IT Glossary
SaaS-Governance legt die Regeln für Kauf, Nutzung und Ablösung von Anwendungen fest. Erfahren Sie, was eine durchsetzbare Richtlinie enthält.
August 7, 2026
SaaS-Governance ist die Gesamtheit der Regeln und Prozesse, die bestimmen, wie Anwendungen in eine Organisation gelangen, darin betrieben und wieder abgelöst werden: wer Software kaufen darf, welche Sicherheits- und Datenprüfung sie bestehen muss, wer sie verantwortet, wie Zugriff gewährt wird und wann das Tool abgelöst wird. Sie steuert den Anwendungsbestand selbst, während die Zugriffs-Governance die Berechtigungen darin steuert.
Die scheiternde Richtlinie verbietet nicht freigegebene Käufe und bietet keinen schnellen Alternativweg, die Mitarbeitenden kaufen also trotzdem und der Bestand wird unsichtbar. Die funktionierende Richtlinie akzeptiert, dass Menschen Tools finden, und macht den freigegebenen Weg schneller als die Karte: ein kurzer Katalog, eine Prüfung am selben Tag für risikoarme Tools, und eine fortlaufende Aufdeckung für alles, was trotzdem durchrutscht. Governance, die sich nicht durchsetzen lässt, ist Dokumentation und keine Kontrolle.
Ein Unternehmen schreibt eine Richtlinie, die für jeden Kauf die Freigabe der IT verlangt. Ein Jahr später findet die Aufdeckung 47 nicht freigegebene Anwendungen. Die Richtlinie war nicht falsch, sie war nicht durchsetzbar, denn nichts erkannte einen Verstoss vor einem Audit. Eine fortlaufende Aufdeckung zu ergänzen macht aus derselben Richtlinie eine wirksame Massnahme, weil ein nicht freigegebenes Tool nun binnen Tagen auftaucht statt bei der Verlängerung. Citel Guichard nutzt SaaS-Management genau für diese Art von IT-Governance, auf der Aufdeckungs- und Verantwortungsebene, die Corma bereitstellt.
Die SaaS-Governance entscheidet, welche Anwendungen das Unternehmen betreibt und unter welchen Bedingungen. Die Zugriffs-Governance entscheidet, wer welche Berechtigung innerhalb dieser Anwendungen hält.
Nicht durch die Richtlinie allein. Sie verringert sie, wenn der freigegebene Weg tatsächlich schneller ist, und erkennt den Rest über fortlaufende Aufdeckung statt über periodische Audits.
Die IT führt sie üblicherweise an, mit der Finanzabteilung für die Kosten und der Sicherheit für das Anbieterrisiko. Jede einzelne Anwendung braucht trotzdem eine benannte fachliche Verantwortung, um steuerbar zu sein.
ISO 27001 nennt sie nicht als solche, doch ihre Massnahmen zu Lieferantenbeziehungen, Asset-Inventar und Zugriffsverwaltung verlangen praktisch dieselben Bestandteile.
