1 Einleitung

Da in der Unternehmenspraxis zuneh-mend Geschaftsprozesse durch Informa-tionstechnologie (IT) unterstutzt oderuberhaupt erst moglich werden, haben IT-Entscheidungen typischerweise unterneh-mensweite Bedeutung. Die Prozessorien-tierung und das verstarkte Outsourcingvon IT-Funktionen erfordern innerhalbund zwischen Unternehmen Integrations-und Koordinationstechnologien und -maß-nahmen. Dies fuhrt unter anderem zu einergroßen Anzahl an Kommunikationsbezie-hungen und ist Ursache fur Schnittstellen-probleme und Intransparenz. Das Konzeptder IT-Governance, das als IT-bezogeneSpezialisierung der unter dem Begriff Cor-porate Governance zusammengefasstenVorschlage und Konzepte angesehen wer-den kann, greift diese Problematik auf undversucht, Losungsansatze zu liefern. DerBeitrag enthalt Begriffsdefinitionen zur IT-Governance, zeigt die relevanten Rahmen-bedingungen und Entwicklungen auf undbeschreibt anhand des COBIT-Referenz-modells (Control Objectives for Informa-tion and Related Technology) den aktuellenForschungsstand. Ein Schwerpunkt liegtdabei in der Herausarbeitung des Neuig-keitswertes des Ansatzes gegenuber be-kannten Konzepten des Informations-managements.

1.1 Corporate Governance

Unter Corporate Governance versteht mandie verantwortliche und auf langfristigeWertschopfung ausgerichtete Organisation

der Unternehmensleitung und -kontrolle[Rose01; Witt00]. Corporate Governancekann somit als Teilgebiet der Unterneh-mensfuhrung angesehen werden und wirdseit Anfang der 90er Jahre diskutiert, wobei1999 von der OECD mit den so genanntenPrinciples of Corporate Governance eineOrientierungshilfe fur die Entwicklung lan-derspezifischer Richtlinien vorgestellt wur-de [Rose01]. Der Kodex, der von der Regie-rungskommission Deutscher CorporateGovernance Kodex ausgearbeitet wurde,enthalt ausschließlich Empfehlungen imRahmen des geltenden Unternehmens-rechts, die bestehende Vorschriften ausful-len und erganzen [CoGo02]. Die Empfeh-lungen beziehen sich unter anderem auf dieAufgaben und das Zusammenwirken vonVorstand und Aufsichtsrat sowie die Trans-parenz der Unternehmenssituation.

1.2 IT-Governance

Unter IT-Governance werden Grundsatze,Verfahren und Maßnahmen zusammenge-fasst, die sicherstellen, dass mit Hilfe dereingesetzten IT die Geschaftsziele abge-deckt, Ressourcen verantwortungsvoll ein-gesetzt und Risiken angemessen uberwachtwerden. Es existieren verschiedene Auffas-sungen des Begriffs IT-Governance.[WeWo02] definieren IT-Governance als„specifying the decision rights and ac-countability framework to encourage de-sirable behavior in the use of IT“. Weiter-gehend und bekannter ist die Auffassungdes IT Governance Institutes, das IT-Gov-ernance definiert als „structure of relation-ships and processes to direct and controlthe enterprise in order to achieve the enter-

WIRTSCHAFTSINFORMATIK 45 (2003) 4, S. 445–448

Die Autoren

Matthias MeyerRudiger ZarnekowLutz M. Kolbe

Dr. Matthias Meyer,Institut fur Unternehmensentwicklungund Organisation,Seminar fur Empirische Forschung undUnternehmensplanung,Ludwig-Maximilians-UniversitatMunchen,Kaulbachstraße 45 / I,80539 Munchen,E-Mail:matthias.meyer@bwl.uni-muenchen.de;Dr. Rudiger Zarnekow,Institut fur Wirtschaftsinformatik,Competence Center IntegratedInformation Management,Universitat St. Gallen,Muller-Friedberg-Strasse 8,CH-9000 St. Gallen,E-Mail: ruediger.zarnekow@unisg.ch;Dr. Lutz M. Kolbe,Institut fur Wirtschaftsinformatik,Competence Center CustomerKnowledge Performance,Universitat St. Gallen,Muller-Friedberg-Strasse 8,CH-9000 St. Gallen,E-Mail: lutz.kolbe@unisg.ch

IT-GovernanceBegriff, Status quo und Bedeutung

WI – Schlagwort

prise’s goals by adding value while balan-cing risk versus return over IT and itsprocesses“ [ITGo01]. Das IT GovernanceInstitute wurde 1998 von der ISACA (In-formation Systems Audit and ControlAssociation), einem 1969 gegrundeten,nichtkommerziellen Interessen- bzw. Be-rufsverband im IT-Bereich, zur Forderungvon Forschungsaktivitaten und Tagungenmit Bezug zur IT-Governance eingerich-tet.

Wie in Bild 1 dargestellt, konzentriert sichIT-Governance – ausgehend von den Er-wartungen und Zielen verschiedener An-spruchs- und Interessengruppen (Stake-holder Value Drivers) – auf die vierSchwerpunkte strategische Ausrichtung(IT Strategic Alignment), Wertorientierung(IT Value Delivery), Risikomanagement(Risk Management) und Leistungsmessung(Performance Measurement) [ITGo01].

Aus Sicht des IT Governance Institutes las-sen sich Corporate Governance und IT-Governance nicht voneinander getrenntbetrachten und realisieren, da die strategi-sche Ausrichtung der IT und der Unter-nehmensziele gleichermaßen relevant furden Unternehmenserfolg sind [ITGo01].

1.3 IT-Governance undInformationsmanagement

Das Informationsmanagement beschaftigtsich als Fuhrungsaufgabe mit der Erken-nung und Umsetzung der Potenziale derInformations- und Kommunikationstech-nik in betriebliche Losungen [Bren94]. So-mit besteht eine enge Verbindung zwischen

IT-Governance und Informationsmanage-ment. Es stellt sich die Frage, in welcherForm sich IT-Governance in bestehendeAnsatze des Informationsmanagementseinordnen lasst oder ob es diese als kom-plementarer Ansatz erganzt. Legt man dieoben getroffene Definition des Informa-tionsmanagements zu Grunde, so umfasstdieses auch Aufgaben der IT-Governance.Dies gilt vor allem fur das strategische In-formationsmanagement, das sich mit derPlanung, �berwachung und Steuerung derInformationsinfrastruktur als Ganzes aus-einandersetzt [Hein02, 22]. Trotz der in-haltlichen Nahe der Konzepte berucksich-tigen existierende Ansatze des Informa-tionsmanagements die IT-Governancenicht als eigenstandigen Aufgabenbereich.Stattdessen gibt es – quasi uber die Auf-gabenbereiche verteilt – verschiedene Auf-gaben der IT-Governance, wie zum Bei-spiel die strategische IT-Planung, das IT-Controlling oder die Definition derIT-Organisation. Abschnitt 3 geht vertie-fend auf die Zusammenhange und Unter-schiede zwischen IT-Governance und In-formationsmanagement ein.

2 Relevante Rahmen-bedingungenund Entwicklungen

Die konkrete Ausgestaltung der IT-Gov-ernance wird durch eine Reihe aktuellerRahmenbedingungen und Entwicklungeninnerhalb des Informationsmanagementsgepragt. Dies sind vor allem die in den fol-genden Abschnitten beschriebenen Trendsder Wertorientierung, Prozessorientierung,Dienstleistungsorientierung und des Risi-komanagements. An diesen Entwicklungenzeigt sich auch der eigentliche Neuigkeits-wert der IT-Governance, da sie in existie-renden Ansatzen des Informationsmanage-ments nur geringe Berucksichtigung fin-den.

2.1 Wertorientierung

Ein wesentlicher Schwerpunkt der IT-Governance ist die Betrachtung des IT-Be-reichs als Wertelieferant (siehe Kapitel 1.2).Reine Kosten- oder Investitionsbetrach-tungen treten dabei in den Hintergrund. Indieser Hinsicht decken sich die Zielsetzun-gen der IT-Governance mit gegenwartigen

Anforderungen an die Unternehmensfuh-rung, die sich durch eine starkere Fokussie-rung auf das Wertemanagement auszeich-net [�ste00, S. 47]. Dies bezieht sich aufdie Erreichung finanzieller Kennzahlen,wie z. B. Return-on-Investment (ROI),Cost-Income-Ratio, auf Steuergroßen desUnternehmens, wie z. B. Cashflow, undinsbesondere auf die Berucksichtigung derInteressen und Erwartungen anderer An-spruchsgruppen, wie z. B. Investoren undAnalysten. Die Rolle des Informations-managements muss sich zunehmend – imSinne des Strategic Alignment (siehe Kapi-tel 1.2) – diesen Geschaftszielen unterord-nen. Waren die IT-Bereiche historisch viel-fach als eigenstandige Cost-Center organi-siert, vollzieht sich gegenwartig ein Wandelzu serviceorientierten Profit-Centern (sie-he dazu Kapitel 2.3) mit klarem Ertragsziel– in einigen Fallen in direkter Konkurrenzzum Markt. Entscheidend ist damit einewertorientierte Planung, Fuhrung undKontrolle der IT zugunsten des Erfolgs desGesamtunternehmens. Um dieser Anfor-derung gerecht zu werden, kommt in derKonzeption der IT-Governance dem Bau-stein Performance Measurement eine zen-trale Rolle zu. Fur diesen Zweck wird derEinsatz einer spezifischen IT BalancedScorecard empfohlen [ITGo01]. Diese be-rucksichtigt neben reinen Finanzgroßenauch qualitative Großen (z. B. Effizienzvon Prozessen; siehe dazu auch [ReKr02])und lasst sich – im Sinne der Unterord-nung der IT-Governance unter die Corpo-rate Governance – in eine unternehmens-weite Balanced Scorecard integrieren.

2.2 Prozessorientierung

In der Literatur verwendet man verschie-dene Beschreibungsebenen, um den Zu-sammenhang zwischen Organisation, Pro-zessen und Systemen deutlich zu machen.Aus diesen Ansatzen wird die Ambivalenzder IT fur den Erfolg des Unternehmensdeutlich: Einerseits wirkt das Informa-tionsmanagement als Wegbereiter fur zu-vor unrealisierbare Geschaftslosungen undverbesserte interne Prozesse (Bottom-up-Ansatz: IT als Enabler), andererseits erfor-dern neue strategische Ausrichtungen oderein Prozess-Redesign den Einsatz z. B. be-stimmter Infrastrukturen (Top-down-An-satz: IT als Tool). Entscheidungswege soll-ten dabei idealtypisch von der Organisa-tion uber die Prozesse zu Entscheidungenuber Systeme verlaufen. Die Verifizierung

WIRTSCHAFTSINFORMATIK 45 (2003) 4, S. 445–448

ITStrategic

Alignment

IT ValueDelivery

RiskManage-

ment

PerformanceMeasurement

StakeholderValueDrivers

Bild 1 Schwerpunkte derIT-Governance [ITGo01]

446 Matthias Meyer, Rudiger Zarnekow, Lutz M. Kolbe

von den Informationssystemen bis zurStrategie ist jedoch auch notwendig, dadurch ein Informationssystem bestimmteRestriktionen fur die Prozessgestaltung be-stehen und neue Prozesse eine �berpru-fung der Geschaftsstrategie nach sich zie-hen konnen. Aus diesem Grund ist dieModellierung der Geschaftsprozesse imWechselspiel mit den Entscheidungen imInformationsmanagement unmittelbar ge-schaftsrelevant und ist zentraler Bestandteilder IT-Governance, um die strategischeAusrichtung des IT-Bereichs sicherzustel-len.

2.3 Dienstleistungsorientierung

IT-Abteilungen wandeln sich zunehmendvon reinen Lieferanten fur Informations-technik hin zu Dienstleistern fur das ge-samte Unternehmen. Aus Geschaftsberei-chen werden Kunden, die auf der Basistransparenter Liefer- und Leistungsbezie-hungen und marktahnlicher Mechanismenmit dem IT-Dienstleister zusammenarbei-ten. Die aktuelle Diskussion zum Outsour-cing zeigt, dass Unternehmen versuchen,durch den Einsatz interner oder externerIT-Dienstleister die Effizienz, Transparenzund Wertschopfung der IT zu erhohen.Dienstleistungsorientierung fuhrt zu de-zentralen, marktorientierten bzw. -ahnli-chen Strukturen. Aufgabe der IT-Govern-

ance ist es, diese Strukturen durch dieDefinition grundlegender Regeln der Zu-sammenarbeit zu gestalten und zu steuern.

2.4 Risikomanagement

Eine verantwortliche und auf langfristigeWertschopfung ausgerichtete Unterneh-mensfuhrung erfordert im Sinne der Cor-porate Governance das Management vonRisiken (siehe Kapitel 1.1 und 1.2). Diesumfasst neben der Absicherung gegen fi-nanzielle Risiken insbesondere den Um-gang mit operativen bzw. technischen Risi-ken, wie z. B. die Wahrung der Informa-tionssicherheit. Da Geschaftsprozessenahezu durchgangig IT-gestutzt ablaufen,

WIRTSCHAFTSINFORMATIK 45 (2003) 4, S. 445–448

BUSINESS OBJECTIVES

IT GOVERNANCE

INFORMATION

ACQUISITION &IMPLEMENTATION

DELIVERY &SUPPORT

MONITORING

IT RESOURCES

• effectiveness• efficiency• confidentiality• integrity• availability• compliance• reliability

• people• application systems• technology• facilities• data

PO1 define a strategic IT planPO2 define the information architecturePO3 determine the technology directionPO4 define the IT organisation and relationshipPO5 manage the IT investmentPO6 communicate management aims and directionPO7 manage human resourcesPO8 ensure compliance with external requirementsPO9 assess risksPO10 manage projectsPO11 manage quality

AI1 identify automated solutionsAI2 acquire and maintain application softwareAI3 acquire and maintain technology infrastructureAI4 develop and maintain proceduresAI5 install and accredit systemsAI6 manage changes

DS1 define and manage service levelsDS2 manage third-party servicesDS3 manage perfomance and capacityDS4 ensure continous serviceDS5 ensure system securityDS6 identify and allocate costsDS7 educate and train usersDS8 assist and advise customersDS9 manage the configurationDS10 manage problems and incidentsDS11 manage dataDS12 manage facilitiesDS13 manage operations

M1 monitor the processM2 assess internal control adequacyM3 obtain independent assuranceM4 provide for independent audit COBIT

PLANNING &ORGANISATION

Bild 2 �berblick COBIT-Referenzmodell [Isac01]

IT-Governance 447

wachst die Bedeutung der Absicherung ge-gen IT-bezogene Risiken, wie z. B. System-ausfalle und unberechtigte Zugriffe. DerUmgang mit derartigen Risiken ist einerder Kernbereiche der IT-Governance (sieheKapitel 1.2). Im Wesentlichen geht es umdie Schaffung von Transparenz, damit Risi-ken von vornherein vermieden werden,bzw. um die Formulierung eindeutiger Re-gelungen, wie mit Risiken effektiv und effi-zient umzugehen ist. Wurde in der Vergan-genheit das Risikomanagement als tech-nisches Problem begriffen, vollzieht sichgegenwartig unter dem Druck des regula-torischen Umfeldes der Wandel zu einemErfolgsfaktor fur die gesamte Unterneh-mung, z. B. im ROSI-Konzept (Return OnSecurity Investment) [Vogt03].

3 COBIT-Referenzmodell

Den aktuellen Stand der Arbeiten zur IT-Governance dokumentiert das Referenz-modell COBIT, welches eine Menge vonKontrollzielen fur IT-Prozesse definiert.COBIT wird seit 1993 von der ISACAbzw. dem IT Governance Institute ent-wickelt und liegt mittlerweile in einer drit-ten Version vor [Isac01]. Es berucksichtigteine Vielzahl nationaler und internationalerStandards aus den Bereichen Qualitat, Si-cherheit, Qualifizierung und Ordnungs-maßigkeit. In der aktuellen Version be-schreibt COBIT 34 zentrale IT-Prozesse,unterteilt in 4 Domanen (siehe Bild 2). Furjeden Prozess werden einerseits Geschafts-ziele, die durch diesen Prozess unterstutztwerden sollen, und andererseits zwischen 3und 30 Kontrollziele, mit deren Hilfe imSinne einer Best-Practice-Betrachtung dieErfullung der Geschaftsziele uberwachtwerden kann, definiert.

COBIT zeichnet sich durch eine hoheKonsistenz bezuglich der Darstellung dereinzelnen Prozesse aus. Zieldefinitionen,Erfolgsfaktoren, Effizienz- und Effektivi-tatskriterien sind durchgangig fur jedenProzess formuliert. Der Detaillierungsgradbewegt sich bei der Prozessbetrachtung aufeinem konstant hohen Niveau. Leider wer-den weder Input-/Output-Betrachtungender Prozesse vorgenommen, noch konkre-

te Managementinstrumente aufgefuhrt, sodass eine genaue Betrachtung der Prozess-beziehungen nicht moglich ist und Ansatzezur Umsetzung der Aktivitaten innerhalbder einzelnen Prozesse unklar bleiben.Auch Verantwortlichkeiten und Zustandig-keiten sind auf Grund lediglich ansatzweisevorhandener Rollendefinitionen nicht ein-deutig ableitbar. Fur die praktische Umset-zung des COBIT-Modells ist neben einemeigenen Implementierungs-Tool-Set einReifegrad-Modell vorhanden, welches esOrganisationen erlaubt, jeden Prozess ei-nem Reifegrad zuzuordnen und geeigneteMaßnahmen zur Erreichung eines hoherenReifegrades zu identifizieren. Trotz des ho-hen Detaillierungsgrades bleibt COBIT eingenerisches Modell, das problemlos unter-schiedlichen Ausgangslagen angepasst wer-den kann.

Vergleicht man die 34 IT-Prozesse desCOBIT-Modells mit den Aufgaben des In-formationsmanagements, wie sie etwa in[Hein02] beschrieben sind, so sind diesenur teilweise deckungsgleich. Unterschiedeergeben sich vor allem dort, wo die in Ka-pitel 2 beschriebenen Rahmenbedingungenund Entwicklungen zu neuen Anforderun-gen an die Managementprozesse fuhren.Heutige Konzepte des Informationsmana-gements basieren auf einer klassischen Rol-lenverteilung, in der die IT-Abteilung alsTechnologielieferant fur andere Unterneh-mensbereiche auftritt. Dementsprechendsind auch die Managementaufgaben gestal-tet. Innerhalb der IT-Governance kommtdagegen den Prozessen zur Beschaffung(Sourcing), Auslieferung (Delivery) undUnterstutzung (Support) von IT-Dienst-leistungen eine zentrale Bedeutung zu.Auch der hohe Stellenwert der �ber-wachung und Kontrolle von Prozessen istnicht zuletzt auf die marktorientierteDienstleistungssicht in dezentralen Orga-nisationsstrukturen zuruckzufuhren. ImGegensatz dazu konzentriert sich das In-formationsmanagement vor allem auf Auf-gaben zum Management der Planung, Ent-wicklung und des Betriebes von Informa-tionssystemen. Es ergibt sich somit einkonkreter Forschungsbedarf in der Zusam-menfuhrung von IT-Governance und In-formationsmanagement zu einem gesamt-haften Ansatz.

4 Zusammenfassung

Unter dem Begriff IT-Governance werdenMaßnahmen und Konzepte zusammenge-fasst, die das Informationsmanagement imHinblick auf Fuhrungsaufgaben und neueHerausforderungen, wie Prozess-, Wert-und Dienstleistungsorientierung sowie Ri-sikomanagement, erweitern. Die ausfuhr-lich dokumentierten Konzepte des ITGovernance Institutes verstehen sich alsTool-Set bzw. Framework, das Unterneh-men mithilfe standardisierter Prozesse undeines Reifegrad-Modells Unterstutzung beider Realisierung von IT-Governancebietet. Der Umsetzungsgedanke wird beimCOBIT-Referenzmodell konsequent ver-folgt, wobei die in Abschnitt 3 genanntenEinschrankungen zu beachten sind.

Literatur

[Bren94] Brenner, W.: Grundzuge des Informa-tionsmanagements. Berlin et al. 1994.

[CoGo02] Deutscher Corporate Governance Ko-dex. 2002, http://www.corporate-governance-code.de/ger/download/DCG_K_D.pdf, Abrufam 2003-03-23.

[Hein02] Heinrich, L.: Informationsmanagement.7. Auflage, Munchen 2002.

[Isac01] ISACA (Information Systems Audit andControl Association): Control Objectives for In-formation and Related Technology (COBIT).3rd Ed., http://www.isaca.org/cobit.htm, Abrufam 2003-03-26.

[ITGo01] IT Governance Institute: Board Briefingon IT Governance. 2001,http://www.itgovernance.org/boardbriefing.pdf,Abruf am 2003-03-20.

[�ste00] �sterle, H.: Business Model of the Infor-mation Age. In: Bach, V.; �sterle, H.; Vogler, P.(Hrsg.): Business Knowledge Management inder Praxis. Berlin et. al. 2000, S. 11–50.

[ReKr01] Rehauser, J.; Krcmar, H.: Prozessorien-tiertes Informationsmanagement-Benchmarking.In: Information Management & Consulting 16(2001) 3, S. 81–89.

[Rose01] Rosen, R. v.: Corporate Governance: EineBilanz. In: Die Bank o. Jg. (2001) 4, S. 283–287.

[TeKl02] Teubner, A.; Klein, S.: Informationsmana-gement – Vergleichende Buchbesprechung. In:WIRTSCHAFTSINFORMATIK 44 (2002) 3,S. 285–299.

[Vogt03] Vogt, S.: Risiko-Budgetierung – ein An-satz fur ROI. In: Zeitschrift fur Datenrecht undInformationssicherheit 3 (2003) 1, S. 16–19.

[WeWo02] Weill, P.; Woodham, R.: Don’t JustLead, Govern: Implementing Effective IT Gov-ernance. CISR Working Paper No. 326, SloanSchool of Management, Cambridge.

[Witt00] Witt, P.: Corporate Governance im Wan-del. In: Zeitschrift Fuhrung und Organisation 69(2000) 3, S. 159–163.

WIRTSCHAFTSINFORMATIK 45 (2003) 4, S. 445–448

448 Matthias Meyer, Rudiger Zarnekow, Lutz M. Kolbe