Herr Dr. Wildhaber, vielen Dank für das Gespräch!

Aber es gibt sicher Vorgehensweisen, die mehr zu empfehlen sind als andere?
Ja sicher. Man braucht eine durchgehende Zielkas­kade, mit manifestierbaren Zielen, kurz: einfache, für jeden verständliche Zielbegriffe, und das durchgängig von oben bis unten. In Bezug auf die Implementierung gibt es automatisierte Tools, die eine effiziente Um­setzung von GRC unterstützen.

Manifestierbare Ziele heißt wohl in erster Linie, man braucht gute Messgrößen?
Genau. Und das ist gar nicht so einfach. Um ein Beispiel zu geben: Wenn Sie den Baufortschritt eines ­­Gebäudes ermitteln wollen, reicht es nicht, nur auf den Hof zu blicken und die LKWs zu zählen, die ­Steine abliefern oder Komponenten, um Beton zu machen. Sie müssen auch kontrollieren, ob der Beton für den Hausbau verwendet wird.

Inwieweit kann oder darf GRC an Fachabteilungen oder die IT-Verantwortlichen delegiert werden?
Der Führungsrahmen muss notwendigerweise auf der obersten Managementebene vorgegeben werden, das ist unabdingbar. Wenn das nicht geschieht, wird das Management schlicht seiner Führungsauf­gabe nicht gerecht. Das Management muss sich um die richtige Verzahnung wichtiger IT-Projekte mit den Geschäftsprozessen engagiert kümmern, aber soll sich natürlich nicht in Details einmischen. Ich sage immer: »Heads in – hands out«.

Nun ist die Kommunikation ja keine Einbahnstraße, ­eigentlich sollte sie genau das Gegenteil sein. Auch dieIT-Abteilung hat also eine Bringschuld gegen­über der ­Geschäftsführung, muss ein Projekt aktiv verkaufen und den Wertbeitrag sichtbar machen. Wie steht es damit?
Keine Frage, die Leistungen der IT, insbesondere der Beitrag zur strategischen Unternehmensentwicklung, müssen durch deren Protagonisten, also CIO oder dessen Führungsteam, sichtbar gemacht und den Fachbereichen dargestellt werden. Ohne Informationsmanagement wird es dabei nicht gehen. Alle Protagonisten müssen wissen, wie die eigene Landschaft der Informationsverarbeitung aussieht.

Geschieht das nach Ihren Erfahrungen?
Sicher viel zuwenig. Mehr noch: Viele IT-Abteilungen verzichten auf Quick Wins in ihren Projekten, mit denen sie die Vorstände begeistern könnten, was dann wiederum alle Projektmitarbeiter zusätzlich motivieren würde. Es ist eine Tatsache: viele gute IT-Projekte scheitern, weil sie keinen organisatorischen Kontext haben.