COBIT wird weltweit von Unternehmen und Institutionen aller Art angewandt. Aber wozu? Die ISACA hat dazu im Sommer 2014 bei der University of Antwerp - Antwerp Management School in Belgien ein internationales Forschungsprojekt in Auftrag gegeben. Dazu wurden weltweit fast 900 Personen zum Einsatz von COBIT befragt. Im Ergebnis wurde vor allem die COBIT-Zielkaskade (siehe das erste der hier genannten Anwendungsszenarien) empirisch bestätigt. Die Studie ergab eine positive Korrelation zwischen der Erreichnung von IT-bzogenen Zielen und der Umsetzung der Enabler, ebenso konnte der Zusammenhang zwischen IT-bezogenen Zielen und den Unternehmenszielen bestätigt werden.
Die Studie verdeutlicht aber auch, das COBIT je nach Region, Industriezweig und Unternehmensgröße mit unterschiedlichen Schwerpunkten eingesetzt wird. Dies bestätigt nochmals die auch von mir vertretene Auffassung, dass COBIT ein Rahmenwerk ist (und kein starrer Standard), das an die jeweilige Situation angepasst werden sollte. Als flexibles Rahmenwerk dient es der optimalen Unterstützung aller Unternehmen und Institutionen bei der IT-Governance und dem IT-Management.
COBIT anwenden - Geschäftsrelevante IT-Prozesse identifizieren
IT-Governance setzt voraus, dass IT-Prozesse verlässlich ablaufen sowie angemessen gesteuert und überwacht werden. Allerdings ist eine hohe Prozessqualität vor allem für die IT-Prozesse erforderlich, die dazu beitragen, die Ziele der Organisation oder des Geschäftsbereiches zu erfüllen. Eine gleichmäßige Erhöhung der Prozessqualität aller IT-Prozesse im Gießkannenverfahren ist meist nicht effizient und führt zu Ressourcenengpässen und zu einer Ressourcenvergeudung. Daher gilt es, die für die Organisation wichtigen IT-Prozesse zu identifizieren.
Bei der Anwendung von COBIT empfiehlt sich, diejenigen COBIT-Prozesse auszuwählen, deren Optimierung der Organisation am meisten Nutzen bringt. Das Rahmenwerk COBIT bietet mehrere Ansätze, um die zur Erfüllung der geschäftlichen Anforderungen relevanten IT-Prozesse zu selektieren und über die Verbesserung dieser IT-Prozesse einen konkreten Wertbeitrag der IT zu ermöglichen. In der Praxis haben sich im Wesentlichen zwei Vorgehensweisen bewährt:
Beide Vorgehensweisen sind ausführlich in meinem Buch Praxiswissen COBIT beschrieben.
COBIT anwenden - Reifegrad von IT-Prozessen ermitteln
Die Reifegradermittlung ist ein wichtiges Instrument zur Messung der Qualität von Prozessen. Nach Auswahl der geschäftsrelevanten IT-Prozesse bietet sich eine Standortbestimmung in Form einer Reifegradermittlung an, um auf dieser Basis über die Umsetzung von Verbesserungsmaßnahmen zu entscheiden. COBIT 2019 beschreibt zwei Modelle zur Ermittlung des Reifegrades von IT-Prozessen:
• das COBIT 5-Prozessbefähigungsmodell basierend auf dem Standard ISO/IEC 15504 sowie
• ein COBIT-2019-Befähigungsmodell basierend auf den Aktivitäten.
In der Anwendung und Aussage unterscheiden sich die beiden Reifegradmodelle aber erheblich. Beide Modelle sind ausführlich in meinem Buch Praxiswissen COBIT beschrieben.
COBIT anwenden - Kennzahlensysteme aufbauen
Eine ganzheitliche Sicht auf die IT-Prozesse muss von Messgrößen unterstützt werden, die zeitnah Auskunft geben, wie gut die aktuelle Leistung der IT-Prozesse ist und wie gut die IT die Unternehmensziele unterstützt. Oftmals werden in den Unternehmen Abwandlungen der Balanced Scorecard eingesetzt. Eine unternehmensweite Balanced Scorecard muss aber auch den IT-Bereich umfassen. COBIT bietet mit den Zielen und Metriken für jeden COBIT-Prozesspraktik eine umfangreiche Sammlung von exemplarischen Prozesszielen und –metriken, die Ausgangspunkt für die Erstellung einer IT Balanced Scorecard sein können. Der Aufbau von Kennzahlensystemen mit COBIT ist ausführlich in meinem Buch Praxiswissen COBIT beschrieben.
Weitere Anwendungsszenarien für COBIT sind: IT-Governance, IT-Risikomanagement, Informationssicherheitsmanagement, IT-Compliance, IT-Outsourcing und natürlich IT-Assurance. Diese COBIT-Anwendungsszenarien sind ebenfalls in meinem Buch Praxiswissen COBIT ausführlich beschrieben.