Outsourcing-Risiken mindern: Ein CIO-Leitfaden für sichere IT-Partnerschaften

Unternehmen lagern zunehmend ganz oder teilweise ihre IT-Funktionen an externe Dienstleister aus. Zwar können dadurch Effizienzen entstehen, doch die Organisation trägt letztlich die Verantwortung für Risiken im Zusammenhang mit Verfügbarkeit und Funktion von IT-Diensten sowie ordnungsgemäßem Zugriff und Nutzung von Unternehmensdaten.

Das bedeutet, der Chief Information Officer oder entsprechende IT-Leiter muss sicherstellen, dass ausgewählte Dienstleister über die richtige Struktur, finanzielle Stabilität und Notfallpläne verfügen, um vertragliche Leistungen konsistent zu erbringen.

Es bedeutet auch, dass IT-Leiter die Wirksamkeit der Richtlinien und Verfahren des Dienstleisters bewerten müssen, um Integrität und Sicherheit sensibler Unternehmensdaten und proprietärer Informationen zu gewährleisten.

Eine schätzungsweise 1 Billion Dollar pro Jahr schwere Branche nimmt IT-Outsourcing viele Formen an. Eine Organisation kann ihre gesamte IT-Abteilung an einen Anbieter übergeben oder einen für Rechenzentrumsbetrieb, Netzwerkmanagement oder andere spezifische Funktionen beauftragen.

Häufig ausgelagerte IT-Funktionen umfassen:

• Software-Applikationsentwicklung,
• Software-Applikationssupport,
• Rechenzentrumsbetrieb,
• Helpdesk-Support,
• Netzwerkmanagement,
• Cybersicherheit,
• Platform oder Infrastructure as a Service, und
• Software as a Service.

Früher konzentrierten sich CIOs primär auf die physische Produk-Lieferkette. Heute müssen sie sich jedoch sowohl um die Lieferkette für Produkte als auch für Dienstleistungen kümmern.

Risikobewertung und -management bei Drittanbieter-Technologiedienstleistern kann herausfordernd sein, da erhebliche Teile der Dienstleistungsumgebungen unter Kontrolle des Anbieters stehen und wahrscheinlich außerhalb des Einflussbereichs der auftraggebenden Organisation liegen. Due Diligence muss im Vorfeld durchgeführt werden, um Risiken der Beauftragung eines externen Partners zu bewerten.

Bevor man sich mit einem IT-Dienstleister einlässt, muss der CIO verstehen:

• Was ausgelagert wird,
• Welche Geschäftsprozesse durch den Dienst unterstützt werden,
• Welche Daten über den ausgelagerten Dienst gespeichert, verarbeitet oder zugänglich sind, und
• Wer Zugriff auf Systeme, Applikationen und Daten im Zusammenhang mit dem ausgelagerten Dienst hat.

Der Prozess kann mit einem grundlegenden IT-Service-Risikobewertungsformular beginnen, das Antworten auf diese Fragen von internen Mitarbeitern erfasst. Zusätzlich kann ein Lieferanten-Vorabbewertungsformular verwendet werden, um vorläufige Informationen von einem potenziellen Dienstleister zu sammeln. Häufige Fragen in einem solchen Formular:

• Hat Ihr Unternehmen je Insolvenz angemeldet?
• Enthält die Versicherungspolice Ihres Unternehmens Fehler- und Auslassungshaftpflicht (oder allgemeine Haftpflicht)? Wenn ja, welche Deckungssummen?
• Ist Ihr Unternehmen in anhängige Rechtsstreitigkeiten verwickelt?
• War Ihr Unternehmen je Partei einer behördlichen Untersuchung?
• Hat Ihr Unternehmen eine Datenschutzrichtlinie?
• Verfügt Ihr Unternehmen über ein dokumentiertes Sicherheitsprogramm?
• Wird Ihr Unternehmen zustimmen, einen Fragebogen zu Ihren Informationssicherheits- und Datenschutzprogrammen auszufüllen?
• Hat Ihr Unternehmen einen Service Organization Controls (SOC) Report?
• Verfügt Ihr Unternehmen über einen umfassenden Business-Continuity-Plan für den Fortbetrieb bei Störungen des Normalbetriebs?

Diese Bewertungsformulare sollten ausreichen, um zu bestimmen, ob zusätzliche Due Diligence nötig ist. Basierend auf dem potenziellen Risikoniveau könnte diese zusätzliche Prüfung umfassen: Aufforderung an den Dienstleister, einen detaillierteren Fragebogen zu beantworten; detaillierte Prüfung des SOC-Reports des Dienstleisters; oder Einbindung der internen Revision oder einer qualifizierten externen Prüfungsgesellschaft für eine Vendor Assessment.

Diese Bewertungen sind kritisch bei der Etablierung einer Beziehung zu einem neuen Anbieter. Es ist auch wichtig, jeden Lieferanten fortlaufend zu überprüfen. Häufigkeit und Umfang dieser Reviews sollten auf den Risiken der erbrachten Dienstleistungen basieren.

Diese Bewertungen sind auf Dienstleister zugeschnitten, aber die Konzepte lassen sich auch auf wichtige Technologieproduktlieferanten anpassen. Das Wichtigste ist, dass der CIO die potenziellen Risiken einer Lieferantenbeziehung versteht und versteht, wie jeder Lieferant seine Geschäftsrisiken managt. So kann der CIO die Auswirkungen von Outsourcing-Risiken auf die Organisation besser antizipieren.

Dienstleisterbewertungen können verschiedenen Funktionen innerhalb einer Organisation zugewiesen werden: IT, Risikomanagement, interne Revision. Bewertungen können auch von qualifizierten Dritten durchgeführt werden.

Dennoch liegt es in der Verantwortung des CIO oder entsprechenden IT-Leiters, die aus den Bewertungen gesammelten Informationen zu prüfen und zu entscheiden, ob die Zusammenarbeit mit dem vorgeschlagenen Technologiedienstleister mit den Zielen und Risikotoleranzen der Organisation übereinstimmt. Eine gründliche Bewertung heute hilft, größere Probleme morgen abzuwenden.

Robert Neill ist Director of CIO Advisory Services bei Weaver, einer nationalen CPA- und Beratungsfirma.