Erhalten Sie Zugang zu diesem und mehr als 300000 Büchern ab EUR 5,99 monatlich.
- Herausgeber: Carl Hanser Verlag GmbH & Co. KG
- Kategorie: Wissenschaft und neue Technologien
- Sprache: Deutsch
- Veröffentlichungsjahr: 2019
• Eine ganzheitliche und nachhaltige IT-Dokumentation aufbauen
• Alle relevanten Compliance-Anforderungen erfüllen
• Optimale Umsetzung für Ihre IT-Organisation durch den managementbezogenen Strukturierungsansatz
• Langfristiger Erfolg durch Best-Practice-Anleitungen
Die Dokumentationsanforderungen und damit auch die Anforderungen an die IT-Dokumentation nehmen weiterhin zu. Unabhängig davon, ob Sie den Aufbau Ihrer IT-Dokumentation oder eine Reorganisation planen: Dieses Buch unterstützt Sie bei der Planung und der Umsetzung Ihres Dokumentationsprojektes. Im Fokus stehen hierbei die folgenden Fragenstellungen:
• Welche Dokumentationsanforderungen gibt es?
• Wie kann die IT-Dokumentation strukturiert werden?
• Wie müssen die Aufgabenfelder des IT-Managements dokumentiert werden?
• Was gehört zur Dokumentation für den operativen IT-Betrieb?
• Wie können Anwendungen sinnvoll dokumentiert werden?
• Wie sieht eine anforderungsgerechte Sicherheits-, Notfall- und Datenschutzdokumentation aus?
• Wie können Dokumentationsanforderungen in der Praxis umgesetzt werden?
• Wie findet man die richtigen Tools?
Durch ein aufgabenorientiertes Strukturierungsmodell erhalten Sie ein Framework an die Hand, mit dem Sie genau die IT-Dokumentation erstellen können, die für Ihre IT-Organisation erforderlich ist. Abgerundet wird dieser Praxisansatz durch ein Beispiel für den Aufbau der IT-Dokumentation in Microsoft SharePoint.
EXTRA: E-Book inside. Systemvoraussetzungen für E-Book inside: Internet-Verbindung und Adobe-Reader oder Ebook-Reader bzw. Adobe Digital Editions.
Sie lesen das E-Book in den Legimi-Apps auf:
Seitenzahl: 653
Das E-Book (TTS) können Sie hören im Abo „Legimi Premium” in Legimi-Apps auf:
Ähnliche
Manuela Reiss Georg Reiss
Praxisbuch IT-Dokumentation
Vom Betriebshandbuch bis zum Dokumentationsmanagement - die Dokumentation im Griff
3., aktualisierte Auflage
Die Autoren:
Manuela und Georg Reiss, Limeshain
Alle in diesem Buch enthaltenen Informationen, Verfahren und Darstellungen wurden nach bestem Wissen zusammengestellt und mit Sorgfalt getestet. Dennoch sind Fehler nicht ganz auszuschließen. Aus diesem Grund sind die im vorliegenden Buch enthaltenen Informationen mit keiner Verpflichtung oder Garantie irgendeiner Art verbunden. Autoren und Verlag übernehmen infolgedessen keine juristische Verantwortung und werden keine daraus folgende oder sonstige Haftung übernehmen, die auf irgendeine Art aus der Benutzung dieser Informationen – oder Teilen davon – entsteht.
Ebenso übernehmen Autoren und Verlag keine Gewähr dafür, dass beschriebene Verfahren usw. frei von Schutzrechten Dritter sind. Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Buch berechtigt deshalb auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürften.
Bibliografische Information der Deutschen Nationalbibliothek:
Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.
Dieses Werk ist urheberrechtlich geschützt.Alle Rechte, auch die der Übersetzung, des Nachdruckes und der Vervielfältigung des Buches, oder Teilen daraus, vorbehalten. Kein Teil des Werkes darf ohne schriftliche Genehmigung des Verlages in irgendeiner Form (Fotokopie, Mikrofilm oder ein anderes Verfahren) – auch nicht für Zwecke der Unterrichtsgestaltung – reproduziert oder unter Verwendung elektronischer Systeme verarbeitet, vervielfältigt oder verbreitet werden.
© 2019 Carl Hanser Verlag München, www.hanser-fachbuch.de
Lektorat: Sylvia HasselbachCopy editing: Petra Kienle, FürstenfeldbruckUmschlagdesign: Marc Müller-Bremer, www.rebranding.de, MünchenUmschlagrealisation: Stephan RönigkGesamtherstellung: Kösel, KrugzellAusstattung patentrechtlich geschützt. Kösel FD 351, Patent-Nr. 0748702
Print-ISBN: 978-3-446-45592-4E-Book-ISBN: 978-3-446-45736-2
Inhalt
Titelei
Impressum
Inhalt
Vorwort
1 IT-Dokumentation – was ist das?
1.1 Zusammenfassung
1.2 Nutzergruppen und deren Anforderungen an die Dokumentation
1.3 Scoping der IT-Dokumentation
1.3.1 Mögliche Strukturierungsansätze für die IT-Dokumentation
1.3.2 Festlegung der Strukturierungssicht
1.3.3 Dokumentation aus Sicht des IT-Managements
1.4 Zusammenspiel des aktuellen Ansatzes mit der Strukturierung vorhergehender Auflagen
2 Anforderungen an die IT-Dokumentation
2.1 Zusammenfassung
2.2 Compliance-Anforderungen identifizieren
2.3 Rechtliche Regelwerke mit Relevanz für die IT-Dokumentation
2.3.1 Handelsgesetzbuch (HGB) und Abgabenordnung (AO)
2.3.2 Grundsätze zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD)
2.3.3 Datenschutzgrundverordnung (DSGVO) und Bundesdatenschutzgesetz (BDSG-neu)
2.3.4 Telemediengesetz (TMG)
2.4 Anforderungen aus branchenspezifischen Vorschriften
2.4.1 IT-Sicherheitsgesetz
2.4.2 Energiewirtschaftsgesetz (EnWG)
2.4.3 Compliance-Anforderungen der Chemie-, Pharma-, Gesundheits- und Lebensmittelbranche
2.4.4 Compliance-Anforderungen für Finanzdienstleister
2.4.4.1 Mindestanforderungen an das Risikomanagementsystem (MaRisk)
2.4.4.2 Mindestanforderungen an die Sicherheit von Internetzahlungen – MaSI
2.4.4.3 Bankaufsichtliche Anforderungen an die IT – BAIT
2.5 Normen und Standards
2.5.1 Normierungsorganisationen
2.5.2 Standardisierung der ISO-Normen
2.6 Was prüfen Wirtschaftsprüfer und Revisoren?
2.6.1 Jahresabschlussprüfung
2.6.2 Prüfungen durch die Revision
2.6.3 Prüfung der Verfahrensdokumentation
2.6.3.1 Aufbau und Inhalt einer Verfahrensdokumentation
2.6.3.2 Formale Anforderungen an die Verfahrensdokumentation
3 Dokumentation für das IT-Management
3.1 Zusammenfassung
3.2 Handlungsfelder des IT-Managements
3.2.1 Identifizierung der relevanten IT-Managementbereiche
3.2.2 Dokumentationsanforderungen festlegen
3.3 Aufbau einer an IT-Services und IT-Prozessen ausgerichteten Dokumentation
3.3.1 Standards für das IT-Servicemanagement
3.3.2 Stufenmodell für die IT-Dokumentation
3.3.2.1 Einführung in das Stufenmodell
3.3.2.2 Stufenbezogene Dokumentationsanforderungen
3.3.2.3 „Gebrauchsanweisung“ für die Nutzung des Stufenmodells
3.4 Wichtige Dokumente des IT-Servicemanagements
3.4.1 Servicebeschreibungen (SLAs)
3.4.2 Servicekatalog
3.4.3 Leistungsscheine
3.4.4 Prozessbeschreibungen
3.4.4.1 Inhalte einer Prozessbeschreibung
3.4.4.2 Prozesssteckbrief
3.4.4.3 Grafische Prozessbeschreibungen
3.4.4.4 Grundlegende Empfehlungen für die Prozessdokumentation
3.4.5 Prozesslandkarte zur Darstellung der Verzahnung von Fachbereichen und IT
3.4.6 Rollenkonzept
3.4.7 Betriebsmatrix
4 Dokumentation für den IT-Betrieb
4.1 Zusammenfassung
4.2 Aufbau der IT-Betriebsdokumentation
4.3 IT-System-/Infrastrukturbetrieb
4.3.1 Aufbau der Systemdokumentation
4.3.2 Strukturierung der Systemakten
4.3.2.1 IT-Systeme
4.3.2.2 Anwendungen
4.3.2.3 Netzwerkkomponenten
4.3.2.4 Infrastruktur
4.3.2.5 Industrielle IT
4.3.3 Festlegung der Systemakteninhalte
4.3.4 Dokumentation der operativen Tätigkeiten
4.3.4.1 Strukturierung der operativen Tätigkeiten
4.3.4.2 Operative Tätigkeiten sind keine Prozesse
4.3.4.3 Ablaufbeschreibungen
4.3.4.4 Arbeitsanleitungen und Arbeitsanweisungen
4.3.5 Umsetzungsbeispiele für die Verwaltung von Systemakten
4.3.5.1 Automatisierte Inventarisierung
4.3.5.2 Dokumentation von Systemabhängigkeiten in einer CMDB
4.3.5.3 Berechtigungskonzept
4.3.5.4 Berechtigungsmatrix
4.4 Dokumentation für die Funktionen der IT-Serviceerbringung
4.4.1 ITIL® im Überblick
4.4.1.1 „Typischer“ Ablauf einer ITIL®-Einführung
4.4.1.2 Der Service Lifecycle im Überblick
4.4.2 Dokumentation der IT-Servicemanagement-Prozesse
4.4.2.1 Strukturierung der Prozesse
4.4.2.2 Dokumente der operativen Serviceerbringung
4.4.2.3 Management der IT-Assets
4.4.3 Es muss nicht immer ITIL® sein
5 Anwendungsentwicklung und Anwendungsbetrieb
5.1 Zusammenfassung
5.2 Was gehört zur Anwendungsdokumentation?
5.2.1 Anwendungsklassifizierung
5.2.2 Abgrenzung zur Softwaredokumentation
5.2.3 Abgrenzung zur Verfahrensdokumentation
5.2.4 Dokumentation im Rahmen des Application Lifecycle Management
5.3 Wesentliche Ergebnistypen im Softwareentwicklungsprozess
5.3.1 Anforderungsdokumente – Lastenheft und Fachkonzept
5.3.2 Designdokumente
5.3.3 Testdokumente
5.3.4 Betriebsdokumente
5.3.5 Dokumentenübergabe an den Betrieb
5.3.6 Dokumentation bei agiler Softwareentwicklung
5.4 Dokumentation für das Projektmanagement
5.4.1 Bestandteile der Projektdokumentation
5.4.1.1 Projektmanagement-Handbuch
5.4.1.2 Projektakten
5.4.1.3 Prozesse im Projektmanagement
5.4.2 Anforderungsgerechte Projektmanagementdokumentation
5.4.2.1 Phasen- und prozessorientierte Dokumentenstruktur
5.4.2.1.1 Projektphasen
5.4.2.1.2 Projektmanagementphasen
5.4.2.2 Strukturierung der Projektmanagementdokumente
5.4.3 Organisation der Projektdokumentation
5.4.3.1 Dokumentationsstandards auch für Projekte
5.4.3.2 Problemfeld Dokumentenverwaltung im Projekt
6 Informationssicherheit, Notfallmanagement und Datenschutz
6.1 Zusammenfassung
6.2 Dokumentation für das Informationssicherheitsmanagement
6.2.1 Regularien für die Informationssicherheit
6.2.1.1 ISO 27001
6.2.1.2 IT-Grundschutz des BSI
6.2.1.3 Handbuch Wirtschaftsgrundschutz
6.2.2 Aufbau der ISMS-Dokumentation
6.2.2.1 ISO 27001 Dokumentation
6.2.2.1.1 Erforderliche Dokumente zur Steuerung des Informationssicherheitsprozesses
6.2.2.1.2 Dokumentation zur Umsetzung der Maßnahmen
6.2.2.1.3 Nachweisdokumente
6.2.2.2 IT-Grundschutzdokumentation
6.2.2.2.1 Erforderliche Dokumente und deren Zuordnung
6.2.2.2.2 Prozessbausteine als Strukturierungsansatz für die managementbezogenen ISMS-Dokumente
6.2.2.3 Leitlinie und Konzept für die Informationssicherheit
6.2.2.3.1 Inhalte einer Leitlinie
6.2.2.3.2 Inhalte eines Sicherheitskonzepts
6.3 Dokumentation für den Datenschutz
6.3.1 Dokumentationspflichten gemäß DSGVO
6.3.2 Verzeichnis der Verarbeitungstätigkeiten
6.3.3 Dokumentationspflichten für IT-Organisationen
6.3.4 Dokumentation bei Auftragsverarbeitung
6.4 Dokumentation für den Notfall
6.4.1 Notfallrelevante Standards im Überblick
6.4.1.1 BSI-Standard 100-4
6.4.1.2 Standards und Normen der British Standards Institution
6.4.1.3 ISO 22301 und ISO 22313
6.4.1.4 ISO-27000-Normenfamilie
6.4.1.5 Good Practice Guidelines
6.4.1.6 ISO 20000
6.4.2 Die Rolle der IT im unternehmensweiten Notfallmanagement
6.4.3 Dokumente für die Notfallvorsorge
6.4.3.1 BIA und Risikoanalyse bilden die Basis
6.4.3.2 Notfallvorsorgekonzept
6.4.3.3 Notfallvorsorge aus Sicht von IT-Service Continuity Management
6.4.4 Dokumentation für die Notfallbewältigung
6.4.4.1 Strukturierung des Notfallhandbuchs
6.4.4.2 Notfallorganisation
6.4.4.3 Sofortmaßnahmen
6.4.4.4 Notfallbewältigung
6.4.4.5 Ergänzende Pläne
6.4.4.6 Kommunikationspläne
6.4.4.7 Geschäftsfortführungspläne
6.4.4.8 Wiederanlaufpläne
6.4.4.9 Wiederherstellungspläne
6.4.4.10 IT-Notfallhandbuch
6.4.5 Test- und Übungsdokumentation
6.4.6 Umsetzungsrahmenwerk (UMRA) zum Notfallmanagement
6.4.7 Tool-Unterstützung für die Notfalldokumentation
7 Umsetzung in der Praxis
7.1 Zusammenfassung
7.2 Ohne Dokumentationsmanagement funktioniert es nicht
7.3 Managementrahmen für die Dokumentation
7.3.1 Dokumentationsrichtlinie
7.3.1.1 Regelungen zur Qualitätssicherung
7.3.1.2 Verantwortlichkeiten
7.3.1.3 Dokumentationsverfahren
7.3.1.4 Allgemeingültige Regelungen
7.3.2 Dokumentationskonzept
7.3.2.1 Dokumentenklassen und Dokumententypen
7.3.2.2 Festlegungen für die Dokumentenablage
7.3.2.3 Kennzeichnungspflichten für Vorgabedokumente
7.3.2.4 Formale Vorgaben
7.3.3 Glossar
7.3.4 Namenskonventionen
7.4 Zu lenkende Dokumente der IT-Dokumentation
7.5 Dokumentenverwaltung
7.5.1 Regelungen für Dokumente
7.5.2 Regelungen für Aufzeichnungen
7.6 Anwendungen für die Dokumentation und dokumentationsrelevante Anwendungen
7.6.1 Die Suche nach der „Eierlegenden Wollmilchsau“
7.6.2 Anwendungen für die Dokumentation
7.6.2.1 Planung des DMS ist elementar
7.6.2.2 Rechtliche Aspekte beim DMS-Einsatz
7.6.3 Anwendungen mit Relevanz für die IT-Dokumentation
7.6.3.1 Systemdokumentation
7.6.3.2 Prozessdokumentation
7.6.3.3 IT-Servicemanagementdokumentation
7.6.3.4 ISMS-Dokumentation
7.6.3.5 Notfalldokumentation
7.6.3.6 GRC-Dokumentation
7.7 Aufbau einer Website für die IT-Dokumentation am Beispiel von SharePoint
7.7.1 Planung der Umsetzung
7.7.1.1 Websitestruktur
7.7.1.2 Rollen und Berechtigungen
7.7.1.3 Inhaltsverwaltung
7.7.1.4 Planung der Dokumentensteuerung
7.7.2 Einrichtung eines WIKIs zur Verwaltung von Anwendungshandbüchern
7.7.3 Inhalte eines DMS-Konzepts
7.8 Organisation der Dokumentenerstellung
7.8.1 Vom leeren Blatt zum fertigen Dokument
7.8.2 Planung und Vorbereitung
7.8.3 Recherche und Aufbereitung von Informationen
7.8.4 Vorgaben und Dokumentenumfeld klären
7.8.5 Richtiges Vorgehen bei der Dokumentenerstellung
7.8.6 Checkliste für die Qualitätssicherung
8 Wissenswertes zum Nachschlagen
8.1 Zusammenfassung
8.2 Glossar
8.3 Weitere Normen, Standards, Empfehlungen
8.3.1 Bereich Arbeitsschutz
8.3.2 Bereich Archivierung
8.3.3 Bereich Audits und Assessments
8.3.4 Bereich Barrierefreiheit
8.3.5 Bereich Datenschutz
8.3.6 Bereich Dokumentation
8.3.7 Bereich Informationssicherheit
8.3.8 Bereich Internes Kontrollsystem
8.3.9 Bereich IT-Governance
8.3.10 Bereich IT-Beschaffung
8.3.11 Bereich IT-Servicemanagement
8.3.12 Bereich IT-Strategie
8.3.13 Bereich IT-Systemarchitekturen
8.3.14 Bereich Notfallmanagement
8.3.15 Bereich Projektmanagement
8.3.16 Bereich Qualitätsmanagement
8.3.17 Bereich Risikomanagement
8.3.18 Bereich Softwareentwicklung
8.3.19 Bereich Wirtschaftsprüfung
8.4 Dokumente erstellen mit Office und Co.
8.4.1 Microsoft Word optimal nutzen
8.4.1.1 Wichtige Funktionen im Backstage-Bereich
8.4.1.2 Formatvorlagen erleichtern die Standardisierung
8.4.1.3 Die Verzeichnisfunktionen richtig nutzen
8.4.1.4 Daten aus anderen Anwendungen einfügen
8.4.2 Nützliche Helfer für die Dokumentenerstellung
8.4.2.1 Dokumentationsunterstützung mit Mindjet MindManager
8.4.2.2 Snagit
8.4.2.3 Adobe Acrobat
9 Abkürzungen, Literatur und Gesetze/Verordnungen
9.1 Abkürzungsverzeichnis
9.2 Literaturnachweise
9.3 Gesetze und Verordnungen
Bei der Erstauflage des Buchs haben wir noch die rhetorische Frage gestellt, warum denn ein Betriebshandbuch noch notwendig sei, wenn doch schon eine Entwicklungsdokumentation aus dem Projekt vorliegt. Diese Frage stellt heute, zehn Jahre und viele Gesetze später, keine IT-Organisation mehr. Es geht also nicht mehr so sehr darum, dass dokumentiert werden muss, sondern eher darum, wie man die vorhandenen Dokumentationsteile miteinander verzahnt und zur Verfügung stellt, damit sie einen Nutzen für die unterschiedlichen Interessentengruppen bieten.
In der Praxis hat sich gezeigt, dass die Organisation der Dokumentation von zentraler Bedeutung für die IT-Organisation ist. Es muss klar sein, für welche Teile der Dokumentation die IT verantwortlich ist und für welche Teile die operativen Fachbereiche; mithin also die Frage, was zur IT-Dokumentation gehört. Mit dazu gehören auch klare Zuständigkeiten innerhalb der IT. Nirgendwo wird das so deutlich wie bei der Anwendungsdokumentation. Bei einer Fachanwendung, z. B. ein Vertriebssystem, sind die Anforderungsbeschreibung und das Fachkonzept vom operativen Fachbereich zu erstellen, das entsprechende Betriebskonzept sowie das Betriebshandbuch von der IT-Seite. Eine klare Zuständigkeits- und Verantwortungsabgrenzung sind hier notwendig, um Redundanzen und ggf. Fehler zu vermeiden. Aufgrund dieser aus der Praxis abgeleiteten Erkenntnis haben wir der Anwendungsdokumentation, bestehend aus Entwicklung und Betrieb, erstmals ein eigenes Kapitel gewidmet.
Ein weiteres neues Schwerpunktthema sind die Bereiche Informationssicherheit und Datenschutz, die durch das IT-Sicherheitsgesetz und die DSGVO in Verbindung mit BDSG-neu nochmals an Bedeutung gewonnen haben. Diese Bereiche gehören zu den Querschnittsaufgaben, die vom IT-Management bis in den IT-Betrieb reichen. Es reicht nicht aus, entsprechende Managementkonzepte zu erstellen, sondern die Umsetzung im Betrieb muss durch konkrete Maßnahmen nachgewiesen werden. Zusammen mit der Notfalldokumentation, ebenfalls ein Querschnittsthema, sind die beiden Bereiche in einem gesonderten Kapitel dargestellt.
Wie der Buchtitel „Praxisbuch IT-Dokumentation“ schon andeutet, liegt die Ausrichtung des Buchs auf dem IT-Betrieb. Jedoch machen die beiden neuen Schwerpunktthemen auch deutlich, dass ebenso die Managementseite betrachtet werden muss. Das Management macht nicht nur steuernde Vorgaben für den Betrieb. Vielmehr ist eine Verzahnung von Management und Betrieb eine Voraussetzung für eine anforderungsgerechte IT-Dokumentation. Letztlich ist die IT-Dokumentation die Informationsbasis für alle Managemententscheidungen. Daher haben wir der IT-Managementdokumentation in dieser Auflage ebenfalls ein gesondertes Kapitel gewidmet.
Um bei aller Schwerpunktsetzung ein abgerundetes Fachbuch zur IT-Dokumentation zu präsentieren, haben wir an der bewährten Grundstruktur aus den letzten Auflagen festgehalten und die folgenden Kernthemen in einem oder mehreren Kapiteln beschrieben.
1. Abgrenzung IT-Dokumentation
2. Anforderungen an die IT-Dokumentation
3. IT-Managementdokumentation
4. Dokumentation des IT-Betriebs
System-/Infrastrukturbetrieb
Aufgaben der operativen Serviceerbringung
5. Anwendungsbetrieb und Anwendungsentwicklung
6. Informationssicherheit, Datenschutz, Notfall
7. Umsetzung in der Praxis
Bei den Recherchearbeiten zur Erstellung des Buchs hat es neben der Aktualisierung vorhandener und der Erarbeitung neuer Themen (s. o.) eine Vielzahl von weiteren Informationen gegeben, die mehr oder weniger direkt auch das Thema IT-Dokumentation betreffen. Diese im Einzelnen in den jeweiligen Kapiteln zu beschreiben, hätte sowohl unsere zur Verfügung stehende Zeit als auch den Rahmen des Buchs gesprengt. Da sie nach unserer Auffassung aber für den ein oder anderen für IT-Dokumentation Zuständigen eine hilfreiche Unterstützung bieten können, haben wir diese Quellen (Normen, Standards, Best Practices) in einer thematisch sortierten Tabelle zusammengefasst und erläutert. Zusammen mit dem Glossar sowie den Tipps zum Umgang mit Office-Dokumenten ergab sich daraus ein gesondertes Kapitel „Wissenswertes zum Nachschlagen“.
Wir freuen uns auf Ihr Feedback und auf einen regen Gedankenaustausch, auch zu unserem Blog „itdoku-kompakt“ (https://itdoku-kompakt.de/)!
Ihre Autoren
Manuela und Georg Reiss
Wenn bei personellen Bezeichnungen die männliche Form gewählt wurde (z. B. Mitarbeiter, Administrator), so sind damit in gleicher Weise weibliche Mitarbeiter oder Transgender-Mitarbeiter gemeint.
Wenn in diesem Buch von Unternehmen die Rede ist, sind damit in gleicher Weise auch andere Organisationen wie Behörden, Körperschaften usw. gemeint.
Der Begriff IT-Dokumentation klingt zunächst recht einfach, wird aber immer komplizierter, je näher man sich damit beschäftigt. So stellen die verschiedenen Nutzergruppen vom Systembetreuer oder Softwareentwickler bis zum IT-Management oder Auditor mit ihren unterschiedlichen Sichtweisen auf die Dokumentation auch sehr unterschiedliche Anforderungen. Daraus leiten sich dann auch unterschiedliche Strukturierungsansätze für die IT-Dokumentation ab, von der themenbezogenen über die aufbauorganisationsbezogene bis zur managementbezogenen Strukturierung.
Die im Buch verwendete Dokumentationsstruktur aus Sicht des Managements hat sich aus der jahrelangen Praxiserfahrung in den verschiedenen IT-Organisationen aus vielen Unternehmensbranchen ergeben. Danach wird die IT-Dokumentation in einen Managementteil und in einen operativen Teil (IT-Betrieb) gefasst. Gemäß der Ausrichtung des Buchs liegt der Fokus auf dem IT-Betrieb, wenn auch dem Managementteil ein eigenes Kapitel gewidmet wird. Der operative Teil wird dann in drei Teile weiter strukturiert; den für den System-/Infrastrukturbetrieb, den Anwendungsbetrieb und -entwicklung sowie Querschnittsaufgaben, die vom Management bis in den operativen IT-Betrieb reichen. Das sind Sicherheitsthemen sowie das Notfallmanagement.
Die Anforderungen an die Dokumentation sind in allen Bereichen in den letzten Jahren stark angewachsen. So ist es immer wichtiger, nicht nur die Vorgaben zu dokumentieren, sondern insbesondere auch eine angemessene Nachweisdokumentation zu pflegen. Dies wirft unweigerlich auch Fragen nach den Verantwortlichkeiten und Zuständigkeiten für die Dokumentation auf.
Zusätzlich ist die IT in immer stärkerem Maße in die Geschäftsprozesse integriert, wodurch die Schnittstellen zu den Fachbereichen zunehmen. Auch das macht die Abgrenzung der IT-Dokumentation nicht leichter. Und da weder Duden noch Wikipedia oder andere Lexika eine Definition liefern, wundert es nicht, dass fast jeder im IT-Umfeld bei diesem Thema ein anderes Bild im Kopf hat. Aber gibt es überhaupt „die IT-Dokumentation“?
Befragt man Vertreter aus unterschiedlichen IT-Bereichen bzw. mit unterschiedlichen Funktionen, werden schnell die verschiedenen Anforderungen an die Dokumentation deutlich. Während IT-Administratoren möglichst individuell zusammenstellbare, detaillierte Informationen bevorzugen, benötigen Mitarbeiter im Supportbereich vorgangsbezogene Informationen und Anleitungen. Derartige Informationen wiederum sind für die IT-Leitung, Service Manager oder Revisoren sowie Wirtschaftsprüfer zu granular und damit kaum hilfreich. Letztere müssen sich beispielsweise schnell einen Überblick über die vorgegebenen Abläufe und deren korrekte Einhaltung machen können. Hierfür benötigen sie auf der einen Seite Prozess- und Ablaufdokumente und auf der anderen Seite eine angemessene Nachweisdokumentation.
Definition Funktion
Unter einer Funktion wird im Buch eine logische Zusammenfassung von einem Team oder eine Gruppe von Personen, einschließlich der eingesetzten Hilfsmittel, verstanden, die benötigt werden, um einen oder mehrere Prozesse oder Aktivitäten durchzuführen. Funktionen bilden nicht zwangsläufig organisatorische Strukturen ab. Sie können vielmehr aus einer beliebigen Anzahl von Organisationseinheiten und in beliebiger Konstellation organisiert werden.
Allein die in der folgenden Abbildung gezeigten Abhängigkeiten zwischen Detaillierungsgrad und Nutzergruppe machen deutlich, wie wichtig es ist, die Anforderungen der verschiedenen Nutzergruppen der Dokumentation zu berücksichtigen, und zeigt auch, dass die häufig gestellte Frage „Wie detailliert muss man eigentlich dokumentieren?“ nicht generell beantwortet werden kann.
Bild 1.1Anforderungen der Nutzergruppen hinsichtlich Detaillierungsgrad. Quelle: Reiss [2018]
Zusätzlich zu den in Abschnitt 1.2 betrachteten Anforderungen u. a. an den Detaillierungsgrad der Dokumente haben die verschiedenen Nutzergruppen auch inhaltlich völlig unterschiedliche Anforderungen und Zielsetzungen. In der Praxis wird die IT-Dokumentation inhaltlich häufig mit der Dokumentation der IT-Systeme und der Infrastruktur gleichgesetzt und auf diese beschränkt. Eine solche Systemdokumentation ist zwar ein wesentlicher Teil der IT-Dokumentation, die Beschränkung darauf lässt aber eine ganze Reihe von Aufgabenbereichen und deren Dokumentation unberücksichtigt. Schließlich werden beispielsweise für das Störungsmanagement, das Changemanagement, den Anwendungsbetrieb, das Informationssicherheitsmanagement, das IT-Risikomanagement und das IT-Notfallmanagement nicht nur Vorgabedokumente, sondern auch Dokumente für die Umsetzung und Nachweisdokumente benötigt. Und die Einbindung der im Ticketsystem erfassten FAQs und Problemlösungen in die übrige IT-Dokumentation fehlt vielfach, was oftmals zu Redundanzen oder widersprüchlichen Informationen führt und damit letztendlich für keine Nutzergruppe einen Mehrwert bringt.
Die Schwierigkeit beim Aufbau bzw. bei der Strukturierung der IT-Dokumentation besteht darin, dass sie die unterschiedlichen Sichten von verschiedenen Benutzern und damit unterschiedlichen Anforderungen Rechnung tragen muss. In der Praxis bewährt hat es sich deshalb, zunächst die folgenden Fragen zu beantworten: Welche Aufgabenfelder sind der IT-Dokumentation zuzuordnen und wer ist für welchen Bereich der Dokumentation verantwortlich? Gerade bei der IT-Dokumentation ist die Frage der Verantwortlichkeiten nicht leicht zu beantworten, da es eine Reihe von Schnittstellen gibt, unter anderem zu den Fachbereichen, zum Informationssicherheitsbeauftragten und zum Qualitätsmanagement. Die Frage betrifft außerdem nicht nur den IT-Betrieb, sondern auch IT-Projekte. Immer häufiger werden nämlich IT-Projekte unter gleichzeitiger Mitwirkung von IT-Entwicklung, IT-Betrieb und Fachbereichen durchgeführt.
Das Scoping der IT-Dokumentation ist daher eine wichtige Aufgabe. Scoping beschreibt hier die Definition von Aufgaben- und Verantwortungsumfängen. Das Wort leitet sich aus dem englischen scope ab, was die Bedeutungen Umfang, Abgrenzung, Raum, Aufgabenbereich, Spielraum u. Ä. haben kann. Bei klassischen IT-Aufgabenbereichen wie dem operativen Betrieb der Systeme ist die Zuordnung dabei in der Regel einfach. Bei Querschnittsthemen wie der Anwendungsdokumentation oder dem Notfallmanagement fällt die Beantwortung der o. g. Fragen häufig bereits schwerer. Das nachstehende Beispiel soll dies verdeutlichen:
Beispiel: SAP-Dokumentation
Ein in der Praxis häufig anzutreffender Problembereich ist die Dokumentation von Geschäftsanwendungen, wie beispielsweise des SAP-Systems. Dieses wird zwar von der IT-Organisation auf deren Systemen betrieben und gewartet, die fachliche Verantwortung liegt jedoch bei den Fachbereichen. Im Fall von SAP gibt es zudem meist unterschiedliche fachliche Zuständigkeiten für die verschiedenen Module. Zudem wird die SAP-Anwendung häufig im Rahmen des Customizings angepasst und weiterentwickelt. Neben der Dokumentation für die Systembetreuer wird also eine Dokumentation der fachlichen Anforderungen, eine Entwicklungsdokumentation und natürlich auch eine Anwenderdokumentation benötigt.
Die in der Praxis häufig fehlenden Festlegungen von Verantwortlichkeiten und Schnittstellen führen hier regelmäßig zu Reibungsverlusten und verhindern die Pflege einer nachhaltigen Anwendungsdokumentation, insbesondere wenn Teile dieser Aufgaben an Dienstleister ausgelagert sind. Aus Sicht der IT-Organisation ist daher zwingend eine Abgrenzung der Dokumentation (für welche Bereiche ist die IT verantwortlich) erforderlich. Außerdem müssen Übergabeschnittstellen definiert werden. Schließt die IT-Organisation beispielsweise in eigener Zuständigkeit Verträge mit Dienstleistern ab, so gehören die Dienstleistungsverträge ebenfalls zur IT-Dokumentation.
Zur Umsetzung von IT-Governance haben sich eine Reihe von Frameworks (Referenzmodellen) etabliert, die den Rahmen sowie die Anforderungen und Ergebnisse einer IT-Steuerung definieren. Die Frameworks bieten als Best-Practice-Methoden zur prozessorientierten IT-Steuerung eine Vorstrukturierung von Aufgaben und Arbeitsschritten. Hierzu zählen u. a. COBIT, ITIL®, TOGAF und das Microsoft Operations Framework (MOF). COBIT ist ein übergeordnetes Framework für die (IT-)Governance und das (IT-)Management. Es kann dabei helfen, die Verbindung zwischen der Governance des Unternehmens und der IT herzustellen. Die IT Infrastructure Library (ITIL®) bietet Best-Practice-Ansätze zum Aufbau eines ganzheitlichen IT-Servicemanagements. Das The Open Group Architecture Framework (TOGAF) bietet hingegen einen Ansatz für Entwurf, Planung, Implementierung und Wartung von Unternehmensarchitekturen.
Sind im Unternehmen derartige Frameworks oder Standards bereits etabliert, leiten sich daraus sinnvollerweise auch der Aufbau der Dokumentationsstruktur für die IT sowie die Verantwortungsbereiche ab. Fehlen hingegen interne Vorgaben, können die folgenden Ausführungen weiterhelfen:
Zunächst muss festgelegt werden, aus welcher grundsätzlichen Sicht die IT-Dokumentation strukturiert werden soll. Dies kann in Anlehnung an HEUERMANN (2014) anhand der nachstehend beschriebenen Sichten erfolgen. Heuermann beschreibt verschiedene Kategoriensysteme zur Aufgabenbeschreibung von IT-Organisationen, die wiederum eine Hilfestellung zur Strukturierung bieten.
Phasenbezogene Sicht: Bei dieser Sicht werden die Aufgaben einer IT-Organisation im Kontext eines Lebenszyklusmodells betrachtet, beispielsweise des PDCA-Kreises nach Deming (Plan, Do, Check, Act). Im Fokus steht hier die Notwendigkeit einer kontinuierlichen Verbesserung. Außerdem wird die Interaktion zwischen der IT-Organisation und den Business-Bereichen betrachtet.
Funktionsbezogene Sicht: Bei dieser Sicht werden die Aufgaben der IT-Organisation entlang der Aufbauorganisation betrachtet (IT-Infrastrukturbetrieb, Softwareentwicklung, IT-Leitung, IT-Services o. Ä.). Eine funktionsorientierte Ausrichtung ist geprägt durch vertikale Hierarchien, eine entsprechende aufbauorganisatorische Struktur und eine starke Trennung zwischen Fach- und Ressourcenverantwortung. Das heißt, jede einzelne Organisationseinheit ist nur für jeweils den eigenen Schritt in dieser Kette zuständig.
Prozess-/Ablaufbezogene Sicht: Im Gegensatz zur aufbaustrukturbezogenen Sicht ist auch eine Identifizierung der Aufgaben entlang der IT-internen Abläufe möglich. Möglich ist beispielsweise eine Unterteilung in IT-Kernprozesse wie Servicemanagement, IT-Projektmanagement und IT-Betrieb sowie Querschnittsfunktionen wie zum Beispiel Beschaffung, Personalmanagement oder Kundenmanagement.
Themenbezogene Sicht: Möglich ist weiterhin eine thematische Strukturierung von abstrakten IT-Aufgaben losgelöst von technischen oder organisatorischen Regelungen. Mögliche Bereiche sind: Infrastruktur- und Netzwerkbetrieb, IT-Sicherheit, Datenbankbetrieb, Architekturmanagement, Störungsmanagement, IT-Management usw.
Objektbezogene Sicht: Die objektbezogene Sicht organisiert die Aufgaben einer IT-Organisation entlang der zu verwaltenden Objekte (Applikationsverwaltung, Client-Server-Betrieb, Datenbankmanagement, Druckerverwaltung usw. Ergänzend kommen querschnittsbezogene Themen wie Vertragsmanagement, Lizenzmanagement und beispielsweise Personalmanagement hinzu.
Managementbezogene Sicht: Bei dieser Sicht werden alle Aufgaben der IT-Organisation aus Sicht des IT-Managements betrachtet. Hierbei ist das Management für die Steuerung des operativen IT-Betriebs verantwortlich und definiert für diesen die Vorgaben. Typische IT-Managementbereiche sind IT-Strategie, IT-Sicherheitsmanagement, IT-Servicemanagement, IT-Risikomanagement u. a. [Reiss, 2018]
Die für die eigene IT-Organisation passende Strukturierungssicht hängt zwangsläufig von der unternehmensspezifischen Ausrichtung und vom jeweiligen Grad der Service- und Prozessorientierung der IT-Organisation ab. Lange Zeit war die vorherrschende Organisationsform von Unternehmen hierarchisch funktionsorientiert. Doch immer mehr Unternehmen erkennen, dass ein ausgeprägter Servicegedanke mit einer gut funktionierenden Kundenbeziehung entscheidend für den Geschäftserfolg ist. Serviceorientierung, Prozessorientierung und Kundenorientierung stehen daher zunehmend im Fokus der Unternehmen. Und diese neue Ausrichtung erfordert veränderte Organisationsstrukturen, die in der Folge auch die IT-Organisationen betreffen. Diese stehen immer häufiger in der Pflicht, sich als interne Service-Provider aufzustellen, die ihren internen Kunden vertraglich geregelte Dienstleistungen mit definierten SLAs anbieten.
Bei einer prozessorientiert agierenden Organisation stehen die Geschäftsprozesse im Mittelpunkt der betrieblichen Organisation und der Betrieb erfolgt auf Basis definierter Prozesse und standardisierter Verfahren. Hierbei wird das gesamte Handeln als eine Kombination von Prozessen betrachtet und Aufgaben werden organisationsübergreifend anhand von in Prozessen beschriebenen Aktivitäten bearbeitet und über Rollendefinitionen den Ressourcen aus den Organisationsbereichen zugeordnet. Alle Prozesse sind jeweils einem Prozessverantwortlichen unterstellt. Dieser ist für das Prozessergebnis verantwortlich und übernimmt die Koordination innerhalb der Prozesse und zwischen diesen. Die Mitarbeiter werden dabei bestimmten Prozessteams zugeordnet, die einen Prozess von Anfang bis Ende betreuen. Dadurch entstehen flache Hierarchien mit kurzen Informationswegen. Im Idealfall werden die Selbstorganisationsfähigkeiten der Teams gestärkt.
Beispiel: Funktionsorientierung versus Prozessorientierung
Bei einer an den Funktionen orientierten Organisationsstruktur gibt es ein Team, das für die Client-Rechner und jeweils ein Team, das für Active Directory bzw. das Mail-System zuständig ist. Außerdem gibt es noch ein Team, das den Benutzersupport verantwortet und auch Serviceanfragen abwickelt. Kommt nun ein neuer Mitarbeiter in das Unternehmen, werden in vollkommen separaten Arbeitsschritten durch unterschiedliche Personen mit dementsprechend eingeschränkten Befugnissen ein neues Benutzerkonto, ein Postfach und ein Arbeitsplatzrechner für den neuen Mitarbeiter eingerichtet. Es ist leicht vorstellbar, dass es hierbei an den Schnittstellen zu Kommunikationsproblemen und Schwierigkeiten bei der Abgrenzung der Verantwortung kommen kann.
Beim prozessorientierten Ansatz hingegen gibt es einen Prozess „Neuer Mitarbeiter“. Der Mitarbeiter benötigt einen Arbeitsplatz mit Tisch und Stuhl, einen Rechner, ein Benutzerkonto, ein Postfach und diverse Zugriffe. Alle diese Aufgaben werden als eine Abfolge von Aktivitäten betrachtet, die von einer (einzigen) Person verantwortet und koordiniert werden. Die Informationen bleiben damit in einer Hand und die Abstimmungsprozesse werden reduziert und gesteuert, da die Schnittstellen und die jeweiligen Inputs und Outputs definiert sind. Hierbei ist zu beachten, dass die Personalverantwortung in der Regel außerhalb der IT-Organisation liegt und dementsprechend der Prozess auch außerhalb der IT gesteuert wird.
Ein Geschäftsprozess, auch als Unternehmensprozess bezeichnet, ist ein Prozess, der am Unternehmenszweck ausgerichtet ist und zum Erfolg eines Unternehmens beiträgt. Typischerweise werden die Geschäftsprozesse eines Unternehmens in drei Gruppen unterteilt:
Der wertschöpfende Betriebsablauf eines Unternehmens besteht aus Kernprozessen (auch als Wertschöpfungsprozesse oder Primäre Geschäftsprozesse bezeichnet). Durch diese Prozesse wird der Mehrwert bzw. die Wertsteigerung des Unternehmens geschaffen. Beispiele hierfür sind Produktionsprozesse, Dienstleistungsprozesse und Vertriebsprozesse.
Daneben gibt es sogenannte Unterstützungsprozesse (auch als Supportprozesse oder Sekundäre Geschäftsprozesse bezeichnet). Unterstützungsprozesse stellen Ressourcen und Services zur Verfügung und sind darauf ausgerichtet, die Kernprozesse des Unternehmens zu unterstützen. Diese Prozesse erzeugen keinen direkten Kundennutzen. Zu den Unterstützungsprozessen zählen beispielsweise das interne und externe Rechnungswesen sowie das Personalwesen und auch die Informationstechnologie.
Managementprozesse (auch als Steuerungsprozesse bezeichnet) dienen der Steuerung des Unternehmens und sind für die Verbesserung und Steuerung der Wertschöpfungsprozesse und Unterstützungsprozesse zuständig. Sie ermöglichen es, die Unternehmensziele zu verfolgen, die damit verbundenen Risiken zu definieren und zu bewerten sowie die Zielerreichung zu überwachen. Zu den Managementprozessen zählen u. a. Prozessoptimierungsprozesse, Innovationsprozesse, Strategieentwicklungsprozesse, aber auch Qualitätsmanagement, Risikomanagementprozesse und nicht zuletzt Überwachungsprozesse.
Bild 1.2Die Kernprozesse werden von den Supportprozessen unterstützt und durch Managementprozesse gesteuert.
Die von der IT-Organisation durchgeführten Prozesse werden als IT-Prozesse bezeichnet. Mithilfe standardisierter IT-Prozesse werden die Leistungen der IT-Organisation (Beschaffung, Entwicklung und Betrieb von IT-Ressourcen) transparent und steuerbar sowie Abweichungen von Anforderungen messbar. In der Standardisierung der Leistungen liegt ein wesentlicher Schlüssel für Wirtschaftlichkeit, Qualität und Sicherheit. Prozesse sind zugleich die wesentliche Grundlage für ein Qualitätsmanagement in der IT-Organisation, denn sie erzeugen regelmäßig ein messbares Ergebnis. [BMI, 2006]
IT-Prozesse können auch Kernprozesse sein
IT-Prozesse werden allgemein den Unterstützungsprozessen zugeordnet. Bei einem Softwarehersteller, dessen Kerngeschäft die Entwicklung und Vermarktung von Softwareprodukten ist, gehören Softwareentwicklungsprozesse natürlich zu den Kernprozessen, die wiederum durch IT-interne Supportprozesse unterstützt werden.
„Wir wollen nun endlich unsere IT-Dokumentation optimieren.“ Häufig scheitert dieser gut gemeinte Vorsatz daran, dass man einfach nicht weiß, wo man beginnen soll und was alles zu berücksichtigen ist. Das wiederum liegt auch darin begründet, dass der Begriff „IT“-Dokumentation nicht allgemeingültig definiert ist bzw. klare Vorgaben für die Abgrenzung zu anderen Dokumentationsbereichen fehlen.
Welche Themen bzw. welche Dokumente müssen bzw. sollten der IT-Dokumentation zugeordnet werden und welche nicht? Und wie grenzt sie sich von anderen Dokumentationsbereichen ab. Die Beantwortung dieser Fragen bildet die Basis für die weiteren Ableitungen in diesem Kapitel und ist in der Praxis elementar, um ein gemeinsames Verständnis für dieses komplexe Thema zu schaffen.
Die Strukturierung der IT-Dokumentation ist dann der nächste wichtige Schritt. Hierbei stehen die folgenden Fragen im Mittelpunkt: Welche Dokumentationsbereiche sind zu berücksichtigen? Wie sieht eine sinnvolle Struktur für die IT-Dokumentation aus? Welche Verantwortlichkeiten gibt es bzw. wie müssen diese geregelt werden?
In der Praxis bewährt hat sich eine Strukturierung der IT-Dokumentation aus Sicht des IT-Managements. Hierbei werden nicht nur die Aufgabenbereiche des IT-Managements betrachtet, sondern auch die durch das Management gesteuerten operativen Funktionen, woraus sich nach REISS [2018] eine Unterscheidung der Aufgaben in die beiden grundlegenden Bereiche ableitet:
Aufgabenfelder des IT-Managements: Das Management ist für die Steuerung des operativen IT-Betriebs verantwortlich und definiert für diesen die Vorgaben.
Aufgabenfelder des operativen IT-Betriebs: Hierzu zählen vor allem die Bereiche System- und Infrastrukturbetrieb, Anwendungsbetrieb und Entwicklung sowie der Bereich der operativen Serviceerbringung.
Die nachstehende Abbildung verdeutlicht diesen Ansatz. Der obere Bereich beschreibt exemplarisch Aufgabenfelder des IT-Managements.
Bild 1.3Aufgabenfelder des IT-Managements. Quelle: In Anlehnung an Reiss [2018]
Aus Sicht der Dokumentation wichtig ist, dass eine Reihe der benannten Managementaufgaben auch operative Komponenten bzw. Prozesse umfassen. Beim IT-Servicemanagement beispielsweise sind alle Prozesse zur Serviceplanung, -entwicklung und -steuerung Managementaufgabe. Die Serviceausführung mit den typischen Prozessen zum Störungsmanagement, Problemmanagement, Changemanagement oder Konfigurationsmanagement u. a. ist hingegen dem operativen IT-Betrieb zuzuordnen.
Die Frage nach einer sinnvollen Strukturierung der Dokumentation des operativen IT-Betriebs lässt sich hingegen nicht einfach beantworten. Diese hängt wesentlich von der eigenen IT-Aufbauorganisation und deren Ausgestaltung und damit von einer Reihe von Faktoren ab und unterliegt zudem einem regelmäßigen Wandel:
Zentrale oder dezentrale IT-Organisation
Grad der Prozess- und Serviceorientierung
Umfang und Ausgestaltung des Outsourcings
Klassische oder agile Arbeitsweisen
Da es aber erfahrungsgemäß schwierig ist, eine Struktur unter Berücksichtigung aller genannten Punkte zu entwickeln, hat sich als Best-Practice-Ansatz eine Unterteilung in die drei folgenden Aufgabenbereiche als hilfreich erwiesen:
System-/Infrastrukturbetrieb: Der System-/Infrastrukturbetrieb umfasst die Bereitstellung der erforderlichen IT-Systeme, was auch die damit verbundenen Tätigkeiten (Installation und Konfiguration, Wartungstätigkeiten und Absicherung der Systeme) einschließt.
IT-Serviceerbringung (Servicebetrieb): In diesem Bereich werden die technischen Fertigkeiten und Ressourcen bereitgestellt, die für die Bereitstellung der IT-Services auf der operativen Ausführungsebene erforderlich sind (Service Desk, Arbeitsplatzverwaltung, Änderungsmanagement usw.).
Anwendungsbetrieb und -entwicklung: Der Bereich ist verantwortlich für die Verwaltung von Anwendungen über ihren gesamten Lebenszyklus hinweg. Er spielt auch beim Design, beim Testen und bei Verbesserungen von Anwendungen eine wichtige Rolle.
Bild 1.4Aufgabenfelder des operativen IT-Betriebs. Quelle: In Anlehnung an Reiss [2018]
Die Unterteilung in die drei benannten Bereiche ist wie beschrieben generisch und muss individuell angepasst werden, wie das folgende Beispiel zeigt:
Im Modell wird zwischen IT-System-/Infrastrukturbetrieb und Anwendungsbetrieb bzw. Anwendungsentwicklung unterschieden. Sind im Unternehmen jedoch der System- und Anwendungsbetrieb zu einer Funktion zusammengefasst bzw. Anwendungsbetrieb und -entwicklung voneinander getrennt, muss die Struktur dahingehend angepasst werden. Eine Trennung zwischen Anwendungsbetrieb und Anwendungsentwicklung ist vor allem auch dann sinnvoll, wenn diese Bereiche unterschiedliche Arbeitsweisen (Betrieb klassisch und Entwicklung agil) anwenden bzw. die IT-Organisation bimodal ausgerichtet ist.
Der Begriff der bimodalen IT wurde vom Analystenhaus Gartner geprägt und bezeichnet die Zweiteilung der IT-Organisation in das sichere, stabile und im Verhalten vorhersagbare Kernsystem auf der einen Seite und in eine flexible, innovationsgetriebene eher experimentelle und agile IT auf der anderen Seite.
Entsprechend der Ausrichtung des vorliegenden Praxishandbuchs steht in den folgenden Kapiteln die Dokumentation des operativen IT-Betriebs im Fokus. Die Dokumentation des IT-Managements wird unter dem Aspekt der Vorgabedokumentation für den IT-Betrieb betrachtet. Dies trifft vor allem auf die Bereiche der Service- und Prozessdokumentation und die Bereiche Sicherheits-, Notfall- und Datenschutzdokumentation zu, da unabhängig von der Größe oder der Ausgestaltung des IT-Managements jede Organisation Anforderungen an Sicherheit, Datenschutz und Notfallvorsorge unterliegt und diese entsprechend nachweisen muss (die Dokumentation für die Bereiche Informationssicherheit, Datenschutz und Notfallmanagement wird ausführlich in Kapitel 6 erläutert).
Der im Buch verwendete Aufbau zeigt eine mögliche logische Struktur, nicht jedoch die physische Strukturierung im Filesystem oder in anderen Anwendungen. In der Praxis hat es sich bewährt, mit einer solchen Strukturierung zu arbeiten und diese als Basis für den Aufbau einer IT-Dokumentation zu verwenden. Ob die Umsetzung dann in Form von Ordnern oder beispielsweise als Metadaten im Dokumentenmanagementsystem erfolgt, spielt für die Strukturierung keine Rolle und ist unternehmensspezifisch festzulegen.
Leser früherer Auflagen des Praxisbuchs IT-Dokumentation fragen sich an dieser Stelle möglicherweise, was aus dem in früheren Auflagen vorgestellten Aufbau der IT-Dokumentation geworden ist bzw. wie dieser hier einzuordnen ist. Dieser sah eine Unterscheidung in die folgenden vier Dokumentationsbereiche vor:
Rahmendokumente: Rahmendokumente sind vor allem strategische Dokumente mit allgemeinen Vorgaben und Normierungen, sofern diese nicht auf Unternehmensebene geregelt sind. Aber auch die Dokumente des IT-Managements können den Rahmendokumenten zugeordnet werden.
Betriebsdokumentation: Der IT-Betrieb umfasst neben dem operativen Systembetrieb und den damit verbundenen operativen Aufgaben zur Steuerung und zur Optimierung der Systeme alle Aufgaben, die zur Erbringung von IT-Services erforderlich sind. Dies beinhaltet u. a. alle Dokumente, die zur Sicherstellung des laufenden Betriebs, zur Instandhaltung und zur Fehlerbehebung benötigt werden.
Notfalldokumentation: Das unternehmensweite Notfallmanagement beinhaltet alle Aufgaben der Notfallvorsorge und der Notfallbewältigung und das IT-Notfallmanagement ist ein Teil davon. Die IT-Notfalldokumentation muss daher Teil einer übergeordneten Notfalldokumentation sein. Als solche muss sie vor allem sicherstellen, dass die kritischen IT-Services auch in Notfällen verfügbar sind bzw. gemacht werden können.
Projektdokumentation: Dieser Bereich beinhaltet alle Dokumente, die im Rahmen von Projekten erstellt werden und der Entwicklung und der Einführung neuer oder geänderter IT-Systeme und -Verfahren dienen.
Bild 1.5Die vier Dokumentationsbereiche der IT-Dokumentation in früheren Auflagen des Praxisbuchs IT-Dokumentation
Die in Bild 1.5 dargestellte bisherige Strukturierung kann zwar immer noch verwendet werden, ist an einigen Stellen aber stark eingeschränkt. Die zunehmende Bedeutung des IT-Managements, die immer stärkere Verflechtung der Geschäftsprozesse mit der IT und nicht zuletzt die gestiegenen Anforderungen an Sicherheit und Datenschutz fordern heute einen erweiterten Ansatz für die IT-Dokumentation.
Ein Beispiel hierfür sind die in früheren Auflagen verwendeten Rahmendokumente. Hierzu heißt es im Praxisbuch:
„Der von den Autoren bewusst gewählte Begriff ‚Rahmendokumente‘ (im Gegensatz zum eingrenzenden Begriff ‚Richtliniendokumente‘) soll den weit gefassten und übergreifenden Charakter verdeutlichen. Bei Rahmendokumenten handelt es sich zum einen um allgemeingültige unternehmensweite Vorgaben (Richtlinien, Leitlinien, Normen u. a.), die nicht in der Verantwortung der IT-Organisation liegen. Ein typisches Beispiel hierfür ist die Leitlinie zur Informationssicherheit. Zum anderen können Dokumente den Rahmendokumenten zugeordnet werden, die Gültigkeit für alle Bereiche der IT-Dokumentation haben und die von der IT-Organisation verantwortet werden. Typischerweise gehören IT-Managementdokumente wie das IT-Risikohandbuch zu den Rahmendokumenten. Diese regeln übergreifend die allgemeinen Vorgaben und Normierungen. Die meisten Rahmendokumente sind ein Ergebnis von (IT-)Management-Prozessen“.
Die Betrachtung von Rahmendokumenten im Rahmen der IT-Dokumentation ist auch heute noch richtig und wichtig. Allerdings zeigen die Erfahrungen aus der Praxis, dass es nicht mehr ausreicht, alle Rahmendokumente einem Sammelbereich zuzuordnen. Wichtig ist vielmehr eine Zuordnung der verschiedenen Rahmendokumente zu Aufgabenfeldern. Dies erleichtert es u. a., die notwendigen Dokumente zu identifizieren und den entsprechenden Verantwortlichen zuzuordnen. In der vorliegenden Auflage ersetzt der nach Aufgabenfeldern untergliederte Bereich der Managementdokumente daher den Sammelbereich der Rahmendokumente. Unternehmen, die bereits den Ansatz der Rahmendokumente verwenden, können diesen weiterverwenden und bei Bedarf entsprechend untergliedern.
Die nachstehende Tabelle zeigt die Zuordnung der in früheren Auflagen verwendeten Bereiche der IT-Dokumentation zur vorliegenden Auflage und gibt Hinweise zur Umsetzung.
Tabelle 1.1 Umsetzungstabelle der Struktur früherer Auflagen in den neuen Strukturierungsansatz
Dokumentationsbereich in früheren Auflagen
Zuordnung Dokumentationsbereich in vorliegender Auflage
Rahmendokumente
Aufgabenfelder des IT-ManagementsWerden in der vorhandenen IT-Dokumentationsstruktur Rahmendokumente verwendet, können diese nun bei Bedarf mit Hilfe der Managementaufgabenfelder untergliedert werden.
Betriebsdokumentation
System-/Infrastrukturbetrieb sowie operative IT-ServicesDa in der Praxis der Betrieb der Systeme organisatorisch oftmals von Services wie dem Help Desk getrennt ist, wird im neuen Strukturierungsmodell zwischen beiden Bereichen unterschieden. Sofern sinnvoll, ist aber natürlich auch weiterhin eine Zusammenfassung des System-/Infrastrukturbetriebs und operativer IT-Services möglich.
Notfalldokumentation
IT-Notfallmanagement als Aufgabenfeld des IT-ManagementsMit der steigenden Bedeutung von Informations- bzw. IT-Sicherheit ist eine Fokussierung auf das Notfallmanagement nicht mehr zeitgemäß. In der neuen Struktur wird Notfallmanagement daher als Aufgabenfeld dem IT-Management zugeordnet und als Teilbereich der in Kapitel 4 betrachteten sicherheitsrelevanten Dokumentationsbereiche Informationssicherheit, Datenschutz und Notfallmanagement behandelt.
Projektdokumentation
Anwendungsbetrieb und EntwicklungIn früheren Auflagen war die Anwendungsdokumentation in Gänze der Projektdokumentation zugeordnet. Auch um die in Organisationen häufig gelebte Trennung zwischen Anwendungsbetrieb und Entwicklung abbilden zu können, ist in der neuen Struktur die Projektdokumentation ein Teilbereich der Entwicklungsdokumentation.
Es gibt keine allgemein gültige Verordnung oder gar ein Gesetz, die bzw. das festlegt, wie eine IT-Dokumentation auszusehen hat. Den Gesetzen und Verordnungen ist gemein, dass die beschriebenen Anforderungen mehr oder weniger allgemein gehalten sind und die konkrete Umsetzung offenbleibt. Mit der Frage, wie der Aufbau einer gesetzeskonformen IT-Dokumentation sichergestellt werden kann, werden die Verantwortlichen allein gelassen.
Für steuerpflichtige Unternehmen ergibt sich im Zusammenspiel von Abgabenordnung und GoBD sowie dem Datenschutzrecht ein umfangreicher Katalog an Dokumentationspflichten. Dabei ist wie z. B. bei der Verfahrensdokumentation eine trennscharfe Abgrenzung von IT-zu Fachdokumentation häufig nicht möglich.
Mit dem IT-Sicherheitsgesetz und dem IT-Sicherheitskatalog gemäß Energiewirtschaftsgesetz sind in 2015 zwei branchenspezifische Gesetze in Kraft getreten, die Dokumentationsanforderungen im Hinblick auf die Informationssicherheit im Allgemeinen und die IT-Sicherheit im Speziellen formulieren.
Für den Bereich der Finanzdienstleister gibt es insbesondere mit der MaRisk aber auch mit den ergänzenden MASI und BAIT bankenaufsichtliche Anforderungen an die Unternehmen und in diesem Zusammenhang auch Anforderungen an die IT-Sicherheit und das IT-Notfallmanagement.
Häufig nicht bekannt ist, dass auch für die Projektdokumentation Vorgaben existieren. Mit den beiden Standards des Instituts der Wirtschaftsprüfer in Deutschland (IDW) und des Deutschen Instituts für Interne Revision (DIIR) zur Prüfung von Projekten rücken auch die Projektdokumente in das Blickfeld der Abschlussprüfer. Die Art und Weise der Projektdokumentation sind somit nicht mehr in das Belieben des einzelnen Unternehmens gestellt, sondern unterliegen künftig den Anforderungen der einschlägigen Prüfungsstandards.
Ebenfalls ist für Wirtschaftsprüfer und Revisoren die Verfahrensdokumentation ein wesentliches Prüffeld. In dem Kapitel werden sowohl die formalen Anforderungen als auch Aufbau und Inhalt der Verfahrensdokumentation beschrieben.
Beim Aufbau einer anforderungsgerechten IT-Dokumentation kommt man zwangsläufig zu der Frage: „Welchen regulatorischen Anforderungen unterliege ich und welche Dokumentationsanforderungen resultieren daraus?“ Denn es ist entscheidend, dass man neben individuellen Anforderungen und Zielen analysiert, welche verbindlichen Dokumentationsverpflichtungen oder mit anderen Worten, welche Compliance-Anforderungen es für das eigene Unternehmen gibt. Unternehmen müssen aber nicht nur sicherstellen, dass Compliance-Anforderungen eingehalten werden, sondern dies auch regelmäßig kontrollieren und im Rahmen der Jahresabschlussprüfung gegebenenfalls auch nachweisen.
Die Bezeichnung Compliance stammt ursprünglich aus dem Englischen und bedeutet so viel wie „Einhaltung“ oder „Befolgung“. Leider sucht man eine allgemeingültige Definition für den Begriff vergebens. Bezogen auf gesetzliche Anforderungen verbirgt sich hinter dem Begriff Compliance die Bedeutung eines gesetzestreuen Verhaltens. Weiter gefasst bedeutet Compliance die Erfüllung aller rechtlichen Vorgaben und aller branchenspezifischen Vorgaben sowie der innerbetrieblichen Richtlinien.
Bei IT-Compliance als Teilbereich von Compliance bezieht sich die oben genannte Einhaltung internationaler, nationaler und innerbetrieblicher Gesetze, Richtlinien und Bestimmungen auf den Umgang mit der im Unternehmen vorhandenen Informationstechnik [Klotz und Dorn, 2008]. Dabei adressiert IT-Compliance vor allem die Bereiche Sicherheit, Verfügbarkeit, Integrität und Datenschutz. Für diese Bereiche müssen Maßnahmen, Prozesse und Kontrollen implementiert und nachvollziehbar dokumentiert werden.
Für eine Umsetzung der Compliance-Anforderungen ist es aber selbstverständlich erst einmal notwendig, diese zu kennen. Leider gibt es keinen allgemeingültigen Standard, was in eine IT-Dokumentation aufzunehmen ist, oder gar ein gesondertes Dokumentationsgesetz. Welche Rechtsnormen von der IT-Organisation zu beachten sind, hängt auch davon ab, ob die IT des Unternehmens nur mit abgegrenzten speziellen Aufgaben befasst ist oder die gesamte Geschäftstätigkeit des Unternehmens umfassend unterstützt. Je umfassender die IT-Unterstützung der Unternehmensprozesse ausfällt, umso mehr verschwimmt die Grenze zwischen der Corporate Compliance als Anforderung an das gesamte Unternehmen und der spezielleren IT-Compliance. Bei der Identifizierung der Dokumentationsanforderungen sind daher auch Fragen zur Dokumentenverantwortlichkeit zu berücksichtigen.
Es existieren eine ganze Reihe von Verpflichtungen für die Erstellung und Vorhaltung einer Dokumentation, die deren Inhalt und Aufbau prägen. Branchenübergreifend sind insbesondere Vorschriften aus dem Bereich der Buchführung und Rechnungslegung sowie Datenschutz und steuerliche Thematiken für verschiedenartige Unternehmen relevant. Die Vorschriften des Handelsgesetzbuchs, die Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS) – ersetzt durch die GoBD ab dem 01. 01. 2015, die europäische Datenschutzgrundverordnung (DSGVO), das neue Bundesdatenschutzgesetz (BDSG-neu), die Regelungen der Abgabenordnung (AO) sowie das in 2015 beschlossene IT-Sicherheitsgesetz – gilt es hier zu beachten. Wenn auch die meisten gesetzlichen Regelungen von kaufmännischen Grundsätzen wie dem Gläubigerschutz getrieben sind, so haben sie dennoch für die IT eine direkte Bedeutung, da die kaufmännischen Kernprozesse wie Buchhaltung und Einkauf in aller Regel IT-gestützt ablaufen (z. B. die ERP-Anwendung SAP). Das IT-Sicherheitsgesetz ist jedoch direkt an die IT-Organisationen adressiert. Neben den branchenübergreifenden Vorgaben unterliegen Unternehmen einzelner Branchen z. T. zusätzlichen, sehr spezifischen Anforderungen.
Den Gesetzen und Verordnungen ist allerdings gemein, dass die beschriebenen Anforderungen mehr oder weniger allgemein gehalten sind und die konkrete Umsetzung offenbleibt. Mit der Frage, wie der Aufbau einer gesetzeskonformen IT-Dokumentation sichergestellt werden kann, werden die Verantwortlichen allein gelassen. An dieser Stelle lohnt sich ein Blick auf einige relevante Standards und Normen.
Während Gesetze und daraus abgeleitete Rechtsnormen verbindlichen Charakter haben, entfalten Standards ihre Wirkung durch nationale oder internationale Anerkennung wie beispielsweise bei den ISO-Normen oder den DIN-Standards. Normen und Standards helfen dabei, gesetzliche Anforderungen einzuhalten, und dienen bei deren Umsetzung als Nachweis der Einhaltung. So weist ein Unternehmen, das eine Zertifizierung nach der Informationssicherheitsnorm ISO 27001 erlangt hat, damit nach, dass es einen Sicherheitsprozess und die nach aktuellem Erkenntnisstand möglichen Sicherheitsmaßnahmen implementiert hat. Eine Organisation, die nicht über diese Zertifizierung verfügt, muss hierfür Einzelnachweise erbringen.
Für eine Umsetzung der Compliance-Anforderungen ist es aber selbstverständlich erst einmal notwendig, diese zu kennen. Hier stellen sich beispielsweise folgende Fragen:
Welche Gesetze, Normen und sonstigen Verordnungen sind für die IT-Organisation relevant?
Welche IT-gestützten Prozesse und Anwendungen sind betroffen und welche Anforderungen sind von ihnen zu erfüllen?
Welche Risiken resultieren in welcher Höhe aus fehlender oder mangelhafter Compliance der IT?
Welche Compliance-Anforderungen haben die einzelnen Bereiche der IT (System- und Infrastrukturbetrieb, Anwendungsbetrieb und Entwicklung etc.) zu erfüllen?
Welche technischen, organisatorischen und personellen Maßnahmen sind für die Gewährleistung von Compliance der IT umzusetzen?
KLOTZ [2011] unterscheidet drei relevante Gruppen von Regelwerken und ordnet diese in ein sogenanntes „House of IT-Compliance“ ein.
Bild 2.1House of IT-Compliance. Quelle: Klotz [2011]
Die erste Gruppe bilden gemäß Klotz die rechtlichen Regelwerke. Im Zentrum stehen hier Rechtsnormen, also vom Gesetzgeber erlassene Gesetze und Rechtsverordnungen. Die für die IT wichtigsten Gesetze werden in Abschnitt 2.3 vorgestellt.
Die zweite Gruppe wird gebildet aus den unternehmensexternen Regelwerken. Sie reichen von Verordnungen, die im Rahmen internationaler Veranstaltungen verabschiedet wurden, über Richtlinien internationaler Organisationen bis hin zu IT-Normen und Standards unterschiedlicher Institutionen. In diese Gruppe Regelwerke fallen demnach vor allem die als „Framework“, „Referenzmodell“ oder „Best-Practise-Modell“ bezeichneten Standards, wie Capability Maturity Model Integration (CMMI), Information Technology Infrastructure Library (ITIL®) und Control Objectives for Information and Related Technology (COBIT). Normen und Standards sind Gegenstand von Abschnitt 2.5.
Die dritte Gruppe der unternehmensinternen Regelwerke beschreibt alle internen Regelwerke. Viele Unternehmen haben interne Regelwerke mit Vorgaben, die (auch) für die unternehmensinterne IT gelten. Hierzu zählen beispielsweise die Vorgaben der insbesondere im Bankenumfeld verbreiteten „Schriftlich fixierten Ordnung“.
Ein Gesetz ist eine Sammlung von verbindlichen Festlegungen für einen definierten Geltungsbereich, die in einem förmlichen Verfahren vom Gesetzgeber erlassen worden ist. Neben den allgemeinen Unternehmensgesetzen, aus denen sich aufgrund der immer stärkeren Abhängigkeiten der Geschäftsprozesse von der IT direkt oder indirekt Anforderungen an die IT-Dokumentation ableiten lassen, gibt es auch Gesetze, die unmittelbar für IT-Organisationen gelten, wie beispielsweise das IT-Sicherheitsgesetz.
Zusätzlich zu den allgemeinen Unternehmensgesetzen gibt es eine Reihe weiterer Gesetze, Richtlinien und Verordnungen, die ebenfalls Relevanz für die IT-Dokumentation haben. Bei den Richtlinien und Verordnungen handelt es sich um Handlungsvorschriften mit bindendem Charakter, die im Gegensatz zu Gesetzen nicht vom Staat, sondern von einer Organisation ausgegeben werden. Hierzu zählt beispielsweise die Abgabenordnung.
In den folgenden Abschnitten werden ausgewählte Gesetze und Verordnungen im Überblick vorgestellt und die daraus ableitbaren Anforderungen an die IT-Dokumentation erläutert. Weitere Dokumentationsanforderungen finden Sie in Abschnitt 2.6. Hier wird beschrieben, welche Anforderungen Wirtschaftsprüfer und Revisoren an die Dokumentation stellen.
Das Handelsgesetzbuch (HGB) ist die zentrale Vorschrift für das Handelsrecht in Deutschland. Es enthält sowohl Regelungen für Gesellschaftsformen als auch für Handelsgeschäfte und die Führung der relevanten Handelsbücher.
Die Abgabenordnung (AO) ist das elementare Gesetz des deutschen Steuerrechts. In ihr sind die grundlegenden Regelungen enthalten, wie die Steuern zu erheben sind. Zusätzlich sind in Anlehnung an das HGB auch Anforderungen an das Führen der Bücher sowie weiterer steuerlich relevanter Unterlagen beschrieben.
Im vierten Teil der AO, in dem es um die Durchführung der Besteuerung geht, konkretisieren die Paragrafen 145 bis 147 die Anforderungen an die Buchführung und an die Aufzeichnungen. Danach muss gemäß § 145 Abs. 1
„die Buchführung so beschaffen sein, dass sie einem sachverständigen Dritten innerhalb angemessener Zeit einen Überblick über die Geschäftsvorfälle und über die Lage des Unternehmens vermitteln kann“. [AO, vom 28. 07. 2015]
Dies ist einer der Kernsätze der Grundsätze ordnungsgemäßer Buchführung (GoB) und ist gleichlautend im HGB, § 238 Abs. 1 enthalten. Ein weiterer Kernsatz der GoBD ist in § 239 Abs 4 im HGB geregelt.
„Bei der Führung der Handelsbücher und der sonst erforderlichen Aufzeichnungen auf Datenträgern muss insbesondere sichergestellt sein, dass die Daten während der Dauer der Aufbewahrungsfrist verfügbar sind und jederzeit innerhalb einer angemessenen Frist lesbar gemacht werden können“. [HGB, vom 01. 04. 2015]
Diese Anforderungen sind auch die Basis jeder Ordnungsmäßigkeitsprüfung einer Revision.
Ableitbare Anforderungen an die IT-Dokumentation:
Insgesamt lässt sich festhalten, dass bereits die grundlegenden Gesetze für die Wirtschaftsunternehmen eine Grundhaltung normiert haben, die in Richtung einer nachvollziehbaren Dokumentation nicht nur der Geschäftsvorfälle und Geschäftsabläufe, sondern auch der dafür eingesetzten IT-Systeme und IT-Verfahren abzielt.
Aus den zuvor genannten Anforderungen lassen sich die folgenden Schutzziele ableiten: Verfügbarkeit, Integrität und Ordnungsmäßigkeit.
Verfügbarkeit: Die Verfügbarkeit der geführten Handelsbücher und der geschäftlichen Unterlagen muss sichergestellt sein. Ein Großteil der geschäftlichen Unterlagen wird mittlerweile elektronisch in Dokumentenmanagementsystemen und anderen IT-Systemen geführt sowie elektronisch archiviert. Wirtschaftsprüfer und Finanzbehörden verlangen daher bei einer Prüfung Nachweise darüber, dass die Daten in angemessener Zeit wiederherzustellen sind. In diesem Zusammenhang sind die technischen Prozesse zur Wiederherstellung zu dokumentieren.
Integrität: So wie man in den „alten“ Buchhaltungskladden keine Veränderung der Buchungen vornehmen durfte, die nicht nachvollziehbar war, so gilt dies auch für die heutigen Buchhaltungssysteme und Daten. Integrität ist zum Beispiel wegen der gesetzlichen Aufbewahrungsfristen eine kritische Anforderung an die E-Mail-Archivierung. Entscheidend sind hierbei die hardwaremäßigen, softwaremäßigen und organisatorischen Sicherheitsfunktionen, die auch nachzuweisen sind. Zu dokumentieren sind hier insbesondere die eingesetzten Techniken zur Sicherstellung der Integrität.
Ordnungsmäßigkeit: Gemäß HGB müssen die Eintragungen in Büchern und die sonst erforderlichen Aufzeichnungen vollständig, richtig, zeitgerecht und geordnet vorgenommen werden, wobei es heute wohl kaum noch Unternehmen gibt, die für die Buchführung keine IT-gestützten Buchhaltungssysteme im Einsatz haben. Entsprechend gilt dies für die verwendeten Buchhaltungssysteme und muss für diese überprüfbar sein. In enger Verbindung damit steht die Authentizität, für die die Überprüfung der Benutzerrechte wichtig ist. Die Einhaltung dieser Anforderungen muss von Seiten der IT nachvollziehbar dokumentiert werden.
Das Bundesfinanzministerium hat am 14. 11. 2014 das Schreiben zu den Grundsätzen zur ordnungsgemäßen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowiezum Datenzugriff (GoBD) veröffentlicht. Die GoBD gelten ab dem 1. 1. 2015 und lösen die Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS) sowie die Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) ab. Das Schreiben konkretisiert die Normen aus der Abgabenordnung (AO) und dem Umsatzsteuergesetz (UStG) und bestimmt damit auch, wie digitale Unterlagen aufbewahrt werden sollen, damit das Finanzamt bei einer Betriebsprüfung auf diese Informationen zugreifen kann. Die GoBD gelten ab dem Steuerveranlagungszeitraum ab 2015. Für davor liegende Zeiträume gelten die bisherigen Vorschriften weiterhin.
Überwiegend haben sich die Anforderungen der Grundsätze an eine ordnungsgemäße Rechnungslegung nicht geändert, insbesondere was den Nachweis einer Verfahrensdokumentation betrifft. Die Vorschriften im Hinblick auf die für die IT wesentlichen Anforderungen sind in 10.1, Verfahrensdokumentation, wie folgt festgelegt:
„Es muss für jedes DV-System eine übersichtlich gegliederte Verfahrensdokumentation vorhanden sein, aus der
Inhalt,
Ablauf und
Ergebnisse des DV-Verfahrens
vollständig und schlüssig ersichtlich sind. Der Umfang der im Einzelfall erforderlichen Dokumentation wird dadurch bestimmt, was zum Verständnis des DV-Verfahrens, der Bücher und Aufzeichnungen sowie der aufbewahrten Unterlagen notwendig ist.
Die konkrete Ausgestaltung der Verfahrensdokumentation ist abhängig von der Komplexität und Diversifikation der Geschäftstätigkeit und der Organisationsstruktur sowie des eingesetzten DV-Systems.
Die Verfahrensdokumentation beschreibt den organisatorisch und technisch gewollten Prozess, z. B. bei elektronischen Dokumenten
von der Entstehung der Informationen
über die Indizierung,
Verarbeitung und
Speicherung,
dem eindeutigen Wiederfinden und der maschinellen Auswertbarkeit,
der Absicherung gegen Verlust und Verfälschung und der Reproduktion.
Die Verfahrensdokumentation besteht in der Regel aus einer allgemeinen Beschreibung, einer Anwenderdokumentation, einer technischen Systemdokumentation und einer Betriebsdokumentation.“ [GoBD, vom 14. 11. 2014]
Im Folgenden wird auf weitere Anforderungen mit IT-Bezug in den GoBD eingegangen.
Datensicherheit
Gemäß Rzn. 103 der GoBD hat
„der Steuerpflichtige . . . sein DV-System gegen Verlust (z. B. Unauffindbarkeit, Vernichtung, Untergang und Diebstahl) zu sichern und gegen unberechtigte Eingaben und Veränderungen (z. B. durch Zugangs- und Zugriffskontrollen) zu schützen.“
Und in Rzn. 106 heißt es: „Die Beschreibung der Vorgehensweise zur Datensicherung ist Bestandteil der Verfahrensdokumentation.“ [GoBD, vom 14. 11. 2014]
UnveränderbarkeitIn Bezug auf die Unveränderbarkeit der Buchungen oder Aufzeichnungen gilt nach wie vor der Grundsatz, dass der ursprüngliche Inhalt feststellbar bleiben muss. In Rzn. 59 der GoBD wird nun ergänzend hinzugefügt, dass Veränderungen oder Löschungen an elektronischen Buchungen oder Aufzeichnungen entsprechend zu protokollieren sind. Im angefügten Beispiel wird auf die erforderliche Historisierung von Stammdaten hingewiesen.
Internes KontrollsystemIn den GoBD sind die internen Kontrollen ausführlich beschrieben. In Rzn. 100 der GoBD sind beispielhaft die folgenden aufgelistet:
„Zugangs- und Zugriffsberechtigungskontrollen, auf Basis entsprechender Zugangs- und Zugriffsberechtigungskonzepte (z. B. spezifische Zugangs- und Zugriffsberechtigungen),
Funktionstrennungen,
Erfassungskontrollen (Fehlerhinweise, Plausibilitätsprüfungen),
Abstimmungskontrollen bei der Dateneingabe,
Verarbeitungskontrollen,
Schutzmaßnahmen gegen die beabsichtigte und unbeabsichtigte Verfälschung von Programmen, Daten und Dokumenten“ [GoBD, vom 14. 11. 2014]
Rzn. 101 beinhaltet jedoch eine deutliche Verschärfung. Danach muss geprüft werden, „ob das eingesetzte DV-System tatsächlich dem dokumentierten System entspricht.“ Diese Verpflichtung besteht nicht nur einmal, sondern anlassbezogen, z. B. bei Systemwechsel. Das gilt auch bei der Auslagerung von Buchführungsaufgaben auf Dritte (Rzn. 21).
Unveränderbarkeit, Protokollierung von ÄnderungenWie bereits zuvor beschrieben, muss der ursprüngliche Inhalt von Buchungen und Aufzeichnungen feststellbar bleiben (Rzn. 107). Im folgenden Beispiel in Rzn. 109 wird klargestellt, dass die Verwendung von Office-Programmen unzulässig ist, sofern dort unprotokolliert editiert werden kann. Ebenfalls erfüllt die Ablage von Daten und elektronischen Dokumenten in einem Dateisystem „die Anforderungen nach Unveränderbarkeit regelmäßig nicht, soweit nicht zusätzliche Maßnahmen ergriffen werden, die eine Unveränderbarkeit gewährleisten.“ [GoBD, vom 14. 11. 2014]
Unveränderbarkeit bei Zugriff durch FinanzbehördeBisher schon war in den GDPdU gefordert, dass das Datenverarbeitungssystem bei Prüfungen der Finanzbehörde die Unveränderbarkeit des Datenbestands zu gewährleisten hat. In den GoBD wird nun konkretisiert, dass der Steuerpflichtige hierfür die Verantwortung trägt (Rzn. 174).
Zertifizierung und SoftwaretestateIn Rzn. 180 wird klargestellt, „dass Positivtestate zur Ordnungsmäßigkeit der Buchführung – und damit zur Ordnungsmäßigkeit DV-gestützter Buchführungssysteme – weder im Rahmen einer steuerlichen Außenprüfung noch im Rahmen einer verbindlichen Auskunft erteilt“ werden. Auch Zertifikate oder Testate Dritter entfalten nach Rzn. 181 keine Bindungswirkung. Die Ordnungsmäßigkeit ist demnach vom Buchführungspflichtigen durch eine geeignete Dokumentation nachzuweisen.
Ableitbare Anforderungen an die IT-Dokumentation
In Bezug auf die Verfahrensdokumentation werden explizit eine technische Systemdokumentation und eine Betriebsdokumentation gefordert. Während die Systemdokumentation häufig vom Hersteller geliefert wird, muss die Betriebsdokumentation von der IT erstellt werden.
Die Protokollierung von Veränderungen oder Löschungen an elektronischen Buchungen oder Aufzeichnungen erfordert nicht nur entsprechende Aufzeichnungen in den IT-Systemen, sondern auch ein zu dokumentierendes Verfahren. Über dieses Verfahren ist sicherzustellen, dass die Protokollierung vollständig, richtig und zeitnah erfolgt.
Der Nachweis der internen Kontrollen erfordert entsprechende Belege der IT-Systeme. Der Nachweis der Übereinstimmung der dokumentierten mit den tatsächlich eingesetzten Systemen wird nicht einfach zu erbringen sein und ggf. sogar die Grenzen der wirtschaftlichen Angemessenheit überschreiten.
Die kritische Auseinandersetzung mit Office-Dateiformaten und der Ablage von Dokumenten im Dateisystem verstärkt die Bedeutung von Dokumentenmanagementsystemen (DMS), deren Datenverarbeitung wiederum zu dokumentieren ist. Soll aber trotzdem der Einsatz von Office-Programmen und dem Dateisystem erfolgen, so muss dieser GoBD-konform sein. Entsprechende Verfahren zur Sicherstellung der Unveränderbarkeit müssen dann entwickelt und beschrieben werden.
Die Klarstellung, dass auch Zertifikate oder Testate Dritter nicht ausreichend sind, die Ordnungsmäßigkeit DV-gestützter Buchführungssysteme pauschal nachzuweisen, führt zu steigenden Anforderungen an die IT-Dokumentation des Buchführungspflichtigen.
Aufbau und Inhalte einer Verfahrensdokumentation
Ausführliche Erläuterungen zu den Anforderungen an die Verfahrensdokumentation finden Sie in Kapitel 5.
Seit dem 25.05.2018 ist die EU-Datenschutzgrundverordnung, kurz DSGVO, in Kraft. Damit wurde die Verordnung 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten unmittelbar geltendes Recht in allen Mitgliedsstaaten der Europäischen Union.
Ebenfalls seit dem 25. Mai ist die neue Fassung des BDSG anwendbar. Die DSGVO lässt in einigen Bereichen den Mitgliedsstaaten einen Handlungsspielraum, der in Deutschland mit dem BDSG-neu ausgefüllt wurde. Außerdem dient das BDSG-neu (auch als BDSG 2018 bezeichnet) der Umsetzung Richtlinie (EU) 2016/680 vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr, was zu einer etwas unübersichtlichen Struktur geführt hat. Das BDSG-neu besteht aus insgesamt vier Teilen:
Teil 1 – Gemeinsame Bestimmungen (für alle Teile von BDSG-neu)
Teil 2 – Durchführungsbestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 2 der Verordnung (EU) 2016/679
Teil 3 – Bestimmungen für Verarbeitungen zu Zwecken gemäß Artikel 1 Absatz 1 der Richtlinie (EU) 2016/680
Teil 4 – Besondere Bestimmungen für Verarbeitungen im Rahmen von nicht in die Anwendungsbereiche der Verordnung (EU) 2016/679 und der Richtlinie (EU) 2016/680 fallenden Tätigkeiten (BDSG-neu, vom 30. 06. 2017]
Alle Unternehmen und andere Institutionen, die nicht den Justiz- und Strafverfolgungsbehörden angehören, müssen die DSGVO und die Teile 1 und 2 des BDSG-neu sowie bereichsspezifische gesetzliche Regelungen beachten. Hier ist es also weder ausreichend, sich nur mit der DSGVO zu beschäftigen, noch nur mit dem BDSG-neu. Vielmehr müssen die Regelungen des BDSG-neu in Bezug auf die DSGVO geprüft werden. Für Justiz- und Strafverfolgungsbehörden hingegen gelten nur die Teile 1 und 3 des BDSG-neu sowie die Richtlinie (EU) 2016/680.
Während der überwiegende Teil der DSGVO an die operativen Einheiten adressiert ist, regeln die Artikel 25 und 32 Anforderungen, die direkte Auswirkungen auf die IT haben. Die Basis bildet Artikel 32, Sicherheit der Verarbeitung. Dort heißt es in Abs. 1 und Abs. 2:
„Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen unter anderem Folgendes ein:
a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
b) die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
c) die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch – ob unbeabsichtigt oder unrechtmäßig – Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden“. [DSGVO, vom 27. 05. 2016]
Folgende weitere Anforderungen kommen durch Kapitel 25, Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen Abs. 1 und Abs. 2 hinzu:
„Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen – wie z. B. Pseudonymisierung –, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen.
Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.“ [DSGVO, vom 27. 05. 2016].
Aus der Wahrung der Betroffenenrechte ergeben sich für die IT ebenfalls Anforderungen nach technischer Umsetzung und Nachweis durch Dokumentation. Hierzu zählen insbesondere die folgenden Betroffenenrechte:
Recht auf Löschung nach Art. 17: Sind Angaben über eine Person für eine Verarbeitung nicht mehr notwendig, so hat der Verantwortliche diese unverzüglich zu löschen. Dies gilt auch, wenn ein Betroffener aus diesem Grund die Löschung seiner Daten fordert.
Recht auf Datenübertragung nach Art. 20 DSGVO: Ein Betroffener kann fordern, dass ein Verantwortlicher seine Daten direkt an einen anderen Verantwortlichen übermittelt, soweit dies technisch machbar ist. Weiterhin sind ihm auf Verlangen die bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu übermitteln. [DSGVO, vom 27. 05. 2016].
Ableitbare Anforderungen für die IT-Dokumentation
Zunächst bedeuten die Anforderungen, IT-technische Maßnahmen zu ergreifen, z. B.:
Datenschutzfreundliche Systeme bereitzustellen
Datenschutzfreundliche Voreinstellungen in den Systemen
Technische Umsetzung von Löschkonzepten
Technische Umsetzung von Löschungen auf Verlangen des Betroffenen
Bereitstellen von Techniken zur Pseudonymisierung und Anonymisierung
Technische Umsetzung zur Bereitstellung von Daten der Betroffenen in einem maschinenlesbaren Format sowie Übertragung von Daten an einen anderen Vertragspartner des Betroffenen.
Der Nachweis über die anforderungsgerechte Umsetzung der Maßnahmen erfordert eine nachvollziehbare Dokumentation, sowohl systemseitig als auch anwendungsseitig. Und der Nachweis über die erfolgreiche Durchführung von Betroffenenrechten kann nur über eine entsprechende Nachweisdokumentation erbracht werden.
In Kapitel 6 werden die Anforderungen an die erforderliche Datenschutzdokumentation gemäß DSGVO und BDSG-neu erläutert.
Weitergehende Datenschutzregelungen in zusätzlichen Gesetzen
Das wohl bekannteste deutsche Regelwerk zum Datenschutz ist das Bundesdatenschutzgesetz(-neu). Es gilt für Bundesbehörden und für die Privatwirtschaft. Daneben haben die deutschen Bundesländer eigene Landesdatenschutzgesetze, die für die jeweiligen Landesbehörden und die Kommunen gelten. Sowohl das Bundesdatenschutzgesetz als auch die Landesdatenschutzgesetze können durch branchenspezifische Datenschutzgesetze ergänzt werden.
Für Postdienstleister gilt beispielsweise die Postdienste-Datenschutzverordnung. Und Internet-Provider müssen bei der Verarbeitung personenbezogener Daten ihrer Kunden die besonderen Datenschutzvorschriften des Telemediengesetzes beachten. Erhebliche Bedeutung haben auch die in den Sozialgesetzen verankerten Vorschriften zum Schutz des Sozialgeheimnisses. Nicht zuletzt gibt es u. a. mit der Anordnung über den kirchlichen Datenschutz (KDO) und der Verordnung zur Durchführung der Anordnung über den kirchlichen Datenschutz (KDO-DVO) eine gesonderte für den Bereich der römisch-katholischen Kirche in Deutschland geltende Datenschutzregelung und mit dem Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD) und der Datenschutzdurchführungsverordnung (DSVO) für den Bereich der Evangelischen Kirche in Deutschland geltende Datenschutzregelungen.
Das Telemediengesetz (TMG), zuletzt 2017 aktualisiert, regelt die rechtlichen Rahmenbedingungen für alle elektronischen Informations- und Kommunikationsdienste und ist eine der zentralen Vorschriften des Internetrechts.
Das TMG gilt für alle Anbieter von elektronischen Informations- und Kommunikationsdiensten. Da fast alle Unternehmen Informationsangebote im Internet oder in anderweitigen sozialen Medien anbieten, werden somit auch fast alle Betriebe, egal welcher Größe, vom TMG erfasst. Es kommt damit auch zur Anwendung, wenn beispielsweise ein Unternehmen seinen Mitarbeitern die Nutzung von Internet und E-Mail auch zu privaten Zwecken gestattet. Im Falle der privaten Nutzung besteht zwischen Dienstherrn und Beschäftigtem ein Anbieter-Nutzer-Verhältnis, da es sich bei der Bereitstellung der Dienste um ein Angebot von Telekommunikation und Telemedien im Sinne des Telemediengesetzes handelt. Als solcher hat er das Fernmeldegeheimnis nach § 88 des Telekommunikationsgesetzes zu beachten. Damit ergeben sich vielfältige Fragen zur Wahrung der Privatsphäre der betroffenen Mitarbeiter und es müssen sowohl die Vorschriften des Telemediengesetzes als auch des Bundesdatenschutzgesetzes beachtet werden. Und für Provider ist der Erlaubnisrahmen für die Verarbeitung der Verkehrs-, Nutzungs- und Abrechnungsdaten damit sehr eng gesteckt.
Das TMG unterscheidet explizit zwischen Nutzungs- und Bestandsdaten. Als Nutzungsdaten werden die personenbezogenen Daten eines Nutzers bezeichnet, die erforderlich sind, „um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen“, während die Bestandsdaten die personenbezogenen Daten sind, die „für die Begründung, inhaltliche Ausgestaltung oder Änderung eines Vertragsverhältnisses zwischen dem Diensteanbieter und Nutzer über die Nutzung von Telemedien erforderlich sind“ [§ 14 und § 15 TMG, vom 28. 09. 2017]. Diese Bestandsdaten können beispielsweise bei einer Rechtsverfolgung durch die zuständigen Behörden angefordert werden. Wichtig ist, dass das TMG festlegt, dass der Diensteanbieter personenbezogene Daten ausschließlich im Sinne der oben definierten Nutzungs- und Bestandsdaten erlaubt. Werden diese nicht rechtzeitig gelöscht oder zu einem anderen Zweck erhoben, führt dies zu ordnungswidrigem Verhalten und kann mit einer Geldbuße geahndet werden. Abrechnungsdaten, d. h. Daten, die erhoben werden, um die Abrechnung mit dem Nutzer durchführen zu können, dürfen höchstens bis zum Ablauf des sechsten Monats nach Versendung der Rechnung gespeichert werden.
Durch die Verabschiedung des IT-Sicherheitsgesetzes (siehe Abschnitt 2.4.1) hat das TMG eine Erweiterung hinsichtlich der Sicherheitsanforderungen erfahren. Nach dem neu eingefügten Abs. 7 im § 13 TMG haben die Anbieter von geschäftsmäßig angebotenen Telemedien technische und organisatorische Maßnahmen zur Vermeidung von
unerlaubten Zugriffen auf die technischen Einrichtungen,
Verletzungen des Schutzes personenbezogener Daten und
Störungen, auch durch äußere Angriffe
zu ergreifen.
Die Anbieter haben dabei jeweils den Stand der Technik, z. B. geeignete Verschlüsselungsverfahren, zu berücksichtigen. Das bedeutet u. a. die Verschlüsselung aller Websites. [TMG, vom 28. 09. 2017]
Ableitbare Anforderungen an die IT-Dokumentation
Anforderungen an die IT-Dokumentation ergeben sich aus den Nachweis- und Überprüfungspflichten. So sind die getroffenen Regelungen und Verfahren zu dokumentieren. Hierzu gehören auch gegebenenfalls getroffene Dienstvereinbarungen. Außerdem besteht die Verpflichtung, diese regelmäßig zu kontrollieren und dies auch zu dokumentieren.
Bei zugelassener privater Nutzung sind zusätzlich die Anforderungen des TMG zu erfüllen. Eine besondere Anforderung, die durch das TMG gefordert wird, sind die maximalen Aufbewahrungsfristen. Somit sind innerhalb der Organisation des Diensteanbieters auch Prozesse zu dokumentieren, die eine regelmäßige Vernichtung von personenbezogenen Daten gewährleisten.
Die Zuständigkeit für die Dokumentation liegt nicht immer bei der IT. Je nach Unternehmensstruktur können auch andere Organisationseinheiten (z. B. Innere Dienste, Verwaltung, Kommunikation) dafür verantwortlich sein. Aber auch in diesen Fällen muss die IT alle Sachverhalte dokumentieren, sobald Systeme der IT-Organisation tangiert sind, z. B. Schnittstellen, Datenflüsse und interne Kontrollen.
In vielen Branchen gelten zusätzliche Vorschriften, um deren erhöhten Anforderungen an die Sicherheit gerecht zu werden. Hierzu zählen insbesondere die Betreiber von kritischen Infrastrukturen, Banken und Versicherungen, aber natürlich auch die Chemie-, Pharma-, Gesundheits- und Lebensmittelbranche. Während es bei den vier letztgenannten vorrangig darum geht, direkte oder indirekte Gefahren für Leib und Leben von Menschen sowie den Missbrauch personenbezogener Daten zu verhindern, sind bei den Banken und Versicherungen vorrangig finanzielle Risiken von Interesse. Nicht zuletzt soll bei den kritischen Infrastrukturen das Sicherheitsniveau generell angehoben werden.
