Wir zeigen in diesem Artikel an einem Beispiel auf, wie man durch Automation und Einsatz künstlicher Intelligenz (KI) die Arbeit im Providermanagement optimieren und Aufwand reduzieren kann. Verträge bilden die Grundlage für die Beziehung zu externen Dienstleistern – insbesondere im Providermanagement. Die manuelle Verwaltung von Service Level Agreements (SLAs) ist ein Beispiel, das sich durch KI optimieren lässt: SLA-Management ist zeitaufwendig, fehleranfällig und oft wenig skalierbar. Hier kommt die KI ins Spiel. Sie bietet dabei neue Möglichkeiten, repetitive Aufgaben zu automatisieren und damit die Qualität der Vertragsverwaltung zu verbessern.

 

Herausforderungen im SLA-Management

Die Herausforderung liegt vor allem in der manuellen Erfassung und Auswertung von SLA-Daten in Verträgen. Typische Kennzahlen, wie Vertragsbeginn, Vertragsende, Reaktionszeiten oder Verfügbarkeitsgarantien müssen überprüft und dokumentiert werden. KI kann hier als unterstützendes Werkzeug agieren, das nicht nur Daten aus Verträgen extrahiert, sondern auch Prozesse intelligent steuert.

Dadurch verändert sich auch die Rolle der Mitarbeitenden: Weg von operativer Verwaltung, hin zu strategischer Steuerung. KI übernimmt repetitive Aufgaben, während Menschen sich auf kreative Problemlösung, Kommunikation und strategische Entscheidungen konzentrieren können.

Doch wie genau unterstützt KI im SLA-Management? Und welche konkreten Einsatzszenarien sind bereits heute realisierbar?

 

Wobei KI im SLA-Management unterstützt

Die Einsatzbereiche von KI im Vertragsmanagement sind vielfältig und reichen weit über die reine Texterkennung hinaus. Moderne KI-Systeme können nicht nur Inhalte analysieren, sondern auch strukturieren und Inhalte in bestehende Systeme integriert werden.

• Automatisierte Erkennung und Extraktion von SLA-relevanten Daten:
  KI kann Verträge analysieren und gezielt Kennzahlen wie Reaktionszeit, Verfügbarkeitsgarantie, Vertragsbeginn und -ende extrahieren.
• Datenaufbereitung:
  Extrahierte Informationen werden strukturiert und für weitere Verarbeitung vorbereitet.
• Monitoring und Analyse:
  SLA-Kennzahlen können kontinuierlich überwacht und analysiert werden – etwa zur Erkennung von SLA-Verletzungen.
• Integration in bestehende Tools:
  Über Power Automate lassen sich KI-gestützte Prozesse nahtlos in SharePoint, Teams oder Power BI integrieren.

Dadurch können Einsparpotenziale erschlossen werden: die Automatisierung reduziert den manuellen Aufwand und spart Zeit und Kosten.

Jedoch hängt die Qualität der Ergebnisse stark davon ab, wie Verträge strukturiert sind und von der Qualität der KI-Prompts. Nicht jeder Vertrag ist gleich aufgebaut – und nicht jede KI erkennt komplexe Formulierungen zuverlässig.

Trotz der Herausforderungen bei der Qualität bietet der Einsatz von KI im SLA-Management klare Vorteile: Er ermöglicht eine effizientere und skalierbare Verwaltung von Verträgen. Repetitive Aufgaben wie die Datenerfassung und -pflege werden automatisiert, wodurch Mitarbeitende entlastet werden. Sie gewinnen Zeit für kreative, kommunikative und strategische Tätigkeiten. Ein zentraler Mehrwert liegt dabei in der deutlichen Zeitersparnis.

 

Zeitersparnis durch KI

Ein zentraler Vorteil von KI im Vertragsmanagement ist die deutliche Zeitersparnis – insbesondere bei wiederkehrenden Aufgaben, die bislang manuell durchgeführt wurden.

• Automatisierter SLA-Abgleich:
  Repetitive Aufgaben wie der manuelle Vergleich von tatsächlichen Service-Level-Werten mit den im Vertrag definierten Zielwerten entfallen.
• Schnellere Reaktion auf SLA-Verletzungen:
  Durch automatisiertes Monitoring können Verstöße frühzeitig erkannt und Maßnahmen eingeleitet werden.
• Reduktion typischer Fehlerquellen:

KI kann bei klar strukturierten Daten konsistent arbeiten und typische menschliche Fehler bei der manuellen Datenerfassung vermeiden. Bei komplexen oder unstrukturierten Vertragsinhalten sind manuelle Nachkontrollen weiterhin sinnvoll.

Hieraus ergibt es sich eine deutliche Zeitersparnis und Produktivitätssteigerung – vorausgesetzt die Prozesse sind sauber aufgesetzt und die Datenqualität passt. Die Effizienzgewinne entstehen durch die Integration von KI in automatisierte Workflows, die beispielsweise mit Power Automate umgesetzt werden. So lässt sich der gesamte Ablauf – vom Hochladen eines Vertrags bis zur automatisierten Auswertung – nachvollziehbar und skalierbar gestalten.

 

Prozessskizze: KI-gestützter SLA-Prüfungs-Workflow

Ein beispielhafter KI-gestützter Workflow im SLA-Management mit Power Automate könnte wie folgt aussehen:

1. Vertragsablage:
   Ein neuer Vertrag wird in SharePoint abgelegt.
2. KI-Analyse:
   Über Power Automate wird ein Prompt an ein Large Language Model (LLM) gesendet
3. Datenerkennung:
   Die SLA-relevanten Kennzahlen werden aus dem Vertrag extrahiert.
4. Datenablage:
   Die extrahierten SLA-Daten werden automatisch in einer SharePoint-Liste gespeichert.
5. Anschließend folgt die Weiterverarbeitung, wie z.B.:
   • Benachrichtigung: Bei SLA-Verletzungen erfolgt eine automatische Benachrichtigung via Teams oder E-Mail.
   • Analyse & Reporting: SLA-Daten können in Power BI visualisiert und in Form von Dashboards oder automatisierten Berichten aufbereitet und verteilt werden.

Die Abbildung zeigt den strukturierten Ablauf dieses KI-gestützten Prozesses innerhalb der Microsoft-Cloud-Umgebung (Microsoft 365). Als Basis dienen integrierte Microsoft-Werkzeuge wie das Workflow- und Automatisierungstool Power Automate, das Collaboration-Tool SharePoint, sowie die Kommunikationslösung Microsoft Teams. Die Abfragen (Prompts), die im 2. Schritt an die KI bzw. das Large Language Model (LLM) gestellt werden, sind strukturiert aufgebaut. KI-Chats hingegen sind dialogorientiert und in natürlicher Sprache verfasst.

Doch wie unterschneidet sich dieser Workflow-Ansatz im Vergleich zu alternativen Prozessansätzen?

 

Alternative Prozess-Lösungen im Vergleich

Natürlich gibt es auch andere Ansätze für das SLA-Management – mit jeweils eigenen Vor- und Nachteilen:

• Manuelle Prozesse: Sie sind flexibel, aber zeitintensiv und fehleranfällig.
• Klassische Workflows: Sie bieten gewisse Automatisierung, stoßen aber bei komplexen Vertragsstrukturen schnell an ihre Grenzen.
• KI-Einzelabfragen: Sie zeichnen sich durch folgende Eigenschaften aus:
  • Dialogorientierte Prompt-Abfragen in natürlicher Sprache
  • Keine technische Formatierung notwendig
  • Kontextsensitive Antworten, die sich flexibel an unterschiedliche Vertragsstrukturen anpassen

Diese Einzelabfragen sind besonders hilfreich für ad-hoc-Analysen, während KI-gestützte Workflow, wie oben aufgezeigt, ideal für skalierbare Prozesse sind.

Die Wahl der richtigen Lösung hängt stark vom Anwendungsfall ab – und davon, wie viel Automatisierung tatsächlich gewünscht oder möglich ist.

 

Fazit

Ein vollautomatisierter, intelligenter SLA-Management-Prozess ist heute keine Zukunftsvision mehr. Dank KI müssen SLA-Kennzahlen nicht mehr an festen Stellen im Dokument stehen – die KI erkennt sie kontextbasiert. Damit entfällt die Notwendigkeit statischer Masken oder einheitlicher Dokumentenformate.

KI steht für Effizienz: Sie ermöglicht nicht nur Automatisierung, sondern auch Prognosen, Empfehlungen und kontinuierliche Verbesserung. Im Providermanagement bedeutet das eine Transformation – weg von operativer Verwaltung, hin zu direkter Dienstleistersteuerung und Beziehungsmanagement. Lesen Sie hierzu auch unseren Blogartikel KI-Unterstützung im Providermanagement nutzen.

Der Einsatz von Copilot und Power Automate im oben dargestellten Beispiel zeigt: KI kann mehr als nur unterstützen – sie kann Prozesse grundlegend verändern.

In vielen Unternehmen geht der IT-Einkauf im operativen Tagesgeschäft unter. Er schafft es häufig nicht, sich ausreichende Freiräume für die großen, fürs Unternehmen wesentlichen Beschaffungsprojekte zu schaffen. Wir zeigen auf, wie der Aufwand für das operative Tagesgeschäft durch Digitalisierung reduziert werden und wie zusätzlich Künstliche Intelligenz (KI) dazu beitragen kann. Bezüglich KI werden wir einige Anwendungsbeispiele geben, die eine deutliche Aufwandsreduzierung für das Personal im IT-Einkauf ermöglichen. Zum Schluss werden wir einen kurzen Blick auf hierfür zusätzlich zu entwickelnden Kompetenzen werfen.

Typische Ausgangssituation

Auch heute noch ist in diversen Unternehmen der IT-Einkauf sehr reaktiv unterwegs. Ein nicht geringer Anteil der Beschaffungsanforderungen aus den Fachbereichen kommt nicht planbar herein und ist möglichst schnell abzuarbeiten. Es bleibt oft nicht viel Zeit für Marktsondierung, Konkurrenzangebote und Verhandlungen. Insbesondere letztere sind teils kaum noch möglich, wenn der Fachbereichsvertreter schon mit seinem favorisierten Anbieter gesprochen hat. Und wenn er zudem die Leistungen beziehen will.

In dieser Situation sollte es das Ziel des IT-Einkaufs sein, den Aufwand für die häufig auftretenden Einkäufe von kostenseitig überschaubaren IT-Produkten und -Dienstleistungen massiv zu reduzieren und planbarer zu machen. Im Folgenden wollen wir hierfür zwei Verbesserungsansätze aufzeigen, die auch sehr gut in Kombination genutzt werden können: (1.) der Digitalisierungs-Ansatz und (2.) der Einsatz von KI.

Verbesserungsansatz durch Digitalisierung

Für das Segment von intern häufig angefragten IT-Produkten werden Standardwarenkörbe definiert, die den Großteil der Anforderungen der Fachbereiche deckt. Hierfür ist in der Regel eine Zusammenarbeit mit der IT-Abteilung und dem Management erforderlich. Die IT-Abteilung kennt die Anforderungen ihrer IT-Kunden und kann Standards für derartige IT-Produkte festlegen, Sonderanforderungen sollten nur über eine gesonderte Genehmigung freigegeben werden. Das Management muss den Standardisierungsansatz aktiv unterstützen und dafür sorgen, dass Sondergenehmigungen Ausnahmen bleiben.

Für die in den Standardwarenkörben definierten IT-Produkte kann der IT-Einkauf dann längerfristige Rahmenverträge ausschreiben. Das so entstehende größere Abnahmevolumen schafft die Basis für attraktive Preise.

Um den IT-Einkauf nach Abschluss das Rahmenvertrags wirklich zu entlasten, ist zudem der Prozess für Einzelabrufe aus dem Warenkorb zu digitalisieren. Hierfür ist ein Bestellkatalog-System einzurichten und der Bestellprozess weitgehend zu automatisieren. Idealerweise kann der IT-Anwender direkt in einem Serviceportal Warenkatalog-Produkte anfragen, die Bestellung wird direkt im ERP-System ausgelöst und bei Wareneingang die Rechnung automatisch geprüft und bezahlt.

Abbildung 1: Digitalisierung des Prozesses „Abrufe aus dem Warenkorb“

Wenn die Digitalisierung mit ausreichender Konsequenz gelingt, ist der Aufwand des IT-Einkaufs bei der Beschaffung von Standard-Warenkorb-Produkten minimal. Er stellt sicher, dass Warenkorbbestellungen problemfrei ablaufen, und kümmert sich um Warenkorb-Aktualisierungen und um die Beschaffung von – dann hoffentlich selten auftretenden – Sonderanforderungen.

Der Einsatz von KI im IT-Einkauf

KI kann dem IT-Einkauf in verschiedenen Aufgabenbereichen Arbeit abnehmen und somit personellen Aufwand reduzieren. In der nachfolgenden Tabelle 1 sind einige beispielhafte Einsatzfelder angeführt.

EINSATZFELD	KI-FUNKTIONEN
Datenanalyse	Analyse großer Beschaffungsmarkt- und Einkaufsdaten – Muster-, Trend- und Anomalien-Erkennung
Leistungsspezifikation	Beschreibung von Bedarfen, IT-Produkten und Services – Input für Angebotsanfragen und Ausschreibungen
Lieferantenmanagement	Analyse und Kategorisierung von Lieferantendaten – Auswahl geeigneter Lieferanten
Vertragsmanagement	Automatische Vertragsanalyse – Risikoerkennung und Risikohinweise
Preisoptimierung	Überwachung von Preisdaten und -entwicklungen – Empfehlungen für optimale Preisstrategien
Kommunikation	Automatisches Verfassen von E-Mails, Anfragen und Bestellungen
Verhandlungsunterstützung	Analyse historischer Verhandlungsdaten und aktueller Marktpreise – Empfehlungen für Verhandlungsstrategien
Ausgaben-Analyse	Zahlungsdaten analysieren, klassifizieren und kategorisieren; Ausgabenstruktur transparent machen

 

Tabelle 1: beispielhafte Einsatzfelder von KI im IT-Einkauf

Im Folgenden stellen wir drei typische Aufgabenbereiche im IT-Einkauf vor, in denen einige der oben angeführten KI-Funktionen konkretisiert werden:

Stammdatenpflege im IT-Einkauf

Im Rahmen des Stammdaten-Managements können KI-Systeme große Datenpakete überprüfen und Inkonsistenzen und Fehler in den Stammdaten identifizieren und korrigieren. Dies können zum Beispiel Produkt- und Lieferantendubletten sowie Inkonsistenzen bei Zahlungsbedingungen sein. Die verbesserte Datenqualität vereinfacht Analysen und Auswertungen im IT-Einkauf.

Angebotseinholung und Bestellung einer angefragten IT-Leistung

Hiermit ist der typische Fall einer Bestellanforderung eines Fachbereichs gemeint, die eine preislich überschaubare IT-Leistung umfasst und für die in der Regel drei Angebote verschiedener Bieter eingeholt werden. Die KI kann den IT-Einkäufer in allen Arbeitsschritten Arbeit abnehmen. Hier einige Beispiele:

Sie kann die Anforderungen des Fachbereichs in eine technische Spezifikation übersetzen. Sie kann auch ähnliche Produkte identifizieren, die bereits in der Vergangenheit beschafft wurden, und diese Informationen nutzen, um die Spezifikation zu verfeinern.

Bei der Anbieterauswahl kann die KI eine Vorauswahl treffen, indem sie Leistungsangebote verschiedener Anbieter sowie deren Zuverlässigkeit und Leistungsfähigkeit analysiert und bewertet. Hierfür kann sie öffentlich verfügbare Informationen und historische Daten aus dem eigenen Unternehmen heranziehen.

Bei der Kommunikation mit Bietern hilft die KI, indem sie Anfragen an die ausgewählten Anbieter und Texte für den E-Mail-Verkehr formuliert. Sie kann auch bei Verhandlungen unterstützen, indem sie Preis- und Vertragsbedingungen basierend auf vordefinierten Regeln und Strategien vorschlägt.

Beim Angebotsvergleich kann sie die Angebote der verschiedenen Anbieter analysieren und vergleichen. Sie kann die Angebote basierend auf verschiedenen Kriterien wie Preis, Qualität, Lieferzeit und Service bewerten und eine Rangliste der besten Angebote erstellen.

Bei der Prüfung der AGBs bzw. Vertragskonditionen der Bieter kann sie diese analysieren und potenzielle Risiken identifizieren. Sie kann auch Vorschläge für Vertragsänderungen machen, um die Risiken zu minimieren.

Ausgaben-Analyse zum Zweck der Kostenminimierung

KI-Systeme können Zahlungsdaten analysieren, klassifizieren und kategorisieren, um die Ausgabenstruktur übersichtlicher und transparenter zu machen. So können unnötige Mehrausgaben reduziert bzw. vermieden werden. Zum Beispiel kann KI aufdecken, dass mehrere Bestellungen bei einem Anbieter über verschiedene Verträge geregelt sind und dass hier durch Bedarfsbündelung Einsparpotenziale bestehen.

 

Fazit – Digitalisierung und KI im IT-Einkauf

Sowohl die aufgezeigte Digitalisierung, insbesondere in operativen Bereichen wie der aufgezeigten Automatisierung der Abrufe aus dem Standard-Warenkorb, als auch der Einsatz von KI kann die Mitarbeiter im IT-Einkauf massiv entlasten.

Dies schafft Raum für die sorgfältige Planung, Durchführung und Verhandlung der großen Beschaffungsmaßnahmen im Unternehmen, insbesondere im Rahmen von großen IT-Projekten wie zum Beispiel der Einführung eines neuen Customer-Relationship-Management-Systems oder einem IT-Outsourcing-Vorhaben. Auch bei diesen Maßnahmen können Digitalisierung und KI dann wieder unterstützen.

Bei Einsatz von KI im IT-Einkauf ist insbesondere zu berücksichtigen: Wenn Mitarbeiter im IT-Einkauf noch keine KI-Erfahrung haben, ist eine initiale Schulung und Einweisung dringend zu empfehlen. Mitarbeiter sollten ein grundlegendes Verständnis für KI entwickeln. Dies umfasst Kenntnisse in Datenanalyse, Formulierung von Anfragen an (generative) KI und Interpretation von KI-generierten Ergebnissen.

Bei der Arbeit mit KI-generierten Ergebnissen ist es wichtig, diese kritisch zu hinterfragen und ihnen nicht blind zu vertrauen. Es sollte immer eine menschliche Überprüfung und Interpretation der Ergebnisse geben. Ziel dabei ist es, sicherzustellen, dass sie im Kontext des Geschäftsziels sinnvoll sind.  In diesem Zusammenhang erhält die eigene Einkaufs-Kompetenz und die Kenntnis der für das eigene Unternehmen relevanten IT-Beschaffungsmärkte noch einmal eine zusätzliche Bedeutung.

Erfolgreiches IT-Outsourcing  erfordert eine Providersteuerung mit Tools, die stets den Zugang zu notwendigen Informationen sicherstellen. In dynamischen IT-Landschaften mit Cloud-Lösungen und “As-a-Service”-Modellen ist es entscheidend, externe Service-Provider effektiv zu überwachen. Governance-Vorgaben und Compliance-Regeln bieten einen Ordnungsrahmen, stellen aber allein nicht einen guten IT-Service sicher. Viele Unternehmen setzen für an der Providersteuerung Beteiligte eine ungeeignete Tool-Landschaft ein und das führt zu ineffizienten Arbeitsabläufen. Eine umfassende IST-Analyse der bestehenden Tool-Landschaft identifiziert Schwachstellen wie redundante Datenhaltung und fehlende Schnittstellen. Basierend darauf wird ein Soll-Konzept entwickelt, das ein Datenmodell und ein flexibles Berechtigungskonzept umfasst, um die Zugänglichkeit und Transparenz der Informationen für alle Beteiligten zu verbessern.

Ein möglicher Ansatz für Providersteuerung-Tools ist die Nutzung von Werkzeugen wie MS SharePoint. Denn das ermögicht einen zentralen Zugang zu allen relevanten Daten – auch aus verschiedenen Systemen. Dies erleichtert die Verknüpfung von Informationen und den Einsatz von KI-Funktionen, um die Effizienz zu steigern und manuelle Prozesse zu reduzieren. Hierbei sollte die Implementierung schrittweise erfolgen und durch Schulungen und Kommunikation unterstützt werden. Ausgereifte, integrierte Tools zur Providersteuerung sparen Zeit und Kosten und stärken die Position des Unternehmens gegenüber Service-Providern. Eine effiziente Tool-Landschaft für die Providersteuerung ist somit ein bedeutender Faktor für den Erfolg der IT-Services.

Lesen Sie im nachfolgenden Whitepaper, wie Sie eine für Ihre Organsiation angemessene Toolumgebung für Ihre Providersteuerung gestalten können.

Provider-Management-Tools werden verwendet, um die Beziehung zwischen einem Unternehmen und seinen IT-Service-Providern zu verwalten. Sie unterstützen Unternehmen, ihre Provider und Lieferanten zu verwalten, ihre Leistung zu verfolgen und sicherzustellen, dass sie die Anforderungen des Unternehmens erfüllen. Dabei gibt es keine Einheitslösung für an die Tools gestellte Anforderungen, weil die Funktionsschwerpunkte der eingesetzten Tools häufig verschieden sind. Dieser Artikel vergleicht drei Tools mit jeweils unterschiedlichen Schwerpunkten: ServiceNow, SAP Ariba und Kissflow Procurement, die als Provider-Management-Tool genutzt werden können.

Provider-Management-Tools – Funktionsanforderungen im Providermanagement

Neben allgemeinen Anforderungen an ein Provider-Management-Tool wie

• intuitive Bedienbarkeit
• schnelle Einarbeitung für Benutzer:innen
• einfache Möglichkeit der Anpassung an die individuellen Bedürfnisse eines     Unternehmens
• Skalierbarkeit
• Wirtschaftlichkeit
• Unterstützung von unterschiedlichen Rollen
• Datensicherheit und Datenintegrität,

gibt es funktionelle Anforderungen, die für die Aktivitäten im Providermanagement wichtig sind. Diese Funktionsanforderungen fokussieren auf die Unterstützung des Unternehmens bei folgenden Providermanagement-Aufgabenbereichen: Vertragsmanagement, Performance Management, Beziehungsmanagement, Risikomanagement, Changemanagement, Providerbewertung, Compliance Management, Continual Improvement und Financial Management. Jeder Aufgabenbereich wird im Idealfall durch einen Funktionsbereich im Tool unterstützt, siehe hierzu auch unser Blogbetrag: SharePoint-gestützte Providersteuerung – alle Infos an einem Ort

 

Providermanagement – Funktionsbereiche

Funktionsbereich	Beschreibung
Vertragsmanagement	Hier werden alle vertraglichen Informationen eines jeden Providers gemanagt. Diese fängt bei der Spezifikation der von einem Provider zu erbringenden Services an und endet bei der Vergabe der Service-Erbringung an einen Provider und den damit verbundenen Vertragsdokumenten. Neben Servicespezifikationen sind hier die Rahmenvertragsregelungen bzgl. Aufgaben und Pflichten der Parteien, sowie der Gestaltung der Kooperation relevant. Das „Managen“ umfasst den ganzen Vertrags-Life-Cycle: Verträge schließen, ändern, beenden. Die Bereitstellung der aktuellen Vertragsdokumente für die Providersteuerung ist wichtig.
Risikomanagement	Zum Funktionsbereich Risikomanagement zählen alle Aktivitäten zur Identifikation, Bewertung und zum Managen der Risiken im gesamten Lebenszyklus der IT-Services.
Beziehungsmanagement	Im Fokus dieses Bereichs steht die aktive Pflege der Beziehung zum Provider. Alle Informationen wie Meeting-Protokolle, Termine, Aktionen, Kommunikationsmatrix usw. sind zu verwalten und den Betroffenen zugänglich zu machen.
Performance Management	Die Einhaltung der im Vertrag vereinbarten Service-Level, d.h. die Perfomance des Providers, werden in diesem Funktionsbereich gemanagt. Hierfür werden Kennzahlen-Werte ermittelt und den Soll-Werten gegenübergestellt.
Providerbewertung	Die Provider werden periodisch bezüglich ihrer Gesamtleistung im Hinblick auf die Leistungsqualität und ihre Kooperation bewertet. Hier werden die Bewertungen pro Provider aufgenommen, zusammengefasst und konsolidiert dargestellt. Trendanalysen ermöglichen die Einschätzung der Entwicklung je Service Provider.
Compliance Management	In diesem Funktionsbereich werden alle Aktivitäten zum Sicherstellen, dass der Provider die Compliance-Anforderungen wie Gesetze, Richtlinien und Vorgaben erfüllt, verwaltet.
Continual Improvement	Die Aktivitäten zur Verbesserung der Services und deren Erbringung durch die Provider sind hier zu koordinieren. Weiterhin sind die kontinuierliche Verbesserung des Providermanagement selbst und das Innovationsmanagement hier zu handhaben.
Financial Management	Aktivitäten im Rahmen von Budge-Planung und -Überwachung, Controlling und Kostenkalkulation, Rechnungsprüfung zur Sicherstellung des effektiven Einsatzes der finanziellen Ressourcen werden in diesem Funktionsbereich gemanagt.

 

Provider-Management-Tools – eine Übersicht

Es gibt viele verschiedene Tools mit Providermanagement-Funktionalitäten auf dem Markt, jedes mit seinen eigenen einzigartigen Funktionen und Vorteilen. In diesem Abschnitt stellen wir beispielhaft die drei Tools ServiceNow, SAP Ariba und Kissflow gegenüber. Aufgrund ihrer unterschiedlichen inhaltlichen Ausrichtung setzen sie verschiedene funktionale Schwerpunkte.

 

ServiceNow

ServiceNow ist ein globaler Anbieter einer Cloud-basierten Plattform, mit der es möglich ist, Geschäftsprozesse schnell und einfach zu automatisieren. Dieses Tool ist modular und besteht aus den Workflows IT, HR, Kunde und Creator. Jeder Workflow beinhaltet mehrere Produktbereiche, die je nach Anforderungen des Unternehmens zusammengestellt werden können und in jedem Produktbereich sind mehrere Produkte mit unterschiedlichen Funktionen zusammengefasst.

Das wesentliche Providermanagement-Funktionen bereitstellende Produkt Vendor Management Workspace von ServiceNow ist Teil des Produktbereichs IT Service Management (ITSM). Vendor Management Workspace integriert Daten aus den Produkten Service Portfolio Management (SPM), Contract Management, Assets, SLA Contracts, Vendor Risk Management und Continual Improvement Management (CIM). Ein integriertes „Provider Performance Dashboard“ liefert dem Unternehmen ein klares Bild davon, wie gut die Provider arbeiten. Weitere Produkte wie Audit Management, Vendor Risk Management und Compliance Management, die für das Providermanagement auch relevant sind, sind im Produktbereich Governance, Risk, und Compliance angesiedelt.

 

SAP Ariba

SAP Ariba bietet einen Online-Marktplatz für den Business-to-Business-Handel, der für den Kauf von Waren und Dienstleistungen von Lieferanten genutzt werden kann. Es unterstützt Einkäufer:innen bei all ihren klassischen Aufgaben und Lieferanten bei der Interaktion mit Einkäufer:innen. Der Leistungsschwerpunkt ist die Digitalisierung und Automatisierung von Einkaufsprozessen und Lieferketten. Es gibt keinen direkten Bezug auf IT Service Management, jedoch können IT-Services damit beschafft und Service-Provider gesteuert werden. SAP Ariba verfügt über eine breite Palette von Produktbereichen, die in weiteren Produkten wie Supplier Risk, Contracts, Spend Analysis, rollenbasierte Dashboards, Supplier Lifecycle and Performance und mehr unterteilt sind. Fast alle diese Produkte unterstützen mit ihren Funktionen Teile der für das Providermanagement geforderten Funktionsbereiche. Weiterhin kann SAP Ariba mit SAP HANA (für z.B. Rechnungsprüfung und -genehmigung sowie Budgetüberwachung) synchronisiert werden.

 

Kissflow

Kissflow ist ein einfaches und anpassbares cloud-basiertes Workflowtool. Dieses Tool ermöglicht die Entwicklung von Applikationen für Geschäftsprozesse ohne oder mit wenig Code und stellt Templates bereit, um Unternehmen bei der Erstellung von personalisierten Workflows, die genau auf die Bedürfnisse der Organisation abgestimmt sind, zu unterstützen. Darüber hinaus stellt es Produkte mit allgemeinen Features bereit. Diese Features können benutzt werden, um unternehmensspezifische Applikationen zu entwickeln.

Unter den Produkten sind auch vorgefertigte Applikationen wie z.B. Projektmanagement und die Procurement App. Die Funktionen der Procurement App können bei der Durchführung der Providermanagement-Aufgaben eingesetzt werden. Die Procurement App bietet als Funktionalität zum Beispiel einen automatisierten Onboarding-Prozess für Provider, einen Bestellanforderungs-Prozess und ein integriertes Provider-Performancemanagement. Ebenso lässt sie sich über die Schnittstellen-Funktion in andere Kissflow-Produkte oder Anwendungen von Drittanbietern wie SAP, Google Apps, Office 365 und Zapier integrieren. Somit können fehlende Providermanagement-Funktionen wie z.B. Beziehungsmanagement erweitert werden.

 

Provider-Management-Tools – Ein Vergleich

Alle drei Tools erfüllen die oben beschriebenen allgemeinen Anforderungen. In der folgenden Tabelle werden die Produkte bzw. die Funktionen der Tools aufgelistet, welche die oben aufgeführten Funktionsanforderungen an das Providermanagement adressieren:

Funktionsbereich:	ServiceNow	SAP Ariba	Kissflow
Vertragsmanagement	Contract Management	Contracts	Vendor Management Purchase Requisitions
Risikomanagement	Vendor Risk Management	Supplier Risk	—
Beziehungs-management	Project Portfolio Management, Task Communications Management	Supplier Lifecycle and Performance	Vendor Management
Performance Management	Vendor Manager Workspace, Service Level Management	Supplier Lifecycle and Performance   Performance wird über eine Umfrage in Supplier Performance Management Project gemessen. Aktuelle Daten wie Service Level KPIs können importiert werden	Spend Analytics     Hier werden neben Kosten und Budget auch Service Levels erfasst und gemanagt
Providerbewertung	Surveys and Assessments,   Benchmarks	Supplier Lifecycle and Performance   Die Bewertung wird auch über die Funktion “Supplier Performance Management Project” (-> Umfrage) gemacht	—
Compliance Management	Audit Management Policy and Compliance Management	Supplier Lifecycle and Performance   Durchführung einer Umfrage je Provider mit der Funktion “Modular Questionnaire Project”	—
Continual Improvement	Continual Improvement Management	—	—
Financial Management	Cost Management	Ariba Invoice Management Spend Analysis	Purchase Orders Purchase Requisitions Purchase Invoices Spend Analytics

Legende: — Nicht vorhanden

 

Fazit

ServiceNow deckt alle Funktionen des Providermanagements durch vorhandene Produkte ab.

SAP Ariba hat zwar Funktionen für Providermanagement, aber einige der Funktionsanforderungen können nur über Umwege abgedeckt werden, zum Beispiel können beim Performance Management die aktuelle IT-Service-KPIs nur über eine Umfrage-Funktion importiert werden, um sie anschließend analysieren zu können. Allerdings ist die Umfrage-Funktion eher für die Bewertung des Providers gedacht und nicht für Reporting und Analyse der IT-Service-KPIs.

Kissflow deckt am wenigsten Providermanagement-Funktionen ab, aber es scheint   möglich zu sein, Applikationen in Kissflow zu entwickeln, um weitere Funktionen zu realisieren.

Da alle vorgestellten Provider-Management-Tools APIs zum Integrieren von anderen Tools wie ERP-, Vertragsmanagement- oder IT-Service-Management-Systemen bereitstellen, können die nicht abgedeckten Funktionen auch über die Implementierung dieser Schnittstellen realisiert werden. Demnach können so Finanzdaten aus dem ERP oder Vertragsdaten aus dem vorhandenen Vertragsmanagement synchronisiert werden. Das Unternehmen muss entscheiden, ob mit nur einem zentralen Provider-Management-Tool und synchronisierten Daten gearbeitet wird oder ob mehrere Tools zur Unterstützung des Providermanagements zum Einsatz kommen.

Als Microsoft Anfang März 2021 mit einem außerplanmäßigen Sicherheitsupdate vier Schwachstellen in diversen Exchange Server Versionen geschlossen hatte, stellte der Hersteller die Bedrohung noch als relativ gering dar. Inzwischen lief eine beispiellose Angriffswelle gegen hunderttausende Exchange-Instanzen weltweit. Das BSI rief sogar die „IT-Bedrohungslage rot“ aus. Interessanterweise war der Exchange Online Service im Rahmen des Microsoft 365 Portfolios von den Lücken nicht betroffen. Ein weiterer Beleg dafür, dass die Cloud in Sachen Information Security entscheidende Vorteile gegenüber On-Premise-Lösungen bietet? Darauf gehen wir in diesem Blog-Artikel etwas genauer ein.

Das Beispiel Hafnium Exchange-Server-Hack

Begonnen hat der inzwischen als „Hafnium Exchange-Server-Hack“ bekannte Angriff im Dezember 2020. Sicherheitsforscher eines taiwanischen IT-Security Unternehmens stießen auf eine als ProxyLogon bezeichnete Schwachstelle, welche es Angreifern ermöglicht, die reguläre Authentifizierung zu umgehen und sich als Administrator eines Exchange-Servers anzumelden. Im Laufe von zusätzlichen Untersuchungen wurden weitere Schwachstellen, wie etwa das Platzieren von Dateien für eine Remote-Code-Ausführung in Exchange gefunden. Nachdem die identifizierten Schwachstellen mit funktionsfähigen Proof of Concept Exploits bestätigt werden konnten, informierte die Firma am 5. Januar 2021 das Microsoft Security Ressource Center (MSRC), welches die Lücken unmittelbar bestätigen konnte. Microsoft versprach, mindestens ein Update freizugeben, bevor die übliche Frist zur Veröffentlichung von Sicherheitslücken dieser Art abläuft. Doch es dauerte noch knapp zwei Monate, bis Microsoft endlich die nötigen Updates für die On-Premise Exchange Server Versionen 2010 bis 2019 zur Verfügung stellte. Microsoft betonte gleichzeitig, dass der Exchange Online Dienst von den Lücken nicht betroffen ist. Es liegt also nahe, dass in den zwei Monaten die Cloud Version von Exchange priorisiert behandelt wurde, auch wenn es dazu seitens Microsofts keine Bestätigung gibt.

Das Problem für Administratoren der On-Premise Exchange Instanzen bestand darin, dass erste Scans bzw. auch Angriffe auf die erkannten Sicherheitslücken schon im Laufe des Januars stattfanden. Die Massenscans der Angreifer bei gleichzeitiger Kompromittierung fanden dann Ende Februar statt, also bevor überhaupt die Updates zur Verfügung standen. Selbst bei Erkennung von ungewöhnlichen Aktivitäten auf den Exchange Servern hätten Administratoren keine andere Möglichkeit gehabt, als diese notfalls vom Netz zu nehmen, da es bis auf das Live-Monitoring keinen effektiven Schutz vor den Attacken gab. Und selbst als dann die Updates bereitstanden, ergab sich durch die Update-Politik von Microsoft das Problem, dass sich jeweils nur die neuesten sogenannten kumulativen Updates der jeweiligen Exchange Versionen patchen ließen. Das Einspielen dieser Updates ist nicht unbedingt trivial und erfordert ebenfalls einen gewissen Zeitaufwand. Erst nach einer weiteren Woche wurden von Microsoft Patches für alle Service Packs, sogenannte Cumulative Updates (CUs), von Exchange bereitgestellt. Währenddessen wurde das Ausmaß des Angriffs immer größer, mit einer schlussendlich sechsstelligen Zahl betroffener Systeme weltweit und viel Arbeit für die Administratoren, die Systeme zu bereinigen. Die Langzeitfolgen lassen sich noch gar nicht abschätzen, da viele Firmen eventuell nicht bemerkt haben, dass ihre Server betroffen sind. Es dauert manchmal Monate, bis ein infizierter Server dann auch übernommen und zum Beispiel mit einer Ransomware verschlüsselt wird, um dann ein Lösegeld für die Daten zu erhalten.

 

 

Information Security: Cloud versus On-Premise

Objektiv betrachtet könnte man nun meinen, hier ergeben sich unschlagbare Vorteile der Cloud Services gegenüber vergleichbarer On-Premise Lösungen:

• Priorisierung bei der Updatebereitstellung
• automatisches Einspielen der Updates
• geringer eigener Administrationsaufwand
• …

Doch so einfach ist es bei genauerem Hinsehen nicht. Für die Sicherheit der Kunden-spezifischen Cloudumgebung ist nicht einfach nur der jeweilige Cloud-Service-Provider zuständig. Er stellt zwar Sicherheitsfunktionen in seinem Cloudservice und teils auch optional und ergänzend nutzbare Sicherheitsmodule zur Verfügung, der Kunde jedoch muss die Sicherheitsfunktionen für seine Bedarfe aktivieren und einrichten. Er muss sicherstellen, dass seine Systeme in der Cloud gemäß seinem Sicherheitsbedarf abgesichert sind.

Security schaffen bei Cloud-Services

Vor einer Cloudmigration ist daher eine Risikoanalyse notwendig, um mögliche Angriffspunkte bei einer zukünftigen Cloudnutzung zu erkennen und zu verhindern. Ein zu untersuchendes Risiko hierbei ist grundsätzlich: Ökosysteme wie Microsoft 365 bzw. Azure, Amazon Web Services (AWS) oder die Google Cloud bieten durch ihre schiere Größe ein viel lohnenderes Ziel für Angreifer, da sich bei auftretenden Sicherheitslücken viele Kunden auf einmal hacken lassen. Aus der Bewertung der Risiken sind dann die einzurichtenden Sicherheitseinstellungen für den Cloudservice abzuleiten. Als Richtlinie bieten sich hier verschiedene Frameworks, wie etwa das NIST Cybersecurity Framework an.

Fehlende Sicherheitseinstellungen können gerade im Rahmen von Infrastructure as a Service (IaaS), wie virtuelle Server, gravierende Auswirkungen haben. In der Vergangenheit ist es oft vorgekommen, dass man Server in der Azure oder AWS Cloud gefunden hat, auf denen Daten für jeden zugänglich waren, weil vom jeweiligen Kunden einfachste Absicherungen nicht vorgenommen wurden. Für diese Sicherheitseinstellungen ist natürlich die spezielle Expertise auf Cloud-Administrator-Level nötig.

Auch die automatische Überwachung von Cloudumgebungen, egal ob PaaS, IaaS oder SaaS, ist nicht selbstverständlich. Microsoft zum Beispiel hat den „Microsoft Defender for Endpoint“ (ehemals „Advanced Threat Protection“) nicht standardmäßig in seine Produkte integriert. Dieser Schutz muss vom Kunden zusätzlich über eine Monats- oder Jahreslizenz beschafft und dann von den Cloud-Administratoren auf den entsprechenden Systemen installiert, aktiviert und schließlich in Zusammenarbeit mit dem Cloud-Anbieter überwacht werden. Nur so hätte zum Beispiel den massenhaften Attacken auf die Exchange Server im Februar rechtzeitig entgegengewirkt werden können.

Fazit

Ist die Information Security nun in der Cloud höher als On-Premise? Anhand des MS Exchange Hacks wird sichtbar, das beim Thema Information-Security der Wechsel in die Cloud auf den ersten Blick nahezu nur Vorteile gegenüber dem On-Premise Betrieb mitbringt. Doch beim genaueren Hinsehen wird deutlich, das auch beim Cloud Betrieb das Absichern der IT einigen Aufwand mit sich bringt sowie die entsprechende Aministrations-Expertise vorhanden sein muss, da die Cloud-Service-Provider oft nur Mittel und Anleitungen zur Verfügung stellen. Hier ist zu überlegen, ob man diese Expertise intern aufbaut, oder aber auch outsourct. Dabei ist natürlich zu beachten, dass es nicht nur einen Cloud-Service-Provider gibt, was den Aufbau und das Aktuell-Halten von Wissen zu einer aufwändigen Sache werden lässt.

Der Erfolg der Steuerung externer Service Provider hängt wesentlich von der Gestaltung der Toolunterstützung ab: Zuständige Mitarbeiter benötigen den einfachen und schnellen Zugriff auf alle relevanten Informationen. In der Praxis wird häufig ein Sammelsurium an Tools eingesetzt. Dadurch entstehen Schwachstellen, die zur Ineffektivität und Reibungsverlusten bei der Providersteuerung führen. In diesem Beitrag wird eine beispielhafte Möglichkeit vorgestellt, diese Schwachstellen zu minimieren.

Die eingesetzte Toollandschaft soll alle Prozesse unterstützen, um externe IT-Services über den gesamten Outsourcing-Lebenszyklus zu managen, zu monitoren und zu bewerten. Diese Prozesse sind insbesondere: Vertragsmanagement, Performance Management, Beziehungsmanagement, Risikomanagement, Changemanagement, Providerbewertung, Compliance Management, Continual Improvement.

 

 

Beispielaktivitäten und typischer Tooleinsatz

Die Rolle des Providermanagers ist je nach Rollenfestlegung an vielen dieser Prozesse beteiligt. Beispielaktivitäten in den Prozessen und für die jeweils verwendeten Tools sind:

Rechnungsprüfung und Budgetüberwachung:

Im Rahmen des Prozesses Finanzmanagement prüft der Providermanager alle Rechnungen auf Vollständigkeit. Er gibt sie frei, wenn sie korrekt sind. Bei Unstimmigkeiten werden Rückfragen an den Provider gestellt. Weiterhin überwacht er den Status der Rechnungen und die relevanten Budgets (inkl. Forecasting). Für seine täglichen Aktivitäten braucht der Providermanager eine Momentaufnahme von folgenden Informationen:

• Budget: Sollbudget, IST-Ausgabe und Budget-Forcast
• Rechnungsprüfung: Budgetname, Rechnungsdatum, Rechnungsname, Rechnungsstatus, Rechnungsbetrag
• Service-Vertrag und Service-Reports: abzurechnende Mengen, Pauschalen, Einzelpreise, Rabatte, Skonti etc.

Tools zur Bereitstellung dieser Informationen sind zum Beispiel das eigene ERP-System, ein Vertragsmanagement-System und eine Datei-Ablage.

SLA-Reports prüfen:

Bei dem Prozess Performance Management prüft der Providermanager die SLA-Kennzahlen auf Plausibilität, Richtigkeit und darauf, ob das SLA erfüllt wurde. Der Provider stellt ihm dafür periodisch SLA-Reports zur Verfügung. In den regelmäßigen Governance-Meetings bespricht der Providermanager die Ergebnisse der SLA-Prüfung mit dem Provider. Bei SLA-Verletzungen werden Maßnahmen diskutiert und vereinbart. Der Providermanager kann zudem die vertraglich festgelegten Strafen einfordern.

Um diese Aktivität auszuführen, braucht er zusätzlich zu dem SLA-Report mit Ist- und Zielwerten, die SLA-Rahmenbedingungen aus dem Vertrag. Diese Informationen sind häufig wieder in Vertragsmanagementsystemen oder Dokumentenablagen gespeichert.

Risiken überwachen:

Im Prozess Risikomanagement werden die Risiken im Risikoregister in regelmäßigen Abständen überprüft und die Umsetzung der zu ergreifenden Maßnahmen sowie deren Status überwacht. Der Providermanager behält stets den Status der Risiken im Blick.

Für diese Aktivitäten kommen meisten Excel-Dokumente und zentrale Datei-Ablagen zum Einsatz.

 

Schwachstellen

Der Einsatz von diversen verschiedenen und unverbundenen Tools zur Steuerung des Providers hat Schwachstellen zu Folge. Diese wiederum führen zur Ineffektivität und Reibungsverlusten bei der Providersteuerung. Typische Schwachstellen sind:

Zugangsrestriktionen zu Systemen:

Häufig kann der Providermanager nicht direkt auf Informationen in verschiedenen Systemen zugreifen, weil er keine Zugriffsberechtigung hat. Gute Beispiele hierfür sind Vertragsmanagement-Systeme, die beim Einkauf angesiedelt sind. Der Providermanager muss in solchen Fällen die nötige Information über Drittpersonen einholen.

Redundante Datenhaltung:

Der Providermanager braucht für seine tägliche Arbeit Daten aus vielen Systemen, die er sich manchmal mühselig zusammensuchen muss. Um der Sucherei zu entgehen, fängt er an, sich Daten auf einer eigenen Datei-Ablage abzulegen. Dadurch entsteht das Risiko der Dateninkonsistenz zwischen den Datei-Ablagen und Systemen.

Fehlende Systemschnittstellen:

Wegen fehlender Schnittstellen zwischen den Systemen können bei teilweise redundanter Datenhaltung ebenfalls Dateninkonsistenzen entstehen.

Zeitintensiver Zugriff auf Informationen:

Ad hoc Informationen müssen mühsam manuell aus den Systemen oder Dokumenten zusammengesucht werden. z.B.:

• Termine im Kalender oder in der Datei-Ablage abgespeicherte Protokolle: Wann finden welche Gremienmeetings statt? Mit welchen Beteiligten?
• Fristen in den Verträgen (Vertragsmanagement-System): Kündigungsfristen, Verlängerungsfristen, Abwicklungsfristen usw.
• Ansprechpartner und Rollen beim Provider in der Datei-Ablage
• Aktionsstatus im Kollaborationstool
• SLA-Vorgaben mit Vertragsstrafen in den Verträgen (Vertragsmanagement-System)

 

Verbesserungsansatz

Es zeigt sich, dass für die Providersteuerung eine Menge an Informationen aus verschiedensten Tools notwendig sind. Entsprechend ist es wichtig, den Mitarbeitern die wesentlichen Informationen konsolidiert und vereinfacht an einem Ort bereitzustellen. Ein Weg dies zu erreichen ist, mit Hilfe eines Tools wie SharePoint einen zentralen Zugang zu allen relevanten Informationen für die Providersteuerung zu schaffen.

SharePoint ist webbasiert und erlaubt es, die Bereitstellung von Informationen nach den eigenen Bedürfnissen zu konfigurieren. Wesentliche Informationen zur Datenanalyse und Steuerung der Provider können in SharePoint abgelegt und dargestellt werden. Sie können dabei untereinander verknüpft werden. Weiterhin besteht die Möglichkeit, die jeweils erforderlichen Daten über ein flexibles Berechtigungskonzept den verschiedenen Beteiligten entsprechend ihrer jeweiligen Rolle transparent zur Verfügung zu stellen. Detaillierte Informationen können zudem über eine Verlinkung zu den relevanten Systemen (ERP-System, ITSM-System, Vertragsmanagement-System) bereitgestellt werden. Dabei ist es möglich, die Informationen mit den Daten aus den Originalsystemen automatisch abzugleichen.

 

 

SharePoint bietet die Option, wesentliche Informationen aus allen Bereichen mittels eines Dashboards darzustellen. Dies kann als Einstieg in die verschiedenen Bereiche dienen. In unserem Beispiel mit dem Providermanager sind es die Bereiche für Performance Management, Finanzmanagement, Beziehungsmanagement und Risikomanagement.

Im Risikomanagement-Bereich können das Risikoregister und die Risikostammdaten direkt eingepflegt werden. Der Risikostatus der Services kann automatisch ermittelt und dargestellt werden. Der Providermanager kann sich so zu jeder Zeit einen Überblick über den aktuellen Risikostatus jedes einzelnen Services verschaffen.

Finanzdaten (i.d.R. auch Budgets und Rechnungen) sind alle im ERP-System. Zusätzlich sind aber für die Rechnungsprüfung SLA- und Vertragsdaten (Abrechnungspositionen, Pauschalen, zu erreichende Service Level Zielwerte, Vertragsstrafen etc.) erforderlich. Diese können aus dem im Vertragsmanagement-System abgelegten Verträgen extrahiert und direkt in SharePoint bereitgestellt werden.

Die periodischen SLA-Reports vom Provider können automatisch in den Performancemanagement-Bereich eingepflegt werden. Dies bietet die Möglichkeit, die SLA-Vorgaben, ebenfalls automatisch, direkt mit den Reports zu vergleichen und zu visualisieren. Eine Verlinkung zu Maßnahmen bei SLA-Verletzungen in das Vertragsmanagement-System ist ebenfalls möglich. Die schnelle Prüfung der SLA-Reports fällt dem Providermanager somit leichter.

 

 

Fazit

Mit der Bereitstellung aller wesentlichen Informationen zur Providersteuerung an einem Ort spart der Providermanager viel Zeit. Die aufwendige Suche nach Informationen entfällt. Das flexible Berechtigungskonzept stellt sicher, dass nur berechtigte Personen Zugriff auf die für sie jeweils relevanten Daten haben. Der Providermanager ist stets gut informiert und kann schnell auf negative Entwicklungen reagieren. Dies untermauert sein kompetentes Auftreten und sicheres Standing gegenüber Management und Providern.