IT-Governance als Führungsaufgabe

IT-Strategie definieren und umsetzen

Informationstechnik (IT) ist in den Unternehmen ein alltägliches Werkzeug geworden. Dennoch können Risiken wie fehlende Betriebssicherheit oder mangelnde Ausrichtung der IT an den Geschäftsanforderungen den Unternehmenserfolg gefährden. Deshalb muss eine angemessene IT-Strategie definiert und umgesetzt werden.

Das betrifft nicht nur Bankinstitute, die durch die Mindestanforderungen für das Risikomanagement (MaRisk) spezifischen aufsichtsrechtlichen Vorgaben unterliegen. Nahezu alle Geschäftsprozesse werden mittlerweile elektronisch gesteuert. Große Mengen von Informationen werden dabei digital gespeichert, elektronisch verarbeitet und in lokalen und globalen Netzen übermittelt. Viele Aufgaben und Vorhaben können ohne IT überhaupt nicht mehr oder im besten Fall nur noch teilweise durchgeführt werden. Damit sind Unternehmen von dem einwandfreien Funktionieren der eingesetzten IT abhängig.

Mit der Abhängigkeit von der IT erhöht sich auch der potenzielle materielle oder auch Imageschaden durch Probleme mit der IT. Am auffälligsten ist der Verlust der Verfügbarkeit: Läuft ein IT-System nicht, können keine Überweisungen durchgeführt werden, Online-Bestellungen sind unmöglich, Produktionsprozesse stehen still. Wenn vertrauliche Daten Dritten bekannt werden, wird das eigene Image beeinträchtigt. Aus diesen Gründen sollte die Sicherheit der IT geplant, realisiert und kontrolliert werden.

IT muss sich am Geschäftszweck ausrichten. Oft werden IT-Leiter mit der Kritik der Fachverantwortlichen konfrontiert, dass der IT-Bereich nicht versteht, was der Fachbereich wirklich benötigt. Das wird häufig durch die technologie- und systembestimmte Sicht der IT-Bereiche auf die eigene Aufgabe gefördert. Der IT sind kritische Erfolgsgrößen des Geschäfts oft nicht bekannt. Deshalb ist eine gute Kommunikation zwischen Fachbereichen und IT unerlässlich, um die richtigen Prioritäten zu setzen. Die Vereinbarung von Servicelevels schafft Klarheit. Das Zusammenspiel zahlreicher Applikationen erhöht die Komplexität der IT. Notwendige Innovationen und der Investitionsschutz für bestehende Anwendungen müssen gleichzeitig realisiert werden. Deshalb ist die laufende Abstimmung aller Beteiligten nicht nur zu Beginn von Projekten unerlässlich.

Die IT-Strategie kann als Ausgagsbasis dienen, um sich den genannten Herausforderungen zu stellen. Sie sollte in das Risikomanagement des Unternehmens eingebunden sein. Maßgeblich für den Erfolg ist, dass die Unternehmensführung in vollem Umfang hinter der IT-Strategie und den darin festgelegten Zielen steht. Daher sollte sie von der obersten Leitungsebene verabschiedet und veröffentlicht werden. Selbst wenn einzelne Aufgaben delegiert werden, sollte die Gesamtverantwortung immer bei der Unternehmensführung bleiben. Die Vorbildwirkung in diesem Bereich ist nicht zu unterschätzen.
Wie bereits erwähnt wurden für Banken die MaRisk durch die BaFin veröffentlicht. Der DGRV hat die Erstellung von Mustern und Leitlinien koordiniert, um die Genossenschaftsbanken auch in diesem Bereich zu unterstützen. Hierbei wurde die spezifische Arbeitsteilung zwischen Bank und genossenschaftlicher Rechenzentrale berücksichtigt.