Der versierte CIO: Folge 5 – „Die unsichtbaren Ausgaben im Griff behalten“

Mark Dunkerley: Ich kann 20 Jahre zurückblicken, und damals bestanden die versteckten Kosten einfach aus den üblichen Anschaffungen: „Oh, ich brauche einen Server, ich brauche Speicherplatz.“ Und das ist die altmodische Vorgehensweise. Plötzlich, in den letzten fünf, zehn Jahren, sind alle in die Cloud umgestiegen. Heute ist KI natürlich das größte Thema. Ich glaube nicht, dass irgendjemand weiß, wie man KI-Kosten berechnet. Wenn wir das aus der Vogelperspektive betrachten – ausgehend von den Kosten und auch den Dingen, die wir zu ergründen versuchen –, wird es immer anspruchsvoller, und wir müssen immer schneller vorankommen und so aktuell wie möglich sein – und das scheint derzeit in allen Organisationen durchweg der Fall zu sein.

Bradd Busick: Sie hören „The Savvy CIO“, eine von Park Place Technologies sinnvoll modernisierte Sendung. Ich bin Ihr Moderator, Bradd Busick, und in dieser Sendung sprechen wir mit den Menschen, die sich täglich mit diesen Problemen auseinandersetzen, über Budgetdruck, den Einsatz von KI, Sicherheit und die Kunst, den Betrieb am Laufen zu halten, ohne dabei alles in Schutt und Asche zu verwandeln. Bei der Hardware gibt es jede Menge sichtbare Preisschilder – bei Servern und Switches zum Beispiel, sogar bei den Wartungsverträgen, die dafür sorgen, dass diese Geräte weiterlaufen. Hardware kann man anfassen, man kann Dinge wie Abschreibungen mit eigenen Augen sehen und dafür planen. Doch direkt unter dieser Oberfläche verbirgt sich ein ganzer Kosten-Eisberg, den man viel schwerer im Blick behalten kann. Dinge wie Cloud-Wildwuchs, KI-Pilotprojekte, die nie richtig in Gang gekommen sind, aber auch nie eingestellt wurden und immer noch in Ihrer Umgebung herumschwirren. Teure Tools, die nur drei Nutzer haben.

Es gibt eine Menge unsichtbarer Kosten. Sie werden Sie nicht zu Fall bringen, weil sie groß sind. Sie werden Sie nur zu Fall bringen, weil Sie ganz vergessen haben, dass es sie überhaupt gibt. Mark Dunkerley ist Vice President für Enterprise Technology Services und CISO bei Coca-Cola Bottlers’ Sales & Services, was bedeutet, dass er einen der einzigartigsten Blickwinkel in der Branche hat. Er betreut fast 60 Coca-Cola-Abfüller in ganz Nordamerika und ist es daher gewöhnt, sich in großem Maßstab und in Dutzenden unterschiedlicher Geschäftsumgebungen in der Komplexität der Beteiligungsverhältnisse zurechtzufinden.

Mark weiß, dass IT-Ausgaben heutzutage viel weniger einer festen Stromrechnung ähneln, sondern vielmehr einem Mobilfunkvertrag aus dem Jahr 2008. Man glaubt, man habe etwas Bestimmtes abgeschlossen, aber aus irgendeinem Grund enthält die Rechnung 17 verschiedene Positionen, von denen man nicht einmal wusste, dass man dafür bezahlt. Der Druck, Projekte schneller als je zuvor zu entwickeln, ist groß, und die Uhr läuft ständig. Wenn Sie das nicht im Auge behalten, erwartet Sie eine große, böse Überraschung, wenn es an der Zeit ist, die Rechnung zu bezahlen. Und wenn Sie nicht aufpassen, könnten am Ende der CIO oder der CISO die Zeche zahlen müssen. Mark, willkommen bei „The Savvy CIO“.

Mark Dunkerley: Danke, Bradd. Ich freue mich sehr, hier zu sein.

Bradd Busick: Ja, ich freue mich riesig, dass du da bist, Mann. Dein Werdegang ist echt beeindruckend. Um den Ball ins Rollen zu bringen: Erzähl mir doch bitte ein bisschen was über dich. Wie bist du zu dieser speziellen Position bei CCBSS gekommen?

Mark Dunkerley: Was meinen Hintergrund angeht – das hört man wahrscheinlich schon an meinem Akzent: Ich lebe in Florida, bin aber kein gebürtiger Floridianer. Ich komme aus Newcastle in England, und mein Traum war es, Fußballspieler zu werden. Aber ich kam in die USA, besuchte das College mit einem Stipendium als Footballspieler, und so kam ich zur Technologiebranche, wo ich mit der Universität und der Technologiefakultät zusammenarbeitete. Ursprünglich arbeitete ich als Netzwerkadministrator, wechselte dann in die Gesundheitsbranche und beschäftigte mich dort mit vielen Tools für die Zusammenarbeit. Natürlich gehen diese mit Sicherheitsaspekten einher, und ich war in den letzten 11 Jahren in verschiedenen Bereichen des Coca-Cola-Systems tätig. Ursprünglich sollte ich im Bereich der Kollaborationslösungen, der E-Mail-Verwaltung und ähnlicher Tools arbeiten, doch dies führte zu verschiedenen Veränderungen innerhalb des Unternehmens, die mir neue Möglichkeiten eröffneten.

Was mir besonders in Erinnerung geblieben ist, war die Gelegenheit, in unserer Business-Services-Organisation mitzuarbeiten, wo wir eine völlig neue Infrastruktur von Grund auf aufbauen konnten. Und während wir das taten, habe ich mich mehr um die Architektur gekümmert. Das Thema Cybersicherheit gewann zunehmend an Bedeutung. Man muss sich vorstellen: Vor sechs, sieben, acht Jahren begann das Thema wirklich an Bedeutung zu gewinnen, und der Fokus verlagerte sich zunehmend in Richtung Cybersicherheit und die Chance, ein Cybersicherheitsprogramm von Grund auf aufzubauen. Und daraus hat sich entwickelt, wo ich heute bei Coca-Cola-Bottlers’ Sales & Services stehe. Ich weiß, dass es traditionell vielleicht diejenigen gab, die sich auf Sicherheit konzentrierten, und diejenigen, die sich auf IT konzentrierten. Ich hatte die Gelegenheit, wirklich von der IT-Seite in den Bereich Cybersicherheit zu wechseln und nun beide Bereiche gleichzeitig zu überblicken.

Bradd Busick: Das ist fantastisch. Und diese Welten sind heute so verschmolzen, wenn man bedenkt, wo du und ich beide angefangen haben, als sie noch getrennt waren. Um es mit einer Fußball-Analogie zu veranschaulichen: Der Mittelfeldspieler muss in der Lage sein, in der Verteidigung zu spielen, muss aber auch als Stürmer auftreten können. Du hast einfach so viel gesehen. Ich nehme an, dass du allmählich Muster erkennst. Was ist das Eine, das dir im ersten Gespräch aufgefallen ist und das dir viel darüber verrät, wo sie in ihrer Entwicklung stehen? Denn du weißt ja bereits, wohin du sie führen musst. Welche Dinge fallen dir besonders auf?

Mark Dunkerley: Wenn wir die Sache aus Sicht der Sicherheit betrachten, stand bisher die Technologie im Mittelpunkt und war natürlich auch der geschäftliche Treiber, doch in den letzten fünf Jahren hat sich der Fokus verlagert. Ich glaube, es gibt eine große Lücke im Verständnis der Risiken, die wir innerhalb eines Unternehmens und in unserem Umfeld haben, und vielleicht ist es eine der glücklichen Gelegenheiten, die ich hatte, dass ich eher eine „Risiko-zuerst“-Denkweise habe. Und über diese Rolle als Technologieführer hinaus ist es etwas, woran wir als Führungskräfte unternehmensweit breiter arbeiten müssen: Unsere Denkweise muss sich ändern. Wir müssen herausfinden, wie wir mit unseren anderen Unternehmensbereichen zusammenarbeiten, und wenn man sich die Abfüller und andere Einheiten ansieht, hilft das wirklich dabei, das Risiko voranzutreiben und zu verstehen, worum es dabei geht. Das ist meistens nicht der erste Gedanke, der einer kommt. Ich glaube, wir sind auf dem weg dorthin, weil es zu Sicherheitsvorfällen kommt. Wir beginnen zu erkennen, welche tatsächlichen Auswirkungen das hat. Aber Geschäftskontinuität und das Verständnis der aktuellen Situation sind meiner Meinung nach in vielen Unternehmen noch eine große Lücke. Ich neige immer dazu, mich damit auseinanderzusetzen und zu versuchen, ein bisschen mehr zu verstehen.

Bradd Busick: Ja, das finde ich großartig, und Sie sprechen da etwas an, das meiner Meinung nach wirklich wichtig ist. Erstens muss ein IT-Führungskraft heutzutage ebenso sehr Geschäftsmann sein wie Technologe. Und zweitens glaube ich, dass endlich die Erkenntnis einzieht, dass angesichts all der Cyberbedrohungen und der Risikominderung besonderer Wert auf die Geschäftskontinuität gelegt werden muss, um so zu sagen: „Was kostet es, wenn ich tatsächlich den Betrieb einstelle? Wie hoch sind meine Kosten pro Minute?“ Früher kostete uns ein Ausfall 10.000 Dollar pro Minute.

Wenn man es nun so formuliert, würde man meinen, dass die Unternehmensleitung, sobald der CIO um Mittel bittet, sagen würde: „Tu, was du tun musst, damit wir auf dem neuesten Stand bleiben.“

Nicht: „Na ja, die Personalabteilung denkt gerade über dieses neue Rekrutierungsmodul nach.“ Es geht vielmehr darum: Wollen Sie überhaupt, dass Ihr Unternehmen in der Lage ist, neue Mitarbeiter zu gewinnen? Es handelt sich um ein grundlegend anderes Risikoprofil und eine andere Haltung, und ich hoffe, dass Unternehmen, Vorstände und Führungskräfte dies endlich erkennen.

Mark Dunkerley: Ja. Ja. Ich glaube, diese Botschaft kommt auf jeden Fall an. Wir sprechen hier von versteckten Kosten. Wir sehen diese Kosten eines Sicherheitsvorfalls, und wie Sie schon sagten: Ich wette, dass viele Unternehmen gar nicht wissen, was es kostet, wenn der Betrieb eine Minute lang ausfällt. Und wenn man diese Zahlen einmal durchrechnet, werden noch weitere Kosten hinter den Kulissen deutlich. Was ist mit dem Ruf? Wie steht es mit dem Vertrauen der Kunden und allem anderen? Es ist also definitiv etwas, das viel größere Ausmaße annimmt, sobald man anfängt, aufzuschlüsseln, was zu dieser umfassenderen Diskussion gehört.

Bradd Busick: Ja. Ich finde das brillant, und ein Teil davon wird zwangsläufig notwendig, wenn in der Rolle eines CIO oder eines CISO ein Vorfall eintritt. Ich denke, unser Rat wäre: Lasst uns proaktiv handeln. Wir möchten, dass unsere CIOs und unsere CISOs anfangen, dem Marketing, der Führungsebene und dem Vorstand dabei zu helfen, einige dieser Risiken zu formulieren, die niemandem wichtig sind, bis es tatsächlich zu einem Ausfall kommt und man sich plötzlich in einer reaktiven Situation befindet.

Mark Dunkerley: Genau.

Bradd Busick: Bevor wir vielleicht zu sehr ins Detail gehen, was die versteckten Ausgaben angeht, sollten wir wohl zunächst einmal den Hintergrund erläutern, warum dieses Phänomen so weit verbreitet ist. Mir hat einmal jemand gesagt: „Die IT muss sich um ihre eigenen Angelegenheiten kümmern.“

Und meine Antwort lautete: „Nein, lass uns das doch mal umdrehen. Du bist auf meiner Autobahn. Die gesamte Grundlage des Unternehmens ist die Technologie. Und ohne Technologie hast du kein Unternehmen.“ Ich würde mich freuen, wenn du vielleicht ein wenig näher darauf eingehen könntest, wie sich deiner Meinung nach die Rollen von CIO und CISO zunehmend voneinander abgrenzen oder miteinander verschmelzen.

Mark Dunkerley: Ja, das ist eine interessante Frage, denn diese Abteilung ist wahrscheinlich eine unserer jüngsten Organisationen – ich würde sagen, sie wurde erst in den letzten 10 bis 20 Jahren gegründet. Und obwohl wir schon seit einiger Zeit im Sicherheitsbereich tätig sind – ich meine, sagen wir, seit fünf oder zehn Jahren –, ist der Bereich plötzlich erheblich gewachsen, aufgrund von Anforderungen, Vorschriften und allem anderen, was damit einhergeht. Und es war interessant, denn Unternehmen haben begonnen, Cybersicherheits- und Sicherheitsfunktionen aufzubauen.

Und dann gibt es noch die Frage, an wen der CISO berichtet. Sollte der CISO einen Sitz im Vorstand haben? Und dann ist da noch der CIO. Ich halte das alles für sehr wichtige Diskussionen. Ich glaube, vieles hängt davon ab. Ich glaube, letztendlich wird es immer einen CISO oder einen CIO geben. Ich glaube, sie können nicht unabhängig voneinander arbeiten, sie können nicht getrennt voneinander arbeiten. Und es muss eine Art Struktur geben, die es beiden ermöglicht, zusammenzuarbeiten, unabhängig davon, ob sie einander unterstehen oder dem Vorstand unterstehen.

Aber wenn man über das richtige Personal verfügt und CIO und CISO zusammenarbeiten, müssen sie sich gegenseitig verstehen. Ich glaube, dass ein CIO heutzutage in der Regel über Kenntnisse in den Bereichen Sicherheit und Cybersicherheit verfügen muss, um erfolgreich zu sein. Und ich glaube, das Gleiche gilt auch umgekehrt: Ich denke, der CISO, der Sicherheitsleiter, muss über diese technologischen Kenntnisse verfügen und sie verstehen. Daher müssen diese Rollen heutzutage Hand in Hand arbeiten. Es sollte keine Abgrenzung oder Konkurrenz zwischen ihren Aufgaben geben. Alles, was man in seiner Rolle tut, dient dem Wohl des Unternehmens, um es erfolgreich und sicher zu machen und Risiken zu minimieren – und das erreichen wir, indem wir mit unseren Kollegen und anderen innerhalb des Unternehmens zusammenarbeiten, und sowohl der CIO als auch der CISO sollten auf jeden Fall als ein besonders starkes Team zusammenarbeiten.

Bradd Busick: Ich finde, das trifft den Nagel auf den Kopf, und ich habe wirklich, wirklich hervorragende CIOs gesehen, die später CISOs wurden. Ich habe sogar wirklich hervorragende CISOs gesehen, die in einer anderen Organisation die Rolle des CIO übernahmen, und ich glaube, was mir dabei besonders aufgefallen ist, ist diese fließende Verbindung, bei der jeder versteht, was Risikomanagement ist, und dass es nicht mehr nur die Aufgabe eines CISOs oder eines CIOs ist. Es ist eine gemeinsame Verantwortung. Ich glaube, wir sehen allmählich, wie sich diese Zusammenhänge verändern. Zumindest hoffe ich das.

Mark Dunkerley: Ja, da stimme ich zu, da stimme ich zu. Auf jeden Fall.

Bradd Busick: Lassen Sie uns hier mal das Thema wechseln. Ein Teil des Problems beim Risikomanagement besteht natürlich darin, dass eine langfristige Planung wirklich, wirklich schwierig ist. Und manche würden argumentieren, dass es gar nicht mehr möglich ist – wie noch vor zehn Jahren, als ein CEO fragte: „Mark, wie sieht dein Dreijahresplan aus?“ Ich glaube, auch der 18-Monats-Plan ist überholt. Wie lässt sich in diesem extrem hyperagilen Umfeld, in dem wir uns heute befinden, überhaupt noch ein Fünkchen finanzieller Disziplin aufrechterhalten?

Mark Dunkerley: Das ist nicht einfach, denn selbst heute – ich meine, wenn wir mit unseren jeweiligen Vorständen und unserer Führungsebene zusammenarbeiten – müssen wir unsere Kennzahlen und unsere Ziele festlegen. Diese Dreijahres- und Einjahres-Roadmaps sind also Ziele, auf die wir weiterhin hinarbeiten müssen. Wir können also ein paar Darts auf die Dartscheibe werfen und wissen, wo wir am Ende stehen werden, aber ich denke aus meiner Erfahrung her sogar an die Technologie, selbst in den letzten 20 Jahren – vor dem Zeitalter der Technologie – war es einfach, einen Jahreshaushalt und einen Finanzplan aufzustellen. Ganz einfach: Wir wussten, was wir tun wollten und welche Ziele wir für das kommende Jahr hatten. Man führt Technologie ein, und sie verändert sich so schnell, dass man mit KI nicht schon jetzt vorhersagen kann, was sich in drei bis sechs Monaten ändern wird.

Bradd Busick: Das ist genau richtig.

Mark Dunkerley: Wenn man mich also fragt, was ich für das nächste Jahr einplanen muss, denke ich, dass wir in erster Linie dass wir diesbezüglich transparent sein und andere darüber informieren müssen – oder wenn wir darum gebeten werden, diese Informationen bereitzustellen, dass wir das zwar können, aber die Transparenz besteht darin, den anderen Führungskräften – insbesondere den nicht-technischen Führungskräften – bewusst zu machen, dass sich die Technologie so rasant weiterentwickelt hat. Sie werden nächstes Jahr zu mir kommen, weil Sie plötzlich etwas brauchen, oder jemand verkauft Ihnen etwas, und Sie denken, das wird dazu beitragen, diesen ROI zu erzielen, was großartig ist, aber wir haben kein Budget dafür eingeplant. Wir müssen uns jetzt hinzusetzen und darüber nachdenken und reden, und das passiert ständig. Aus Budget-Sicht weiß ich also, dass wir am besten daran tun, das kommende Jahr schrittweise anzugehen. Wir haben natürlich Roadmaps, und diese Roadmaps funktionieren gut, da es traditionelle Technologiedيونten und Dinge gibt, die man im Lebenszyklus durchlaufen muss.

Aber angesichts der derzeitigen technologischen Entwicklung sollten wir über den aktuellen Stand der KI und die Möglichkeiten zu ihrer Nutzung sprechen. Die Frage ist: Wie lässt sich das am besten planen und wie führt man diese Gespräche? Ich und das Team achten immer darauf, dass uns ein gewisses Budget zur Verfügung steht, wenn Projektbudgets anfallen. Und auch hier muss man vorsichtig sein, wie viel man verlangt. Man muss die richtige Balance finden zwischen dem, was wir brauchen, um auf der sicheren Seite zu sein. Aber letztendlich läuft es meiner Meinung nach darauf hinaus, dass sich die Technologie weiterentwickelt und immer mehr zum Geschäftsbestandteil wird, diese Beziehungen entstehen, um sicherzustellen, dass wir gemeinsam herausfinden können, wie wir ein neues Projekt bewältigen können, das vielleicht aus dem Nichts auftaucht, weil wir es nicht früh genug im Voraus einplanen können.

Bradd Busick: Ohne Beziehungen, wie Sie gerade hervorgehoben haben, kann man kein erfolgreicher CIO sein. Man kann auch kein erfolgreicher CISO sein. Beziehungskapital ist genauso wichtig wie Ihre Cloud-Nutzung. Und ich denke, die CIOs, CISOs und IT-Führungskräfte, die hier zuhören: Wenn Sie keine Beziehung zum Unternehmen haben, sind Sie im falschen Job. Und deshalb finde ich es toll, dass Sie das angesprochen haben – ich halte das für brillant. Ich glaube auch, dass dies die Agilität unterstreicht, die wir allmählich im Geschäftsbereich beobachten können und die von der IT erfordert, genauso agil zu sein.

Wenn zum Beispiel einer Ihrer Kunden zu Ihnen käme und sagte: „Hey, es gibt da diese neue SaaS-Plattform oder dieses neue KI-Overlay, das die Qualität am Fließband überwacht“, dann müssen Sie bereit sein, die notwendigen Prüfungen durchzuführen, zu reagieren und Mittel für etwas zu beschaffen, das entweder umgewidmet wurde, oder eine Partnerschaft mit ihnen einzugehen, um gemeinsam diesen Antrag zu stellen, denn der Vorstand wird jetzt sagen: „Okay, Unternehmer, das wird unsere Verarbeitungsqualität verbessern oder unseren Ausschuss um 10 % reduzieren. Mark, ist das sicher?“ Und wenn man über dieses Beziehungskapital verfügt, fügen sich plötzlich all diese Dinge zusammen – und es ist wunderschön, wenn das passiert. Leider geschieht das nicht immer, deshalb freut es mich sehr, zu hören, dass Sie sich darauf vorbereiten.

Ein großes Thema, das in dieser Staffel des „The Savvy CIO“-Podcasts bereits in zahlreichen Gesprächen zur Sprache kommt, ist der enorme Druck seitens der Unternehmen und der Branche, eine umsetzbare KI-Strategie vorlegen zu müssen. Und in den meisten Fällen lautet die allererste Frage, die daraufhin gestellt wird: Ist das sicher? Wie sieht der ROI aus? Ich würde gerne Ihre Meinung dazu hören – Ihre spontane Einschätzung. Glauben Sie, dass die Projekte, an denen wir alle im Bereich KI arbeiten, einen ROI erzielen? Was beobachten Sie und wie messen Sie das?

Mark Dunkerley: Ich glaube, es gab Anwendungsfälle, die einen ROI gezeigt haben, aber ich denke, diese sind sehr begrenzt – im Gegensatz zu der plötzlichen Behauptung, es gäbe viele Anbieter, wir hätten diese großartigen Chancen und das Unternehmen sei verkauft worden. Was könnte dieser großartige ROI denn eigentlich sein? Wir werden all diese Probleme lösen. Und ich glaube, alle haben sich daran gemacht, es zu versuchen, und eine Menge Geld hineingesteckt. Die Realität sieht jedoch so aus, dass es aus geschäftlicher Sicht viel schwieriger ist, als man uns glauben machen wollte.

Ich glaube, es läuft im Wesentlichen auf einige Punkte hin. Erstens gibt es immer noch viele fehlerhafte Daten, und KI kann fehlerhafte Daten nicht beheben. Zweitens arbeiten die meisten Unternehmen immer noch mit Prozessen, die schon jahrelang in Gebrauch sind. Und wenn diese Prozesse nicht optimiert oder überprüft wurden, um den aktuellen Stand von heute und dem Stand der Technik gerecht zu werden, wird auch das die KI nicht beheben können. Wenn wir also die geschäftliche Seite betrachten, denke ich, dass wir noch einen langen Weg vor uns haben, wenn wir versuchen, KI einzusetzen, um das Geschäft und die Dienstleistungen zu verbessern. Es gibt Chancen. Ich weiß, dass wir uns mit KI-Agenten beschäftigen und die Agenten-Komponente immer mehr an Bedeutung gewinnt, aber es gibt immer noch einige grundlegende Probleme, die gelöst werden müssen, bevor wir meiner Meinung nach mit KI im geschäftlichen Bereich wirklich erfolgreich sein können.

Was nun die Produktivität angeht, so entwickelt sich dieser Bereich rasant weiter. Ich meine, wir sprechen über ChatGPT, Copilot und all diese Tools – genau darauf sollten Unternehmen sich gerade jetzt konzentrieren: darauf, wie sie mit ihren Nutzern zusammenarbeiten, um die Produktivität aus diesen Tools herauszuholen, denn es hat sich bewährt. Die Produktivität ist da, die Möglichkeiten sind da, und wir alle haben so viel zu tun. Wir haben so viel repetitive Arbeit, und diese Tools ermöglichen es uns wirklich, glaube ich, von einem Teil dieser mühsamen täglichen Arbeit zu befreien und uns auf die strategischen Dinge zu konzentrieren, die wir für das Unternehmen tun müssen, denn es ist immer dasselbe: Wir müssen mit weniger mehr erreichen.

Bradd Busick: Das stimmt.

Mark Dunkerley: Die Herausforderung besteht nun darin, dass all das, was wir in den letzten 20, 30 Jahren im Bereich der Technologie erreicht haben, nun tatsächlich technologisch möglich ist. Aber wissen Sie was? Jetzt ist es der menschliche Faktor, den wir in den Griff bekommen müssen. Es geht um den Wandel, um die Akzeptanz, und genau darauf müssen wir uns konzentrieren und unseren Blick wirklich richten, wenn wir die Produktivitätsseite betrachten. Wie gestalten wir unsere Programme so, dass wir diese Akzeptanz fördern, den Mehrwert aufzeigen, wie sie unsere Arbeit ergänzt und wie sie unsere Arbeit in Zukunft weiter effizienter gestalten wird? Ich denke, genau darauf muss der Fokus derzeit liegen: Wir müssen versuchen herauszufinden, wie die geschäftliche Seite aussieht, wenn wir unsere Daten und unsere Prozesse betrachten und überlegen, wie wir KI einsetzen können, um effizienter zu werden. Was den ROI in diesem Bereich angeht, so tun wir uns meiner Meinung nach persönlich noch schwer, ihn zu ermitteln.

Bradd Busick: Ja, ich finde, das ist gut ausgedrückt. Jemand aus dem Bereich Produktivität hat mir einmal gesagt: „Wir werden die Wirkung von Produktivitätswerkzeugen daran messen können, dass die Scheidungsraten sinken werden, weil die Menschen jetzt nicht mehr 80 Stunden pro Woche arbeiten werden, sondern 60 Stunden arbeiten und diese 60 Stunden, wie Sie richtig angemerkt haben, auf strategische Aufgaben konzentrieren können.“

Mark Dunkerley: Das finde ich toll.

Bradd Busick: Ich fand, das sei eine interessante Kennzahl.

Der Bereich „Sales & Services“ bei Coca-Cola Bottlings ist riesig. Ich meine, ihr habt eine Unmenge an beweglichen Teilen in einem enorm vielfältigen Spektrum an Dienstleistungen und Umgebungen, und trotzdem agiert ihr tatsächlich wie aus einem Guss. Ich meine, ihr agiert und handelt geschlossen. Ihr und eure Rolle habt den Vorteil, einen guten Überblick über mehr als 50 Abfüller zu haben, um jeden Tag zu erkennen, was in großem Maßstab funktioniert und was nicht. Was ist deiner Meinung nach der häufigste Fehler, den IT-Führungskräfte deiner Erfahrung nach begehen, wenn es um das Ausgabenmanagement und vielleicht auch um einige dieser versteckten Kosten geht?

Mark Dunkerley: Ich denke, wenn wir einfach einen Blick auf die vergangenen Jahre werfen, dann zeigt sich, dass dies insgesamt ziemlich einheitlich ist. Ich glaube nicht, dass das wirklich einzigartig ist. Aber wenn wir uns den Lebenszyklus ansehen – ich meine, ich kann 20 Jahre zurückblicken –, dann lagen die versteckten Kosten, die versteckten Ausgaben, einfach auf dem üblichen Niveau: „Hey, ich brauche eine Anwendung.“
„Nun, wie willst du das hosten?“
„Oh, ich brauche einen Server. Ich brauche Speicherplatz.“ Und das ist die altmodische Vorgehensweise. Und dann, ganz plötzlich, in den letzten fünf, zehn Jahren, sind alle in die Cloud umgestiegen.

Bradd Busick: Ja.

Mark Dunkerley: Und dann heißt es so etwa: „Oh toll, dann richten wir einfach die Cloud ein.“ Und in größeren Unternehmen muss man sich dann mit Schatten-IT und diesen Nutzungskosten auseinandersetzen. Und selbst wenn man ein gutes, gut geführtes Cloud-Infrastrukturteam hat, stellt die Cloud selbst nach wie vor eine Herausforderung dar, und die Nutzungskosten sind sehr anspruchsvoll – es ist sehr aufwendig, diese Kosten zu verwalten. Ich sehe also viele dieser Fälle in Unternehmen, die bisher traditionell vor Ort gearbeitet haben, nun in die Cloud wechseln und versuchen, die Abonnementkosten zu verwalten und zu verstehen, worum es sich dabei handelt.

Heute ist KI natürlich das größte Thema. Jetzt tauchen allmählich unsere KI-Anbieter auf. Wir haben mit einer Art Lizenzierung begonnen, aber die Kosten dafür verlagern sich zunehmend hin zu einem tokenbasierten Modell, und ich glaube, niemand weiß, wie man KI-Kosten berechnet, wenn man sie aus der Perspektive tokenbasierter Kosten betrachtet – das sind auch Dinge, die wir gerade zu ergründen versuchen. Das ist eine Frage, die sich jeder stellt. Ich denke, eines der anderen größeren Probleme, mit denen sich alle noch beschäftigen – ich glaube nicht, dass jemand das bereits überwunden hat –, ist so etwas wie technische Altlasten. Wir haben immer noch alte Server im Einsatz, Server, deren Lebensdauer abgelaufen ist – wir versuchen, uns davon zu befreien, und diese hinter uns zu lassen.

Alte Anwendungen, die noch nicht modernisiert wurden und veraltete Authentifizierungsmethoden verwenden – wie sichert man diese ab und isoliert sie? Ich meine, wenn man sich mit dem Technologierückstand und den Altsystemen beschäftigt, dann ist das meiner Meinung nach etwas, womit jeder immer wieder herausgefordert wird. Und gerade da wir im Zusammenhang mit der Cybersicherheit immer mehr Risiken haben, wird es immer anspruchsvoller, und wir müssen immer schneller vorankommen, wir müssen immer schneller modernisieren und wir müssen in der Lage sein, so aktuell wie möglich zu bleiben. Und das scheint derzeit in jeder Organisation durchweg der Fall zu sein.

Bradd Busick: Das tut es tatsächlich, und das ist, glaube ich, die wunderschöne Spannung: CEOs, CFOs und Vorstände sagen so etwas wie: „Hey, wir brauchen KI“, nur dass sie noch nicht genug investiert haben, um überhaupt an den Punkt zu gelangen, an dem man zu KI „Ja“ sagen kann. Das ist so, als würde man richtig mieses Benzin in einen Ferrari tanken. Das ergibt einfach keinen Sinn. Und um auf deinen Punkt zurückzukommen – und ich denke, das gilt auch für unsere Zuhörer: Man sollte sorgfältig darüber nachdenken, einen Teil dieser technischen Schulden abzubauen, nicht zu KI „Ja“ sagen, bevor man nicht die richtige Strategie in Bezug auf Identität hat, bis man die richtige Strategie für die Authentifizierung hat – und einfach einige der Grundlagen, zu denen die meisten Unternehmen noch nicht einmal die Gelegenheit hatten, sich damit zu befassen, weil sie damit beschäftigt waren, den Betrieb am Laufen zu halten. Es kommt also darauf hinaus, jemanden aufzufordern, sich mit riesigen Schritten in die Strategie zu stürzen, obwohl man sich noch nicht die Zeit genommen hat, die Grundlagen zu verinnerlichen.

Mark Dunkerley: Da stimme ich zu. Ich glaube, genau hier hilft mir der Sicherheitsaspekt wirklich sehr, denn der Sicherheits- und Risikobereich stützt sich meiner Meinung nach stärker auf jene grundlegenden Komponenten, auf die wir uns konzentrieren müssen. Bewährte Verfahren im Bereich der Identitätsverwaltung und die Frage, wie wir die Authentifizierung mit Multi-Faktor-Patching gestalten sollten. Traditionell geht man von einem Patch-Zyklus von mehr als 30 Tagen aus. Aber wissen Sie was? Wenn ein Patch veröffentlicht wird, muss er sofort installiert werden. Das ist die Denkweise, die man verinnerlichen muss. Bei der aktuellen Modernisierung stützen sich all diese Aspekte stark auf die Cybersicherheit und die Einhaltung dieser Rahmenwerke, um sich wieder auf das zu konzentrieren, was zur Unterstützung notwendig ist. Sich moderner aufzustellen, um Unterstützung zu bieten – genau wie du es sagst: Diese neueren Initiativen, bei denen die Vorstände und Führungskräfte sagen: „Hey, wir müssen das jetzt tun, solange wir noch über einige grundlegende Voraussetzungen verfügen.“

Und ich denke, es läuft darauf hinaus, dass man als Führungskraft – insbesondere als CIO und CISO – dafür sorgen und sich in die Lage versetzen muss, zurückblicken und sagen zu können: „Nun, wir haben noch einiges zu tun.“ Und ich wende das auf der Sicherheitsseite in meiner Rolle als CISO an, indem ich die Daten und Fakten auf den Tisch bringe – und das bringt in der Regel viel. Es geht nicht um das Gespräch an sich, sondern darum, wie ich es tatsächlich so formulieren kann, dass es auf der Geschäftsebene Anklang findet. Und für mich sind das Statistiken und Daten – das, was ich ihnen vorlegen kann, um zu zeigen, wo wir stehen und warum wir das tun müssen, um diese Geschichte zu untermauern.

Bradd Busick: Also, für jenen CIO, der gerade diesem Gespräch zuhört und unter enormem Budgetdruck steht oder dessen Budget unter 3 % des Nettoumsatzes liegt – was bedeutet, dass nur das Nötigste abgedeckt ist –, in die Defensive geraten ist und versucht, zu reagieren, anstatt Risiken abzusichern – was ist der eine Ratschlag, den er befolgen oder unterlassen sollte, um diese Dynamik umzukehren und dem Problem zuvorzukommen, anstatt ihm hinterherzulaufen?

Mark Dunkerley: Sie haben das vorhin bereits angesprochen: Wir müssen unsere Programme und unsere Denkweise so umstellen, dass wir proaktiver vorgehen. Wenn man sich die Entwicklung der IT im Laufe der Jahre ansieht, haben wir uns immer wieder in diesem reaktiven Zustand befunden, und das hängt mit diesen versteckten Kosten zusammen. Ich meine, zu versuchen, deutlich zu machen, dass wir plötzlich etwas unternehmen müssen, aber ich habe keine Ressourcen und muss einen Weg finden, damit umzugehen. Und noch einmal: Es ist nicht einfach, diesen Zustand zu überwinden, aber aus Sicherheitssicht lege ich großen Wert auf proaktives im Gegensatz zu reaktivem Handeln und darauf, wie wir uns langfristig für den Erfolg positionieren. Und es geht auch darum, die Denkweise zu ändern, dass es nicht nur in der Verantwortung des CIO oder des CISO liegt. Wir hatten in den letzten Jahren das Problem, dass bei einem Sicherheitsvorfall der CISO seinen Job verliert.

Bradd Busick: Genau.

Mark Dunkerley: Nun, das muss sich ändern, und das ist Teil der Denkweise. Und wie verlagern wir diese Verantwortung und Rechenschaftspflicht weg von einer einzelnen Person – vom CIO und vom CISO – hin zur Geschäftsleitung und zum Vorstand? Und genau darum geht es, wenn man für Transparenz sorgt. So wie ich es mache – und wie wir es im Cybersicherheitsprogramm handhaben, was eigentlich unternehmensweit gelten sollte –, lautet die Frage: Wie lassen sich Ihre Programme am besten steuern? Governance, Risiko und Compliance sind eines der wichtigsten Programme.

Und das kann über den Bereich der Cybersicherheit hinausgehen, genau wie beim CIO aus dem Technologiebereich. Wie präsentiert und steuert man das Programm, das diese Verantwortung von einer einzelnen Person auf das gesamte Unternehmen verlagert? Und genau dort sollte sie letztendlich angesiedelt sein. Also ja, das ist sozusagen mein Gedanke. Es gibt Daten da draußen. Ich glaube, wir haben genug davon in der Community. Wir machen das jetzt schon so lange, dass wir meiner Meinung nach wissen, wie wir uns am besten positionieren können, um noch erfolgreicher zu sein als in der Vergangenheit.

Bradd Busick: Das finde ich großartig. Ja, ich habe tatsächlich das Gefühl, dass die Zukunft wirklich vielversprechend ist, und mir gefällt das Wort, das du angesprochen hast: Gemeinschaft. Ich habe einen WhatsApp-Chat mit 87 CIOs, mit denen ich bei einigen der größten Systeme des Landes zusammengearbeitet habe, und so werden dort Entscheidungen getroffen. Sie sagen einfach: „Hey, nutzt ihr Produkt X? Und wenn es gut genug für Coca-Cola ist, dann ist es auch gut genug für uns.“ Und so verläuft der Dialog manchmal.

Und natürlich macht es Spaß zu sehen, wie die Community zusammenrückt, wenn es um CrowdStrike geht oder wenn der neueste Zero-Day-Angriff auftaucht. Und das gibt mir tatsächlich viel Hoffnung für die Zukunft. Also, Mark, es war mir eine Freude, mich heute mit dir zu unterhalten. Vielen Dank, dass du bei „The Savvy CIO“ zu Gast warst.

Mark Dunkerley: Ja, das hat mir wirklich sehr viel Spaß gemacht, Bradd. Ich weiß die Zeit und die Gelegenheit sehr zu schätzen und danke euch allen da draußen.

Bradd Busick: Ich habe heute meine Zeit mit Mark verbracht. Hier ist, was ich gehört habe und was meiner Meinung nach wirklich beachtenswert ist: Die alten „Swim Lanes“ und Silos gibt es nicht mehr; ich halte es für äußerst wichtig, diese zu einer einzigen Optimierungsspur zusammenzuführen. Mark hat die Bedeutung von Geschäftsbeziehungen hervorgehoben. An Marks Auftreten erkennt man, dass er das Geschäft versteht. Er versteht die Beziehungen, und er würde niemals einen Geschäftspartner alleine vor den Vorstand schicken. Er würde ihn begleiten, und das ist nur durch gemeinsame Erfahrungen, Planung und Partnerschaft möglich. Mark kann sechsen auf den Punkt umschwenken, weil er keinen 18-monatigen Fahrplan hat. Im besten Fall hat er wahrscheinlich einen sechsmonatigen Plan für Fähigkeiten, von denen er glaubt, dass sie das Unternehmen unterstützen würden – nicht, weil er sie sich ausgedacht hat, sondern aufgrund seiner Partnerschaft mit dem Unternehmen. Und sie sind es, die ihm gesagt haben: „Hey, das sind die Dinge, die wir vielleicht tun können wollen.“ Deshalb fand ich Marks Sichtweise dazu großartig und freute mich darauf, etwas Zeit mit ihm zu verbringen, um darüber zu sprechen, wie Coca-Cola das macht.

Das war’s für heute. Vielen Dank fürs Zuhören. Bitte folgen Sie uns, damit Sie keine Folge verpassen. Das war „The Savvy CIO“, präsentiert von Park Place Technologies. Wenn Sie mehr über Park Place erfahren möchten, besuchen Sie www.parkplacetechnologies.com.

Und nun noch ein letztes Wort von unserem Gast. Also, Mark, wie du weißt, heißt die Sendung „The Savvy CIO“. Eine einfache Frage: Was war die klügste Entscheidung, die du bisher in deiner Karriere getroffen hast?

Mark Dunkerley: Das ist eine gute Frage, die mich in Verlegenheit bringt. Die klügste Entscheidung, die ich bisher getroffen habe, war meiner Meinung nach, mich auf diese Position im Bereich Cybersicherheit zu konzentrieren. Das hat mir wirklich geholfen, zu wachsen und mich weiterzuentwickeln, und ich glaube, es wird mir in Zukunft dabei helfen, eine bessere Führungskraft im gesamten Technologiebereich zu sein.

Bradd Busick: 100 % zweisprachig. Wirtschaft und Sicherheit – das ist eine unschlagbare Kombination.

Ich bin Ihr Moderator, Bradd Busick, und wie immer gilt: IT sollte nicht nur mit am Tisch sitzen – IT ist der Tisch.

Mark Dunkerley ist eine erfahrene Führungskraft im Bereich Cybersicherheit und Technologie mit mehr als 20 Jahren Erfahrung im Hochschulwesen, im Gesundheitswesen sowie in Fortune-100-Unternehmen. Er ist spezialisiert auf Unternehmensarchitektur, die Leitung des IT-Betriebs und die Umsetzung widerstandsfähiger, skalierbarer Cybersicherheitsprogramme. Mark hat unternehmensweite Technologiebereiche geleitet, die Infrastruktur, Plattformen und Servicebereitstellung umfassten, und dabei die IT-Strategie auf die Geschäftsziele abgestimmt. Er verfügt über einen MBA und mehrere Branchenzertifizierungen und ist als Vordenker, Hauptredner, Beiratsmitglied und Autor tätig. Er genießt weltweite Anerkennung und wurde als „Top Cybersecurity Leader“ (2022), „Top Global CISO“ (2024, 2025) sowie als Gewinner des „OnCon Icon Award 2026“ für Informationssicherheit ausgezeichnet.