Management und Organisation - Kapitel 4

Rollen und Aufgaben im IT Bereich

Ziele der Lektion

• Kennenlernen der typischen Rollen und Aufgaben im IT-Bereich
• Kennenlernen der Projektaufbauorganisation

Rollen dienen der Systematisierung und Bündelung von Aufgaben und können von einer oder mehreren Personen wahrgenommen werden. In der Praxis werden von einer Person auch mehrere Rollen übernommen.

Typische Rollen im IT-Bereich

Im Wesentlichen können die Rollen eines IT-Bereichs in folgende Segmente unterteilt werden:

• Rollen mit Führungsfunktion: CIO, IT-Leitung etc.
• Rollen im Bereich Planung und Controlling: IT Architekten, IT-Controller, IT-Qualitätsmanager, IT-Koordinatoren etc.
• Rollen im Betrieb: Datenbankadministratoren, Netzwerkspezialisten, IT-Security Experten, Mitarbeiter des Helpdesk und Support etc.
• Rollen in der Anwendungsentwicklung und Applikationsintegration: Softwarearchitekten, Programmierer, Datenbankentwickler etc.
• Rollen im Projektmanagement: Projektportfolio Manager, Projektleiter, Verantwortliche für Arbeitspakete etc.
• Rollen in der Verwaltung: Assistenz etc.

Führungsfunktionen

Führungskräfte im IT-Bereich müssen einerseits über Wissen im IT-Bereich hinsichtlich Produkten, Technologien und Prozessen verfügen und andererseits Mitarbeiter motivieren können und Akzeptanz als Führungskraft erreichen.

Chief Information Officer (CIO)

Der Chief Information Officer (CIO) eines Unternehmens ist eine Führungskraft mit breiter Perspektive, die Führungsaufgaben des Informationsmanagements wahrnimmt [WINFL1, S. 324]. Die Rolle berichtet in der Regel direkt an die oberste Geschäftsleitung oder ist selbst ein Teil dieser. Die Institutionalisierung dieser Rolle trägt Ihren Ursprung in den späten neunziger Jahren, als die treibende Rolle der IT zur Steigerung der Wertschöpfung und Innovation ihren Beitrag zum Geschäftserfolg beisteuerte [INFMGMT1, S. 12]. Zuvor stand stattdessen die Rolle des EDV-Leiters mit primärer Zuständigkeit für IT-Betrieb und die Bereitstellung von IT-Systemen und - Anwendungen an oberster Stelle eines IT-Bereichs [INFMGMT2, S. 103]. Die Definition des CIO ist in der Literatur unterschiedlich, dennoch sind Gemeinsamkeiten festzustellen. Demnach befasst sich ein CIO primär mit strategischen und planerischen Tätigkeiten. Die Aufgaben des CIOs lassen sich in

• strategische,
• prozessuale und
• Tätigkeiten als Führungskraft des IT-Bereiches

gliedern. Zu den strategischen Aufgaben zahlt insbesondere die Entwicklung einer IT-Strategie, welche sich aus den Unternehmenszielen ableitet und den Erfolg des Unternehmens sicherstellen soll. Aus der IT-Strategie muss durch den CIO in weiterer Folge eine IT-Organisation entwickelt werden und konkrete Maßnahmen sowie Projekte abgeleitet und zur Umsetzung gebracht werden. Unter prozessualen bzw. prozessbezogenen Aufgaben werden die Priorisierung und das Management von Projektanforderungen verstanden, die Auswirkungen auf Systeme und Prozesse des Gesamtunternehmens haben. Diese Aufgabe kann vom CIO auch an einen IT-Projektportfolio-Manager delegiert werden. Ein weiterer Schwerpunkt der Tätigkeit und Verantwortung des CIO liegt in der Verbesserung bestehender Prozesse und Systeme [INFMGMT2, S. 106].

Chief Information Security Officer (CISO)

Der Chief Information Security Officer (CISO) ist zentraler Ansprechpartner in allen Belangen der Informationssicherheit in einem Unternehmen. Der CISO oder auch IT- Sicherheitsbeauftragter genannt, ist der Hauptverantwortliche für die Erstellung, Implementierung, Entwicklung und Einhaltung des Information-Security-Managements (ISM)- Prozesses [ITIL2, S. 38]. Der CISO ist für die Koordination aller Maßnahmen und für die Überwachung der Einhaltung aller Maßnahmen der Informationssicherheitsstrategie im Unternehmen verantwortlich. Diese Maßnahmen zum Schutz von Informationen werden im Rahmen des Information- Security-Management-Prozesses basierend auf den Sicherheitsanforderungen aus

• Compliance-Anforderungen
• Gesetzlichen Vorschriften und
• den Sicherheitsrichtlinien des Unternehmens

abgeleitet und definiert. Der ISM-Prozess erstreckt sich auf die Integrität und Vollständigkeit von Informationen sowie die Gewährleistung der Vertraulichkeit [ITSM1, S. 70]. Zu den wichtigsten Aufgaben eines Chief Information Security Officers zählen

• Definition eines IT-Sicherheitskonzeptes,
• Vorgeben von Sicherheitsrichtlinien,
• Durchführung von Kontrollen und
• Maßnahmensetzung bei Sicherheitsverletzungen.

Der CISO berichtet in der Regel an den Chief Information Officer (CIO). Abhängig von der Komplexität der zugrunde liegenden IT wird der CISO von einem oder mehreren Information Security Officer unterstützt.

IT-Leiter*in

Die primäre Aufgabe des IT-Leiters (auch EDV- oder DV-Leiter) ist die Bereitstellung und das Management von IT- Ressourcen, also von IT-Hardware, -Software und -Personal, wie Berater oder Entwickler. Darüber hinaus stellt der IT-Leiter auch gesamte Anwendungen und Dienste, die jeweils aus einer Kombination verschiedener IT-Ressourcen bestehen, für Businesseinheiten zur Verfügung. Die IT-Leitung ist Führungskraft, die speziell auf informationstechnische Aufgaben ausgerichtet ist (z.B. Leitung eines Rechenzentrums) [WINFL1, S. 208]. Im Vergleich zum CIO ist die Rolle der IT-Leitung enger gefasst, da sie sich nicht nach dem Mehrwert und Nutzen der IT ausrichtet, sondern nach anderen Kriterien wie Verfügbarkeit, Skalierbarkeit oder Technologie. Die Trennung zwischen CIO und IT-Leitung hängt stark von der Unternehmensgröße ab. Während in großen Organisationen die Funktionen getrennt sind, ist die Funktion des IT- Leiters bei kleinen Unternehmen meist Teil der Aufgabenbeschreibung des CIOs. Die Aufgaben der IT-Leitung lassen sich in

• operative Aufgaben und
• Tätigkeiten als Führungskraft des IT-Bereiches

gliedern. Unter operativen Aufgaben werden u.a. die Sicherstellung eines IT-gestützten Geschäftsbetriebes, des Supports, des (Anwendungs-) Betriebs, die Entwicklung von Software, Beratung und Training verstanden. Dies kann durch eigenes IT-Personal und/oder durch Partnerfirmen als Ergebnis einer Sourcing-Strategie erfolgen. Als Führungskraft ist der CIO auch für das Budget bzw. die Kosten und für Führungsaufgaben, wie z.B. Personalführung, verantwortlich.

Es gibt einige, typische Rollen für die Planung und das Controlling eines IT-Bereichs.

IT-Architekt*in

Die Komponenten eines Informationstechnologiesystems in einer Organisation stehen in Wechselwirkung zueinander. Abstrahiert betrachtet sind diese Komponenten Teil einer gemeinsamen Kommunikationsplattform. Sie besteht nicht nur aus den Komponenten selbst, sondern aus den Beziehungen der Komponenten untereinander und zur Umgebung, aber auch aus den Prinzipien, die die Gestaltung dieser Architektur führen [ITIL1, S. 202]. Die Abstraktion erlaubt die Planbarkeit und Steuerbarkeit dieses Systems. Sie wird IT Architektur genannt [MGIT1, S. 18]. Die Gestaltung und Durchführung zur Planung und Entwicklung einer solchen Architektur wird durch die Rolle eines/einer IT-Architekt*in ausgefüllt [MGIT1, S. 32]. Er/sie ist für übergreifende Bereitstellung und Weiterentwicklung, sowie für die Beratung und Unterstützung bei der Nutzung verantwortlich [MGIT2, S. 236]. Arbeitet die Architektin auf der Unternehmensebene, so muss sie bei der Planung und Steuerung der IT Architektur die Geschäftsbedürfnisse seines Unternehmens kennen und an diesen ausrichten und effektiv unterstützen. Sie setzt dabei die IT-Strategie seines Unternehmens um. Sie dient dazu die Wirtschaftlichkeit des Unternehmens zu steigern und die Wettbewerbsposition zu verbessern [WINF1, S. 822]. Sie muss dabei übergreifend und integrativ alle Teile der unternehmensweiten IT Landschaft berücksichtigen [MGIT1, S. 33]. Der/die IT-Architekt*in lenkt den Blick bei allen Beteiligten immer wieder auf die gemeinsam erarbeiteten Anforderungen an das System. kann nur durch Teamorientierung und direkte Kommunikation seine Organisation lenken. hält sich bei der Dokumentation zurück und reduziert diese auf die Kernkonstrukte und -elemente, weil eine detailliertere Beschreibung den Zeitvorgaben zuwiderlaufen würde. und sein Team wechseln immer zwischen der Detailebene und der Abstraktion davon, um nicht den Überblick zu verlieren. Erst dadurch lässt sich nach Dern ([MGIT1]) eine hochwertige Architektur entwickeln. berücksichtigt in der Kommunikation mit Mitarbeitern immer deren Rolle und Funktion. Unterschiedliche Rollen haben unterschiedliche Informationsbedürfnisse. Er macht sich die Sicht der Rolle auf die Architektur zu eigen und kommuniziert nur das, was die Rolle versteht. muss die IT-Architektur stringent planen und die Umsetzung der Planung kontrollieren. berücksichtigt die Geschichte der bestehenden Anwendungslandschaft als Ausdruck der Unternehmenskultur. Nur auf dieser Basis ist es möglich, Veränderungen und Weiterentwicklungen anzustoßen, nicht unabhängig davon [MGIT1, S. 89]. Auf Projektebene muss auf der Basis der Vorgaben der Architektur auf Unternehmensebene passende IT-Architekturen entwickelt werden. Fokussiert auf die Welt im Kleinen muss er/sie die Systemtechnologie, Softwaretechnik und die fachliche Domäne gut kennen. Dabei wird der organisatorische Rahmen, in dem dies geschehen muss berücksichtigt [MGIT1, S. 33]. Die Rolle des IT-Architekten auf Projektebene kann von verschiedenen Personen wahrgenommen werden: Projektleiter*in, Leiter*in einer Gruppe von Anwendungsdesignern*innen, muss aber nicht. Die Rollen IT-Architekt*in und Projektleiter*in sollten dann voneinander getrennt sein, wenn ein Anwendungsfall in einem Projekt in Konflikt mit einem langfristigen Architekturziel stehen konnte. Für diese Fälle ist es wichtig, für beide Rollen die Eskalationswege vorher genau definiert zu haben und den IT-Architekten auf Unternehmensebene mit einzubeziehen, damit der Konflikt erfolgreich gelöst werden kann [MGIT1, S. 33].

IT-Controller*in

Der/die IT-Controller*in einer Organisation berichtet in der Regel an den CIO und unterstützt diesen bei Entscheidungen hinsichtlich Anschaffung, Realisierung und dem Betrieb von Hardware und Software durch die Sammlung, Aufbereitung und Analyse von Daten [INFMGMT2, S. 191f]. Die dazu verwendeten (Basis-) Daten lassen sich generell in

• kommerzielle,
• qualitative und
• quantitative

Daten einordnen. Für das IT-Controlling relevante, kommerzielle Daten werden durch Planungs-, Warenwirtschafts- und/oder Berichtssysteme bereitgestellt. Quantitative und qualitative Daten stammen aus Asset- oder Configuration Management Datenbanken und Monitoringsystemen. Der eigentliche Mehrwert des IT-Controllings besteht letztendlich darin, diese verschiedenen Datenarten miteinander in Verbindung zu bringen. Fehlt das IT-Controlling in einer Organisation, so kann nur auf die Daten aus dem generellen Controlling zurückgegriffen werden, was in der Praxis für fundierte Entscheidungen oft nicht ausreicht. In kleineren Organisationen werden die Aufgaben des IT-Controllings direkt vom CIO wahrgenommen. Der wesentliche Aufgabenbereich des IT-Controllers beinhaltet somit

• die Entscheidungsvorbereitung für den zielsetzungsgerechten Einsatz von IT- Ressourcen (HW, SW, IT-Personal),
• die Beschaffung, Aufbereitung und Analyse von dafür benötigten Informationen und Daten,
• die Entwicklung und die Aufrechterhaltung benötigter Steuerungssysteme und - Prozesse und
• die funktions- und bereichsübergreifende Koordination dieser Tätigkeiten.

IT-Revisor*in

In mittelständischen Firmen ist die IT-Revision bereits ein Fixum in der Organisationsstruktur [ITR1, S. XV]. Der/die IT-Revisor*in hat die Aufgabe das Unternehmen vor Bestrafungen und Schaden zu schützen, weiters sollen die Interessen Dritter berücksichtigt werden, um mögliche Gefährdungen und Risiken zu identifizieren. Neben den Gefährdungen, die im IT-Bereich ständig herrschen, ist auch das Erkennen von Schwachstellen und Lücken einer der Aufgaben eines/einer IT-Revisor*in. Der IT-Revision obliegt somit die Kontrolle der Kontrolle und sie wirft ebenfalls ein Auge auf die Gewährleistung des internen Kontrollsystems [ITR1, S. 4-6]. Die Vorgehensweise eines IT-Revisors bei einer Prüfung wird stets von den folgenden zentralen Prüfaspekten begleitet.

• Rechtmäßigkeit: Die fundamentalste Forderung die geltenden Gesetze und Vorschriften einzuhalten.
• Ordnungsmäßigkeit: Hier liegt der Fokus auf die Konformität der Gesetztes-Einhaltung wie auch Einhaltung von internen Vorschriften.
• Sicherheit: Wie sieht es mit der Sicherheit der Informationstechnik des Unternehmens aus?

Werden Grundrisiken wie auch unvorhersehbare Risiken identifiziert und eingestuft? Zweckmäßigkeit/Funktionsfähigkeit: Ein Soll-Ist-Vergleich in Bezug auf Ziel- und Strategieeinhaltung, Effektivität und Funktionserfüllung [ITR1, S. 20-22]. Generell ist die Revision unter dem Top-Management in der Aufbauorganisation platziert und hat als unabhängige Instanz eine erhöhte Befugnis im Unternehmen. Nur wenn es Rückendeckung vom Top-Management gibt, kann die Revision den Auftrag der Maßnahmenempfehlung im Unternehmen wahrnehmen. Der Output von Prüfung bringt zwar stets eine Steigerung der IT-Sicherheit mit sich, jedoch auch ein Mehraufwand für den geprüften Bereich [ITR1, S. 11-15].

IT-Auditor*in

Generell wird mit dem Begriff Audit meist das Verfahren einer Zertifizierung auf Basis eines ISO Standards verwiesen [BSI1, S. 11]. Grundsätzlich wird bei IT-Auditing zwischen internen und externen Audits unterschieden. Das interne Audit konzentriert sich primär auf die Effektivität des Management Systems und auf die interne Kontrolle. Die externen Audits sind für Zertifizierung von Betrieben zuständig und um ein externes Gutachten im Rahmen einer Überprüfung zu erhalten. Für die Audits werden Best- Practices wie auch IT-Standards herangezogen [AGIT1, S. 28].v So kann zum Beispiel eine IT-Security-Beauftragte die Funktion als interne IT-Auditorin wahrnehmen. Dieser ist enger in den Prozessen als eine IT-Revisorin eingegliedert, prüft jedoch nur die vorgegebenen Inhalte nach Richtigkeit und darf keineswegs im operativen Geschehen eingebunden sein [ITR1, S. 37-39]. Die Tätigkeiten sind ähnlich des IT-Revisors, unterscheiden sich jedoch nach Tiefe und Schwerpunkt der Prüfung. Je nach Prüflandkarte und Jahresplanung werden externe Audits beauftragt, um eine unabhängige externe Meinung über einen Teilaspekt der IT zu bekommen. Die Varianten reichen von Black-Box-Tests bis hin zur Einzel-Sonderprüfung einer Software [ITR1, S. 20-28]. IT-Auditoren können von den Prüfobjekten der internen Revision profitieren bzw. die Prüfergebnisse als Basis verwenden. In diesem Zuge findet auch eine kritische Betrachtung der Herangehensweise und Ergebnisse der Prüfberichte von der IT-Revision seitens der IT-Auditoren statt [ITR1, S. 15].

Sonstige Rollen in der IT

Sonstige Rollen in der IT umfassen unter anderem:

• IT-Betriebsmanager*in
  

IT-Betriebsmanager*innen sind für die Umsetzung und den laufenden Betrieb der IT verantwortlich. Sie tragen die Gesamtverantwortung für alle anstehenden Aufgaben aus dem Betrieb der gesamten IT. Diese müssen „zeitgerecht und zuverlässig ausgeführt werden" [ITIL1, S. 460].

• Service Desk Manager*in
  

Die Prozesse im Rahmen der Service Operation werden in der Regel zentral vom Service Desk verwaltet. Der Service Desk stellt als sogenannter Single Point of Contact (SPoC) den ersten Anlaufpunkt für Service-Konsumenten dar [ITIL2, S. 157]. Der Service Desk ist nach ITIL als Funktion in der Aufbauorganisation einer IT-Organisation anzusehen.

• IT Process Manager*in
  

Die Rolle ist primär für das operative Management eines Prozesses verantwortlich und erfüllt die Vorgaben des Process Owners. Zu den Verantwortlichkeiten des/der Process Manager*in zählen die Planung und Koordination aller Aktivitäten, die zur Ausführung, dem Überwachen und der Berichterstellung in Bezug auf einen Prozess erforderlich sind.

• IT-Analyst*in
  

IT-Analysten sind für die Konzeption und Organisation der Weiterentwicklung des zu betreuenden Programms zuständig. Gemeinsam mit den Fachbereichen, die die Anforderung stellen, und dem Programmierer erarbeiten sie Erweiterungen, Verbesserungen bzw. Neuentwicklungen. Sie müssen dabei aber auch Auswirkungen auf Fremdsysteme (mittels Schnittstellen) berücksichtigen. Ebenso koordinieren sie die Tests für geänderte Softwarekomponenten. IT-Entwickler

• IT-Qualitätsmanager*in
  

Sie erarbeiten Richtlinien zur Qualitätssicherung und dokumentatieren einzelne Arbeitsschritte. Ebenso fallen alle Arbeiten für eine eventuelle Zertifizierung nach der internationalen Norm ISO 9000 in den Bereich des QS-Managements [AMS1].

• IT-Consultant
  

IT-Consultant sind Experten auf einem oder mehreren bestimmten Fachgebieten der IT. In der Praxis ist die Rolle des IT-Consultants nicht eindeutig charakterisiert. In der Regel treten IT- Consultants jedoch in beratender bzw. mitarbeitender Rolle im Rahmen von IT-Projekten auf.

Wiederholungsaufgaben

1. Beschreiben Sie die Aufgaben des CISO.
2. Nennen und beschreiben Sie drei typische Rollen bei der Planung und dem Controlling?

Die Lösungen zu den Wiederholungsaufgaben finden Sie im Anhang.