ITIL vs. COBIT: den Service betreiben und belegen, dass er gesteuert wird

ITIL und COBIT sind keine Konkurrenten. Sie beantworten unterschiedliche Fragen für unterschiedliche Menschen.

ITIL fragt: Betreiben wir unsere Services gut? COBIT fragt: Tun wir mit der IT das Richtige, und können wir das gegenüber Vorstand, Prüfern und Aufsichtsbehörde belegen?

Ich bin in beiden zertifiziert und habe beide in der Praxis eingesetzt. Organisationen, die Nutzen daraus ziehen, betreiben die Arbeit mit ITIL und steuern sie mit COBIT. Diejenigen, die sich schwertun, wählen eines aus und erwarten, dass es beide Aufgaben erfüllt.

Was die beiden jeweils sind

ITIL ist ein Leitfaden für IT Service Management, herausgegeben von PeopleCert. Die aktuelle Version, ITIL (Version 5), beschreibt 34 Managementpraktiken, etwa Incident Management, Problem Management, Change Enablement und Service Level Management. Sie richtet sich an die Menschen, die Services gestalten, betreiben und verbessern.

COBIT ist ein Framework für Governance und Management von Unternehmensinformationen und -technologie, herausgegeben von ISACA. Die aktuelle Ausgabe, COBIT 2019, umfasst 40 Governance- und Managementziele in fünf Domänen:

Der Kerngedanke von COBIT lautet: Governance und Management sind unterschiedliche Aufgaben. Der Vorstand bewertet Optionen, gibt die Richtung vor und überwacht die Ergebnisse. Das Management plant, baut, betreibt und überwacht die Arbeit. ITIL bewegt sich fast vollständig auf der Seite des Managements.

Der Unterschied in einer Tabelle

Wo sie sich treffen

Viele COBIT-Ziele beschreiben, was gemanagt werden muss; die passende ITIL-Praktik beschreibt, wie man es betreibt. Diese Paare nutze ich am häufigsten:

Für die EDM-Domäne gibt es in ITIL keine Entsprechung. ITIL erkennt Governance an, sagt einem Vorstand aber nicht, wie er seinen Risikoappetit festlegt oder welche Entscheidungen er sich selbst vorbehalten muss. Das ist das Terrain von COBIT.

Zwei Beispiele aus der Praxis

Eine Kontrolle, die sich selbst bezahlt gemacht hat. Bei einer Unternehmensmigration stellte der Governance-Schritt vor der Abnahme eine einzige Frage: Wurde die Kompatibilität für jede kritische Abhängigkeit geprüft, nicht nur für die im Testplan? Das war nicht der Fall. In dieser Lücke steckte ein VPN-Fehler, und ihn zu entdecken wendete eine prognostizierte Geschäftsauswirkung von $2.5M ab. Die Frage ist COBIT-Denken: ein Entscheidungsrecht bei jemandem mit der Befugnis, den Go-live anzuhalten, und Nachweise, die vor der Freigabe vorliegen müssen. Sie zu beantworten ist ITIL-Arbeit: Change Enablement und Tests. Jedes Framework allein lässt eine solche Lücke offen; zusammen schließen sie sie.

Eine Praktik, die einen Verantwortlichen braucht. Mit strukturiertem ITIL-Problem-Management haben meine Teams wiederkehrende Incidents um 40% reduziert. Die Praktik ist ITIL. Was eine solche Praktik am Laufen hält, ist die Verantwortlichkeit, die COBIT verlangt: ein namentlich benannter Verantwortlicher für jeden Problem Record, eine monatlich berichtete Kennzahl und Nachweise, dass Maßnahmen abgeschlossen wurden. Ohne sie bleiben Problem Records monatelang offen, während jedes Team sagt, die Lösung sei Sache eines anderen.

Womit Sie anfangen sollten

Beginnen Sie bei dem Druck, unter dem Sie tatsächlich stehen.

• Ausfälle, SLA-Verletzungen, wiederkehrende Incidents, unzufriedene Nutzer: Beginnen Sie mit ITIL. Bringen Sie zuerst Incident, Problem und Change in Ordnung; dort wird Servicequalität gewonnen oder verloren.
• Prüfungsfeststellungen, Fragen einer Aufsichtsbehörde, ein Vorstand, der nach IT-Risiken fragt: Beginnen Sie mit COBIT. Wählen Sie mit seinen Designfaktoren aus, welche Ziele für Ihre Organisation zählen, statt alle 40 umsetzen zu wollen.
• Beides, der übliche Fall: Betreiben Sie die Arbeit mit ITIL-Praktiken, und legen Sie darüber eine schlanke COBIT-Schicht für Entscheidungsrechte, Verantwortlichkeit und Nachweise.

Setzen Sie keines der beiden Frameworks vollständig um. COBIT sagt das selbst: Seine Designfaktoren gibt es, damit Sie es zuschneiden. Und ITIL gibt eine Richtung vor, keine Anweisungen.

Für Personen gilt dieselbe Regel. Service-Desk- und Betriebsmanager haben zuerst mehr von ITIL. Wer in IT-Governance, Risikomanagement oder Revision arbeitet oder an einen Vorstand berichtet, braucht COBIT. Eine Service-Delivery-Leitung, die sowohl mit dem Service Desk als auch mit dem Vorstand spricht, braucht beides.

Die Vorlage, die beide verbindet

Füllen Sie für jede Praktik, die Ihnen am wichtigsten ist, eine Zeile aus. Wenn Sie ein Feld nicht ausfüllen können, haben Sie Ihre erste Governance-Lücke gefunden.

An der Spalte zur verantwortlichen Person bleiben die meisten Organisationen hängen. Wenn Sie sich nicht einigen können, wer für den Abschluss eines Incident oder Problem Records zuständig ist, arbeitet das Tool zur Abschlussverantwortung das mit wenigen Fragen durch und gibt Ihnen die Worte, mit denen ein Stakeholder es akzeptiert. Es läuft in Ihrem Browser; nichts, was Sie eingeben, wird an ITSM Compass gesendet.

Die Regel

Nutzen Sie ITIL, um den Service zu betreiben. Nutzen Sie COBIT, um festzulegen, wer verantwortlich ist, und um zu belegen, dass die Kontrollen wirken. Wenn ein Framework Meetings statt Entscheidungen erzeugt, wurde es kopiert, nicht gestaltet: siehe Governance ist keine Bürokratie.

Nicht sicher, ob ITSM und ITIL dasselbe sind? Beginnen Sie mit ITSM vs. ITIL.