IT Governance Michael Schirmbrand 2004 KPMG Information Risk Management

Transkript

1 IT Governance

2 Agenda IT Governance Ausgangslage Corporate Governance IT Governance Das IT Governance Framework CobiT Die wichtigsten Standards Integration der Modelle in ein gesamthaftes Modell -2-

3 Ausgangslage Mangelnde Ausrichtung der IT an Unternehmenszielen Nutzen der IT kaum zu bewerten Keine IT Governance Vorstandsverantwortung und haftung unbekannt IT stellt erhebliches Risiko dar; in Risikomanagement oft nicht berücksichtigt Gesetze und Vorschriften oft unbekannt und nicht eingehalten Best Practices nicht berücksichtigt IT stellt (für Vorstände) eine Black-Box dar Abläufe Kosten Risiken Nutzen Kontrollsysteme kaum existent und nicht nachvollziehbar IT Prozesse sind oft nicht überschaubar, nicht dokumentiert, nicht kontrollierbar, nicht messbar und nicht vergleichbar. -3-

4 IT Governance Dilemma Vermögen 15% Materiell 100% 80% Stellenwert 60% Immateriell 85% 40% 20% 0% Dienstleister Partner CEO/CIO erfolgreich mit Problemen Projekte 23% 28% Bewertung über den Erwartungen angemessen unter den Erwartungen 49% abgebrochen Keine Messung -4-

5 Was soll Ihre IT erreichen? Besser Angepasst Zeit Billiger Servicekosten Servicequalität Supportbusiness Zeit Zeit Kontrolliert Bereitstellungszeit IT Risiken Stakeholder Value Zeit Schneller Zeit -5-

6 IT Governance - Bedarf Motoren für laufende Veränderungen Corporate Governance Geschäftsführung und Shareholder Kunden und Mitarbeiter Gesellschaft Niedrigere Kosten, höhere Profite und höherer Marktanteil Mehr Funktionalität zu geringeren Kosten und einfachere Bedienung Höhere Verantwortung der Geschäftsführung im privaten sowie im öffentlichen Sektor -6-

7 IT Governance - Bedarf Geänderte Zielsetzung Vor zehn Jahren fürchteten wir uns davor, dass Rechenzentren durch Raketen zerstört werden..... heute müssen wir mit der Angst leben, dass Softwarefehler Raketen starten könnten! -7-

8 Top IT Themen der Analysten h Gartner h CSC h Compass h Giga h AICPA/CICA h CIO Magazine h Technology Council p Strategic Alignment p Value Delivery p IT Asset ment p Risk ment p Performance Measurement -8-

9 IT Governance Domains Strategic Alignment Value Delivery Risk ment IT Governance Domains Resource ment Performance Measurement -9-

10 Corporate Governance Corporate Governance is the system by which companies are directed and controlled. (Cadbury Report) The ethical corporate behaviour by directors or others charged with governance in the creation and preservation of wealth for all stakeholders. (Robert Roussey) Auch in Österreich seit 2002 im Kodex für Corporate Governance festgeschrieben. -10-

11 IT Governance IT governance is the responsibility of the board of directors and executive management. It is an integral part of enterprise governance and consists of the leadership and organisational structures and processes that ensure that the organisation s IT sustains and extends the organisation s strategies and objectives. (IT Governance Institute) -11-

12 IT Governance Framework - CobiT -12-

13 CobiT - Einzelprozesse M 1 M 2 M 3 M 4 Monitor the Processes Assess Internal Control Adequacy Obtain Independent Assurance Provide for Independent Audit DS 1 Define Service Levels DS 2 Third-Party Services DS 3 Performance and Capacity DS 4 Ensure Continuous Service DS 5 Ensure Systems Security DS 6 Identify and Attribute Costs DS 7 Educate and Train Users DS 8 Assist and Advise IT Customers DS 9 the Configuration DS 10 Problems and Incidents DS 11 Data DS 12 Facilities DS 13 Operations Monitoring Delivery & Support Business Processes IT Resources Data Applications Technology Facilities people Acquisition & Implementation Information criteria Effectiveness Efficiency Confidentiality Integrity Availability Compliance Reliability Planing & Organisation AI 1 AI 2 AI 3 AI 4 AI 5 AI 6 PO 1 PO 2 PO 3 PO 4 PO 5 PO 6 PO 7 PO 8 PO 9 PO 10 PO 11 Define a Strategic IT Plan Define the Information Architecture Determine the Technological Direction Define the IT Organisation and Relationships the IT Investment Communicate ment Aims and Direction Human Resources Ensure Compliance with External Requirements Assess Risks Projects Quality Identify Solutions Acquire and Maintain Application Software Acquire and Maintain Technology Architecture Develop and Maintain IT Procedures Install and Accredit Systems Changes -13-

14 CobiT Bestandteile CobiT v3 MANAGEMENT GUIDELINES FRAMEWORK with High-Level Control Objectives DETAILED CONTROL OBJECTIVES AUDIT GUIDELINES IMPLEMENTATION TOOL SET Case Studies FAQs Presentations Implementation Guide ment Awareness Diagnostics IT Control Diagnostics Maturity Models Critical Success Factors Key Goal Indicators Key Performance Indicators -14-

15 IKS und IT größte Teile des IKS sind in der IT (nach Aussagen großer Unternehmen 60 % bis 80%) In der IT oft nicht dokumentiert und vollständig Erhebliche neue Anforderungen durch Sarbanes-Oxley Detaillierte Anforderungen des PCAOB Erheblicher Umsetzungsaufwand Detaillierte Darstellung der Anforderungen an die IT in Veröffentlichungen von ISACA und IT Governance Institute Detaillierte Darstellung aller Kontrollen sowie deren Prüfung und Wirksamkeit notwendig Bei Teilauslagerungen auch Prüfungen nach SAS 70 notwendig -15-

16 Prioritäten der Analysten - Abbildung in CobiT Direct Objective Business & IT Key Goal Indicators Create Alignment Key Performance Indicators, Cobit Process Framework CSF, CO, CP Monitor Value Delivery Why? Environment Ethics & Culture Laws & Regulations Mission & Vision Role Models Industry Practices... Performance Measurement IT BSC CobiT Benchmark Maturity Model Audit Guidelines Resource ment Risk ment Execute Protect Key Performance Indicators, Cobit Process Framework CSF, CO, CP Maturity Models CSF, CO, CP IT Governance Phase How CobiT Assists -16-

17 ITIL Die IT Infrastructure Library Deliver IT Services Capacity ment Financial ment Customer Relationship Mgmnt Service Level Mgmt Continuity ment Availability ment Surviving Change Business Continuity Partnership and Outsourcing Transformation of business practice The Business Perspective Applications -Software development lifecycle Software -Software development lifecycle support lifecycle -Testing IT Services Software lifecycle support Testing IT Services Applications Support IT Services Service Desk Incident ment Problem ment Configuration ment Change ment Release ment Network Service Mgmt Operations Mgmt Mgmt of local processors Computer Installation Systems ment the Infrastructure -17- Quelle: KPMG

18 ITIL - Überblick Entwickelt im Auftrag der britischen Regierung Kann als De-Facto Standard für Service ment angesehen werden Ist eine allgemein verfügbare Dokumentsammlung, die Planung, Durchführung und Verbreitung von IT Services behandelt Es stellt die Basis für eine laufende Verbesserung des Betriebs sowie die Auswirkungen auf die IT Infrastruktur dar. Beschreibt eine systematische Vorgehensweise für IT Leistungen (vorwiebend Service ment) itsfm ist ein Verein, der die Best-Practice verbreitet und die Entwicklung von ITIL unterstützt ITIL enthält Informationen zum Service ment, jedoch das für IT Governance relevante Buch The Business Perspective ist noch nicht erschienen Quelle: KPMG

19 ISO/IEC 17799:2000 Best Practices im Bereich Allgemeiner Informationssicherheitsstandard mit umfassenden, auf Best Practice basierenden Kontrollen Soll bei der Identifikation der für Informationssysteme in Industrie und Wirtschaft erforderlichen Kontrollen als alleiniger Referenzpunkt dienen Erstveröffentlichung als DTI Code of Practice im UK 1999 umfassend überarbeitet Erstveröffentlichung als ISO-Standard in 2000, Teil 2 und ISO Toolkit folgten 2002 Besteht aus zwei Teilen Code of Practice (ISO 17799) Spezifikation für ein Informationssicherheitsmanagementsystem Organized into ten major sections, each covering a different security topic or area Michael Quelle: Schirmbrand ISO

20 IT Governance Vergleich von Standards und Modellen Vertikal (Detaillierungsgrad) tief flach ITSEC ITSEC CC CC EnSEC BSI ITIL SysTrust WebTrust CobiT eng Horizontal (Umfang) breit -20-

21 COBIT und ITIL Plan & Organise Define Strategic IT Plan Define Determine Information Technological Architecture Direction Identify Automated Solutions Acquire & Maintain Application Software Acquire & Implement Install & Accredit Systems Change Acquire & Maintain Technology Infrastructure Develop & Maintain IT Procedures Define IT Organization & Relationships Human Resource Communicate IT Aims & Investment Direction Ensure Compliance With External Standards Assess Risks Service Support Service Desk Incident Problem ment ment ITIL Service Delivery Service Level ment Availability Capacity ment ment Projects Quality Change ment Release ment Configuration ment Financial Continuity ment ment Monitor Monitor The Process Assess Internal Control Adequacy Define & Service Levels Third-Party Services Deliver & Support Performance & Capacity Ensure Continuous Service Ensure System Security Identify & Allocate Costs Operations Obtain Independent Assurance Provide Independent Audit Educate & Train Users Assist & Advise IT Customers Configuration Problems & Incidents Data Facilities -21-

22 COBIT, ITIL und andere Plan & Organise Define Strategic IT Plan Define Determine Information Technological Architecture Direction Identify Automated Solutions Acquire & Maintain Application Software Acquire & Implement Install & Accredit Systems Change Acquire & Maintain Technology Infrastructure Develop & Maintain IT Procedures Define IT Organization & Relationships Human Resource Projects Communicate IT Aims & Investment Direction Ensure Compliance With External Standards Monitor Monitor The Process Assess Internal Control Adequacy Assess Risks Quality ITIL plus PRINCE2 Project ment Service Incident Problem Availability Capacity plus ment ISO Level ment 9001 Quality ment ment ment ment plus Release Application ConfigurationServices Financial Continuity Library (ASL) ment ment ment ment plus Investors In People (IIP) plus ISO plus Gartner s Information 21 Security Best Practices Deliver & plus Support EFQM plus SixSigma Service Desk Change ment Define & Service Levels Third-Party Services Performance & Capacity Ensure Continuous Service Ensure System Security Identify & Allocate Costs Operations Obtain Independent Assurance Provide Independent Audit Educate & Train Users Assist & Advise IT Customers Configuration Problems & Incidents Data Facilities -22-

23 COBIT & andere Standards -23-

24 Reifegrade von IT Governance p Most senior officer in ISACA s database, from 800 Fortune500 and significant government entities p 146 responses for 205 entities =17.5% Board has IT Strategy Committee and approves IT Strategy Board approves IT Strategy or has an IT Strategy Cttee Board is regularly informed Board occasionally asks questions Board does not address IT -24-

25 Average IT Governance Maturity Levels -25-

26 Neue Anforderungen durch den Sarbanes Oxley Act größte Teile des Internen Kontrollsystems (IKS) sind in der IT (nach Aussagen großer Unternehmen oft 60 % bis 80%) In der IT oft nicht dokumentiert und vollständig Erhebliche neue Anforderungen durch Sarbanes- Oxley Detaillierte Anforderungen des PCAOB (Public Oversight Board, USA) Derzeit bindend für Unternehmen, die an der SEC gelistet sind und deren Töchter Detaillierte Darstellung aller Kontrollen sowie deren Prüfung und Wirksamkeit notwendig Bei Teilauslagerungen auch Prüfungen nach SAS 70 notwendig Erheblicher Umsetzungsaufwand Detaillierte Darstellung der Anforderungen an die IT in Veröffentlichungen von ISACA und IT Governance Institute -26-

27 Literatur CobiT ITIL

28 Die Methode der KPMG KPMG implements IT Governance using CobiT as Framework in which International Standards (e.g. ISO/IEC 17799:2000) and Best Practices (e.g. ITIL) are integrated. By using CobiT the clear focus of IT Governance is on Business Goals and IT Processes by Alignment and Value of IT. KPMG is Austrias opinion leader in accepted standards for IT Governance and significantly involved in the definition of respective international standards. COBIT & ITIL COBIT & COSO COBIT & ISO/IEC 17799:2000 Support IT Services Deliver IT Services -Service Desk - Capacity ment -Incident ment -Problem ment - Financial ment -Configuration ment - Customer Relationship Mgmt -Change ment - Service Level ment -Release ment -Continuity ment - Availability ment - Software development lifecycle -Software lifecycle support -Testing IT Services Applications -Network Service ment -Business Continuity -Partnership and Outsourcing -Operations ment -Surviving Change - ment of local processors -Transformation of business practise -Computer Installation -Systems ment The Business Perspective the Infrastructure MONITORING INFORMATION & COMMUNICATION CONTROL ACTIVITIES RISK ASSESSMENT CONTROL ENVIRONMENT COBIT & ISO/IEC TR COBIT & ISO/IEC 15408:1999 / CC COBIT & TickIT Concepts and Models for IT Security Managing and Planning IT Security Techniques for the management of IT Security Selection of Safeguards ment Guidance on Network Security Introduction and General Model Security Functional Requirements Security Assurance Requirements -28-