IT Service Management

Transkript

1 IT Service Management in der Region Aachen Prof. Dr. Martin R. Wolf, Jannik Altgen Institut für IT Organisation & Management Aachen, Juni White Paper - - -

2 Einleitung Weltweit werden regelmäßig eine Vielzahl von Studien zu IT Service Management Standards (meistens ITIL) durchgeführt. Mit den Studien soll in der Regel untersucht werden, in welchem Umfang ITIL in Unternehmen umgesetzt wird (z.b. [1][2]). Einige dieser Studien werden von Toolanbietern oder Beratungshäusern durchgeführt, andere von wissenschaftlichen Einrichtungen oder im Auftrag von Berufsverbänden. Letztere haben zum Teil einen beachtlichen Umfang und können als empirisch repräsentativ angesehen werden [3]. So vielfältig die Studien sind, so unterschiedlich sind ihre Ergebnisse. So variiert zum Beispiel der gemessene Umsetzungsgrad von ITIL zwischen 28% und 77% [4], wobei dementsprechend unterschiedliche Schlussfolgerungen gezogen und Empfehlungen gegeben werden. Mit der vorliegenden Studie, die im Mai/Juni 2013 durchgeführt wurde, sollte insbesondere ein Blick in die Region Aachen geworfen werden. Ziel war es, typische Umsetzungsszenarien von IT Management Standards zu erheben, wobei der Fokus auf der unternehmensinternen Gewichtung einzelner IT Managementprozesse lag. Die Gewichtungsprofile der Unternehmen können verglichen werden, so dass jedes Unternehmen individuell Rückschlüsse und Handlungsempfehlungen für seine Prozesse ableiten kann. Vorgehensweise und Methode Insgesamt haben 43 Unternehmen 1 an der Studie teilgenommen - 3/4 davon aus der Region Aachen. Dabei wurde nicht zwischen verschiedenen Branchen unterschieden sondern generisch IT-betreibende Unternehmen in die Auswahl genommen. Ungefähr die Hälfte der befragten Unternehmen haben mehr als 1000 Mitarbeiter bzw. mehr als 100 IT Mitarbeiter (Abb. 1). In mehr als der Hälfte der Fälle, stellen die IT Organisationen der befragten Unternehmen Ihre IT Dienstleistungen ausschließlich internen Kunden zur Verfügung stellt (Abb. 2). Das bedeutet, dass es sich um klassische interne IT Abteilungen handelt, deren Hauptaufgabe die Unterstützung des normalen Geschäfts des Unternehmens ist. 23% der 1 14 der 43 Unternehmen haben den Fragebogen nicht bis zum Ende ausgefüllt, so dass die Datenbasis in den einzelnen Blöcken des Fragebogens variierte. 2

3 befragten Unternehmen sind IT Dienstleister, die ihre IT Organisation ausschließlich auf externe Kunden ausgerichtet haben. Anzahl'Mitarbeiter'(%)' Anzahl'IT'Mitarbeiter'(%)' 51%# 7%# 16%# 26%# 1(10#Mitarbeiter# 11(100#Mitarbeiter# 101(1000#Mitarbeiter# größer#1000#mitarbeiter# 49%$ 19%$ 14%$ 7%$ 12%$ 1(5$Mitarbeiter$ 6(15$Mitarbeiter$ 16(30$Mitarbeiter$ 31(100$Mitarbeiter$ größer$100$mitarbeiter$ Abbildung 1: Prozentualer Anteil der teilnehmenden Unternehmen hinsichtlich Anzahl der Mitarbeiter und Anzahl der IT-Mitarbeiter Abbildung 2: Prozentualer Anteil der teilnehmenden Unternehmen hinsichtlich Kundenstruktur (interne bzw. externe Kunden) Mit den Teilnehmern der Studie wurde zunächst persönlich Kontakt aufgenommen, um die Bereitschaft zur Teilnahme abzuklären. Sofern Interesse bestand, wurde ein Link zu einer Online-Umfrage übermittelt, über denn dann der Fragebogen ausgefüllt werden konnte. Da die Auswahl der teilnehmenden Unternehmen nicht auf einer Zufallsstichprobe basierte, ist eine Repräsentativität nicht gegeben. Dennoch bieten die Ergebnisse der Studie in Teilbereichen einen guten Überblick über die Gesamtsituation und dienen darüber hinaus als Grundlage zur kritischen Reflexion und Diskussion der angesprochenen Themen. 3

4 Struktur des Fragebogens Der Fragebogen war in drei Blöcke gegliedert. Nach einer Abfrage der relevanten Kennzahlen des Unternehmens (Unternehmensgröße, Größe der IT Abteilung, interne/externe Kunden) in Block 1, wurde in Block 2 der Reifegrad von spezifischen IT Prozessen wie Incident Management, Performance- und Kapazitätsmanagement oder Service Level Management erfragt. Dabei wurde nach dem COBIT Process Maturity Model [5] vorgegangen. Die Stufen der Implementierung sind demnach: > nicht existent: keine Prozesse vorhanden, Handlungsbedarf nicht erkannt > initial: Handlungsbedarf erkannt, ad-hoc Vorgehen ohne definierte, verwaltete Prozesse > wiederholbar: Prozesse sind oberflächlich definiert, es besteht kein formales Training, es wird sich auf Einzelpersonen und deren Wissen verlassen > definiert & angewendet: Prozesse sind definiert und werden geschult, die Anwendung von Prozessen wird jedoch nicht kontrolliert und Abweichungen werden vermutlich nicht erkannt > managed: Prozesse sind eingeführt und werden kontinuierlich überwacht, Automatisierung oder Werkzeugunterstützung findet nicht gezielt statt > optimiert: Prozesse werden kontinuierlich verbessert und sind auf Best-Practice Niveau, Werkzeuge werden kontrolliert bereitgestellt und verwendet, Qualität und Effektivität wird überwacht und wenn nötig angepasst Im dritten Block wurden IT Governance Aspekte erfragt. Zum Beispiel, ob bekannt ist, welche die risikoreichsten IT Leistungen und Prozesse sind, oder ob IT-bezogene Investitionen an Unternehmenszielen ausgerichtet werden. Diese Faktoren konnten auf einer ordinalen Skala von 1-5 bewertet werden, wobei 5 die beste Übereinstimmung mit der Frage und 1 keine Übereinstimmung mit der Frage bedeutet. Die Ergebnisse sind insbesondere im Hinblick auf die Qualität von Prozessen, einer Rangfolge unter diesen Prozessen und der aufgewendeten Zeit analysiert worden. Es wurde eine faktische Hierarchie unter den Prozessen ermittelt, die handlungsleitend zum Beispiel für die Lehre oder 4

5 für die Anwendung in Unternehmen sein könnte. Darüber hinaus lassen sich Hinweise für die Umsetzung von ITIL und COBIT ableiten. So zum Beispiel, welche Prozesse in der praktischen Anwendung sicher beherrscht werden sollten, welche einen eher nebensächlichen Charakter haben und mit welchen Effekten zu rechnen ist, falls davon abgewichen wird. Wie bei allen empirischen Studien müssen auch hier die Ergebnisse und die daraus abgeleiteten Rückschlüsse jeweils fallspezifisch hinterfragt werden. Generische Aussagen, die Gültigkeit für alle Unternehmen bzw. Prozesse haben, sind auf der Basis dieser Studie nicht möglich. Ergebnisse IT Standards Generell lässt sich feststellen, dass fast zwei Drittel der befragten Unternehmen (63%) IT Standards wie ITIL, COBIT oder ISO verwenden. Sobald ein IT Standard eingesetzt wird, ist ITIL die erste Wahl (Abb. 3): 85% der Firmen mit IT Standards geben an, ITIL zu nutzen. Im Vergleich dazu liegen ISO (26%) und COBIT (14%) deutlich darunter, wobei Doppelnennungen möglich waren. Zu anderen Standards, wie MOF oder ISO 9000, gab es nur Einzelnennungen, meist als Ergänzung zu den meist genannten Standards ITIL und ISO Abbildung 3: Anteil verschiedener IT Standards in Unternehmen, die IT Standards einsetzen 5

6 Der Einsatz eines IT Standards ist stark abhängig von der Größe eines Unternehmens. Grundsätzlich lässt sich sagen, je größer die Firmen, desto eher sind IT Standards implementiert (Abb. 4). Nur eines, der befragten Unternehmen mit mehr als 1000 Mitarbeitern gab an, keine IT Standards zu verwenden (93%). Dem gegenüber war die Quote der IT Standards unter den kleinen Unternehmen sehr gering: Keines der befragten Unternehmen mit weniger als 10 Mitarbeitern und nur 29% der Unternehmen mit weniger als 100 Mitarbeitern richten Ihre Prozesse an IT Standards aus. Abbildung 4: Einsatz von IT Standards in Bezug zur Größe des Unternehmens Was die Verbreitung von ITIL betrifft, liegen die Zahlen mit 63% etwas über dem weltweiten Durchschnittswert von 57% [3]. Da die Anzahl der weltweiten ITIL Zertifizierungen leicht steigt (von im Jahr 2008 auf im Jahr 2013, was ein Anstieg um 10% ist [6]), ist für die Zukunft eine leicht steigende Verbreitung von ITIL in den Unternehmen zu erwarten. ISO spielt insbesondere für große Unternehmen eine Rolle. Das lässt sich daran erkennen, dass nur Unternehmen mit mehr als 100 IT Mitarbeitern diesen Standard anwenden über zwei Drittel der großen Unternehmen wenden ISO bereits an. Diese Feststellung ist durch- 6

7 aus nachvollziehbar, weil es sich bei ISO in erster Linie um einen Standard handelt, nach dem sich Unternehmen auch zertifizieren lassen können. Da andere Standards für Unternehmenszertifizierungen kaum Anwendung finden, ist anzunehmen, dass sich die Nachfrage nach ISO 20000, hauptsächlich von großen Unternehmen bzw. IT Dienstleistern, in Zukunft noch verstärken wird. IT Prozesse Unter den abgefragten IT Prozessen ergibt sich eine deutliche Hierarchie. Wie bereits in anderen Studien nachgewiesen, scheint es einige Kernprozesse zu geben, die von der Mehrheit der Unternehmen angewendet werden [2]. Ebenso stellen sich einige Prozesse als Außenseiter heraus, die nur in speziellen Fällen Anwendung zu finden scheinen. Um relevante, mit hoher Qualität ausgeführte Prozesse zu identifizieren, wurde die Summe aus den drei höchsten Process-Maturity Stufen (Stufe 4: definiert & angewendet; Stufe 5: managed; Stufe 6: optimiert) ermittelt und verglichen. Dieser Wert, im folgenden kumulierte Prozessqualität genannt, sagt aus, wie viele Unternehmen einen Prozess mindestens mit dem COBIT Process Maturity Level 4 definiert & angewandt ausführen (Abb. 5). Für die kumulierte Prozessqualität der teilnehmenden Unternehmen lässt sich feststellen, dass der Prozess IT Sicherheit von den meisten Unternehmen mindestens als definiert und angewandt beschrieben wird (74%). Gefolgt wird dieser Wert von Service-Desk, Incident- und Problem Management (70%) und Controlling von IT (62%). Die Prozesse mit der geringsten kumulierten Prozessqualität sind Service Level Management (41%) und Third-Party Management (44%) und Capacity & Availability Management (46%). Diese Prozesse werden von ungefähr einem Viertel der Firmen überhaupt nicht ausgeführt. Interessant ist ebenfalls die Feststellung, dass die Prozessqualität nicht mit der Größe der Firmen korreliert (Korrelationskoeffizient jeweils < 0,3); mit Ausnahme einer schwachen Korrelation bei Capacity & Availability Management (0,62). Das bedeutet, dass große Unternehmen der Region Aachen zwar signifikant häufiger ITIL Prozesse umgesetzt haben, die Prozessqualität jedoch nicht im gleichen Maße besser ist. Kleine Unternehmen scheinen also, sofern sie die Prozesse anwenden, durchaus in der Lage zu sein, diese in einer hohen Qualität auszuführen. 7

8 Abbildung 5: Kumulierte Prozessqualität und durchschnittlicher Zeitanteil der angefragten ITIL Prozesse Neben der kumulierten Prozessqualität lassen sich auch Aussagen über den Zeitaufwand treffen, der für verschiedene Prozesse aufgewendet wird. So fällt auf, dass IT Sicherheitsprozesse zwar insgesamt auf hohem Niveau ausgeführt werden, dies aber in einer vergleichsweise geringen Zeit bewerkstelligt wird: Durchschnittlich wird nur 7% des Gesamtaufwandes der IT in IT Sicherheitsprozesse investiert. Diese Prozesse scheinen also gut etabliert, trainiert und optimiert zu sein. Diese Feststellung ist vor dem Hintergrund erstaunlich, dass IT Sicherheitsmanagement ein äußerst umfangreicher und komplexer Prozess ist, insbesondere wenn das Verhalten der Mitarbeiter einbezogen werden muss [7]. Je nach Unternehmen sollten deshalb die einzelnen Tätigkeiten von IT Security Management und deren Notwendigkeit im Rahmen der Prozessqualität genauer analysiert werden. Service Desk, Incident- und Problem Management nehmen mit durchschnittlich 18% den größten Zeitanteil ein. Diese Feststellung ist deshalb nicht erstaunlich, weil genannte Prozesse zum einen am häufigsten um- 8

9 gesetzt werden, zum anderen, weil sie den größten Teil des regulären IT- Betriebs ausmachen. Service Level Management und Third-Party Management haben im Vergleich zwar die geringste kumulierte Prozessqualität, dennoch geben die Unternehmen, die diese Prozess durchführen an, genauso viel Zeit für SLA-Management aufzuwenden wie für IT Sicherheit. Dies weist auf geringe Process Maturity für diese Prozesse hin und bestätigt, dass diese wohl nur rudimentär implementiert sind. Erfragt wurde auch der prozentuale Zeitaufwand für Managementprozesse in Relation zum Gesamtzeitaufwand der IT. Der Mittelwert hierfür beträgt 14% mit einer Standardabweichung von 8. Dies ist zwar nur eine grobe Schätzung, lässt aber dennoch, zusammen mit weiteren Zahlen, einige vergleichende Schlussfolgerungen zu: > Eine schwache Korrelation lässt sich zwischen dem prozentualen Zeitaufwand für Management-Tätigkeiten und der Größe der IT Organisation feststellen. Je größer die IT Abteilung, umso mehr Zeitanteil wird in Managementaufgaben investiert. Diese Einschätzung kann allerdings auch daran liegen, dass in großen IT Abteilungen der Managementaufwand offensichtlicher ist. > Es besteht keine Korrelation zwischen der Größe der IT Organisation und der Einschätzung, ob dieser Zeitanteil zu wenig, zu viel oder genau richtig ist. Die Größe einer IT Organisation ist also kein bzw. nicht der einzige Indikator dafür, wie viel Zeit für Management-Tätigkeiten aufgewendet werden sollte. > Unter den Firmen, die Angaben zum Gesamtaufwand gemacht haben, sind 37% der Ansicht, genug Zeit für IT Management aufzuwenden. 45% meinen, sie bringen zu wenig Zeit für IT Managementprozesse auf. Lediglich 8% finden den Umfang ihres IT Managements zu hoch (Abb. 6). > Bei den Unternehmen, die zu wenig Zeit für IT Management investieren, liegt der Mittelwert des Zeitanteils bei 12%. Der mittlere Zeitanteil bei den Unternehmen, die genau richtig viel Zeit für IT Management aufwenden liegt bei 19%. Dabei hat kein Unternehmen angegeben, dass der Zeitanteil für IT Management 30% übersteigt. 9

10 45%$ Zeitanteil(IT(Management( 37%$ 8%$ genau$rich1g$ zu$viel$ zu$wenig$! Anteil Management- Tätigkeit!! 19%$ $ 12%$ $ 12%$ $ Abbildung 6: Einschätzung des Zeitanteils für IT Management (zu wenig, zu viel, genau richtig) und geschätzter prozentualer Zeitanteil Auf Basis dieser Daten schlagen wir folgende Werte als Korridor für einen geeigneten Zeitanteil für IT Management vor: > Untere Grenze: min % > Obere Grenze: max. 30% > Wahrscheinlicher Wert: ca. 20% Praktisch ausgedrückt: Auf vier IT Mitarbeiter, die sich ausschließlich um operative Aufgaben kümmern, kommt ein Vollzeit-Manager. Auch wenn ein empirischer Beleg für die Richtigkeit dieser Zahlen aussteht, und zudem Abweichungen aufgrund des individuellen Aufbaus eines Unternehmens auftreten, liefen die Werte Anhaltspunkte, auf deren Basis eine genauere Analyse der einzelnen Prozesse vorgenommen werden kann. Es geht also weniger darum diese Werte als Zielgrößen heranzuziehen, sondern darum, Abweichungen zu den Werten als Ausgangspunkt für eigene Analysen heranzuziehen. Die Analysen liefern dann entweder Verbesserungspotenzial oder eine Begründung, warum es im individuellen Fall anders sein sollte. IT Governance Im letzten Block der Studie wurden Kriterien abgefragt, die Rückschüsse auf IT Governance zulassen. Es wurde erhoben, ob bzw. in welchem Maße > Risiken überwacht und gesteuert werden 10

11 > IT Investitionen an der Unternehmensstrategie ausgerichtet werden > ein Qualitätsmanagement die Einhaltung der Prozesse überwacht > IT Marketing betrieben wird im Sinne einer methodengeleiteten Darstellung der eigenen IT Leistungen gegenüber internen und externen Kunden [8]. Zu den Einschätzungen auf diese Fragen konnten Korrelationen zu dem Zeitanteil für IT Management festgestellt werden: Es gibt einen Zusammenhang zwischen der Aussage, dass ausreichend Zeit für Management- Tätigkeiten investiert wird und der Einschätzung, wie oben genannte Governance Aufgaben umgesetzt werden. Die Korrelation ist am deutlichsten bei IT Investitionen und IT Marketing ausgeprägt und am geringsten bei der Risikoüberwachung. Interessanterweise ist bei einer Korrelation der IT Governance Kriterien mit dem geschätzten Zeitanteil für IT Management der Zusammenhang nur schwach bis überhaupt nicht feststellbar. Die Vermutung liegt also nahe, dass die Einschätzung für genügend Zeit für IT Management einhergeht mit guter IT Governance. Dagegen scheint IT Governance nicht abhängig von der für IT Management investierten Zeit zu sein. Grundsätzlich muss angemerkt werden, dass eine hohe Korrelation nicht notwendiger Weise als Ursache-Wirkungsbeziehung interpretiert werden kann. Erst mit einer genauen Untersuchung der kausalen Wirkzusammenhänge ließen sich derartige Vermutungen bestätigen. Sonderfall: Firmen unter 100 Mitarbeitern Die Kennzahlen der kleinen Unternehmen (< 100 Mitarbeiter) weichen teilweise drastisch von den zuvor diskutierten Werten ab. Zunächst ist festzustellen, dass in dieser Studie 83% der kleinen Unternehmen laut eigenen Angaben keine IT Standards verwenden. Da trotzdem nach definierten Prozessen gefragt wurde und hier auch teilweise Prozesse als definiert & angewandt bezeichnet wurden, liegt der Schluss nahe, dass firmeneigene Prozess-Rahmenwerke vorhanden sein könnten, die möglicherweise sogar Best-Practices wie ITIL oder COBIT ähneln. Unter Berücksichtigung dieser Annahme kann trotzdem die kumulierte Prozessqualität und der Zeitanteil je Prozess mit den Ergebnissen der Gesamtpopulation verglichen werden. Hierbei fällt auf, dass bei den kleinen Unternehmen IT Security Management, Incident- und Problemmanagement sowie Konfigurationsmanagementprozesse mit über 60% gut etabliert sind und es kein Unternehmen gibt, das diese Prozesse nicht ver- 11

12 wendet. Interessant ist, dass bei den kleinen Unternehmen die Prozessqualität aller anderen Prozesse unter 35% liegt. Zusammenfassung Aus den Ergebnissen der Studie lassen sich folgende Kernaussagen zusammenzufassen: > Incident- und Problemmanagement, Sicherheitsprozesse und Kostenkontrolle sind elementare Kernprozesse und Indikatoren für eine gut verwaltete IT > IT Sicherheit wird flächendeckend und mit hoher Effizienz ausgeführt > Service Level Management, Third Party Management sowie Performance- und Kapazitätsplanung werden deutlich weniger beachtet und umgesetzt > 50% der Befragten haben den Eindruck, zu wenig Zeit für IT Management aufzuwenden > eine durchschnittliche Leitungsspanne von 4 Mitarbeitern je Vollzeit-IT-Manager scheint sinnvoll - dies entspricht einem Management-Verhältnis von 20% > kleine Unternehmen geben an, kaum IT Standards zu verwenden, scheinen sich aber implizit an solche anzulehnen, führen aber im Schnitt weniger Prozesse qualitativ aus > Unternehmen die genügend Zeit für IT Management aufwenden weisen häufiger eine gute IT Governance auf. Dabei scheint es nicht relevant zu sein, wie groß der Zeitanteil von IT Management Tätigkeiten ist. Literatur [1] RAAD Research IT Service Management Status und Potenziale, IT Service Management Forum Deutschland e.v., [2] T. DuMoulin; G. Spalding The Seven Enablers & Constraints Of IT Service Management Research Update 2011, Pink Elephant, [3] ITGI Global Status Report on the Governance Of Enterprise IT (GEIT) 2011, IT Governance Institute,

13 [4] R. England Review of recent ITIL Studies, APM Group Ltd., [5] ISACA - Information Systems Audit and Control Association COBIT 4.1, IT Governance Institute, [6] APM Group ITIL Marketing Report, APM Group The Accreditor, 2012 [7] M. R. Wolf Von Security Awareness zum Secure Behaviour In: "Hakin9 Exta" Vol. 5/2012, Hakin9 Media Verlag, [8] M. R. Wolf; B. Fräntz Erfolgreiches IT Marketing In: Lang, M. "CIO-Handbuch Band II, Erfolgreiches IT-Management in Zeiten von Social Media, Cloud & Co", Symposium Publishing, Düsseldorf,