COBIT (Control Objectives for Information and Related Technology, heute nur mehr als Akronym in Verwendung[1]) ist ein international anerkanntes Framework zur IT-Governance und gliedert die Aufgaben der IT in Prozesse und Control Objectives (oft mit ‚Kontrollziel‘ übersetzt, eigentlich ‚Steuerungsvorgaben‘, in der aktuellen deutschsprachigen Version wird der Begriff nicht mehr übersetzt). COBIT definiert hierbei nicht vorrangig wie die Anforderungen umzusetzen sind, sondern primär was umzusetzen ist.
COBIT wurde ursprünglich (1996) vom internationalen Verband der IT-Prüfer ISACA entwickelt. COBIT hat sich von einem Werkzeug für IT-Prüfer (Auditoren) zu einem Werkzeug für die Steuerung der IT aus Unternehmenssicht entwickelt und wird unter anderem auch als Modell zur Sicherstellung der Einhaltung gesetzlicher Anforderungen (Compliance) eingesetzt. Dies fördert die IT-Industrialisierung.
Im Jahr 1996 wurde die erste Fassung des Referenzmodells veröffentlicht, in den Jahren 1998 und 2000 folgten die zweite und dritte Edition. Im Jahr 2005 wurde COBIT 4.0 veröffentlicht, die überarbeitete Version 4.1 wurde im Mai 2007 publiziert. Im April 2012 folgte schließlich COBIT 5.[2] Stand bis Version 4.1 COBIT noch als Abkürzung für Control Objectives for Information and Related Technology, so wird ab Version 5 nur mehr das Akronym verwendet, um den Wechsel vom ursprünglichen Framework für Auditoren hin in Richtung Steuerung der gesamten Unternehmens-IT zu dokumentieren.[1] Im November 2018 erschien mit COBIT 2019 die derzeit letzte Aktualisierung.
COBIT ist in starker Anlehnung an das COSO-Modell erstellt worden, um die Integration der IT-Governance in die Corporate Governance zu gewährleisten. Der Anspruch von COBIT ist, das Bindeglied zwischen den unternehmensweiten Steuerungs-Frameworks (COSO) und den IT-spezifischen Modellen (z. B. ITIL, ISO 27001/27002 etc.) zu sein. Dass COBIT diesem Anspruch gerecht wird, zeigt die hohe Verbreitung von COBIT als Steuerungsmodell der meisten großen Unternehmen international: Die ISACA postuliert, dass 95 % der Großunternehmen COBIT ganz oder teilweise umsetzen.
Der Steuerungsansatz von COBIT ist grundsätzlich Top-Down. Ausgehend von Unternehmenszielen werden IT-Ziele festgelegt, die wiederum die Architektur der IT beeinflussen. Hierbei gewährleisten angemessen definierte und betriebene IT-Prozesse die Verarbeitung von Informationen, die Verwaltung von IT-Ressourcen (Personal, Technologie, Daten, Anwendungen) und die Erbringung von Services. Für diese Ebenen (Unternehmensweit, IT, Prozess und Aktivitäten) sind jeweils Mess- und Zielgrößen zur Beurteilung der Ergebnisse und der Performance-Driver festgelegt. Die Messung der Zielerreichung erfolgt Bottom-Up und ergibt so einen Steuerungs-Zyklus.
In Summe definiert das COBIT 5-Framework 37 IT-Prozesse, denen die Control Objectives zugeordnet sind. Die Control Objectives sind wesentliche Bereiche, die im Prozess berücksichtigt sein müssen, um das Prozess-Ziel (und somit über das IT-Ziel das Unternehmensziel) zu erreichen. Die Summe der Control Objectives stellt eine verlässliche und dem Unternehmensbedarf angemessene Informationsfunktion sicher.
Die Publikationen von COBIT 4.1 bestehen aus dem Core Content, dem IT Assurance Guide, dem Implementation Guide und den Control Practices.
Im COBIT 4.1 Core Content wird für jeden der 34 COBIT-Prozesse festgelegt:
Zusätzlich beschreibt der COBIT 4.1 Core Content:
Der IT Assurance Guide gibt eine detaillierte Anleitung zur Prüfung der IT-Prozesse. Hierbei wird unterschieden in die Prüfung der Prozesse, der Control Objectives und der Control Practices.
Die COBIT Control Practices legen für jedes, im Core Content vorhandene Control Objective Maßnahmen fest, die helfen, die Vorgaben zu erreichen. Die Control Practices können somit als Leitfaden zur Umsetzung herangezogen werden.
Die methodische Vorgehensweise der gesamthaften Umsetzung von IT-Governance ist im IT Governance Implementation Guide beschrieben.
Die Prozesse aus COBIT 4.1 können über ein entsprechendes Mapping etwa den Prozessen aus ITIL v3 gegenübergestellt werden.[3]
COBIT 5 konsolidiert und integriert COBIT 4.1, Val IT 2.0 sowie das Risk IT Framework und BMIS (Business Model for Information Security).[4][5]
COBIT 5 definiert fünf grundlegende Prinzipien für die Governance und das Management der Unternehmens-IT. Eines der wesentlichen Prinzipien ist die Unterscheidung zwischen Governance (also der Vorgabe der Richtung, Priorisierung und Festlegung der Unternehmensziele) und Management (der Planung, Implementierung, Durchführung und Überwachung der dafür notwendigen Aktivitäten). Zwei wesentliche Prinzipien sind der umfassende, ganzheitliche Ansatz sowie die Abdeckung des gesamten Unternehmens. Hierfür definiert COBIT 5 sieben Enabler, welche die Erreichung der Unternehmensziele ermöglichen sollen und das gesamte Unternehmen abdecken. Treiber hinter allen Aktivitäten sind verschiedenste Anspruchsgruppen (englisch: Stakeholder) an die IT, beispielsweise Kunden, Lieferanten, Gesetzgeber oder Fachbereiche. Ziel ist es deren Anforderungen in eine durchführbare Unternehmensstrategie umzuwandeln. Hierfür sieht COBIT 5 eine Zielkaskade vor, ein Mechanismus, der die Anforderungen der Stakeholder in Unternehmensziele, IT-bezogene Ziele und schließlich Enabler-Ziele herunterbricht. COBIT 5 definiert 17 generische Unternehmensziele, welche über ein entsprechendes Mapping 17 generischen IT-bezogenen Zielen zugeordnet werden können. Diese wiederum können generischen sowie spezifischen Enabler-Zielen sowie den 37 in COBIT 5 definierten Prozessen zugeordnet werden.
Die fünf grundlegenden Prinzipien für die Governance und das Management der Unternehmens-IT sind:
In COBIT 5 werden sieben Enabler-Kategorien definiert und betrachtet, jene Faktoren bzw. Unternehmensressourcen, welche die Erreichung der Unternehmensziele ermöglichen sollen:
Das COBIT 5-Prozessreferenzmodell definiert 37 Prozesse, welche in fünf Domänen gruppiert sind, davon eine Governance-Domäne (EDM) und vier Management-Domänen (APO, BAI, DSS und MEA), auch als PBRM (Plan, Build, Run, Monitor) bezeichnet. Diese Prozesse können etwa den 26 Prozessen aus ITIL v3/Edition 2011 gegenübergestellt werden, welche in die fünf Module Service Strategy (SS), Service Design (SD), Service Transition (ST), Service Operation (SO) und Continual Service Improvement (CSI) gruppiert sind.[6]
Das Prozessbefähigungsmodell zur Bewertung und kontinuierlichen Verbesserung von Prozessen basiert in COBIT 5 auf dem internationalen Standard ISO/IEC 15504.[7]
COBIT 2019 erschien im November 2018.
Weitere COBIT-relevante Publikationen der ISACA sind:
Die ISACA bietet seit Juli 2005 COBIT-Zertifizierungen an.[8] Derzeit stehen folgende Zertifizierungen zur Verfügung:
ISACA organisiert jedes Jahr regionale (europäische) und internationale Konferenzen sowie mehrere COBIT User Conventions. Innerhalb dieser Plattformen werden Vorträge und Workshops rund um COBIT und IT-Governance angeboten.
Ein weiterer IT-Governance-Standard ist die im Jahr 2008 veröffentlichte ISO/IEC 38500.[12][13] Aus Sicht der ISACA stellt die ISO 38500 aber keinen Ersatz für COBIT dar, sondern soll eine übergeordnete Top-Down-Sicht darstellen, während ITIL und PRINCE2 das Fundament im Bereich IT-Servicemanagement bzw. Projektmanagement bilden und COBIT die verbindende Schicht dazwischen.[14] Im Februar 2015 wurde der Standard aktualisiert.