Rüter / Schröder / Göldner IT-Governance in der Praxis

Erfolgreiche Positionierung der IT im Unternehmen. Anleitung zur erfolgreichen Umsetzung regulatorischer und wettbewerbsbedingter Anforderungen
2. Auflage 2010
ISBN: 978-3-642-03505-0
Verlag: Springer
Format: PDF
Kopierschutz: Adobe DRM (»Systemvoraussetzungen)

E-Book, Deutsch, 277 Seiten

Die Autoren adressieren die Sandwich-Position, in der sich die IT heute in vielen größeren Unternehmen befindet: Zum einen der Druck, Governance-Anforderungen wie Sarbanes-Oxley oder Compliance-Anforderungen abdecken zu müssen, und zugleich der Druck, die Kosten weiter reduzieren zu müssen. Zum anderen steht dem der eigene Anspruch entgegen, sich als innovativer Dienstleister aufzustellen, der im Verbund mit den Fachbereichen die Prozesskompetenz besitzt. Dieses Buch erläutert die Herausforderungen an die IT und zeigt anhand konkreter Praxisbeispiele effektive Wege auf, wie die IT Governance des Unternehmens ausgestaltet werden kann. Es richtet sich an die Lenker der IT, aber auch an das Management aus Finanzbereich oder Unternehmens- und Organisations-Entwicklung. In der zweiten Auflage wurden die Themen IT-Compliance und ihre Prüfung sowie Sicherheit in der IT ergänzt. Handlungsempfehlungen und eine Checkliste, erstellt für den Praktiker, runden dieses Fachbuch ab.

Autoren/Hrsg.

Rüter, Andreas

Schröder, Jürgen

Göldner, Axel

Niebuhr, Jens

Inhaltsverzeichnis

1;Geleitwort;5
2;Vorwort der Herausgeber zur 2. Auflage;7
3;Vorwort der Herausgeber zur 1. Auflage;9
4;Inhaltsverzeichnis;12
5;Autorenverzeichnis;15
5.1;Herausgeber;15
5.2;Andreas Rüter;15
5.3;Jörgen Schröder;15
5.4;Dr. Axel Göldner;16
5.5;Jens Niebuhr;16
5.6;Autorenteam;16
5.7;Olaf Acker;16
5.8;Carsten Andresen;16
5.9;Uwe Bartels;17
5.10;Matthias Bauer;17
5.11;Dr. Stefan Behrens;17
5.12;Jörg Böckmann;17
5.13;Dr. Markus Böhm;17
5.14;Eiko Ermold;18
5.15;Joachim Glass;18
5.16;Dr. Florian Gröne;18
5.17;Johannes Liffers;18
5.18;Dr. Germar Schröder;19
6;Einleitung;20
7;1 Corporate Governance;25
8;2 Die vernderte Rolle der IT im Unternehmen;30
8.1;2.1 Der verkannte Produktionsfaktor;30
8.2;2.2 Die Folgen der digitalen Revolution;31
8.3;2.3 Die Industrialisierung der Informationsverarbeitung;32
8.4;2.4 Der Druck zur permanenten Vernderung und Anpassung ;33
8.5;2.5 Die digitale Identitt;34
8.6;2.6 Der Einfluss rechtlicher oder regulatorischer Anforderungen ;35
8.6.1;2.6.1 Die Verarbeitung personenbezogener Daten und Datenschutz ;36
8.6.2;2.6.2 Anforderungen an die Datensicherheit;37
8.6.3;2.6.3 Spezielle Anforderungen der Gesundheitsbehörden;39
8.6.3.1;Die Infrastruktur im Fokus;40
8.6.3.2;Das Qualitütsmanagementsystem für die Infrastruktur;40
8.7;2.7 Fazit;41
9;3 IT-Governance;42
9.1;3.1 IT-Governance: Definitionen und Modelle;43
9.1.1;3.1.1 Center for Information System Research (CISR);44
9.1.2;3.1.2 IT Governance Institute (ITGI): CobiT;45
9.1.3;3.1.3 Office of Government Commerce (OGC): ITIL;47
9.1.4;3.1.4 ISO/IEC: 17799;48
9.1.5;3.1.5 Weitere Modelle;48
9.2;3.2 Einordnung der IT-Governance-Modelle;49
9.3;3.3 Unser Verstndnis von IT-Governance in der Praxis;51
9.4;3.4 Die Umsetzung in einem Projekt;52
10;4 Entscheidungsdomnen der IT-Governance;57
10.1;4.1 IT-Strategie;58
10.1.1;4.1.1 Einleitung;58
10.1.2;4.1.2 Welche Entscheidungen sind zu treffen?;61
10.1.2.1;Ableitung der IT-Implikationen aus der Geschäftsstrategie;61
10.1.2.2;Vision, Selbstverständnis und Positionierung der IT;62
10.1.2.3;Implikationen auf die Konzern-IT-Architektur;65
10.1.2.4;Implikationen auf die Sourcing-Strategie;66
10.1.2.5;Implikationen auf Konzern-IT-Organisation, Prozesse und Services;67
10.1.2.6;Implikationen auf HR-Maßnahmen und Programme;68
10.1.2.7;Implikationen auf die IT-Budgetplanung;69
10.1.2.8;Review/Bestimmung der Messung der IT-Strategieeinhaltung;69
10.1.3;4.1.3 Wer trifft die Entscheidungen?;70
10.1.4;4.1.4 Wie werden die Entscheidungen getroffen?;72
10.2;4.2 IT-Portfoliomanagement;73
10.2.1;4.2.1 Einleitung;73
10.2.2;4.2.2 Welche Entscheidungen sind zu treffen?;74
10.2.3;4.2.3 Wer trifft die Entscheidungen?;76
10.2.4;4.2.4 Wie werden die Entscheidungen getroffen?;77
10.3;4.3 IT-Architektur;81
10.3.1;4.3.1 Einleitung;82
10.3.2;4.3.2 Welche Entscheidungen sind zu treffen?;85
10.3.2.1;4.3.2.0 Die Business-Anforderungen und Business-Architektur;86
10.3.2.2;4.3.2.0 Die funktionale Architektur;86
10.3.2.3;4.3.2.0 Die technische Architektur;88
10.3.3;4.3.3 Wer trifft die Entscheidungen?;89
10.3.4;4.3.4 Wie werden die Entscheidungen getroffen?;91
10.3.4.1;Beispiel: Organisationsweite Harmonisierung CRM;92
10.3.4.2;Beispiel: Service Oriented Architectures;93
10.4;4.4 IT-Servicemanagement;95
10.4.1;4.4.1 Einleitung;95
10.4.2;4.4.2 Welche Entscheidungen sind zu treffen?;97
10.4.3;4.4.3 Wer trifft die Entscheidungen?;100
10.4.4;4.4.4 Wie werden die Entscheidungen getroffen?;103
10.5;4.5 IT-Sourcing;108
10.5.1;4.5.1 Sourcing-Modelle;109
10.5.2;4.5.2 Governance-Beteiligte und Entscheidungsfindung;111
10.5.3;4.5.3 Beispiel: Global Technology Partnership;113
10.5.3.1;Überblick;113
10.5.3.2;Herausforderung;113
10.5.3.3;Lösung;113
10.5.3.4;Ergebnisse;114
10.5.4;4.5.4 Beispiel: Make or Buy;115
10.5.4.1;Überblick;115
10.5.4.2;Herausforderung;115
10.5.4.3;Lösung;115
10.5.4.4;Ergebnisse;115
10.5.5;4.5.5 Fazit;116
10.6;4.6 IT-Budget;116
11;5 Relevante Themen der IT-Governance;121
11.1;5.1 Der SarbanesOxley Act Section 404 in der IT;121
11.1.1;5.1.1 Grundlagen;122
11.1.1.1;Der Sarbanes--Oxley Act;122
11.1.1.2;SOX in der Schering AG;123
11.1.1.3;SOX und IT;125
11.1.1.4;SOX und (IT-) Governance;125
11.1.1.5;COSO und CobiT;126
11.1.1.6;Vorhandene Prozesse und Kontrollstrukturen;128
11.1.1.7;ITIL;128
11.1.1.8;IT-Risikomanagement basierend auf der ISO/IEC 17799;128
11.1.1.9;IT-Systeme/Applikationen im GMP 6 Umfeld;129
11.1.2;5.1.2 Risk Assessment;129
11.1.2.1;Der SOX-Prozess im Überblick;129
11.1.2.2;Prozesse und Sub-Prozesse;130
11.1.2.3;Kontrollziele, Risiken und Kontrollen;133
11.1.2.4;Kontrolltypen;134
11.1.2.5;Kontrollbeschreibungen;137
11.1.2.6;Prüfung des Kontrollentwurfes;138
11.1.2.7;Effektivitätstest;138
11.1.2.8;Klassifizierung von Defiziten;140
11.1.2.9;Risikobeurteilung und Sign-Off;141
11.1.3;5.1.3 Prüfung des internen Kontrollsystems;143
11.1.3.1;Prüfung der Kontrollen;143
11.1.3.2;IT-Prüfungsschwerpunkte;145
11.1.4;5.1.4 Vom Projekt zur Daueraufgabe;146
11.1.5;5.1.5 Fazit;147
11.2;5.2 Die Einrichtung eines Risikomanagementsystems in der IT;148
11.2.1;5.2.1 Die Anforderungen;149
11.2.2;5.2.2 Die Bedrohungen;149
11.2.3;5.2.3 Die Konsequenzen;150
11.2.4;5.2.4 Die Lösung;151
11.2.5;5.2.5 Der Rahmen;152
11.2.6;5.2.6 Der Prozess;153
11.2.6.1;Erstellen und Implementieren von Regeln;153
11.2.6.2;Analyse und Bewertung der Risiken;155
11.2.6.3;Risikobewusstsein schaffen;157
11.2.6.4;Die Berichterstattung;157
11.2.6.5;Das Ergebnis;160
11.2.7;5.2.7 Die Herausforderungen;161
11.2.8;5.2.8 Die Aussichten;162
11.3;5.3 IT-Governance als Katalysator fr erfolgreiche Post-Merger-Integrationen;162
11.3.1;5.3.1 Ausgangslage;162
11.3.2;5.3.2 IT-Integrationsstrategie und IT-Governance;164
11.3.3;5.3.3 Rollen und Verantwortlichkeiten der IT im PMI-Prozess;165
11.3.3.1;``Functional Analyst`` in der Pre-Merger-Phase;165
11.3.3.2;``Change Manager`` in der Post-Merger-Phase;166
11.3.4;5.3.4 Erfolgsfaktoren für eine IT-PMI-Governance;167
11.4;5.4 Konsolidierung Synergieerschlieung in internationalen Konzernen;168
11.4.1;5.4.1 Beschreibung Ausgangssituation;168
11.4.2;5.4.2 Ziele und Ansatzpunkte der Konsolidierung;169
11.4.3;5.4.3 GrundsÜtzliche Überlegungen zur Konsolidierung;170
11.4.4;5.4.4 Umsetzung und Maßnahmen;172
11.4.4.1;Business Integration;172
11.4.4.2;Definition eines Transformations-Fahrplans;173
11.4.4.3;Implementierung eines Change-Management-Programms;175
11.5;5.5 Governance Voraussetzung fr robustes Wachstum;176
11.5.1;5.5.1 IT als Wachstumsbremse?;176
11.5.2;5.5.2 Ausgangslage;177
11.5.3;5.5.3 Ansatzpunkte für die Governance-Neugestaltung;179
11.5.4;5.5.4 Ergebnisse und Fazit;182
11.6;5.6 Demand Management das Eingangstor zur IT;183
11.6.1;5.6.1 Vom Business Case zur mehrdimensionalen Steuerung;185
11.6.2;5.6.2 Der richtige Projekt-Mix ü Demand Management auf dem Prüfstand;188
11.6.2.1;Fokus auf interne Kunden;188
11.6.2.2;Demand Management von der IT auf das gesamte Unternehmen ausdehnen;189
11.7;5.7 Governance Erfolgsfaktor im Outsourcing;189
11.7.1;5.7.1 Die Problematik von Outsourcing-Governance;190
11.7.1.1;Outsourcing als Querschnittsthema in der IT-Governance;190
11.7.1.2;Governance als Erfolgsfaktor im Outsourcing;190
11.7.2;5.7.2 Mechanismen der Outsourcing-Governance;192
11.7.2.1;Verträge;192
11.7.2.2;Strukturen;193
11.7.2.3;Prozesse;195
11.7.2.4;Beziehungsprotokolle;197
11.7.3;5.7.3 Gestaltung von Outsourcing-Governance;198
11.7.3.1;Einflussfaktoren der Governance-Gestaltung;198
11.7.3.2;Idealtypische Governance-Konfigurationen 16 ;199
11.7.4;5.7.4 Erfolgskontrolle im Outsourcing;201
11.7.5;5.7.5 Fazit;203
11.8;5.8 Organisation und Fhrungskultur;203
11.8.1;5.8.1 Welche Leadership-Föhigkeiten werden för eine funktionierende IT-Governance benötigt?;204
11.8.2;5.8.2 Welche Bedeutung hat die Unternehmenskultur?;206
11.8.2.1;IT-Manager beurteilen eigene Organisation negativer als der Durchschnitt;207
11.8.2.2;Zu wenig Informationen, unklare Kompetenzen;208
11.8.2.3;Governance als Regelwerk für den Erfolg;209
11.8.2.4;IT braucht Informations- und Steuerungsinstrumente;210
11.8.2.5;Organisations-Design und organisatorische Fitness;210
11.9;5.9 Herstellung und Nachweis der IT-Compliance;212
11.9.1;5.9.1 Gesetzliche und regulatorische Vorgaben für die IT;213
11.9.1.1;Anforderungen an den Umgang mit Risiken;214
11.9.1.2;Klassifikation der Anforderungen und Regelungen für die IT;217
11.9.1.3;Compliance als Zustand nachweisbarer Vorgabenkonformität;221
11.9.1.4;Herausforderungen beim Umgang mit der IT-Compliance;224
11.9.2;5.9.2 Internes Kontrollsystem für die IT;228
11.9.2.1;Grundlegende Begriffe und konzeptioneller Rahmen;229
11.9.2.2;Aufbau eines Internen Kontrollsystems (IKS);229
11.9.2.3;Angemessenheit und Wirksamkeit eines IKS;231
11.9.2.4;Ausgestaltung eines Kontrollsystems für die IT;231
11.9.3;5.9.3 Risikoorientierte Prüfung von IT-Systemen;234
11.9.3.1;5.9.3.0 Einsatz der IT im Finanz- und Rechnungswesen;234
11.9.3.2;Jahresabschluüprüfung beim Einsatz von IT;235
11.9.3.3;Notwendigkeit einer IT-Systemprüfung;235
11.9.3.4;Anforderungen an Ordnungsmßßigkeit und Sicherheit der IT;236
11.9.3.5;Gestaltung des Prüfungsansatzes für IT-Systeme;237
11.9.3.6;Vorgehensweise der risikoorientierten IT-Systemprüfung;238
11.9.4;5.9.4 Nachhaltige Compliance durch Governance der IT;240
11.9.4.1;Bedeutung wirkungsvoller IT-Governance;241
11.9.4.2;Nutzenpotentiale erfolgreich umgesetzter IT-Compliance;242
11.10;5.10 IT-Sicherheit Compliance;242
11.10.1;5.10.1 Konsens ä Komplexität;242
11.10.2;5.10.2 Gesetze, Standards, Definitionen;244
11.10.2.1;Deutsche gesetzliche Anforderungen und Interpretationen;244
11.10.2.2;Internationale gesetzesnahe Standards;247
11.10.2.3;Sonstige Normen und Standards;249
11.10.2.4;Vom Gesetz zur Praxis;250
11.10.3;5.10.3 IT-Sicherheitsprozesse und -strukturen;252
11.10.3.1;IT-Sicherheitsstrategie und -programm;253
11.10.3.2;IT-Sicherheitsmanagement;255
11.10.3.3;Notfallplanung & -management;259
11.10.3.4;Compliance Monitoring & Reporting;260
11.10.4;5.10.4 Identity und Access Management;260
11.10.4.1;Identity Management;261
11.10.4.2;Access Management;267
11.10.4.3;Integration mit dem Compliance Monitoring und Reporting;272
11.10.5;5.10.5 IAM & Compliance in der Praxis;273
11.10.5.1;Die Projektdurchführung;274
11.10.5.2;Verankerung in der Organisation;278
11.10.5.3;Das Maß der Automatisierung;285
11.10.5.4;Die geeignete Software;287
11.10.6;5.10.6 Zusammenfassung;292
12;6 Ausblick;294
13;Literatur;296