Verantwortung bleibt unscharf
Rollen bestehen auf dem Papier, doch Entscheidungen, Eskalation und Risikoakzeptanz sind nicht nachvollziehbar geregelt.
Unabhängige Zweitmeinung
Eine zweite Meinung – von jemandem, der nichts zu verlieren hat.
Der Review verbindet organisatorische Verantwortung, wesentliche IT-Risiken, Kontrollen und Dienstleistersteuerung zu einer belastbaren Entscheidungsgrundlage.
Typische Anlässe
Viele Puzzleteile, kein Bild.
Leistungen sind ausgelagert
Berichte und SLA liegen vor, aber kritische Abhängigkeiten und die Wirksamkeit der Steuerung bleiben unklar.
Maßnahmen konkurrieren
Viele offene Punkte beanspruchen Budget; eine risikobasierte Reihenfolge fehlt.
Möglicher Scope
Fokussiert auf die konkrete Entscheidungsfrage.
Ein Review kann die gesamte IT-Governance orientierend betrachten oder auf einen kritischen Prozess begrenzt werden. Typische Themen sind:
- Rollen, Verantwortung und Berichtslinien
- IT-Risikoprozess und Risikoakzeptanz
- Richtlinien, Kontrollen und Wirksamkeitsnachweise
- Identitäten und privilegierte Zugänge
- Dienstleister- und Lieferantensteuerung
- Notfallvorsorge, Backup und Wiederherstellung
- IT-/OT-Abhängigkeiten und Segmentierung aus Steuerungssicht
Vorgehen
Nachvollziehbar von der Frage zum Ergebnis.
Auftrag und Kriterien
Entscheidungsfrage, Scope, Bewertungsmaßstab und benötigte Nachweise festlegen.
Dokumente und Interviews
Regelwerk, gelebten Prozess und ausgewählte Wirksamkeitsnachweise abgleichen.
Risiken und Ursachen
Nicht nur Abweichungen, sondern mögliche Auswirkungen und strukturelle Ursachen bewerten.
Managementbericht
Feststellungen, Prioritäten, Empfehlungen und offene Entscheidungen verdichten.
Ergebnis
Am Ende wissen Sie, woran Sie sind.
Sie erhalten eine unabhängige Bewertung mit klarer Trennung zwischen belegtem Sachverhalt, Risikofolge, Empfehlung und noch erforderlicher Entscheidung.
Bewusste Grenzen
Kein Penetrationstest, keine technische Vollprüfung, keine Zertifizierung und keine Rechtsberatung. Technische Vertiefungen werden nur empfohlen, wenn sie für eine belastbare Bewertung notwendig sind.
Welche Entscheidung soll der Review absichern?
Diese Frage steht vor Checkliste und Methodik.