Inhaltsverzeichnis
- 1.Was ist IT Governance?
- 2.Warum ein IT Governance Assessment?
- 3.Die 5 Handlungsfelder der IT Governance
- 4.IT Governance Maturity Model
- 5.Schritt für Schritt: IT Governance Assessment durchführen
- 6.Typische Schwachstellen in der IT Governance
- 7.Von der Bewertung zur Verbesserung: Quick Wins und strategische Maßnahmen
- 8.Fazit
- 9.Quellen & Referenzen
Was ist IT Governance?
IT Governance beschreibt das Rahmenwerk aus Strukturen, Prozessen und Mechanismen, mit dem eine Organisation sicherstellt, dass die IT die Unternehmensstrategie unterstützt und Wert schafft. Im Kern geht es um die Frage: Wer trifft welche IT-Entscheidungen, nach welchen Kriterien, und wie wird die Umsetzung kontrolliert? IT Governance ist damit kein technisches Thema, sondern eine Führungsaufgabe.
Der wesentliche Unterschied zwischen IT Governance und IT Management wird oft übersehen, ist aber entscheidend. IT Governance legt fest, was geschehen soll und warum — sie definiert Richtlinien, Entscheidungsrechte und Verantwortlichkeiten. IT Management hingegen befasst sich mit dem Wie: der operativen Planung, dem Betrieb und der Überwachung von IT-Services im Tagesgeschäft. Governance gibt den Rahmen vor, Management füllt ihn aus.
Warum ist IT Governance so relevant? Drei zentrale Treiber machen sie unverzichtbar. Erstens: Risikomanagement. Ohne klare Governance-Strukturen werden IT-Risiken wie Cyberangriffe, Datenverlust oder Systemausfälle nicht systematisch erkannt und gesteuert. Zweitens: Compliance. Regulatorische Anforderungen wie die DSGVO, NIS2, DORA oder branchenspezifische Vorgaben erfordern nachweisbare Steuerungsmechanismen. Drittens: Wertschöpfung. IT-Investitionen müssen messbar zum Unternehmenserfolg beitragen — Governance stellt sicher, dass Budgets nicht in Projekten versickern, die keinen strategischen Beitrag leisten.
IT Governance ist untrennbar mit Corporate Governance verbunden. Der Vorstand oder die Geschäftsführung trägt die Gesamtverantwortung dafür, dass die IT die Unternehmensziele unterstützt. ISO/IEC 38500, der internationale Standard für IT Governance, adressiert explizit die Leitungsebene und formuliert sechs Prinzipien: Verantwortung, Strategie, Beschaffung, Leistung, Konformität und menschliches Verhalten. Wer IT Governance als rein technisches Projekt delegiert, verfehlt den Kern.
Warum ein IT Governance Assessment?
Ein IT Governance Assessment ist eine strukturierte Standortbestimmung. Es beantwortet die Frage: Wie gut steuern wir unsere IT tatsächlich — nicht wie gut glauben wir es? In der Praxis klafft zwischen Selbstwahrnehmung und Realität oft eine erhebliche Lücke. Ein Assessment macht diese Lücke sichtbar und quantifizierbar.
Der erste Vorteil liegt in der Identifikation von Lücken. Viele Organisationen haben einzelne Governance-Elemente implementiert — ein IT-Gremium hier, ein Risikoprozess dort — aber kein kohärentes Gesamtbild. Das Assessment deckt auf, wo kritische Bausteine fehlen: Gibt es eine formale IT-Strategie? Sind Entscheidungsrechte dokumentiert? Existiert ein IT-Risiko-Register? Werden IT-Investitionen systematisch priorisiert?
Zweitens ermöglicht ein Assessment das Benchmarking des Reifegrads. Durch die Anwendung eines Maturity Models kann die Organisation ihren aktuellen Stand objektiv einordnen und mit Best Practices oder Branchenbenchmarks vergleichen. Das schafft eine gemeinsame Sprache zwischen IT und Business, die oft fehlt.
Drittens unterstützt ein Assessment die Compliance-Readiness. Regulierer und Prüfer erwarten zunehmend, dass Organisationen nicht nur Kontrollen implementiert haben, sondern deren Wirksamkeit nachweisen können. Ein dokumentiertes Assessment liefert diesen Nachweis und bereitet gleichzeitig auf Audits vor.
Viertens hilft das Assessment bei der Investitionspriorisierung. Nicht alle Schwächen sind gleich kritisch. Ein gut durchgeführtes Assessment liefert eine Heatmap der Handlungsfelder, die es dem Management erlaubt, Verbesserungsbudgets gezielt dort einzusetzen, wo der größte Hebel liegt.
Fünftens schafft ein Assessment Stakeholder-Alignment. Der Prozess selbst — die Interviews, Workshops und Ergebnispräsentationen — bringt IT-Leitung, Fachbereiche und Geschäftsführung an einen Tisch. Oft ist dieser Dialog der wertvollste Nebeneffekt des gesamten Vorhabens.
Die 5 Handlungsfelder der IT Governance
Moderne IT-Governance-Frameworks wie COBIT 2019 und ISO/IEC 38500 identifizieren fünf zentrale Handlungsfelder, die gemeinsam das Governance-System einer Organisation bilden. Jedes Feld adressiert eine fundamentale Frage der IT-Steuerung. Ein Assessment muss alle fünf Dimensionen abdecken, um ein vollständiges Bild zu liefern.
Strategic Alignment — IT-Business-Alignment
Strategic Alignment stellt sicher, dass die IT-Strategie aus der Unternehmensstrategie abgeleitet ist und diese aktiv unterstützt. Es geht um mehr als ein jährliches Strategiepapier: Alignment bedeutet, dass IT-Investitionen, Projektportfolios und Architekturentscheidungen konsequent an den Geschäftszielen ausgerichtet werden.
In der Praxis manifestiert sich mangelndes Alignment in Symptomen wie: IT-Projekte, die niemand im Fachbereich angefordert hat; eine IT-Roadmap, die losgelöst von der Geschäftsplanung existiert; oder ein CIO, der nicht am Strategieprozess beteiligt ist. Ein Assessment prüft hier die Existenz und Qualität von Mechanismen wie IT-Strategiedokumenten, Enterprise Architecture Management, Demand Management und IT-Gremienstrukturen.
Value Delivery — Wertbeitrag der IT
Value Delivery adressiert die Frage, ob die IT den versprochenen Nutzen tatsächlich liefert. Projekte werden pünktlich und im Budget abgeschlossen, IT-Services erfüllen die vereinbarten Service Levels, und neue Technologien werden so eingeführt, dass sie messbaren Geschäftswert erzeugen.
Typische Assessment-Fragen in diesem Bereich: Gibt es Business Cases für alle größeren IT-Investitionen? Werden Benefits nach Projektabschluss nachverfolgt (Benefits Realization)? Existieren Service Level Agreements mit den Fachbereichen? Wie hoch ist die Projektabschlussquote im Vergleich zu den genehmigten Projekten? Organisationen, die hier schwach abschneiden, investieren oft viel in IT, können aber nicht beziffern, was sie dafür zurückbekommen.
Risk Management — IT-Risikomanagement
IT-Risikomanagement umfasst die systematische Identifikation, Bewertung und Steuerung von Risiken, die aus dem Einsatz von Informationstechnologie entstehen. Dazu gehören Cybersecurity-Risiken, Datenverlust, Vendor Lock-in, technische Schulden, Compliance-Verstöße und Ausfallrisiken kritischer Systeme.
Ein Assessment bewertet hier die Reife des Risikomanagement-Prozesses: Existiert ein IT-Risiko-Register? Werden Risiken regelmäßig neu bewertet? Gibt es eine Verknüpfung zum unternehmensweiten Risikomanagement? Sind Business Continuity und Disaster Recovery Pläne aktuell und getestet? Die NIS2-Richtlinie und DORA verschärfen die Anforderungen an das IT-Risikomanagement erheblich — Organisationen, die hier Nachholbedarf haben, stehen unter Zeitdruck.
Resource Management — IT-Ressourcensteuerung
Resource Management zielt auf die optimale Nutzung aller IT-Ressourcen ab: Personal, Infrastruktur, Anwendungen, Daten und externe Dienstleister. In Zeiten von Fachkräftemangel und Cloud-Transformation ist dieses Handlungsfeld besonders kritisch.
Assessment-Schwerpunkte umfassen: Personalplanung und Skill Management (hat die IT die richtigen Kompetenzen für die Zukunft?), Asset Management (ist bekannt, welche IT-Assets existieren und in welchem Zustand sie sind?), Vendor Management (werden Lieferantenbeziehungen strategisch gesteuert?), und Kapazitätsplanung. Organisationen, die ihre IT-Ressourcen nicht transparent managen, treffen Investitionsentscheidungen im Blindflug.
Performance Measurement — Leistungsmessung
Performance Measurement schließt den Governance-Kreislauf. Ohne Messung gibt es keine Steuerung — dieser Grundsatz gilt auch für die IT. Es geht um die Definition, Erhebung und Auswertung von KPIs, die den Beitrag der IT zum Unternehmenserfolg transparent machen.
Ein Assessment prüft: Existieren IT-KPIs und werden sie regelmäßig reportet? Sind die KPIs mit den Geschäftszielen verknüpft (nicht nur technische Metriken wie Verfügbarkeit, sondern auch Business-Metriken wie Time-to-Market)? Gibt es ein IT-Dashboard für die Geschäftsleitung? Werden Abweichungen analysiert und Maßnahmen abgeleitet? Die Erfahrung zeigt: Viele Organisationen messen viel, steuern aber wenig. Das Assessment hilft, den Fokus auf die wirklich entscheidenden Kennzahlen zu lenken.
IT Governance Maturity Model
Ein Maturity Model (Reifegradmodell) bietet einen strukturierten Rahmen, um den aktuellen Entwicklungsstand der IT Governance einzuordnen. Es definiert aufeinander aufbauende Stufen — von ad hoc bis optimiert — und beschreibt für jede Stufe typische Merkmale. Das Modell dient sowohl als Bewertungsinstrument im Assessment als auch als Zielbild für die Weiterentwicklung.
Das folgende Fünf-Stufen-Modell orientiert sich an den etablierten Frameworks COBIT und CMMI und ist auf die IT-Governance-Praxis zugeschnitten. Wichtig: Nicht jede Organisation muss auf Stufe 5 stehen. Der Ziel-Reifegrad hängt von Branche, Größe, regulatorischen Anforderungen und strategischer Ambition ab. Ein mittelständisches Unternehmen in der Produktion benötigt möglicherweise Stufe 3, während eine Bank regulatorisch Stufe 4 anstreben muss.
Der Ziel-Reifegrad ist keine Frage des Ehrgeizes, sondern der strategischen Notwendigkeit. Entscheidend ist nicht die höchste Stufe, sondern der passende Reifegrad für die eigene Organisation.
| Stufe | Bezeichnung | Merkmale |
|---|---|---|
| 1 | Initial / Ad-hoc | Keine formalen IT-Governance-Prozesse vorhanden. IT-Entscheidungen werden situativ und personenabhängig getroffen. Kein IT-Risiko-Register, keine dokumentierte IT-Strategie. Erfolg hängt von Einzelpersonen ab, nicht von Strukturen. Typisch für Start-ups oder organisch gewachsene Mittelständler. |
| 2 | Wiederholbar | Erste Governance-Elemente existieren, aber nicht flächendeckend. Es gibt ein IT-Budget und grobe Projektpriorisierung. Einige Prozesse sind dokumentiert, werden aber nicht konsequent eingehalten. IT-Risiken werden erkannt, aber nicht systematisch gemanagt. Abhängigkeit von Key Persons besteht weiterhin. |
| 3 | Definiert | IT-Governance-Prozesse sind dokumentiert, standardisiert und organisationsweit kommuniziert. Es existieren formale Gremien (IT-Steering Committee), ein IT-Risiko-Prozess und definierte Rollen. IT-Strategie ist schriftlich festgehalten und wird regelmäßig überprüft. KPIs sind definiert, Reporting an die Geschäftsleitung erfolgt regelmäßig. |
| 4 | Gesteuert | Governance-Prozesse werden aktiv gemessen und gesteuert. Quantitative Ziele sind definiert, Abweichungen werden analysiert und führen zu Maßnahmen. IT-Risikomanagement ist in das unternehmensweite Risikomanagement integriert. Benefits Realization wird nachverfolgt. Kontinuierliche Verbesserung ist institutionalisiert. |
| 5 | Optimiert | IT Governance ist ein strategischer Wettbewerbsvorteil. Best Practices werden proaktiv identifiziert und adaptiert. Predictive Analytics unterstützen Entscheidungen. IT und Business sind nahtlos verzahnt. Governance-Prozesse werden kontinuierlich durch Daten und Feedback optimiert. Innovationsförderung ist Teil der Governance. |
Schritt für Schritt: IT Governance Assessment durchführen
Ein IT Governance Assessment folgt einem strukturierten Vorgehen, das Objektivität, Vollständigkeit und Nachvollziehbarkeit sicherstellt. Die folgenden sechs Schritte haben sich in der Praxis bewährt und lassen sich sowohl für interne als auch für extern begleitete Assessments einsetzen.
- 1Scope und Zielsetzung definieren: Bevor das Assessment beginnt, muss klar sein, was bewertet wird und warum. Ist es eine Ersterhebung oder ein Follow-up? Welche Governance-Bereiche stehen im Fokus — alle fünf Handlungsfelder oder eine Teilmenge? Wer ist Auftraggeber, wer Zielgruppe der Ergebnisse? Ein klar definierter Scope verhindert, dass das Assessment zum Dauerprojekt wird. Empfehlung: Maximal 6-8 Wochen Durchlaufzeit für ein vollständiges Assessment.
- 2Stakeholder-Interviews durchführen: Interviews sind das Herzstück des Assessments. Sie liefern qualitative Einblicke, die keine Dokumentenanalyse ersetzen kann. Typische Interviewpartner sind CIO, IT-Leiter, CISO, Fachbereichsleiter, CFO und ausgewählte IT-Mitarbeiter. Jedes Interview sollte semi-strukturiert sein: Ein standardisierter Fragenkatalog sichert Vergleichbarkeit, offene Fragen fördern den Dialog. Planen Sie 60-90 Minuten pro Interview ein und sichern Sie absolute Vertraulichkeit zu.
- 3Dokumentenanalyse durchführen: Parallel zu den Interviews werden relevante Dokumente gesichtet und bewertet. Dazu gehören: IT-Strategie, IT-Richtlinien und -Policies, Organigramme und Rollenbeschreibungen, Risiko-Register, Projektportfolio-Übersichten, Service Level Agreements, Audit-Berichte und Governance-Protokolle. Die Dokumentenanalyse validiert die Aussagen aus den Interviews und deckt Diskrepanzen zwischen Theorie und Praxis auf.
- 4Maturity Scoring durchführen: Auf Basis der Interviews und Dokumentenanalyse wird für jedes Handlungsfeld ein Reifegrad bestimmt. Dies geschieht idealerweise anhand eines standardisierten Scoring-Frameworks mit definierten Kriterien pro Stufe. Das Scoring sollte nicht durch eine Einzelperson erfolgen, sondern in einem Bewertungsworkshop mit dem Assessment-Team validiert werden, um Subjektivität zu minimieren.
- 5Gap-Analyse erstellen: Die Gap-Analyse vergleicht den Ist-Reifegrad mit dem definierten Ziel-Reifegrad und identifiziert die kritischsten Lücken. Dabei werden die Gaps nach zwei Dimensionen priorisiert: Größe der Abweichung und Geschäftskritikalität des Handlungsfeldes. Das Ergebnis ist eine priorisierte Liste von Verbesserungsbedarfen, die als Grundlage für die Roadmap dient.
- 6Roadmap erstellen und präsentieren: Die Roadmap übersetzt die Assessment-Ergebnisse in konkrete Maßnahmen mit Verantwortlichkeiten, Zeitrahmen und Ressourcenbedarf. Sie unterscheidet zwischen Quick Wins (umsetzbar in 0-3 Monaten), mittelfristigen Maßnahmen (3-12 Monate) und strategischen Initiativen (12+ Monate). Die Ergebnispräsentation an die Geschäftsleitung ist der entscheidende Moment: Sie muss überzeugend, klar und handlungsorientiert sein.
Typische Schwachstellen in der IT Governance
Aus hunderten von IT Governance Assessments kristallisieren sich wiederkehrende Muster heraus. Die folgenden Schwachstellen finden sich mit erstaunlicher Regelmäßigkeit — unabhängig von Branche oder Unternehmensgröße. Sie zu kennen hilft, das eigene Assessment gezielter durchzuführen und blinde Flecken zu vermeiden.
- Fehlende oder veraltete IT-Strategie: Viele Organisationen haben entweder keine dokumentierte IT-Strategie oder eine, die seit Jahren nicht aktualisiert wurde. Ohne aktuelle Strategie fehlt der Kompass für IT-Investitionen. Entscheidungen werden ad hoc getroffen, Prioritäten verschieben sich mit jeder Geschäftsleitungssitzung.
- Unklare Rollen und Entscheidungsrechte: Wer entscheidet über neue IT-Projekte? Wer priorisiert bei Ressourcenkonflikten? Wer genehmigt Architekturabweichungen? In vielen Organisationen sind diese Fragen nicht formal geregelt, was zu Doppelarbeit, Konflikten und Entscheidungsstau führt.
- Kein IT-Risiko-Register: IT-Risiken werden informell wahrgenommen, aber nicht systematisch erfasst, bewertet und gesteuert. Ohne Risiko-Register gibt es kein Priorisierungsinstrument und keinen Nachweis gegenüber Aufsichtsbehörden und Prüfern.
- Fehlende oder ungeeignete KPIs: Entweder werden keine IT-Kennzahlen erhoben, oder es werden rein technische Metriken gemessen, die für die Geschäftsleitung wenig Aussagekraft haben. Der Zusammenhang zwischen IT-Performance und Geschäftserfolg bleibt intransparent.
- Silodenken in der Entscheidungsfindung: IT-Entscheidungen werden isoliert von den Fachbereichen getroffen — und umgekehrt. Die Folge: IT-Projekte, die am Bedarf vorbeigehen, und Fachabteilungen, die an der IT vorbei Lösungen beschaffen (Schatten-IT).
- Mangelnde Nachverfolgung von IT-Investitionen: Business Cases werden für die Genehmigung erstellt, aber nach Projektabschluss nicht nachverfolgt. Ob die prognostizierten Benefits tatsächlich eingetreten sind, weiß niemand. Damit fehlt die Lernschleife für zukünftige Investitionsentscheidungen.
- Fehlende Integration von IT-Risiko und Unternehmensrisiko: Das IT-Risikomanagement existiert losgelöst vom unternehmensweiten Risikomanagement. IT-Risiken werden nicht auf Vorstandsebene reportet und fließen nicht in strategische Entscheidungen ein. Regulatorisch wird diese Trennung zunehmend zum Problem.
Von der Bewertung zur Verbesserung: Quick Wins und strategische Maßnahmen
Ein Assessment hat nur dann Wert, wenn es in konkrete Verbesserungen mündet. Die Erfahrung zeigt: Der größte Fehler nach einem Assessment ist der Versuch, alles gleichzeitig zu verbessern. Stattdessen empfiehlt sich ein zweigleisiger Ansatz aus Quick Wins und strategischen Maßnahmen.
Quick Wins (0-3 Monate)
Quick Wins sind Maßnahmen mit geringem Aufwand und sofort sichtbarem Nutzen. Sie erzeugen Momentum und demonstrieren den Stakeholdern, dass das Assessment konkrete Ergebnisse liefert. Typische Quick Wins umfassen die Einrichtung eines regelmäßigen IT-Steering-Committee-Meetings (monatlich, feste Agenda, dokumentierte Beschlüsse), die Erstellung eines ersten IT-Risiko-Registers auf Basis der bereits bekannten Top-10-Risiken, und die Definition von fünf bis sieben Kern-KPIs mit monatlichem Reporting an die Geschäftsleitung.
Weitere Quick Wins sind die Dokumentation der bestehenden IT-Entscheidungsprozesse (RACI-Matrix für die wichtigsten IT-Entscheidungstypen), ein Inventar der bestehenden IT-Policies mit Gap-Kennzeichnung, und die Einführung eines einfachen Demand-Management-Prozesses für neue IT-Anforderungen. All diese Maßnahmen erfordern keine große Investition, sondern vor allem Disziplin und Commitment der Führungsebene.
Strategische Maßnahmen (3-18 Monate)
Strategische Maßnahmen adressieren tieferliegende strukturelle Defizite und erfordern mehr Zeit, Budget und organisatorischen Change. Dazu gehört die Entwicklung einer umfassenden IT-Strategie im Einklang mit der Unternehmensstrategie, die Implementierung eines strukturierten IT-Risikomanagement-Frameworks (orientiert an ISO 27005 oder COBIT for Risk), und der Aufbau eines Enterprise Architecture Management.
Weitere strategische Maßnahmen umfassen die Einführung eines IT-Portfolio-Managements mit Business-Case-Methodik und Benefits-Tracking, die Neugestaltung der IT-Organisationsstruktur und Governance-Gremien, sowie die Implementierung eines integrierten GRC-Tools (Governance, Risk, Compliance). Entscheidend ist: Jede strategische Maßnahme braucht einen Executive Sponsor, ein dediziertes Budget und messbare Meilensteine. Ohne diese drei Elemente versanden auch die besten Absichten im Tagesgeschäft.
Der Übergang von der Bewertung zur Verbesserung erfordert ein explizites Governance-Verbesserungsprogramm mit eigenem Projektmanagement. Behandeln Sie die Governance-Verbesserung nicht als Nebenprojekt, sondern als strategische Initiative mit entsprechender Sichtbarkeit und Priorisierung. Quartalsweise Reviews messen den Fortschritt und justieren die Roadmap bei Bedarf.
Fazit
IT Governance ist kein Luxus und kein bürokratisches Pflichtprogramm — sie ist das Fundament für eine IT, die nachweisbar Wert schafft, Risiken kontrolliert und regulatorische Anforderungen erfüllt. Ein strukturiertes IT Governance Assessment liefert die Faktenbasis, um den aktuellen Reifegrad objektiv einzuschätzen und gezielt zu verbessern.
Die fünf Handlungsfelder — Strategic Alignment, Value Delivery, Risk Management, Resource Management und Performance Measurement — bilden den Bewertungsrahmen. Das Maturity Model gibt die Orientierung, wo die Organisation steht und wohin sie sich entwickeln sollte. Der sechsstufige Assessment-Prozess liefert die Methodik, um vom Status quo zur Verbesserungs-Roadmap zu gelangen.
Entscheidend ist nicht die Perfektion auf dem Papier, sondern der Wille zur kontinuierlichen Verbesserung. Beginnen Sie mit Quick Wins, bauen Sie Momentum auf, und gehen Sie dann die strategischen Maßnahmen an. Und vergessen Sie nicht: IT Governance ist keine einmalige Übung, sondern ein kontinuierlicher Prozess. Planen Sie regelmäßige Re-Assessments ein, um Fortschritte zu messen und neue Herausforderungen zu adressieren.
Organisationen, die IT Governance ernst nehmen, profitieren von besseren IT-Investitionsentscheidungen, niedrigeren IT-Risiken, höherer Compliance-Sicherheit und einer IT, die als strategischer Partner wahrgenommen wird — nicht als Kostenstelle. Der erste Schritt ist der ehrliche Blick auf den Status quo. Dieses Assessment-Framework gibt Ihnen das Werkzeug dazu.
Quellen & Referenzen
Die in diesem Artikel referenzierten Standards und Frameworks basieren auf den folgenden offiziellen Quellen:
- ISACA — Globaler Verband für IT-Governance, Risikomanagement und Compliance: https://www.isaca.org/
- COBIT 2019 Framework — ISACA: https://www.isaca.org/resources/cobit
- ISO/IEC 38500:2024 — Governance of Information Technology: https://www.iso.org/standard/74907.html
- ISO/IEC 27001 — Informationssicherheitsmanagement: https://www.iso.org/standard/27001
- NIS2-Richtlinie — EU-Cybersicherheitsregulierung: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
Die wichtigsten Erkenntnisse
- IT Governance ist eine Führungsaufgabe, kein IT-Thema. Sie legt fest, wer welche IT-Entscheidungen trifft und wie deren Umsetzung kontrolliert wird.
- Ein strukturiertes Assessment mit Maturity Scoring macht den Reifegrad objektiv messbar und liefert die Faktenbasis für gezielte Verbesserungen.
- Die fünf Handlungsfelder — Strategic Alignment, Value Delivery, Risk Management, Resource Management und Performance Measurement — müssen ganzheitlich bewertet werden.
- Quick Wins wie ein IT-Steering-Committee, ein Risiko-Register oder Kern-KPIs erzeugen schnell sichtbare Ergebnisse und Momentum für strategische Maßnahmen.
- Der Ziel-Reifegrad richtet sich nach Branche, Größe und regulatorischen Anforderungen — nicht jede Organisation braucht Stufe 5.
- IT Governance Assessment ist kein einmaliges Projekt, sondern ein wiederkehrender Prozess. Jährliche Re-Assessments sichern die kontinuierliche Verbesserung.
Passende Assessment-Templates
Häufig gestellte Fragen
Ein umfassendes IT Governance Assessment erfordert die Einbindung verschiedener Stakeholder-Gruppen. Auf der IT-Seite sind CIO, IT-Leiter, CISO und Enterprise Architect zentrale Interviewpartner. Auf der Business-Seite sollten CFO, ausgewählte Fachbereichsleiter und idealerweise ein Vorstandsmitglied beteiligt sein. Der CFO ist besonders wichtig, weil IT-Governance-Themen wie Investitionssteuerung und Risikomanagement direkte finanzielle Implikationen haben. Ergänzend können interne Revision, Compliance-Beauftragte und externe Prüfer wertvolle Perspektiven einbringen. Entscheidend ist: Die Geschäftsführung muss das Assessment sichtbar unterstützen, damit Stakeholder Zeit und Engagement investieren.
Ein vollständiges IT Governance Assessment sollte mindestens jährlich durchgeführt werden. In regulierten Branchen wie Finanzdienstleistungen oder dem Gesundheitswesen kann ein halbjährlicher Rhythmus sinnvoll sein, insbesondere wenn neue regulatorische Anforderungen umzusetzen sind. Zwischen den vollständigen Assessments empfehlen sich quartalsweise Kurzreviews der wichtigsten KPIs und Maßnahmen-Fortschritte. Zusätzlich sollte ein außerplanmäßiges Assessment durchgeführt werden bei signifikanten organisatorischen Veränderungen wie Fusionen, neuen Geschäftsmodellen, einem CIO-Wechsel oder nach schwerwiegenden IT-Vorfällen. Der Aufwand für ein Re-Assessment ist deutlich geringer als für die Ersterhebung, da die Methodik und Baseline bereits existieren.
IT Governance und IT Compliance werden häufig verwechselt, adressieren aber unterschiedliche Ebenen. IT Governance ist das übergeordnete Rahmenwerk: Sie definiert Strukturen, Prozesse und Verantwortlichkeiten für die Steuerung der IT. IT Compliance hingegen ist ein Teilaspekt der Governance und bezieht sich auf die Einhaltung externer und interner Vorgaben — etwa regulatorischer Anforderungen wie DSGVO, NIS2 oder branchenspezifischer Normen. Man kann es so formulieren: Governance ist das Was und Warum der IT-Steuerung, Compliance ist eine spezifische Anforderung innerhalb dieses Rahmens. Eine Organisation kann compliant sein, ohne gut governed zu sein — etwa wenn Compliance-Anforderungen reaktiv und isoliert erfüllt werden, ohne in eine ganzheitliche Governance-Struktur eingebettet zu sein.
Die wichtigsten Standards und Frameworks für IT Governance sind: ISO/IEC 38500 als internationaler Standard für die Governance der Informationstechnologie, der sich explizit an die Leitungsebene richtet. COBIT 2019 (Control Objectives for Information and Related Technologies) von ISACA bietet ein umfassendes Framework mit 40 Governance- und Management-Zielen. ITIL 4 adressiert primär IT Service Management, enthält aber relevante Governance-Praktiken. ISO 27001 fokussiert auf Informationssicherheitsmanagement und ist eng mit IT Governance verknüpft. Für börsennotierte Unternehmen in Deutschland ergänzt der Deutsche Corporate Governance Kodex den regulatorischen Rahmen. Branchenspezifisch sind BAIT/VAIT für Banken und Versicherungen, DORA für den Finanzsektor in der EU und NIS2 für kritische Infrastrukturen relevant. Die Wahl des Frameworks hängt von Branche, Größe und regulatorischem Umfeld ab.
Der ROI von IT Governance lässt sich über direkte und indirekte Kennzahlen messen. Direkte Indikatoren umfassen die Reduktion von IT-Projektüberschreitungen (Budget und Zeit), die Senkung von IT-Risiko-bezogenen Kosten (Incidents, Ausfälle, Compliance-Verstöße), und die Verbesserung der IT-Investitionsrendite durch bessere Priorisierung. Indirekte Indikatoren sind die Reduktion von Schatten-IT, schnellere Time-to-Market für IT-gestützte Geschäftsinitiativen, höhere Zufriedenheit der Fachbereiche mit der IT und verbesserte Audit-Ergebnisse. Studien von Gartner und ISACA zeigen, dass Organisationen mit ausgereifter IT Governance 20-30% geringere IT-Kosten pro Umsatzeinheit aufweisen. Der ROI zeigt sich oft erst nach 12-18 Monaten — kurzfristige Messungen unterschätzen den tatsächlichen Wert systematisch.
Nein, IT Governance ist für jede Organisation relevant, die von IT abhängt — und das sind heute praktisch alle. Der Unterschied liegt im Umfang und in der Formalisierung, nicht in der grundsätzlichen Notwendigkeit. Ein Mittelständler mit 200 Mitarbeitern braucht kein COBIT-Vollframework mit 40 Prozessgebieten, aber er braucht eine klare IT-Strategie, definierte Entscheidungsrechte, ein Grundverständnis seiner IT-Risiken und messbare IT-KPIs. Gerade im Mittelstand, wo IT-Budgets begrenzter sind und weniger Redundanz in Schlüsselrollen existiert, schafft gute Governance besonderen Wert: Sie verhindert Fehlinvestitionen, macht Abhängigkeiten von Key Persons transparent und stellt sicher, dass begrenzte Ressourcen dort eingesetzt werden, wo sie den größten Geschäftsnutzen erzeugen. Der Aufwand für ein schlankes Governance-Assessment beträgt für einen Mittelständler 2-4 Wochen.