalt. Tatsächlich sind sie das Gegenteil. Wenn alles kritisch ist, kann nichts mehr priorisiert werden. Wenn jede Anwendung als „hochverfügbar" geführt wird, muss jede Anwendung dieselbe…
Weiterlesen
Wenn der Vertrieb seine eigene Excel-Lösung pflegt, die Buchhaltung ein nicht autorisiertes Cloud-Tool nutzt und die Marketingabteilung eine kleine Datenbank auf einem privat verwalteten Server betreibt, lautet die übliche Reaktion: Schatten-IT bekämpfen. Berechtigungen straffen. Eine Richtlinie schreiben. Das ist meistens die falsche Reaktion. Schatten-IT ist selten ein Verstoß gegen die Ordnung. Sie ist fast immer…
Weiterlesen
Governance besteht aus drei Mechanismen: Strukturen, Prozesse, Relationen. Die ersten beiden sind sichtbar – Organigramme, Verfahrensanweisungen, Dokumentenpyramiden. Die dritte ist es nicht. Sie ist trotzdem oft die entscheidende. Relationen sind die formalen und informellen Interaktionen, durch die Entscheidungen tatsächlich in Handeln übersetzt werden. Schulungen, gemeinsame Ziele, die zufälligen Gespräche zwischen IT-Leiter und Geschäftsführung, das gemeinsame…
Weiterlesen
In vielen mittelständischen Unternehmen verteilen sich Funktionen, die in Konzernen über vier verschiedene Personen laufen, auf eine einzige. Der geschäftsführende Gesellschafter trifft Investitionsentscheidungen, entscheidet über IT-Strategie, akzeptiert Sicherheitsrisiken, prüft die eigene Umsetzung – und unterschreibt am Ende des Jahres die Compliance-Erklärung. Die etablierten Governance-Frameworks bezeichnen das als Verstoß gegen die Funktionstrennung. Die operative Realität bezeichnet…
Weiterlesen
Wenn Mittelständler über die Kosten von IT-Governance sprechen, geht es selten um Lizenzgebühren oder Beraterhonorare. Die spürbare Belastung ist eine andere: Aufmerksamkeit. Die Geschäftsführung eines 120-Personen-Betriebs trifft pro Woche eine endliche Zahl substanzieller Entscheidungen. Jeder Kontrollschritt, jede Freigabeschleife, jeder Bericht, der gelesen werden will, beansprucht einen Teil dieses Kontingents. Jede zusätzliche Governance-Aktivität konkurriert mit Vertriebsentscheidungen,…
Weiterlesen
Schädliche Komplexität in der IT-Governance hat charakteristische Erscheinungsformen. Wer sie kennt, kann sie benennen – und wer sie benennen kann, kann sie auch entfernen, ohne die Substanz der Steuerung anzutasten. Erstens: redundante Kontrollen. Zwei oder mehr Aktivitäten erzeugen dieselbe Zusicherung. Beispiel: Berechtigungen werden monatlich vom IT-Leiter geprüft – und zusätzlich quartalsweise vom Fachbereich, ohne dass…
Weiterlesen
Komplexität in Organisationen ist nicht per se schlecht. Sie wird es erst, wenn sie nicht mehr trägt. Die Systemtheorie liefert dafür eine brauchbare Unterscheidung. Ein Unternehmen ist mit einer variablen Umwelt konfrontiert: wechselnde Kunden, sich ändernde Regeln, neue Technologien. Um darauf reagieren zu können, braucht es selbst eine gewisse innere Vielfalt. Diese Vielfalt – die…
Weiterlesen
Ein 80-Personen-Betrieb fällt heute unter im Wesentlichen dieselben Regeln wie ein Konzern. Die DSGVO unterscheidet nicht nach Größe. Die NIS2-Richtlinie zieht ganze Branchen in den Anwendungsbereich, unabhängig von der Mitarbeiterzahl. Größere Kunden verlangen dokumentierte IT-Sicherheits- und Kontinuitätspraktiken als Voraussetzung des Lieferantenvertrags. Cyberversicherer fragen im Underwriting Governance-Praktiken ab, die vor zehn Jahren nur regulierten Branchen abverlangt…
Weiterlesen
Eine Risikomatrix wird schnell zum Pflichtdokument, das niemand mehr liest. Drei Spalten, drei Zeilen, eine ehrliche Bewertung – mehr braucht es nicht, damit sie wieder Steuerungswert hat. Die Achsen: Eintrittswahrscheinlichkeit gering, mittel, hoch. Schadenshöhe gering, mittel, hoch. In die Felder gehören keine Adjektive, sondern konkrete Risiken einer IT-Einführung. Migrationsfehler in Stammdaten. Schnittstellen, die im Produktivbetrieb…
Weiterlesen