Continual Service Improvement (CSI): Verbesserungen steuern, belegen und prüfen

Continual Service Improvement (CSI) ist das in ITIL beschriebene Vorgehen, IT-Services und Abläufe fortlaufend und nachvollziehbar zu verbessern: Jede Verbesserung hat einen Auslöser, eine Entscheidung, einen gemessenen Ausgangswert und einen Nachweis ihrer Wirkung. In ITIL v3 und ITIL 2011 war CSI eine eigene Lebenszyklusphase. ITIL 4 und ITIL (Version 5) sprechen von Continual Improvement.

Für Organisationen mit Aufsicht, Revision oder Zertifizierung ist dieser Nachweis der eigentliche Wert. Wer belegen kann, warum eine Massnahme beschlossen wurde und ob sie gewirkt hat, beantwortet Fragen von Prüfern, ohne Unterlagen nachträglich zusammenzusuchen. Auch das Schweizer Datenschutzrecht verlangt, die technischen und organisatorischen Massnahmen zum Schutz von Personendaten über die gesamte Bearbeitungsdauer zu überprüfen und nötigenfalls anzupassen.

Das Wichtigste in Kürze

• Steuerung: Verbesserungen werden zentral erfasst, nach Nutzen und Risiko priorisiert und von einer festgelegten Stelle freigegeben.
• Nachweis: Ausgangswert, Zielwert, Umsetzung und Wirksamkeitskontrolle sind für jede Initiative dokumentiert.
• Abgrenzung: Eine Korrekturmassnahme behebt eine Abweichung, eine Verbesserung hebt das Niveau. Verändern sie Systeme oder verbindliche Abläufe, laufen beide über das Change Management.
• Rahmen: ITIL beschreibt das Vorgehen, ISO/IEC 20000-1 macht die fortlaufende Verbesserung zur prüfbaren Anforderung.

Stand: November 2026 · Fachlich abgeglichen mit PeopleCert/AXELOS und der Datenschutzverordnung auf Fedlex (Quellen am Ende des Artikels)

CSI als Steuerungsinstrument: Governance, Register und Management-Review

Verbesserung geschieht in jeder IT-Organisation. Ob sie gesteuert wird, zeigt sich an drei Fragen: Wer entscheidet, welche Vorschläge umgesetzt werden? Wo ist festgehalten, was beschlossen wurde? Und wie wird geprüft, ob die Massnahme gewirkt hat?

Governance und Verbesserung im ITIL-4-Wertsystem

Das Servicewertsystem von ITIL 4 besteht aus fünf Komponenten: Leitprinzipien, Governance, Service-Wertschöpfungskette, Practices und Continual Improvement. Dass Governance und Verbesserung nebeneinanderstehen, ist gewollt. Die Governance setzt die Richtung und kontrolliert, die Verbesserung sorgt dafür, dass die Organisation sich in diese Richtung bewegt. Für die praktische Arbeit beschreibt ITIL 4 ein Modell mit sieben Schritten, von der Frage nach der Vision bis zur Frage, wie das Erreichte gesichert wird. Laut PeopleCert übernimmt ITIL (Version 5) das Wertsystem und die Leitprinzipien und führt Continual Improvement weiter als Practice.

Das Register als Nachweisinstrument

Das Continual Improvement Register (CIR) ist in ITIL die zentrale Liste aller Verbesserungsvorschläge. In einem kontrollierten Umfeld dient es zugleich als Beleg. Damit es diese Rolle erfüllt, braucht jeder Eintrag:

• eine eindeutige Kennung, den Auslöser und das Datum der Erfassung
• die Bewertung von Nutzen, Aufwand und Risiko sowie die daraus abgeleitete Priorität
• die Entscheidung mit Datum und entscheidender Stelle
• eine verantwortliche Person, den Ausgangswert und den Zielwert mit Termin
• den Verweis auf den zugehörigen Change, falls die Umsetzung Systeme oder Abläufe verändert
• das Ergebnis der Wirksamkeitskontrolle und den Abschluss

Bezug zu ISO/IEC 20000-1

Die Norm ISO/IEC 20000-1:2018 stellt prüfbare Anforderungen an ein Service-Management-System. Kapitel 10 behandelt Nichtkonformitäten mit Korrekturmassnahmen sowie die fortlaufende Verbesserung. Die Managementbewertung in Kapitel 9 schliesst den Kreis: Die Leitung beurteilt regelmässig, ob das System wirksam ist und wo es Handlungsbedarf gibt. Ein gut geführtes Register liefert dafür die Grundlage.

Herkunft des Begriffs: ITIL v3 führte CSI als fünfte Phase nach Strategy, Design, Transition und Operation, mit einem 7-Step Improvement Process. ITIL 4 hat die Phasen 2019 aufgegeben. Die Gesamtsicht auf das Rahmenwerk bietet der Glossarartikel ITIL.

Korrektur, Verbesserung oder Change? Eine notwendige Abgrenzung

In Audits werden drei Dinge häufig vermischt: die Korrekturmassnahme nach einer Abweichung, die Verbesserungsinitiative und der Change, mit dem beides umgesetzt wird. Die Unterscheidung bestimmt, welcher Nachweis erwartet wird.

Beide Wege enden im Change Management, sobald eine Massnahme Systeme, Konfigurationen oder verbindliche Abläufe verändert. So bleibt die Freigabe dort, wo Risiken ohnehin bewertet werden, und eine Verbesserung umgeht keine Kontrolle. Die Ursachenanalyse übernimmt häufig das Problem Management, zum Beispiel mit einer Root Cause Analysis.

PDCA und Managementsystemnormen

Hinter den meisten Varianten steht der PDCA-Zyklus aus Planen, Umsetzen, Prüfen und Handeln, oft Deming-Kreis genannt. ISO/IEC 20000-1 und ISO/IEC 27001 folgen der einheitlichen Struktur für Managementsystemnormen und enthalten je ein eigenes Kapitel zur Verbesserung. Wer beide Normen anwendet, kann Verbesserungen aus Service Management und Informationssicherheit in einem gemeinsamen Register führen.

Verbesserungen kontrolliert umsetzen: sechs Schritte mit Nachweis

Ein Verbesserungsprozess, der Revision und Aufsicht standhält, unterscheidet sich vom informellen Vorgehen vor allem durch klare Entscheidungspunkte. Bewährt hat sich folgender Ablauf:

1. Erfassen: Jeder Vorschlag kommt ins Register, unabhängig davon, ob er aus dem Service Desk, einem Audit oder dem Problem Management stammt.
2. Bewerten: Nutzen, Aufwand und Risiko werden eingeschätzt. Betrifft der Vorschlag Personendaten oder kritische Systeme, gehört die Sicht von Datenschutz und Informationssicherheit dazu.
3. Entscheiden: Eine festgelegte Stelle, etwa die IT-Leitung oder ein Gremium, gibt frei oder lehnt begründet ab. Das Vier-Augen-Prinzip verhindert, dass jemand eigene Vorschläge allein freigibt.
4. Umsetzen: Änderungen an Systemen oder verbindlichen Abläufen laufen über einen Change mit Verweis auf den Registereintrag.
5. Wirksamkeit prüfen: Nach einer vorab festgelegten Frist wird der Zielwert gemessen und mit dem Ausgangswert verglichen.
6. Abschliessen: Ergebnis, Entscheidung über die Beibehaltung und Anpassungen an Dokumentation oder Weisungen werden festgehalten.

Beispiel: Berechtigungen nach einem Abteilungswechsel

Angenommen, eine Krankenversicherung in Luzern stellt bei der jährlichen Rezertifizierung fest, dass Mitarbeitende nach einem internen Wechsel ihre alten Zugriffsrechte oft noch wochenlang behalten. Die Informationssicherheit erfasst den Befund im Register.

• Ausgangswert: Anteil der Abteilungswechsel im letzten Halbjahr, bei denen die alten Rechte innert fünf Arbeitstagen entzogen wurden.
• Entscheid: Die IT-Leitung gibt die Massnahme frei, die Fachverantwortliche der Informationssicherheit zeichnet mit.
• Massnahme: Der Ablauf für Abteilungswechsel erhält einen verpflichtenden Schritt, in dem die bisherige Vorgesetzte den Entzug der alten Rechte bestätigt. Die Anpassung läuft als Change.
• Wirksamkeit: Nach drei Monaten prüft die Informationssicherheit eine Stichprobe und hält das Ergebnis im Registereintrag fest.

Wie Nachvollziehbarkeit im Alltag aussieht, zeigt das Personalamt des Kantons Thurgau, das rund 6'000 Mitarbeitende betreut: Seit der Einführung von ky2help^® sind dort sämtliche Aktivitäten in den HR-Prozessen lückenlos nachvollziehbar, dokumentiert und archiviert. Für die Belege zur eigenen Verbesserungsarbeit sind in ky2help^® automatische Historisierung, ein integriertes Daten-Audit und revisionssichere Dokumentation vorgesehen. Genehmigungsprozesse und Workflows passen Sie im Prozessdesigner selbst an, ohne Programmierung.

Referenz Thurgau lesen

Risiken im Verbesserungsprozess und Prüfpunkte für die Revision

Ein Verbesserungsprozess kann selbst zum Risiko werden, wenn er Kontrollen umgeht oder nur auf dem Papier existiert. Fünf Muster zeigen sich in der Praxis besonders oft:

• Verbesserung am Change vorbei: Eine «kleine Optimierung» an einer Konfiguration wird ohne Freigabe umgesetzt. Abhilfe: Jede Massnahme mit Systembezug braucht einen Change.
• Kennzahlen ohne Definition: Wird die Lösungszeit in zwei Teams unterschiedlich gemessen, ist jeder Vergleich wertlos. Abhilfe: Kennzahlen mit Formel, Datenquelle und Verantwortung festlegen.
• Abschluss ohne Wirksamkeitskontrolle: Einträge werden geschlossen, sobald die Massnahme umgesetzt ist. Abhilfe: Status «wirksam bestätigt» erst nach Messung.
• Auswertungen über Personen: Kennzahlen je Mitarbeitenden sind Personendaten im Sinne des DSG. Abhilfe: Zweck festlegen, Zugriff beschränken, wenn möglich auf Teamebene auswerten.
• Dienstleister ausserhalb des Kreislaufs: Ausgelagerte Leistungen fehlen im Register. Abhilfe: Verbesserungen im Service Review mit dem Dienstleister erfassen und nachverfolgen.

Bezug zu Datenschutz und Finanzmarktaufsicht

Nach Art. 1 Abs. 5 der Datenschutzverordnung (DSV) sind Schutzbedarf, Risiko und die technischen und organisatorischen Massnahmen über die gesamte Bearbeitungsdauer zu überprüfen und nötigenfalls anzupassen. Ein Verbesserungsregister mit Wirksamkeitskontrollen ist ein naheliegender Ort, diese Überprüfung zu dokumentieren. Für Banken regelt zudem das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» den Umgang mit operationellen Risiken einschliesslich IKT-Risiken. Welche Nachweise im Einzelfall erwartet werden, klären Sie mit Compliance und Prüfgesellschaft.

Prüfpunkte für die nächste Revision

• Gibt es ein zentrales Register, und ist jeder Eintrag einer verantwortlichen Person zugeordnet?
• Ist für jede umgesetzte Massnahme die Entscheidung mit Datum und entscheidender Stelle nachvollziehbar?
• Sind Änderungen an Systemen mit einem freigegebenen Change verknüpft?
• Liegen Ausgangs- und Zielwerte vor, und wurde die Wirksamkeit gemessen?
• Fliessen die Ergebnisse in die Managementbewertung ein?

Häufige Fragen zu CSI

Was ist Continual Service Improvement?

Continual Service Improvement (CSI) ist das in ITIL beschriebene Vorgehen, IT-Services und Abläufe fortlaufend auf Basis von Messwerten zu verbessern. In ITIL 4 und ITIL (Version 5) heisst es Continual Improvement.

Wie unterscheidet sich eine Verbesserung von einer Korrekturmassnahme?

Eine Korrekturmassnahme beseitigt die Ursache einer festgestellten Abweichung, damit sie nicht erneut auftritt. Eine Verbesserung hebt die Leistung über das bisherige Niveau, ohne dass zuvor ein Fehler vorlag. ISO/IEC 20000-1 behandelt beides in Kapitel 10.

Muss jede Verbesserung über das Change Management laufen?

Nicht jede. Sobald eine Massnahme aber Systeme, Konfigurationen oder verbindliche Abläufe verändert, sollte sie als Change bewertet und freigegeben werden. So umgeht eine Verbesserung keine bestehende Kontrolle.

Was erwarten Prüfer von einem Verbesserungsprozess?

In der Regel ein zentrales Register, nachvollziehbare Entscheidungen, Ausgangs- und Zielwerte, den Nachweis der Wirksamkeit und die Einbindung in die Managementbewertung. Die konkreten Anforderungen hängen von Norm, Branche und Prüfgesellschaft ab.

Welche Rolle spielt das Datenschutzgesetz?

Nach Art. 1 Abs. 5 DSV sind die technischen und organisatorischen Massnahmen über die gesamte Bearbeitungsdauer zu überprüfen und nötigenfalls anzupassen. Zudem sind Kennzahlen je Mitarbeitenden Personendaten und brauchen einen festgelegten Zweck.

Wie unterstützt ky2help® einen prüfbaren Verbesserungsprozess?

ky2help^® historisiert Änderungen automatisch, bietet ein integriertes Daten-Audit und revisionssichere Dokumentation. Freigabe-Workflows passen Sie im Prozessdesigner ohne Programmierung an. Den Ablauf zeigen wir Ihnen in einer Live-Demo.

Quellen und weiterführende Artikel

Quellen

• Fedlex: Verordnung über den Datenschutz (DSV), Art. 1
• FINMA: Übersicht der Rundschreiben, darunter RS 2023/1
• PeopleCert: FAQ zu ITIL (Version 5)
• AXELOS: ITIL 4 Practice Guide Continual Improvement
• ISO/IEC 20000-1:2018, Kapitel 9 (Bewertung der Leistung) und 10 (Verbesserung)

Weiterlesen

• Funktionsumfang von ky2help® und Cloud oder On-Premises
• ky2help® für Finanzdienstleister und Banken und Referenzen
• Glossar: ITIL, Change Management, Root Cause Analysis, Operational Level Agreement, KPI