Komplexitäts-Management

Mehr Cloud erfordert mehr IT-Governance

05.09.2014 von Folker Scholz, Edgar Röder und Jürgen Sonsalla
Flexible Cloud-Angebote verlocken zur Bildung von fachabteilungseigener Schatten-IT. Gleichzeitig steigen Komplexität und Risiken der internationalen IT-Bereitstellung.

Neue Technologien hatten schon immer das Potenzial, Verhaltensänderungen zu provozieren. Gerade die IT-Abteilungen von Unternehmen können ein Lied davon singen. Nicht allein, dass sich die Benutzer an den Fortschritt anpassen mussten. Auch die IT selbst war immer wieder gezwungen, sich den von ihr erzeugten Veränderungen zu unterwerfen.

Die ersten Computer waren exotische Maschinen, die von einer Gruppe hoch spezialisierter Techniker programmiert, gewartet und bedient wurden. Wollte man etwas von einem Computer, so hatte man sich an die IT zu wenden. Das Ergebnis war in der Regel ein Stapel grün-weiß-gestreiftes Endlospapier mit Löchern an den Rändern. Für die Interpretation der Ergebnisse war es meist hilfreich, einen guten Kontakt zur IT zu pflegen.

Mehr Cloud Computing erfordert auch mehr IT-Governance.
Foto: Vladislav Kochelaevs - Fotolia.com

Irgendwann durfte dann "das Business" auch in direkten Kontakt mit dem Computer treten: Terminals erlaubten es, Eingaben selbst vorzunehmen und die Ergebnisse unmittelbar angezeigt zu bekommen. Der Computer wurde für den gemeinen Benutzer im wahrsten Sinne des Wortes "begreifbar". Verständnis und Erwartungen stiegen. Verwaltung und etwaige Veränderungen der Systemumgebung blieben aber dem Kreis der IT-Experten vorbehalten.

Der ursprüngliche Kontrollverlust

Die Verbreitung von PCs leitete dann die erste echte Revolution ein. Die Benutzer hatten plötzlich die Hoheit über ihre blechernen Rechendiener. Diskettenlaufwerke erlaubten es, eigene Programme zu installieren. Die IT-Abteilung hatte die Kontrolle über den Zugang zu den Rechnern verloren. Und sie musste erstmals nicht mehr nur ihr eigenes Fehlverhalten ausbügeln, sondern auch noch das ihrer Benutzer.

In der Konsequenz benötigte die IT-Organisation "Vor-Ort-Präsenz", und sie stand vor der Herausforderung, die Benutzer zu verantwortungsbewussten Partnern zu entwickeln. Keine einfache Umstellung!

An Schulen und Universitäten gehörte Informatik ab den 80er Jahren zum Pflichtprogramm einer wirtschaftsnahen Ausbildung. Auf diese Weise brachte eine wachsende Zahl an Berufsanfängern in den Fachabteilugen solides informationstechnisches Rüstzeug mit. Und dann wurden die PCs auch noch so billig, dass private Haushalte sie sich leisten konnten. Spätestens dann musste die IT den nächsten herben Verlust einstecken: Das Kompetenzmonopol ging verloren. Engagierte Benutzer lernten, auch ohne Hilfe der IT-Abteilung mit den PCs umzugehen. Auf eigene Faust entdeckten sie die Vielfalt der Möglichkeiten, die den immer stärker standardisierten Geräten innewohnten.

Simplizität in der Benutzung wurde vor allem durch Apple, Windows und das World Wide Web zum Prinzip erhoben. Damit erwachten neue Ansprüche an die berufsseitig zur Verfügung gestellten Verfahren. Viele Fachabteilungen emanzipierten sich gegenüber den IT-Abteilungen. Sie verstanden genug von der Materie, um klare Erwartungen an die Verfahren und die Unterstützung zu stellen. Sie mutierten vom Bittsteller zum Kunden und Auftraggeber. Wurden ihre Erwartungen nicht erfüllt, kauften sie woanders ein. Und oft war es nur ein kleiner Schritt, bis sie eigene Schatten-IT-Abteilungen hochzogen oder Services direkt einkauften.

Checkliste Cloud-SLAs -
Checkliste Cloud-SLAs
Um zu beurteilen, ob ein Cloud-Provider kundenfreundliche SLAs anbietet, lassen sich folgende Kriterien anlegen und überprüfen:
Punkt 1:
Kurze und klare Gestaltung von Inhalt, Struktur und Formulierung.
Punkt 2:
Version in der Landessprache des Kunden.
Punkt 3:
Klare Definitionen von Fach- und Produktbegriffen zu Beginn.
Punkt 4:
Detaillierte Ankündigung und Planung der Wartungsfenster (Beispiel: "Viermal im Jahr an vorangemeldeten Wochenenden").
Punkt 5:
Leistungsbeschreibung in Tabellenform (Übersicht!).
Punkt 6:
Klar definierte Bereitstellungszeiträume für neue Ressourcen (Beispiele: Bereitstellung virtueller Server bei Managed Cloud in maximal vier Stunden; Bereitstellung kompletter Umgebungen oder dedizierter Server in fünf bis zehn Tagen).
Punkt 7:
Bereitstellung von klar abgegrenzten Konfigurationsoptionen für Ressourcen (Beispiel: Konfiguration von Servern nach Gigahertz, Gigabyte).
Punkt 8:
Einfach unterscheidbare Service-Levels (Beispiel: Silber, Gold, Platin); Abgrenzungskriterien können sein: Verfügbarkeit, Bereitstellungszeiten, fest reservierte Kapazitäten ja/nein, Support-Level (Telefon, E-Mail).
Punkt 9:
Bei IaaS-Angeboten unbedingt auf Netzwerk-Konfigurationsmöglichkeiten und Bandbreite achten (Volumen? Im Preis inkludiert ja/nein?).
Punkt 10:
Kundenfreundlicher Reporting- beziehungsweise Gutschriftenprozess (am besten aktive Gutschriften auf Kundenkonto; kein bürokratischer, schriftlicher Prozess; möglichst einfache Beweis- und Nachweispflicht für Kunden).
Punkt 11:
Reaktionszeiten und Serviceverfügbarkeit klar beschreiben (zentrale Hotline; Reaktionszeiten auf Incidents in Stunden).
Punkt 12:
Nennung der Rechenzentrumsstandorte mit Adresse und sonstigen Informationen wie Zertifizierungen und Tier.
Punkt 13:
Definition der Verfügbarkeiten: Unterschiede hinsichtlich Verfügbarkeit Server/VM und Verfügbarkeit Admin-Konsole definieren.
Punkt 14:
Erläuterung zu Möglichkeiten der SLA-Überwachung beziehungsweise des Incident-Reportings für den Anwender (Beispiel: Link auf Monitoring-Dashboard).

Pizza-Service oder eigene Küche?

Mittlerweile ist IT allgegenwärtig: Smartphones verfügen über Rechentechnik, die man sich vor Jahren für Hochleistungs-Workstations gewünscht hätte. Selbst Kaffeemaschinen, Uhren, TV und Autos verweigern ohne Prozessoren ihren Dienst und sind zunehmend über das "Internet der Dinge" miteinander vernetzt - häufig ohne jegliches Zutun der firmeneigenen IT-Abteilung.

Bei Bedarf soll aber selbstverständlich alles auch in der Firmenumgebung zur Verfügung stehen. Und wehe, es funktioniert nicht. Dann ist die IT-Abteilung unfähig, veraltet, unkooperativ oder halt einfach nur schuld.

Und nun auch noch die Cloud. Alles wird fertig über das Internet an den Kunden geliefert. Braucht man etwas, geht man auf einen virtuellen Marktplatz und lädt sich einfach eine App herunter. Und was im Privaten funktioniert, sollte doch wohl erst recht im Business-Bereich möglich sein! Personalabrechnung, Rechnungswesen, Office oder E-Mail - alles lässt sich über die Cloud so einfach buchen wie Pizza mit Pilzen, Salami und Oliven. Oder etwa nicht?

Ganz natürlich drängt sich dann auch die Frage auf, wofür man dann noch die Küche und den Koch - respektive die IT - braucht. Die Antwort: Den Pizzaservice und das Fastfood-Restaurant interessiert weder Ihre Gesundheit, noch erhalten Sie dort ein individuelles Menü noch entsprechen Öffnungszeiten Ihren speziellen Bedürfnissen.

Wenn Sie ein Geschäftsmodell haben, in dem die IT dazu beiträgt, Ihr Alleinstellungsmerkmal zu unterstützen, dann brauchen Sie auch eine IT, die Ihnen dieses Spezialmenü kocht. Und ist die Küche erst mal wegrationalisiert, rennen Sie für jeden Kaffee und jedes belegte Brot zum Coffee-Shop oder zum Bäcker - zu Preisen, die Sie selten erfreuen.

Kurzum: Pizza-Service und eigene Küche haben beide eine Daseinsberechtigung, ebenso wie Cloud-Services und die interne IT. Die Rolle der IT wird sich allerdings ändern, nicht zuletzt, weil der Druck von außen wächst.

Dynamik, Dynamik, Dynamik…

In den meisten Branchen, vor allem aber in der IT, beherrscht eine wachsende Dynamik die Märkte. Globalisierung und steigende Transparenz durch das Internet geben Innovationen die Chance, sich extrem schnell durchzusetzen. Schafft es jemand, Kostenvorteile zu erzielen und diese marktfähig anzubieten, gerät der Mitbewerb schnell unter Druck. Das Geschäft wird vielfach kurzfristiger und risikoreicher.

Gleichzeitig wächst der Wunsch, Investitionen zu vermeiden und Leistungen möglichst bedarfsgerecht einzukaufen. Mietmodelle, "Pay-per-Use" und Flexibilität bestimmen zunehmend Einkauf und Angebot. Die Produktlebenszyklen werden immer kürzer. Häufige Anbieter- und Standort-Wechsel folgen den flexiblen Möglichkeiten. Entsprechend bilden sich immer komplexere und fragilere Lieferketten.

Standardisierung kann diesem Trend nur begrenzt entgegen wirken. Im Gegenteil: Es ist eine immer höhere Spezialisierung zu beobachten. Die benötigte IT komplett zu beherrschen wird für eine IT-Abteilung zusehens schwieriger. Deshalb ist es nachvollziehbar, dass die IT-Abteilung nach Wegen sucht, nicht immer alle Fähigkeiten entwickeln und aktuell halten zu müssen. Schließlich soll sie ja auch noch günstig sein.

Dienstleister können sich leichter spezialisieren und gleichzeitig Skaleneffekte erzielen, wodurch sie viele Services effektiver und damit auch günstiger anbieten. Deren Nutzung entlastet die IT. Doch sollte dieser Schritt wohl bedacht sein. Externe Dienstleister einzusetzen oder einen bereits genutzten Service zu wechseln produziert immer Transformationsaufwände - insbesondere mit zunehmender Spezialisierung und Kundenindividualität des Service. Die Aufwände fallen entweder direkt an, oder sie werden von den Dienstleistern auf eine längere Laufzeit umgelegt. Die Flexibilität kann also teuer werden und die Kostenvorteile des Betriebs schnell auffressen.

Zudem stehen die Anbieter vieler Services mittlerweile selbst Wettbewerbs- und Kostendruck. Nun ist Kostendruck auf Seiten der Dienstleister einem sorgfältigen Umgang mit den Kundenbelangen nicht unbedingt förderlich. Vielmehr macht er sogar fehleranfällig. Wenn der Partner aus anderen Ländern oder sogar Kontinenten stammt, sind auch kulturelle Unterschiede ein Thema, denn sie bilden einen Nährboden für abweichende Einschätzungen und Missverständnisse.

Governance, Risk und Compliance

Keine Frage - auch im eigenen Rechenzentrum drohen Gefahren, und nicht jeder Angestellte arbeitet sorgfältig und gewissenhaft. Interne Mitarbeiter sind jedoch auf die bestehenden Richtlinien verpflichtet, im Gegensatz zu Externen. Auch die Kontrollmöglichkeiten und die Aufmerksamkeit für Probleme sind im eigenen Unternehmen in der Regel besser.

Es ist nicht unmöglich, Sicherheit und Aufmerksamkeit zu delegieren. Aber dabei sollte die Kontrolle grundsätzlich vom eigentlichen Dienstleister unabhängig sein und die letztendliche Verantwortung beim Auftraggeber verbleiben. Der ist in jedem Fall für eine geeignete Kontrollstruktur verantwortlich. "Geeignet" heißt dabei auch "hinreichend kompetent" - ein weiteres, nicht zu unterschätzendes Problem. Durch den Abfluss (oder auch Nicht-Aufbau) von Know-how beim Kunden verschafft sich der Anbieter einen Wissensvorteil, den er für sich und gegen den Auftraggeber einsetzen kann ("Principal­-Agent"-Problem).

Externe Services müssen also kontrolliert und gesteuert werden. Fehlt es an der nötigen Organisation und Kompetenz, droht Organisationsverschulden - und dem Management im schlimmsten Fall eine persönliche Haftung für diesen Mangel. Durch die externe Vergabe spart das Unternehmen Wissensaufbau und Organisation im Betrieb. Dafür muss es aber Wissen und Organisation im Controlling vorhalten oder aufbauen. Stichworte wie IKS (Internes Kontroll-System) oder GRC (Governance Risk und Compliance) werden künftig auch in der IT zum üblichen Jargon gehören.

IT-Kompass 2014 -
IT und Fachbereiche nähern sich an
Die Trendstudie "IT-Kompass 2014" zeigt vor allem eines: Die Notwendigkeiten der Digitalisierung führen IT und Fachbereiche enger zusammen.
An wen berichtet der CIO/IT-Leiter?
n = 329
Bedeutung des IT-Einsatzes in der strategischen Unternehmensplanung
n = 327
Werden die Potenziale, die sich durch den Einsatz von IT ergeben, genutzt?
n = 326
Anforderungen der Fachbereiche an die IT
n = 132; Nur Business-Entscheider
Die wichtigsten Aufgaben aus IT-Sicht
n = 197; Nur IT-Entscheider
Wer treibt Innovationen in der IT voran?
n = 327
Die wichtigsten Hardware-Themen
n = 197; Nur IT-Entscheider; Mehrfachnennungen möglich
Zufriedenheit der Unternehmen mit ihren Hardware-Anbietern
n = 197; Nur IT-Entscheider
Die wichtigsten Software-Themen
n = 197; Nur IT-Entscheider; Mehrfachnennungen möglich
Bevorzugte Software-Bezugsmodelle
n = 189; Nur IT-Entscheider
Zufriedenheit der Unternehmen mit ihren Software-Anbietern
n = 197; Nur IT-Entscheider
Die wichtigsten Services-Themen
n = 197; Nur IT-Entscheider; Mehrfachnennungen möglich
Geplante Arten von Outsourcing
n = 44; Nur IT-Entscheider; Mehrfachnennungen möglich
Zufriedenheit der Unternehmen mit ihren Services-Anbietern
n = 197; Nur IT-Entscheider
Geplante Nutzungsszenarien von Cloud-Services
n = 197; Nur IT-Entscheider; Mehrfachnennungen möglich
Höhe der IT-Budgets im Jahr 2013
n = 197; Nur IT-Entscheider
Verteilung der IT-Budgets nach Segmenten
n = 197; Nur IT-Entscheider
Anteil der IT-Budgets für operative Tätigkeiten und Projekte mit dem Business
n = 189; Nur IT-Entscheider
Erwartete Veränderung der IT-Budgets im Jahr 2013
n = 195; Nur IT-Entscheider
Anteil der Unternehmen, die die Einstellung von IT-Fachkräften planen
n = 196; Nur IT-Entscheider
Zufriedenheit der Fachabteilungen mit den Leistungen der eigenen IT-Abteilung
n = 328; IT = 197; Business =131
Wie ist die Zusammenarbeit organisiert?
n = 328; IT = 197; Business =131
Die wichtigsten Maßnahmen für eine gute Zusammenarbeit
n = 329; IT = 197; Business =132; Mehrfachnennungen möglich
Gibt es ein eigenes IT-Budget für das Business
n = 99; Nur Fachbereiche (ohne Unternehmens- und Geschäftsleitung)
Bezieht die Fachabteilung IT-Leistungen ohne Einbeziehung der zentralen IT-Abteilung
n = 329; IT = 197; Business =132
Warum beziehen die Fachabteilungen IT-Leistungen ohne Einbeziehung der zentralen IT-Abteilung
n = 85; Mehrfachnennungen möglich
Wie die Befragten die Zukunft der IT-Abteilungen sehen
n = 325; IT = 196; Business =129
Die strategische Bedeutung der internen IT
n = 324; IT = 196; Business =128

Die neue Rolle der IT

Doch es ist nicht allein der Aufbau einer effektiven Kontrollinfrastruktur, der die IT verändern wird. Eigenbrötlerisches Expertentum wird durch die Fachabteilungen kaum mehr geduldet - zu Recht. Andererseits bereiten die zunehmende Komplexität der IT und die internationalen Compliance-Rahmenbedingungen auch der Schatten-IT Probleme. Gerade global agierende Organisationen müssen sich ja vermehrt mit internationalen Datenschutzregeln, Exportkontrollen, Lizenzrecht, Verrechnung von gegenseitig genutzten Dienstleistungen, lokalen IT-Audits oder Corporate-Social-Responsibility-Vorgaben auseinandersetzen.

Chance und Herausforderung für die IT bestehen nun darin, das Komplexitäts-Management rund um die IT für die Fachabteilungen zu betreiben und als hochengagierter Dienstleister die Geschäftsprozesse aktiv zu unterstützen. Das wird ihr allerdings nur gelingen, wenn sie über den Tellerrand der eigenen IT-Produktion hinausschaut.

Auch die führenden Fachverbände spiegeln diese Erweiterung des Blickwinkels wider: Beim Bitkom finden sich beispielsweise neben den klassischen IT-Leitfäden auch Unterstützungspapiere mit Stichworten wie "Vertragsgestaltung im Auslandsgeschäft", "Wie Cloud Computing neue Geschäftsmodelle ermöglicht" oder "Unternehmen 2.0: kollaborativ. innovativ. erfolgreich."

Ein weiteres Indiz: Das weitverbreitete IT-Steuerungs-Rahmenwerk COBIT (bereitgestellt von derSystems Audit and Control Association, kurz Isaca) hat sich von einem Unterstützungswerkzeug für IT-System- und Compliance-Prüfungen in den vergangenen Jahres zu einem umfassenden Management-System weiterentwickelt, das sich mit Systematiken und Hilfestellungen für Risiko-Management und Wertschöpfung ebenso beschäftigt wie mit IT-Strategie und Ressourcen-Optimierung. Die moderne IT-Abteilung"im Zeitalter der Cloud wird also zunehmend mehr Ähnlichkeit mit und Nähe zu Organisationsabteilungen haben.

Vom Schrauber zum Kundenversteher

Durch den Einkauf günstiger "Commodity"-Services werden die Unternehmen die Kosten möglichst gering halten. Der eigene "Produktionsbereich" konzentriert sich auf kleine flexible Ad-hoc-Dienstleistungen oder hochspezialisierte Alleinstellungsanwendungen. Von der IT wird künftig die Rolle eines Beraters und Begleiters erwartet.

Berufsbild und Selbstverständnis werden sich an den neuen Aufgaben orientieren müssen: Lotsen leiten die IT-Projekte durch schwierige Fahrwasser von Standards, Schnittstellen, Trends und Compliance; Concierges nehmen ihren Kunden lästige Aufgaben des Veränderungs-Managements ab; Dirigenten wählen Services aus, um sie zu integrieren, trainieren und orchestrieren; Makler kaufen auf den IT-Marktplätzen die günstigsten Ressourcen ein und bieten vielleicht eigene überschüssige Ressourcen an. Kreative Designer entwickeln kundennahe und praktikable Lösungen, die sie dann von Dritten produzieren lassen. Verständnisvolle Ärzte werden Probleme analysieren, Ursachen diagnostizieren und Fehlentwicklungen therapieren. Darüber hinaus werden Lehrer - oder besser Prediger - benötigt, um die IT-Strategien den Nutzern nahezubringen, für die Einhaltung von Sicherheitsrichtlinien und Compliance zu werben und die Leistungen der IT zu vermitteln.

Es wird nur noch wenige Berufsbilder in der IT geben, die ohne Kommunikation und Kundenorientierung auskommen. Der stille Schrauber in der Werkstatt ist im Aussterben begriffen. Wenn der Kunde im Zentrum stehen soll, kommt die IT nicht umhin, regelmäßig und langfristig mit ihm zu kommunizieren. Sie entwickelt sich zum "Kundenversteher".

Wer dabei "Augenhöhe" und Respekt erreichen will, wird zum einen die Prozesse und Herausforderungen der Fachabteilungen, zum anderen aber auch Compliance, Wirtschaftlichkeit, Change-Management und Controlling verstehen müssen. So wie die gesamte IT muss auch der eine oder andere Mitarbeiter seine persönliche Metamorphose durchlaufen.

Motivation durch Wertschätzung

Neue Mitarbeiter kann sich der CIO nicht einfach backen. Noch kann er alte im Laden umtauschen oder von heute auf morgen umprogrammieren. Das Firmen- und Prozess-Knowhow altgedienter Mitarbeiter ist zudem ein wichtiger Wert, den man nicht einfach durch "Hire & Fire" aufgeben sollte.

Was ist also zu tun? Veränderung dürfte ohne Mitarbeitermotivation zum Scheitern verurteilt sein. Sofern die Rahmenbedingungen der Organisation dies zulassen, empfiehlt sich eine klare eigene Mission der IT, bei der das Business und das Wohl des Unternehmens im Mittelpunkt stehen. Damit lässt sich dann leichter die Notwendigkeit von Änderungen begründen und kommunizieren (Top-Down). Zudem bildet diese Mission den Rahmen für eigene Veränderungsideen, Strategien und Zielsysteme aus den IT-Bereichen, mit denen sich die Mitarbeiter identifizieren können (BottomUp).

Fachliche Kompetenzen für den Aufbau interner Kontroll- und Compliance-Management-Systeme lassen sich entweder aus den Risiko- oder Compliance-Abteilungen des Unternehmens heranziehen oder extern einkaufen. Bei der Auswahl neuer Mitarbeiter ist auf Kommunikationsfähigkeit und Sozialkompetenz zu achten. Auch die Weiterbildung wird vielleicht weniger auf die neueste Technik und dafür stärker auf sozialen Kompetenzen gerichtet sein.

Am Ende geht aber nichts ohne gegenseitige Wertschätzung. Soziale Anerkennung, die Verbundenheit mit anderen und dem Unternehmen sowie das Gefühl, etwas Nützliches zu tun, sind die wichtigsten Faktoren für Engagement, Loyalität und die Bereitschaft, sich zu verändern.

Erfolgreiche Computerspiele basieren im Kern auf der Idee, darauf, die Spieler herauszufordern, sie aber nicht zu überfordern. Dieses Erfolgsrezept gilt auch für den Beruf: Leistbare Herausforderungen helfen, Mitarbeiter als aktive Akteure des Wandels zu gewinnen. Die IT-Leitung wird sich in jedem Fall als Motivator für den Wandel begreifen müssen.