Outsourcing ist kein Speed Dating

Normalerweise laufen Outsourcing-Kooperationen so ab: Der Kunde schreibt seine Outsourcing-Absichten aus (Request for Proposal), die Provider beschreiben ihre Leistungen und geben ein Angebot ab. Dann kommt es zu Vertragsverhandlungen (mit zwei bis drei Anbietern der Shortlist), es folgt der Vertragsabschluss mit dem ausgewähltem Outsourcing-Anbieter und der Übergabe der verabredeten Leistungen (Service-Transition), inklusive Due Diligence, sprich die mit gebotener Sorgfalt durchgeführte Auflistung und Bewertung sämtlicher Risiken.

Bei dieser Reihenfolge kommt die Due Diligence zu spät. Unternehmen sollten bereits vor den abschließenden Vertragsverhandlungen genau wissen und genau prüfen, welche Auswirkungen ein Auslagern bestimmter Tätigkeiten und Prozesse mit sich bringt - und zwar in einem Projekt gemeinsam mit dem präferierten Dienstleister. Damit erfolgt die Bewertung der zu übernehmenden Systeme und Services einvernehmlich, und die erste Klippe ist bereits umschifft.

Verantwortung für Datenschutz kann man nicht auslagern

Nicht zu unterschätzen ist das Thema DatenschutzDatenschutz. Ein weitverbreiteter Irrtum besteht darin, dass der Outsourcing-Partner die volle Verantwortung für die Informationssicherheit übernimmt. Diese lässt sich jedoch nicht auslagern, sondern verbleibt bei der Leitung des Auftraggebers. Alles zu Datenschutz auf CIO.de

Denn den direkten Schaden, beispielsweise eine schlechte Presse und Kundenbeschwerden, trägt das Unternehmen, nicht der Provider. Externe Dienstleister übernehmen stets nur festgelegte Aufgaben und Rollen. Die Gestaltung dieser Leistungen und deren Kontrolle liegen aber beim auslagernden Unternehmen.

Rollen und Berechtigungen definieren

Deshalb gilt auch beim sensiblen Thema Datenschutz: Vertrauen ist zwar notwendig, genügt aber nicht für eine erfolgreiche Outsourcing-Partnerschaft. Klare Absprachen, die die Kunden-Lieferanten-Beziehung detailliert beschreiben, schriftlich fixiert in einem Vertragswerk, sind unabdingbar. In solch einem Regelwerk sollte beispielsweise eine genaue Rollen- und Berechtigungsdefinition enthalten sein.