10 Wege in die IT-Audit-Hölle

Ein IT-Audit kann diabolische Folgen haben. Wenn Sie keine Lust auf einen Trip in die Untersuchungs-Hölle haben, sollten Sie diese Fehler unbedingt vermeiden. [...]

Niemand mag Audits. Kein Wunder – selbst im besten aller Fälle, also wenn Sie den Audit ohne Beanstandung überstehen, verschlingt die Prüfprozedur der IT wertvolle Zeit, die ansonsten in die Verbesserung von Services und die Maximierung des Gewinns investiert werden könnte. Ein nicht bestandener IT-Audit kann Ihnen die Arbeitswoche allerdings schneller versauen als jede DDoS-Attacke. Schlimmer noch: ein Audit mit negativem Ausgang lässt sich als Zeugnis Ihres Miss-Managements interpretieren und wirkt sich im schlimmsten Fall auch negativ auf Ihre berufliche Zukunft aus.
Aber so muss es nicht kommen. Wenn das nächste Mal eine Gruppe von internen oder externen Auditoren in Ihrer IT-Infrastruktur, Ihren Policies und Ihren Prozessen herumschnüffelt, wird das auf jeden Fall gut ausgehen – falls Sie richtig vorbereitet sind. Dazu sollten Sie zunächst die gängigen Fehler in Bezug auf IT-Audits umschiffen. Deshalb zeigen wir Ihnen wie man es nicht machen sollte: Diese zehn Wege führen auf direktem Weg in die IT-Audit-Hölle.
10. DER AUDITOR WEIß MEHR ÜBER IHRE TECHNIK ALS SIE
Sie sollten ihre technologische Umgebung wie Ihre Westentasche kennen. Das ist die beste Verteidigung gegen negative IT-Audit-Ergebnisse. Die meisten Leute erwarten von einem IT-Entscheider nicht, dass dieser jedes Asset persönlich bis ins Detail kennt. Sie sollten sich also auf Ihre Prozesse, Technologien – und nicht zuletzt auch ihre Mitarbeiter – fokussieren.
„Viele Unternehmen haben damit zu kämpfen, all ihre technologischen Güter zu identifizieren“, weiß Felix Acosta vom Beratungsunternehmen KPMG zu berichten. „Speziell für Firmen mit älterem Equipment stellt das eine große Herausforderung dar.“ In anderen Fällen lägen hingegen oft nur unzureichende Informationen über das IT-Inventar vor: „Ich habe Fälle gesehen, in denen darüber lediglich ein paar verteilte Zettel und Notizen Auskunft gegeben haben. Wenn Sie Ihre Assets nicht kennen, ist es sehr wahrscheinlich, dass sie bei einem IT-Audit Probleme bekommen“, warnt Acosta.
Denn wie soll jemand, der sich in seiner eigenen Umgebung nicht auskennt, die Kontrolle über diese ausüben und seine Arbeit ordentlich dokumentieren? Auf dem Markt gibt es etliche Software-Produkte, die beim Hardware- und Software Asset Managementunterstützen können.
Video: Applying blockchain to Asset Management 9. SIE VERLASSEN SICH AUF MANUELLE PROZESSE
Es ist kein leichtes Unterfangen, Server, Tools und andere Technologien so zu konfigurieren, dass sowohl Deadlines gehalten als auch Compliance-Anforderungen erfüllt werden können. Wenn Sie dazu keine Automatisierungs-Tools nutzen, schaufeln Sie sich Ihr eigenes Audit-Grab.
John Ray, Senior-Berater bei Shadow-Soft, empfiehlt an dieser Stelle ein Auditing- und Testing-Framework: „Ich nutze Chef InSpec um verständliche Reports für Auditoren zu erstellen. Es braucht einigen Konfigurations-Aufwand, bis die Ergebnisse stimmen, aber es klappt gut. Und es ist wesentlicher praktikabler als der Einsatz von Notizzetteln und manuellem Tracking, um auf Augenhöhe mit den Compliance-Richtlinien zu sein.“
Die Fähigkeit, die Unternehmensgüter bei Bedarf schnell und einfach tracken zu können, ist umso wichtiger, wenn ansonsten Strafzahlungen oder zusätzliche Investitionen drohen. Für CIOs ist das eine Schlüsselherausforderung, insbesondere wenn es um Audits von Software-Anbietern geht.
8. SOFTWARE-AUDITS ÜBERFORDERN IHRE KAPAZITÄTEN
Wenn der Audit eines Softwareherstellers ansteht, sollten Sie sich am besten schon einmal auf Kampf einstellen. Denn diese Form des Audits gehört in aller Regel zu den schmerzhaftesten Erfahrungen, die ein IT-Entscheider so machen kann, wie Gary Davenport von der CIO Association of Canada weiß: „Ich habe schon gesehen, dass Hersteller einfach kurzerhand die Regeln ändern. Das macht es natürlich schwer, sich auf die Veränderungen einzustellen und sie umzusetzen.“
Darum haben solche Softwarelizenz-Audits auch meist eine direkte Folge: Höhere Ausgaben. IBMs Wechsel zu Passport Advantage ist nur ein Beispiel. „The Register“ schreibt zu den Praktiken von Big Blue: „Die Botschaft ist klar: Wenn Sie während eines Audits nicht hundertprozentig nachweisen können, wo es zu einer Überbeanspruchung gekommen ist, bezahlen Sie für volle zwei Jahre Wartung – das entspricht 40 Prozent der Gesamt-Lizenzkosten.“
Bei den Software Audits gehen die Hersteller also nicht gerade mit Samthandschuhen mit ihren Kunden um. Und IBM ist nicht der einzige Konzern, der an dieser Stelle gesalzene Mehreinnahmen wittert. Deshalb stehen spezialisierte Berater und Anwälte bei Bedarf denjenigen Kunden zur Seite, die einen Software-Audit von Oracle, Microsoft und anderen großen Softwarehäusern erwarten.
7. SIE HANDELN NACH DEM AUDIT NICHT SCHNELL GENUG
Wenn das Worst-Case-Szenario eintritt und Sie beim Audit durchfallen, müssen Sie einige ernste Probleme lösen. Gerade in solchen Fällen ist eine schnelle Reaktion die beste Reaktion. „Sie müssen damit rechnen, dass die Auditoren auf Sie zukommen und Antworten fordern“, sagt Michael Leidinger, CTO bei Hilton.
Wenn IT-Entscheider hingegen ihre Verantwortlichkeiten vernachlässigen, ist es sehr unwahrscheinlich, dass ein Auditor über die festgestellten Probleme Stillschweigen bewahrt. Die Vorstandsebene erhält die Ergebnisse eines IT-Audits übrigens in der Regel auch – langwierige und langsame Reaktionsprozesse Ihrerseits könnten also auch auf höherer Ebene registriert werden. Sie sollten deshalb alles daran setzen, dass ein Audit nicht der erste Schritt in den Karriere-Abgrund ist.
6. SIE BEZIEHEN DIE AUDITOREN NICHT VORAB MIT EIN
Auditoren als zusätzliche Stakeholder eines Projekts zu betrachten, kann dabei helfen, spätere Probleme zu vermeiden oder abzumildern. Gary Davenport, früherer CIO beim kanadischen Retailer Hudson Bay Company, spricht aus Erfahrung: „IT-Auditoren in Ihre Technologie-Projekte einzubinden, erleichtert allen Beteiligten das Leben. Die (Verbesserungs-)Vorschläge der Auditoren erst nach der Implementierung eines großen Systems umzusetzen, wird sehr viel schwieriger sein. Die Methode der Einbindung spart Zeit und Geld und ist darüber hinaus auch ein sinnvoller Weg, um ein positives Miteinander mit den Auditoren zu initiieren.“