Information Governance

Beherrschen Sie Ihre Daten? Kaum jemand wird diese Frage ohne Vorbehalte mit einem «JA» beantworten können. Obwohl seit Jahren in der Fach- wie auch der Wirtschaftspresse dem Thema Digitalisierung ein sehr wichtiger Platz eingeräumt wird, fehlt es vielfach an den elementaren Grundlagen für ihre Umsetzung. 

Viele Digitalisierungsinitiativen sind geprägt durch einzelne Vorhaben, welche in einem isolierten Ökosystem aufgebaut werden und folglich auch nur dort funktionieren. Eine isolierte Datenmenge zu analysieren und KI darauf anzuwenden ist um ein Vielfaches einfacher, als in einer heterogenen Datenlandschaft aussagekräftige Analysen durchzuführen und korrekte Aussagen zu erhalten. Es bringt wenig, den Nutzen von KI zu hinterfragen, wenn die wichtigste Grundlage für die Analyse, nämlich die Daten, bereits über eine miserable Qualität verfügt. 

Im Nachgang der ENRON Affäre wurde den Unternehmen dringend empfohlen sogar gesetzlich auferlegt, sich um die Corporate Governance zu kümmern. Vereinfacht bedeutet dies die umfassende Steuerung und effiziente Kontrolle des Unternehmens. 

Das Pendant im digitalen Bereich bildet die Information Governance (IG). Sie übernimmt die Grundsätze der Corporate Governance und soll dazu führen, dass eine Organisation kompetent, aktiv, effizient, rechtskonform und zielgerichtet mit Daten umgehen kann. In den meisten Organisationen ist diese Botschaft noch nicht angekommen, auch wenn die Wirtschaftsverbände punktuell Publikationen dazu veröffentlichen. Mit dem Thema IG stehen wir heute dort, wo wir vor 20 Jahren mit der Informationssicherheit gestanden sind (mittlerweile ein Markt von rund 200 Mia. USD).

Diesem Themenkomplex ist der neue Praxisleitfaden Information Governance (1) gewidmet (2. Auflage 2021), der im Juni erschienen ist. Wir haben versucht, möglichst vielen Aspekten der IG Rechnung zu tragen und haben 24 nationale und internationale Autoren eingebunden, welche wertvolle Beiträge geleistet haben. Wir haben versucht, die Bestrebungen der Digitalisierung sowohl mit den unternehmerischen, strategischen Zielen in Einklang zu bringen, als auch die regulatorischen Vorgaben zu berücksichtigen. 

IG ist eine Führungsaufgabe und hat grundsätzlich eigentlich nichts mit IT zu tun. Es ist primär kein Technologiethema, sondern eine strategische Führungsaufgabe, die durch den Verwaltungsrat oder gleichwertige Organe geführt werden muss. «Daten sind wie Wasser»: um sie erfolgreich und nutzbringend einsetzen können, müssen Sie aktiv erfasst, bewertet, geführt und entsorgt werden. Bis heute wird diese Aufgabe in erster Linie der IT überlassen. 

Obwohl ein langsames Umdenken stattfindet, ist man noch lange nicht dort angelangt, wo ein datengetriebenes Unternehmen eigentlich stehen müsste. Es fehlt das notwendige Wissen sowohl beim Verwaltungsrat als auch in den Geschäftseinheiten. Wie bei der Corporate Governance genügt es nicht, einfach ein Komitee einzusetzen und zu denken, damit sei die Sache erledigt. IG muss auf allen Ebenen der Organisation umgesetzt werden, was in etablierten Organisationen Jahre dauert. Dies erfordert naturgemäss auch neue Kompetenzen und Personen. 

IG umfasst im Kern ein datenorientiertes Zielbild auf allen Entscheidungsebenen, Strukturen zum Verstehen und Steuern von Daten, wie auch diverse Technologien. Klassische IT-Abteilungen, wie wir sie heute noch kennen, wird es in 10 Jahren nicht mehr geben. Datengetriebene Organisationen verlangen nach neuen Fähigkeiten, Datenspezialisten, Taxonomisten oder Datenarchitekten sind gefragt. Dieses Change-Management (2) wird zur grössten Herausforderung für das Management. 

Welche technologischen Entwicklungen stellen die grössten Herausforderungen dar? Während das Thema Cloud hier nicht weiter breitgetreten werden soll, kann man grundsätzlich sagen, dass die Vielzahl der neuen Möglichkeiten für die Datenhaltung eine zentrale Rolle spielt. Die meisten Organisationen sind schlecht auf die Frage vorbereitet, wo welche Daten gehalten werden sollen. Um diese beantworten zu können, benötigt man eine Informationsarchitektur. 

Diese wird immer dringlicher und wichtiger, um kostentreibende und ineffiziente Datensilos zu verhindern. Gleichzeitig versuchen die Big Tech-Anbieter mit grossen Anstrengungen, die Kunden zu einem Vendor Lock-in zu bewegen bzw. zu zwingen. Das funktioniert kaum, da gestandene und gewachsene Architekturen immer verschiedenste Technologien aufweisen, deren Stand völlig unterschiedlich ist. 

Hinzu kommen rechtliche Bedenken (Stichwort: Cloud Act). Im schlimmsten Fall endet das in einer Mehrfachredundanz bestehender Daten. Obwohl sich verschiedene Anbieter dem Thema IG jetzt annehmen, sind die meisten Lösungen auf ihre Technologiestacks reduziert. Gleichzeitig kämpfen etablierte ECM/DMS-Hersteller mit dem Problem, dass eben die Big Tech-Anbieter in ihren Markt eindringen. Ein Anwendungsfeld, welches per se durch eine hohe Komplexität gekennzeichnet ist. Der traditionelle ECM/DMS Markt wird diversifiziert, bzw. weniger einfach greifbar, da Quereinsteiger die Szenen verunsichern. 

Für den Anwender bedeutet dies: Das Bedürfnis für die Ordnung von Daten wird immer grösser, die Schwierigkeit bei der Auswahl von geeigneten Lösungen aber ebenso. Bevor man in die Technologieauswahl geht, muss man die Informations-/Datenstrategie festlegen. Aus diesem Grund ist es von grösster Bedeutung, dass man sich als Management diesen Fragen so rasch als möglich annimmt. Es gibt zwar Themen, die man automatisch erledigen kann, diese gehören aber definitiv nicht dazu. 

Regulatorisch hat sich vor allem im Bereich des Datenschutzes viel getan. Viele Unternehmen haben jetzt realisiert, dass sie mit der DSGVO und mit dem neuen Schweizer Datenschutzgesetz tatsächlich ernst machen müssen. 

Unsere Kernaussage: «Nur wer Daten löschen kann, beherrscht sie» ist in diesem Kontext zentral und bildet die Nagelprobe für den Erfolg der IG-Umsetzung. Gerade das Löschen von Daten wurde in der Vergangenheit sträflich vernachlässigt. Viele Systeme sind so gebaut, dass es fast unmöglich ist, Daten zu löschen. Diese Strukturen müssen umgebaut und neu gestaltet werden. Die gute Nachricht dazu: auch die Technologien dafür haben sich wesentlich verändert. Während man frühere Archive nur klassische WORM-Medien (write once, read many) einsetzen konnte, hat man heute die Wahl zwischen verschiedenen WORM-Mechanismen, die auch in der Cloud verfügbar sind.

Auch der Bedarf nach Verifizierungen, Prüfungen und Zertifikaten hat zugenommen. Im Kontext der hier beschriebenen Situation und der damit verbundenen Komplexität wird für viele Organisationen die Frage: «Sind wir überhaupt rechtskonform?» immer zentraler. Ordnungsgemässe Digitalisierungsvorhaben bedürfen einer umfassenden Gestaltung der Daten-Lebenszyklen und Kontrollen von Beginn der Datenerfassung bis zur -vernichtung.

Die gute Nachricht: Obwohl die Datenmengen weiterhin exponentiell zunehmen werden, ermöglichen uns neue KI-Verfahren besser, einfachere und effizientere Methoden zur Datenaufbereitung. So können wir für die Analyse von ROT-Daten und für die Migration der wertvollen Daten neue KI-Verfahren einsetzen, welche vor allem auch auf der semantischen Erkennung passieren. 

Gerade dieser Bereich wird in Zukunft massiv an Bedeutung gewinnen. Semantische Erfassung (3) bedeutet nämlich, die Inhalte der Daten zu verstehen (Informationserschliessung) und abzubilden (z. B. in grafischen Datenbanken und Wissensgrafen). 

Damit schliesst sich der Kreis zum Wissensmanagement. Diesem Ziel kommen wir Tag für Tag näher. Es ist zwar noch ein langer Weg, doch ist dies eines der wichtigsten Ziele, welches man mit IG erreichen kann. Ich bin optimistisch, dass sich bereits in den nächsten Jahren hier neue Wege auftun, welche die heute zum Teil noch anstrengenden Aktivitäten wesentlich vereinfachen werden. Aber eben, wie bei allen Strategien heisst das: «Je früher sie säen, umso eher werden sie ernten!»

Leitfaden Information Governance - Organisationen erfolgreich digitalisieren

Die zweite Auflage des Information Governance Leitfadens befasst sich mit den neuen Herausforderungen des Daten- und Informationsmanagements und vermittelt praktisches Wissen zur Umsetzung.

Hauptautor: Bruno Wildhaber mit Daniel Burgwinkel, Jürg Hagmann, Daniel Spichty, Peter K. Neuenschwander, Simon Oeschger, Stephan Holländer und Gastautoren

400 Seiten, CHF 102

ISBN 13978-3-9524430-4-0

Dr. iur. Bruno Wildhaber befasst sich seit über 30 Jahren mit Informationstechnologie, insbesondere Sicherheit, Datenschutz und Information Governance. Er ist Inhaber der Wildhaber Consulting, Verwaltungsrat der Compass Security AG sowie Teilhaber und Managing Partner des KRM. www.informationgovernance.ch