IT-Kosten und Lieferantenrisiko: Verträge, Anwendungen und kritische Funktionen
Die Finanzabteilung verfolgt Verträge und ihre Kosten, die Risikofunktion die IKT-Dienstleister. Beide Sichten betreffen dieselben Anwendungen. Ein gemeinsames Repository verbindet diese Objekte und zeigt Kosten, Fälligkeiten und zu prüfende Abhängigkeiten.
Aktualisiert am
Zwei Fragen zu denselben Objekten
Die Finanzabteilung verfolgt die Kosten der Anwendungslandschaft in einem Budget. Die Risikofunktion führt die IKT-Dienstleister in einem Register. Beide Dateien beschreiben dieselben Anwendungen, Verträge und Anbieter, oft mit unterschiedlichen Namen und Daten.
Solange die Dateien getrennt bleiben, gleicht jemand sie von Hand ab. Eine zur Verlängerung anstehende Anwendung kann zugleich von einem Dienstleister abhängen, der mehrere kritische Funktionen unterstützt. Dieser Zusammenhang wird erst sichtbar, wenn Vertrag, Anwendung und Funktion im selben Repository verbunden sind.
Der Vertrag, sein Anbieter und die abgedeckten Anwendungen
In ArchiLU ist ein Vertrag mit seinem Anbieter und den Anwendungen verbunden, die er abdeckt. Die Seite Verträge zeigt Anbieter, Jahreskosten, Fälligkeit und eine erkannte automatische Verlängerung. Deckt ein Vertrag mehrere Anwendungen ab, werden seine Kosten jeder Anwendung zugeordnet, mit der Begründung der Aufteilung.
Jede Anwendung trägt ihre verantwortliche Person, ihre Kritikalität, ihren Lebenszyklus und ihren Anbieter. Die Fähigkeitenkarte berechnet die Lizenzkosten jeder Fähigkeit aus ihren Anwendungen. Das Dashboard des CIO bündelt die Vertragsverpflichtungen je Währung und die Supportfristen der Technologien.
Die Beträge stammen aus Verträgen und Buchhaltung. Ein unbekannter Betrag bleibt unbekannt: Die Portfolioprüfung zählt ihn nie als null.
Konzentration und Abhängigkeit von Anbietern
Eine einzelne Abhängigkeit wirkt für sich genommen vernünftig: Eine kritische Funktion bei einem Cloud-Anbieter zu betreiben, ist eine Architekturentscheidung. Zwölf kritische Funktionen beim selben Anbieter bilden eine Konzentration, die oft ohne ausdrückliche Entscheidung entsteht. Sichtbar wird sie erst, wenn jede Funktion zu ihren Anwendungen und weiter zu deren Dienstleistern verfolgt wird.
Die Expositionsanalyse von ArchiLU beginnt bei einer Anwendung oder einem Dienstleister und führt zu den kritischen oder wichtigen Funktionen, die davon abhängen. Sie berechnet ihre Befunde: Konzentration, Obsoleszenz, kritische Objekte ohne Verantwortliche und offene Ausnahmen. Jeder Befund führt zu einer Anfrage, zu einem Risiko oder zu einer Entscheidung des Boards.
Jede Fähigkeit zeigt ihren dominanten Anbieter und dessen Anteil. Der Dienstleister trägt seine Ersetzbarkeit und seinen Ausstiegsplan. Diese Angaben dokumentieren die Analyse; Risikobewertung und Vertragsverhandlung bleiben bei Risiko, Einkauf und Rechtsabteilung.
Von der Karte zur Rationalisierungsentscheidung
Ein Rationalisierungskandidat vereint oft mehrere Signale: hohe Kosten, eine Fähigkeit, die schon eine andere Anwendung trägt, einen Anbieter, von dem das Unternehmen stark abhängt. Diese Signale lassen sich zusammen lesen, wenn Kosten, Fähigkeit und Anbieter am selben Objekt hängen.
In ArchiLU schlägt die verantwortliche Person der Anwendung eine TIME-Klasse mit Begründung vor, und der Unternehmensarchitekt legt sie fest. Vor einer Stilllegung zeigt die 360-Ansicht die Prozesse, Schnittstellen und Verträge, die von der Anwendung abhängen. Die Stilllegung folgt vier Schritten: Auswirkung, Ersatz, Entscheidung und Umsetzung.
- Anwendungen ermitteln, bei denen sich Kosten, Doppelungen und Anbieterabhängigkeit überschneiden.
- Vor jeder Stilllegung Kritikalität und Abhängigkeiten prüfen.
- Die Entscheidung und ihre Begründung an den betroffenen Anwendungen festhalten.
- Geschätzte und danach realisierte Einsparungen in der Portfolioprüfung verfolgen, jeweils mit Zeitraum und Währung.
DORA: Dokumentation, keine Bescheinigung
DORA verlangt von Finanzunternehmen, das IKT-Drittparteienrisiko zu steuern, Vereinbarungen zur Unterstützung kritischer oder wichtiger Funktionen zu unterscheiden und ein Informationsregister zu führen. Eine bereits gepflegte Kette von der Funktion bis zum Vertrag liefert einen Teil der Daten dafür.
In ArchiLU trägt jede Funktion ihre Kritikalität im Sinne von DORA. Die Kette verbindet diese Funktion mit ihren Prozessen, Anwendungen, IKT-Diensten, Dienstleistern und deren Verträgen. Sie dokumentiert die Abhängigkeiten, die das Informationsregister braucht. Über die Konformität urteilen das Unternehmen, seine Prüfer und die zuständige Behörde.
Der Rahmen eines regulierten Unternehmens in der EU
Eine Karte, die kritische Funktionen, Anbieter und Kosten verbindet, ist eine sensible Information. In ArchiLU hat jede Organisation ihre eigene Instanz, gehostet in der Europäischen Union; eine Bereitstellung bei Ihnen ist optional nach Angebot möglich. ArchiLU wird in Luxemburg von der MIP-IT SARL herausgegeben.
Finanzen, Risiko, Einkauf und Architektur lesen dieselbe Karte. Bildschirme, Aufgaben und Hilfe gibt es auf Deutsch, Französisch und Englisch.
In ArchiLU
Häufige Fragen
- Was ist das IKT-Konzentrationsrisiko?
- Es ist die Exposition, die entsteht, wenn mehrere kritische oder wichtige Funktionen vom selben Dienstleister abhängen: einem Cloud-Anbieter, einem Kernbankenanbieter, einem Rechenzentrum. DORA verlangt von Finanzunternehmen, dieses Risiko zu erkennen und zu steuern. Ein Repository zeigt, wo sich Abhängigkeiten bündeln; konform macht es das Unternehmen nicht.
- Wie werden Vertragskosten mit Anwendungen verbunden?
- Der Vertrag ist mit den Anwendungen verbunden, die er abdeckt, und seine Kosten werden jeder Anwendung mit der Begründung der Aufteilung zugeordnet. Die Fähigkeitenkarte leitet daraus die Lizenzkosten jeder Fähigkeit ab. Die Portfolioprüfung zeigt die Kosten der Stilllegungskandidaten.
- Macht ArchiLU ein Unternehmen DORA-konform?
- Nein. ArchiLU dokumentiert die Kette von der kritischen Funktion bis zum Vertrag, berechnet die Befunde der Expositionsanalyse und erstellt das Informationsregister als regulatorischen Bericht. Über die Konformität urteilen das Unternehmen, seine Prüfer und die zuständige Behörde.
- Warum Kosten und Lieferantenrisiko in einem Repository zusammenführen?
- Beide Sichten betreffen dieselben Objekte. Die teuerste Anwendung hängt manchmal von dem Anbieter ab, auf den sich das Unternehmen am stärksten stützt. Ist die Anwendung mit Vertrag und Anbieter verbunden, beantwortet eine Ansicht die Fragen des CFO und der Risikofunktion.