Definition
Norm für IT-Governance auf Geschäftsleitungsebene. Definiert sechs Prinzipien (Verantwortung, Strategie, Akquisition, Performance, Konformität, menschliches Verhalten) und das EDM-Modell (Evaluate, Direct, Monitor). Strukturelle Verbindung zwischen Unternehmensstrategie und IT-Wertbeitrag. Ergänzt operative Frameworks wie COBIT und ITIL, ohne diese zu ersetzen.
In der Praxis
Die ISO/IEC 38500 ist die am häufigsten übersehene Norm im IT-Regal — dabei adressiert sie genau die Ebene, auf der IT-Entscheidungen schiefgehen: die Geschäftsleitung. Das typische Fehlerbild im Mittelstand: IT-Steuerung wird komplett an den IT-Leiter oder den externen Dienstleister delegiert, und die Leitung erfährt von Investitionen, Cloud-Verträgen oder Sicherheitsvorfällen erst hinterher. Die Norm stellt klar: Governance of IT ist Aufgabe des Leitungsorgans und nicht delegierbar — sie definiert dafür sechs Prinzipien und das Arbeitsmodell Bewerten, Steuern, Überwachen. Zweites Fehlerbild: nur überwachen, nicht steuern. Die Leitung liest Quartalsberichte, gibt aber keine Richtung vor — dann ist Monitor ohne Direct nur Schauveranstaltung. Praktisch wird die Norm greifbar bei konkreten Entscheidungen: der ERP-Nachfolge, dem Cloud-Umzug, dem KI-Einsatz, dem IT-Dienstleister-Wechsel. Die Abgrenzung zu COBIT und ITIL steht im Glossar-Eintrag zu COBIT — die 38500 bleibt bewusst schlank und prinzipienorientiert; sie ersetzt kein Umsetzungs-Framework, sondern verankert die Verantwortung.
Verwandte Begriffe
Häufige Fragen zu ISO/IEC 38500
Was ist der Unterschied zwischen IT-Governance nach ISO/IEC 38500 und IT-Management?
Governance ist die Verantwortung der Leitungsebene: Sie bewertet den Nutzen und die Risiken des IT-Einsatzes für die Organisation, gibt die Richtung vor — etwa Strategie, Investitionsgrundsätze, Risikohaltung — und überwacht, ob die IT die gesetzten Erwartungen erfüllt. Management ist die Aufgabe der IT-Führung und ihrer Teams: Sie plant, baut und betreibt die Services innerhalb der vorgegebenen Richtung und berichtet über die Leistung. Das Modell der Norm spiegelt genau das: Evaluate, Direct, Monitor — bewerten, steuern, überwachen — als Kreislauf des Leitungsorgans, während das Management für die Umsetzung verantwortlich ist. Der Praxis-Test ist einfach: Wer über das „Ob" und „Warum" einer IT-Investition entscheidet, übt Governance aus; wer über das „Wie" entscheidet, managt. In kleinen Unternehmen fallen beide Rollen oft in denselben Köpfen zusammen — dann ist es umso wichtiger, die Perspektiven in Entscheidungen bewusst zu trennen.
Ist die ISO/IEC 38500 eine Anforderungsnorm mit Zertifizierung?
Nein — die Norm ist bewusst als Leitfaden für Leitungsorgane konzipiert: Sie beschreibt Prinzipien guter IT-Governance und das dazugehörige Arbeitsmodell, enthält aber keine auditierbaren Anforderungen im Sinne eines Managementsystem-Standards und kein Zertifizierungsschema. Ein „ISO-38500-Zertifikat" ist daher kein belastbarer Nachweis. Ihr Wert liegt in der Strukturierung der Leitungsverantwortung: Die sechs Prinzipien — Verantwortung, Strategie, Beschaffung, Leistung, Konformität und menschliches Verhalten — geben der Geschäftsführung einen vollständigen Prüfraster für ihre IT-Steuerung. Wer einen externen Nachweis sucht, arbeitet mit den zertifizierbaren Anforderungsnormen der Umsetzungsebene: ISO/IEC 27001 für Informationssicherheit, ISO/IEC 20000-1 für Service Management, ISO 9001 für das Qualitätsmanagement. Die 38500 sitzt darüber und sorgt dafür, dass die Leitung diese Systeme steuert statt nur zu finanzieren (ISO/IEC 38500).
Wie bringen wir das EDM-Modell in den Geschäftsführungs-Alltag, ohne ein Bürokratie-Monster zu bauen?
Hängen Sie die drei Schritte an bestehende Termine, statt neue Gremien zu erfinden. Bewerten (Evaluate): Jede IT-Investition über einer definierten Schwelle bekommt eine einseitige Bewertung — Nutzen, Risiken, Abhängigkeiten, Alternativen — als fester Bestandteil der Investitionsvorlage. Steuern (Direct): Einmal jährlich, idealerweise im Strategie- oder Budgetprozess, legt die Leitung die IT-Richtung fest: Prioritäten, Sourcing-Grundsätze, Risikohaltung, verbindliche Standards — dokumentiert auf zwei Seiten, nicht als Roman. Überwachen (Monitor): Ein kompaktes quartalsweises Reporting mit wenigen Kennzahlen — Verfügbarkeit kritischer Systeme, offene Sicherheitsbefunde, Projektstatus, Budgetabweichung — plus der Pflicht, Abweichungen mit Entscheidungsvorlagen zu versehen. Wichtig ist die Dokumentation der Entscheidungen: Wer bewertet, steuert und überwacht, muss im Ernstfall zeigen können, dass er es getan hat. So bleibt EDM ein Arbeitsrhythmus der Leitung und kein Aktenvorgang.