Einführung einer übergreifenden, DORA-konformen CMDB nach ITIL 4
Finanzbranche
11 Standorte
1000 Mitarbeiter:innen
7 Monate
3 Expert:innen
Interdisziplinär
Finanzbranche
11 Standorte
1000 Mitarbeiter:innen
7 Monate
3 Expert:innen
Interdisziplinär
Projekt-Zusammenfassung
Insgesamt 5 ehemals isolierte Change-Verfahren wurden in einem zentralen, standardisierten Prozessmodell vereint. Dabei wurden über 60 Stakeholder aus den Bereichen IT, Sicherheit und Organisation einbezogen für eine breite Akzeptanzbasis. Führungskräfte und Expert:innen einigten sich gemeinsam auf zentrale Prozesse und Abteilungsübergreifende Rollen und Verantwortlichkeiten. Offizielle Abnahmen durch die Führungsebene wurden an relevanten Übergängen von der theoretischen Konzeption zur Umsetzung vorgenommen.
Richtlinien, Methoden, Technologien
Ziel: Single Source of Truth
Eine gemeinsame Grundlage für eine Configuration Management Database (CMDB) sollte geschaffen werden, welche nicht nur technisches Inventar verwaltet, sondern als „Single Source of Truth“ die regulatorischen Anforderungen des Digital Operational Resilience Act (DORA) erfüllt.
Main Challenges:
Bestehende Prozesse, neuer Stress
Main Challenges:
Bestehende Prozesse, neuer Stress
Regulatorischer Druck durch DORA
Bestehende Konzern-Findings verdeutlichten, dass die bisherige Verwaltung von IT-Assets und die damit verbundenen Änderungsprozesse nicht den Anforderungen an eine lückenlose Nachvollziehbarkeit entsprachen. Ein zentraler Kritikpunkt war das Fehlen eines formalen, einheitlichen Change-Management-Prozesses, der sicherstellt, dass Änderungen an produktiven IT-Systemen ausschließlich durch autorisierte Experten und nach formaler Genehmigung erfolgen.
Historische Barrieren
Die Zusammenarbeit zwischen den IT-Abteilungen und dem Bereich Sicherheit und Organisation war durch unterschiedliche Zielbilder und mangelnde Prozess-Verantwortlichkeiten blockiert. Es fehlte an einem gemeinsamen Verständnis darüber, welche Informationen für den sicheren Geschäftsbetrieb und die regulatorische Compliance zwingend erforderlich sind.
Strategie und Vorgehen
Mindset: Modernisierung – aber mit Zustimmung
Aufgrund der Herausforderungen setzte das Projekt nicht nur auf technischer Ebene an, sondern priorisierte die organisatorische Neuausrichtung und die kulturelle Akzeptanz.
Interdisziplinäre Projektsteuerung
Ein interdisziplinäres Team steuerte das Projekt, so dass die Rollen des ITIL- und DORA-Experten mit einer dedizierten, organisatorischen Begleitung und einer strategischen Consultant-Rolle kombiniert werden konnten. Unterstützt wurde dieses Team durch zwei interne Workstream-Leads, was die Rückkopplung in die Linienorganisation sicherstellte.
Datensammlung und Stakeholder-Aktivierung
In über 40 Interviews mit Führungskräften und Expert:innen wurden mehr als 400 Einzelanforderungen (Eigenschaften von konfigurierbaren Informations-Objekten) erhoben. Diese Interviews dienten nicht nur der Datensammlung, sondern waren ein wesentlicher Bestandteil der Stakeholder-Aktivierung.
Die Ergebnisse der Analyse und Datensammlung wurden dem Management präsentiert und bildeten die Grundlage für fünf definierte Handlungsfelder: Führung, Prozesse, Tools, Provider und Kommunikation.
Toolagnostische Konzeption
Um eine nachhaltige Governance-Struktur zu schaffen, durften wir nicht von kurzfristigen technischen Restriktionen abhängig sein. Natürlich wurde trotzdem die bestehende Ziel-Toollandschaft rund um Xurrent, LeanIX, VASGARD/IAN etc. stets im Hintergrund mitbetrachtet, um eine spätere Implementierbarkeit zu gewährleisten.
Das Herzstück der Konzeption bilden drei zentrale ITIL-4-Praktiken, die eng mit den COBIT-Frameworks (BAI06, BAI10, APO09) verzahnt wurden, um eine lückenlose Revisionsfähigkeit zu garantieren.
Zielbild und Akzeptanz
Das Management hatte seine Zustimmung konditional an das Einverständnis der operativen Expert:innen geknüpft – ein Vorgehen, das das Vertrauen in die neue Prozesswelt massiv gestärkt hat.
Im zentralen Key-User-Workshop gaben über 15 Expert:innen der Arbeitsebene ihre Zustimmung zu den konzipierten Praktiken. Dieser „Bottom-Up“-Konsens war die Voraussetzung für die darauffolgende Management-Entscheidung.
Ergebnisse
Informationsmodell und Architektur
Das neue Modell umfasst 34 Konfigurationsobjekte (CIs) mit insgesamt etwa 400 Eigenschaften und 100 Relationen und bildet die gesamte Wertschöpfungskette ab – vom Business Service über die Anwendung bis hin zur zugrunde liegenden Infrastruktur.
Das CMS-Zielbild sieht vor, dass Xurrent als führendes System (Master) für die IT-Service-Management-Daten fungiert. Es integriert jedoch Datenströme aus spezialisierten Quellen:
- LeanIX liefert Informationen zu Geschäftsprozessen und Anwendungsarchitekturen
- VASGARD/IAN steuert den Compliance-Status und Risikobewertungen
- Azure Cloud Tools und externe Provider-CMDBs (z. B. TSI, Ratiodata) werden über automatisierte Schnittstellen angebunden.
Dieser Aufbau eröffnet Potenzial für eine weitreichende Automatisierung der Datenpflege und senkt die Fehleranfälligkeit manueller Prozesse massiv.
Prozessuale Neuausrichtung
Die Neugestaltung der drei Kernpraktiken stellt den größten operativen Mehrwert dar.
Change Enablement: Der neue Standardprozess stellt sicher, dass jede Änderung an IT-Assets – egal ob intern oder durch Provider – ein einheitliches Gate-Keeping durchläuft. Dies adressiert direkt die regulatorische Anforderung nach Priorisierung, Test und Genehmigung.
Service Configuration Management: Die Rollen und Verantwortlichkeiten für die Datenqualität sind klar definiert. Der Fokus liegt auf der Verifizierung der Integrität des Konfigurations-Repositorys, um jederzeit ein verlässliches Abbild der IT-Landschaft für Audits bereitzustellen.
Service Catalogue Management: Der neue Prozess tellt sicher, dass IT-Services als katalogisierte Services mit definierten Service Level Agreements (SLAs) für das Business konsumier- und steuerbar sind.
Neue Governance und RACI-Logik
Ein entscheidender Durchbruch gelang bei der Definition der Verantwortlichkeiten. Die neue RACI-Matrix folgt nicht mehr den starren hierarchischen Grenzen der Abteilungen. Stattdessen sind Rollen nun fachlich definiert und gelten abteilungsübergreifend. Verantwortung wird dort übernommen, wo die fachliche Expertise liegt, was die Entscheidungswege verkürzt und die Qualität der Prozessdurchführung erhöht.
Implementierung: In 3 Phasen
Die anschließende Implementierung wurde in drei Phasen geplant, die ohne externe Begleitung im Projekt vollzogen wurden.
Stabilisierung der Basis
Xurrent als zentrales und führendes System für die CI-Daten
Service-Orientierung
Die ersten Service-Requests werden produktiv geschaltet
Provider-Integration
Anbindung der externen Dienstleister in die Change- und Konfigurationsprozesse
Key Take-aways
Starker Konsens, starke Verantwortung:
Zusammen entscheidend für den Erfolg
Modernisierung mit starker Steigerung der Effizienz – auch das geht nur, wenn viele die Veränderung mitgestalten und mitgehen. Essentielle Faktoren für diesen Erfolg waren:
- Breite Akzeptanz unter den Expert:innen
- Klare Rollen und Zuständigkeiten
- Commitment durch die Führungsebene
Noch mehr Infos zu diesem Projekt
Sie möchten mehr über dieses Projekt erfahren oder planen ein ähnliches Vorhaben? Wenden Sie sich gern an unsere Projektverantwortlichen.
Allgemeiner Kontakt
Sie haben Fragen zu Silpion oder möchten zu einem bestimmten Thema Kontakt aufnehmen?
Hier geht es zu unserem Kontaktformular.