IT-Governance für kleine und mittlere Unternehmen?

Uwe Grensing - April 2005

Von den Anforderungen des Paragraphen 404 des Sarbanes-Oxley-Actes bekommt ein deutsches mittelständisches Unternehmen in aller Regel nicht allzu viel mit. Von daher wird die Frage des Beraters, ob der Kunde denn schon über IT-Governance-Konzepte nachgedacht hat wahrscheinlich mit einem unverständigen Blick und schlichtem Achselzucken quittiert werden - schon die Verpflichtung des Datenschutzbeauftragten wurde ja bereits mit expliziten Verweisen auf die übertriebene Regelungswut deutscher Gesetzgeber bedacht. Spätestens jedoch, wenn am Freitagnachmittag der Auszubildende des PC-Ladens gegenüber mit den Worten "Ich habe eben mal schnell eine neue Version des Virenscanners installiert - wir haben dann ab nächste Woche übrigens Betriebsferien!" den Serverraum verlässt, denkt auch der pragmatischste aller IT-Verantwortlichen darüber nach, ob es nicht Mittel und Wege gibt, sich das Leben zumindest an dieser Stelle leichter zu machen - weiß er doch aus leidvoller Erfahrung, dass spätestens am Montagmorgen gar nichts mehr funktioniert.

Die Aufgabe des IT-Governance-Beraters ähnelt der der Super-Nanny: Regeln aufstellen und mit Erfahrung und kleinen Tricks ihre Einhaltung durchsetzen. Dabei reicht die Bandbreite von strategischen Problemen (z.B. welche Systeme werden angeschafft oder entwickelt. Welche Kriterien gelten dafür?) bis hin zum operativen Tagesgeschäft (z.B. wie gehe ich am Telefon mit Anwenderproblemen um?).

Die Hauptursache immer wiederkehrender IT-Probleme ist eine Verquickung dreier ungünstiger Umstände in unterschiedlicher Intensität: a) es ist in der Informationstechnologie oft sehr einfach, Anforderungen umzusetzen: (´"Ich füge hier nur schnell ein Komma ein, dann geht was Sie brauchen!") und b) das nicht immer bei allen Beteiligten vorhandene Detailwissen über die technischen Interna der beteiligten Systeme und Lösungen ("Ich bin sowieso der Einzige, der weiß, wie das alles hier funktioniert, also erklären Sie mir nicht, wie ich hier meine Arbeit machen soll!" oder alternativ auch "Ich verstehe sowieso nichts davon!") verbunden mit c) dem ständigen Drang, dem Kunden jede Anforderung sofort umzusetzen ("Wenn ich das jetzt noch schnell möglich mache, bin ich der Größte!")

Damit sehen wir schon, was ein IT-Governance-Konzept mindestens leisten sollte:

1. Verhinderung von Fehlern durch zu schnelles und unbedachtes Arbeiten,
2. Transparenz für alle Beteiligten verbunden mit sinnvollen Dokumentationsanforderungen um Know-how-Monopole zu verhindern,
3. ein an Kosten und Architektur orientiertes Anforderungsmanagement zur Kontrolle der ständig wachsenden Weihnachtswunschliste der Anwender.

Ist dies erfüllt, kann sich das IT-Management jedes Unternehmens - egal welcher Größe - getrost "professionell" nennen - mit oder ohne Zertifikat.