Der letzte Blackberry-User

In meinem Aktienportfolio dümpeln seit Jahren ein paar alte Restbestände von Blackberry-Aktien, die ich aus sentimentalen Gründen behalte habe. Es erinnert an die gute alte Zeit, als Smartphones für den Beginn einer neuen Zeitrechnung in der Kollaboration, Information und Innovation standen. Blackberry war als Gerätehersteller einer der bedeutendsten Player am Markt bis das iPhone kam und das Geschäftsmodell von Blackberry zerbröselte wie einen alten Zwieback.

Selbstredend, dass damit auch der Aktienkurs in den Keller sackte und für mein Portfolio keine monetäre Bedeutung mehr aufwies. In 2011 beherrschte Blackberry 20% des weltweiten Smartphone-Marktes und 50% des US -amerikanischen Geschäftes. Das Geschäftsmodell war überwiegend auf den Hardwareverkauf ausgerichtet, Software war wichtig, aber spielte eine untergeordnete Rolle. In 2016 war das Geschäftsmodell so weit erodiert, das die Produktion von Smartphones eingestellt und an TCL verkauft wurde. Was blieb, waren eine Reihe Software-Patente und Ideen, was man mit den Resten der Firma anfangen könnte. In der Regel ist das der Punkt, wo Unternehmen unfreiwillig ihre Geschäftsstrategie kritisch hinterfragen und neu schreiben müssen.

Als ich heute wieder einmal auf den Aktienkurs von Blackberry sah, stellte ich überrascht fest, dass er mit zweistelligen Prozentzahlen in den grünen Bereich galoppierte. Was ist passiert, hatte Blackberry einige Patentstreitigkeiten gewonnen und wieder mehrere hundert Millionen Dollar an Schadensersatz erhalten und der Bullenlauf nimmt schnell sein Ende?

Der Artikel gibt eine spannende SWOT-Analyse wieder, wie sich Blackberry als Softwareunternehmen neu ausgerichtet hat. Blackberry hat die Geschäftsstrategie angepasst und sich auf eine konsequente Digitalstrategie ausgerichtet. Ein zentrales Element der Strategie ist die Fähigkeit, gute Software zu entwickeln. Ein Element davon ist BlackBerry QNX. Dabei handelt es sich um ein proprietäres POSIX-fähiges unixoides Echtzeitbetriebssystem, das als Betriebssystem für Fahrzeuge genutzt werden kann und mittlerweile in mehr als 175 Mio Fahrzeugen eingebaut ist.

Zudem wurde im letzten Jahr eine strategische Partnerschaft mit Amazon AWS verkündet und die neue Plattform Blackberry IVY beworben. Auf Basis von QNX und IVY werden aus den angeschlossenen Fahrzeugen rollende IoT-Devices, die für Automobilersteller die Basis für neue IoT-UseCases bilden kann. Mit IVY wurde eine weltweite, skalierbare, Cloud-verbundene Plattform geschaffen, die eine Vielzahl von Szenarien abdecken kann und hohe Sicherheitsstandards erfüllt. So können Betriebssystem-Updates ausgerollt werden, die verfügbare Datenbasis bietet die Grundlage für das Training von Modellen für autonomes Fahren, Optimierungen des Fahrerlebnis oder Fahrerinformationen, die angepasst an Standort, Wetter und weitere Umfeldbedingungen realtime gepusht werden können.

Um den Schwenk zurück zum Börsenkurs zu machen, der Markt scheint den Wechsel der Geschäftsstrategie und die daraus resultierenden Business Cases zu honorieren. Ob es finanziell Früchte trägt, wird sich in den nächsten Jahren weisen. Aber es zeigt, dass die richtige Geschäfts- resp. Digital-Strategie ein Unternehmen von der Asche zum Phönix führen kann, aber auch, dass es vier bis fünf Jahre braucht, bis sich eine neue Strategie spürbar auswirkt.

Internal Audit und die Prüfung der IT-Strategie

Was ich mich dabei frage, und jetzt setze ich die Investorenbrille ab und die Revisionsbrille auf, ist die Beurteilung und Prüfung der IT-Strategie oder der Business-Strategie insgesamt ein Feld für die Interne Revision? Meine Erfahrung ist, das strategische Themen ein Bereich sind, um den die Interne Revision in der Regel einen grossen Bogen macht, auch wenn gerade hier für den Verwaltungsrat ein hohes Mass an Unsicherheit besteht über die eingeschlagene Richtung der Digitalisierung. Die aktuellen Umfeldbedingungen zeigen, dass wir in einer Zeit der disruptiven Transformation und nicht des inkrementellen Wandels leben.

Als Katalysator für die Digitalisierung hat sich die Pandemie erwiesen. CIO und die IT-Abteilung haben bei der Krisenbewältigung von COVID 19 ihre tragende Rolle unter Beweis stellen können. Ihr wesentlicher Verdienst war die Unterstützung des Business durch zeitnahe Anpassung und Aufstockung der Infrastruktur oder die Bereitstellung neuer digitaler oder remote-Dienste. Gerade die Digitalisierung+Pandemie hat dafür gesorgt, dass der CIO in der Regel nicht mehr am Katzentisch der Geschäftsleitung sitzen muss, sondern eine gestaltende und tragende Rolle im Unternehmen ausübt. Digitale Werkzeuge gewinnen immer mehr an Zugkraft.

Unternehmen sind gefordert ihre Strategie zu überprüfen und eine digitale Roadmap zu verfolgen. Diese Entwicklungen und die Digitalisierung von Geschäftsvorgängen bedingt eine starke Verbindung zwischen IT- und Geschäftsstrategie. Viele Organisationen tun sich schwer, beides effektiv und vor allem konsequent zu kombinieren. Häufig gibt es organisatorische und kulturelle Differenzen. Es gibt Hindernisse für ein effektives Engagement zwischen IT und den Geschäftsfunktionen, die zum Teil durch eine traditionelle Denkweise angetrieben werden. Aber eine gute Strategie ist ein Katalysator für die Unternehmensentwicklung, der zu einem Wettbewerbsvorteil und innovativen Kundenangeboten beiträgt. Und genau hier kann die Interne Revision ihren Beitrag leisten. Die Interne Revision kann eine Rolle dabei spielen, die Robustheit und Vollständigkeit des Ansatzes rund um die Umsetzung der digitalen Strategie aufzuzeigen.

Was spricht gegen eine Prüfung der IT-Strategie durch die Interne Revision?

Da die Revision in der Regel eher zur kritischen Betrachtung neigt, führe ich erst mal alle Gründe auf, die gegen eine Aufnahme einer IT-Strategie-Prüfung in den Prüfplan sprechen und versuche Gegenargumente zu finden.

Greifbarkeit des Audit-Scopes - Strategie-Themen sind sehr abstrakte Prüfobjekte, die mit vielen Annahmen und Wahrscheinlichkeiten unterlegt sind. Jeder kritisierte Punkt kann sehr schnell bestritten, verdreht oder abgeflacht werden. Dabei geht der Wert einer Prüfung schnell verloren, wenn die Diskussion nicht in eine konstruktive Richtung gelenkt wird. Dazu muss auf beiden Seiten der Wille bestehen, die Prüfung als Chance zu begreifen.

Der Zeitpunkt - ist in der Revision eigentlich nie richtig. Kommt man zum Ende des Strategiezyklus, während der Ausarbeitungsphase oder nach der Genehmigung durch die Geschäftsleitung. Egal wann, der Zeitpunkt ist per Definition nicht geeignet und sollte daher keine Rolle spielen.

Das Knowhow - Wesentliche Voraussetzung ist, dass die Interne Revision grundsätzlich in der Lage ist, übergreifende Risiken und Herausforderungen zu beurteilen. Dafür ist ein ausgeprägtes Verständnis sowohl für die IT- als auch für die Geschäftsstrategie, eine Perspektive für die Komplexität der bestehenden IT-Umgebung und die Kenntnis möglicher Emerging Technology-Trends erforderlich. Alles Elemente die eine grosse Maturität der Internen Revision erfordern. An der Stelle werfe ich immer salopp ein, wenn ein Revisor das kann, warum arbeitet er dann in der Internen Revision? Ich empfehle dann das Hinzuziehen von Fachexperten, die selber Erfahrungen in der Strategiedefinition sammeln konnten.

Framework und Struktur - Der Vorteile eines guten Frameworks ist sein umfassende Abbildung eines Sachgebiets. Basierend auf einem Framework lassen sich die Prüfgebiete eingrenzen und schärfen. Welche Bereiche sind nicht relevant und bei welchen sind die Antworten eher schwammig. Auf das Framework gehen ich nachher noch ein, grundsätzlich sollte aber am Anfang des Audits ein Workshop stehen, in dem die zu beurteilenden Bereiche geschärft werden können.

Architekten und Architektur - Viele Unternehmen tun sich in Zeiten einer hohen Technologiefrequenz schwer, eine geeignete Architektur-Governance zu etablieren. Eben noch ist Kubernetes der letzte Hype im Cloudumfeld, schon passt Gartner die Technologie-Landkarte an und bringt neue Themen auf den Trendradar. Und es gilt die goldene Regel: Zwei Architekten, vier Meinungen und sieben Lösungsansätze. Wie soll man hier zu einer guten Auditmeinung kommen? Die Komplexität und der historische Ballast, der mit geschleppt wird, stellen jedoch hohe Ansprüche an die Organisation und generieren hohe Kosten der Altlastenbereinigung, jeder Kernkraftwerksbetreiber wird mitfühlend nicken. «Ist das Thema Legacy-Management ausreichend in der Strategie reflektiert?» ist eine zentrale Frage, die in einem Audit gechallenged werden muss.

Agile Transformation - Viele Unternehmen gehen von der Agilisierung einzelner IT-Prozesse dazu über, die gesamte IT-Organisation und Teile des Business zu agilisieren. Der Prozess ist schmerzhaft, langwierig und verändert das Unternehmen sehr schnell. Bestehende Governancestrukturen zerfallen rapide bei Kontakt mit Agilität. Governance im agilen Kontext erfordert die Erfahrung der Interne Revision, hier kann spürbarer der Mehrwert aus der Prüfung entstehen.

Die geprüfte Organisations-Einheit - Die Entwicklung der IT-Strategie erfolgt in der Regel direkt oder zumindest sehr nah beim CIO. Mit Feststellungen und Kritiken hier bewegt man sich durch ein unternehmenspolitisches Minenfeld, wobei man als Prüfer manchmal das Gefühl hat, das jemand die Minen auf den Rücken von euphorisierten Erdmännchen während der Paarungszeit geschnallt hat.

Ein umfassende Beurteilung aller Elemente ist für eine Revision eine grosse Herausforderung. Daher empfehlen wir einen Workshop zur Schärfung und Herausarbeitung wesentlicher Elemente. Damit lassen sich blinde Flecken oder weniger relevante Elemente identifizieren. Auditmethodisch können die Elemente in Scope dann mit strukturierten Interviews und oder Umfragebasierend vertieft werden. Eraneos hat für diesen Zweck die Audit 360°-Methode im Einsatz um ein organisationsübergreifendes Bild zu erhalten.

Basierend auf dem Framework lässt sich mit quantitativen Bewertungen zu den einzelnen Dimensionen die Ist-Situation sowie spezifische Schwerpunkt-Themen ermitteln. Auf den Erkenntnissen der Reifegrad-Analyse lassen sich SWOT-Analysen durchführen und Schwachpunkte einzelner Elemente aufzeigen.

2.   Prüfung der Prozesse zur Aktualisierung der IT-Strategie

Wenn die strategischen Überlegungen längere Zeit nicht hinterfragt worden sind und sich der Eindruck aufdrängt, dass die dazugehörigen Fakten nicht mehr der Realität entsprechen, ist eine Prüfung der Aktualisierungsprozesse eine Prüfoption. Eine Überprüfung der aktuellen Pläne zur Auffrischung der IT-Strategie muss zu einem geeigneten Zeitpunkt erfolgen, insbesondere in Anbetracht der Veränderungen im breiteren Markt- und Betriebsumfeld (Zyklusende der Strategie, Wegscheide des Unternehmens). Besonderes Augenmerk sollte darauf gelegt werden, wie die IT-Strategie mit der Geschäftsstrategie synchronisiert wird und ob bestehende Governance-Strukturen im Rahmen der Aktualisierung berücksichtigt werden.

Insbesondere disruptive Ansätze, die traditionelle IT-Betriebsmodelle beeinflussen, wie z. B. Cloud-Migration und die Einführung von DevOps-Betriebsmodellen oder eine agile Transformation der gesamten (IT-)Organisation haben eine hohes Risikopotential. Robuste IT-Governance-Regelungen, die ein effizientes Ressourcen- und Anbietermanagement, Notfallpläne, aktives Legacy-Management, robuste Richtlinien und Betriebsverfahren umfassen sollten Bestandteil der Strategieaktualisierung sein.

3.   Identifikation und Beurteilung der Shadow-IT

Wir betreten die dunkle Seite der (Revisions)Macht, denn hier wird die Sinnhaftigkeit der IT-Strategie beurteilt, indem man feststellt, welche Ausweichbewegungen das Business unternimmt und mit welchen Mitteln und Methoden die Strategie in der Organisation umgangen wird. Voraussetzung sind auch hier eine sehr gute Kenntnis der Organisation und der IT-Landschaft, um Elemente der Shadow-IT zu identifizieren. Ein guter Ansatz ist die Kostenanalyse, um zu schauen, welche (zusätzlichen IT-Kosten) in den Geschäftsbereichen anfallen.

Fazit und ein paar Fragen

Also was tun? Ist die Prüfung der IT-Strategie bzw. der Business-Strategie ein Thema für die Interne Revision? Fragen an meine Peers:

• Sollte die IR die IT-Strategie prüfen?
• Wann ist der richtige Zeitpunkt der Prüfung? Bei der Erstellung, nach Genehmigung oder Mitte des Strategiezyklus?
• Hat jemand die Erfahrung gemacht, dass der CIO selber mit der Bitte um Prüfung auf die IR zugekommen ist?
• Wer von Euch hat auch noch Blackberry Aktien?