ESM: Enterprise Service Management mit klaren Zuständigkeiten und Kontrollen

Enterprise Service Management (ESM) ist ein Ansatz, bei dem alle Bereiche einer Organisation ihre internen Leistungen als definierte Services anbieten und über eine gemeinsame Plattform mit festgelegten Abläufen, Freigaben und Nachweisen erbringen. Methoden und Werkzeuge stammen aus dem IT Service Management.

Aus Sicht der Governance ist ESM mehr als ein gemeinsames Portal. Sobald Personal-, Finanz- oder Sicherheitsvorgänge über dieselbe Plattform laufen, enthält sie vertrauliche Daten und dokumentiert Entscheidungen. Wer darf was sehen, wer gibt frei, wo liegen die Daten und wie lange? Diese Fragen sollten vor dem ersten Service beantwortet sein. Einsatzgebiete in HR, Facility und Kundenservice beschreibt der Leitfaden Was ist ESM?.

Das Wichtigste in Kürze

• Definition: ESM überträgt Servicekatalog, Workflows, Portal und Wissensdatenbank aus dem ITSM auf Fachbereiche.
• Verantwortung: Die Fachbereiche sind Eigentümer ihrer Services, die IT betreibt die Plattform.
• Personaldaten: Nach Art. 328b OR dürfen Arbeitgeber sie nur bearbeiten, soweit sie die Eignung für das Arbeitsverhältnis betreffen oder für die Durchführung des Arbeitsvertrags erforderlich sind.
• Nachweise: Freigaben und Änderungen sollten so festgehalten sein, dass sie bei einer Prüfung nachvollziehbar sind.
• Regulierte Branchen: Banken und Wertpapierhäuser beachten zusätzlich das FINMA-Rundschreiben 2023/1, wenn ESM-Workflows IKT-Vorgänge steuern.

Stand: November 2026 · Fachlich abgeglichen mit OR und DSG (Fedlex), FINMA-RS 2023/1 und den ITIL-Angaben von PeopleCert (Quellen am Ende des Artikels)

ESM als Steuerungsrahmen

Ohne ESM hat jede Abteilung eigene Eingangskanäle: ein Postfach, eine Excel-Liste, ein Formular im Intranet. Für die Geschäftsleitung bleibt offen, welche Leistungen intern erbracht werden, wie lange sie dauern und wer sie freigibt. ESM macht diese Leistungen sichtbar und steuerbar.

Drei Ebenen

• Servicekatalog: die verbindliche Beschreibung jeder Leistung mit verantwortlicher Stelle, Berechtigten, Freigabestufen und Servicelevel.
• Workflow: der dokumentierte Ablauf, der Freigaben erzwingt und Zuständigkeiten festhält, statt sie dem Zufall zu überlassen.
• Nachweis: die Historie eines Vorgangs, also wer wann was beantragt, geprüft, freigegeben und erledigt hat.

Das Vokabular dafür liefert ITIL. Die Practices Service Catalogue Management, Service Request Management und Service Level Management aus ITIL 4 sind nicht an die IT gebunden. Inzwischen liegt mit ITIL (Version 5) eine neue Fassung vor. Nach Angaben von PeopleCert übernimmt sie Wertsystem und Leitprinzipien von ITIL 4, an den Grundlagen für ESM ändert sich damit nichts.

Datenhaltung entscheidet mit

Mit den Fachbereichen kommen Datenkategorien auf die Plattform, die in der IT selten sind: Lohnbestandteile, Arztzeugnisse, Disziplinarvorgänge, Kreditorendaten. Für die Wahl des Betriebsmodells zählt deshalb, wo die Daten gespeichert werden, wer administrativen Zugriff hat und wie Löschfristen umgesetzt werden. Art. 8 DSG verlangt geeignete technische und organisatorische Massnahmen für eine dem Risiko angemessene Datensicherheit.

Wer wofür verantwortlich ist

Ein häufiger Konstruktionsfehler im ESM ist eine unklare Rollenverteilung. Die IT betreibt die Plattform, kann aber nicht entscheiden, wer im Personalbereich eine Bestätigung ausstellen darf. Bewährt hat sich eine klare Trennung:

Wichtig ist, dass IT-Administratoren nicht automatisch Einsicht in vertrauliche Fachvorgänge erhalten. Administrative Rechte und fachliche Leserechte sollten getrennt vergeben und Zugriffe auf sensible Vorgänge protokolliert werden. Die Anmeldung über ein zentrales Verzeichnis mit Single Sign-on erleichtert es, Rechte bei Austritt oder Funktionswechsel zuverlässig zu entziehen.

Wie ESM sich vom klassischen IT Service Management abgrenzt, erklärt der Glossarartikel ITSM.

Kontrollierte Freigaben über Bereichsgrenzen

Der Mehrwert von ESM zeigt sich dort, wo ein Vorgang mehrere Bereiche berührt und jede Stelle ihren Teil belegen muss. Angenommen, eine Privatbank in Zürich stellt eine Mitarbeiterin für den Zahlungsverkehr ein:

1. Das HR erfasst den Eintritt mit Funktion, Abteilung und Startdatum.
2. Die vorgesetzte Person beantragt die nötigen Rollen in den Fachanwendungen.
3. Die Informationssicherheit prüft Rollen mit erhöhten Rechten, etwa die Freigabe von Zahlungen, gegen die Regeln zur Funktionstrennung.
4. Die IT setzt die freigegebenen Rollen um, das Facility Management gibt den Zutritt zu den Sicherheitszonen frei.
5. Jeder Schritt ist mit Person und Zeitpunkt dokumentiert. Bei einer Prüfung lässt sich zeigen, wer welches Recht beantragt und wer es bewilligt hat.

Beim Austritt läuft derselbe Ablauf in umgekehrter Richtung. Genau dort entstehen in der Praxis Lücken: Konten, die weiterbestehen, und Zutrittsrechte, die niemand entzieht. Ein ESM-Workflow, der den Austritt einmal auslöst und alle Bereiche einbezieht, macht offene Schritte sichtbar und verkleinert diese Lücken.

Aus der Praxis

Beim Personalamt des Kantons Thurgau steuert ky2help^® HR-Prozesse wie Probezeitgespräche, Zielvereinbarungen und Beurteilungen. Die Lösung vereinheitlicht, terminiert, überwacht und archiviert diese Prozesse (Referenz Kanton Thurgau). Bei thyssenkrupp Presta in Liechtenstein hat sich die Software von einem ITSM- zu einem ESM-System entwickelt. Heute laufen dort auch Prozesse von Corporate Security, Group Accounting und Facility Services darüber (Referenz thyssenkrupp Presta).

Funktionsumfang prüfen

Risiken und Kontrollen

Mit jedem zusätzlichen Bereich gewinnt die Plattform an Bedeutung, und mit ihr die Anforderungen an ihre Kontrolle. Fünf typische Risiken und passende Massnahmen:

• Zu weite Leserechte: Rollen je Bereich, getrennte Ablagen für vertrauliche Vorgänge und eine Rezertifizierung der Rechte in festem Rhythmus, etwa jährlich.
• Umgangene Freigaben: Freigaben als Pflichtschritt im Workflow, Vier-Augen-Prinzip bei finanziellen und sicherheitsrelevanten Vorgängen.
• Fehlende Nachweise: automatische Historisierung von Statuswechseln, Feldänderungen und Freigaben, die sich nicht nachträglich verändern lässt.
• Personaldaten ohne Zweckbindung: Formulare fragen nur ab, was der Vorgang braucht, wie es Art. 328b OR und der Grundsatz der Verhältnismässigkeit in Art. 6 DSG verlangen. Löschfristen sind je Vorgangsart festgelegt.
• Abhängigkeit vom Betreiber: Klarheit über den Standort des Rechenzentrums, den Datenexport und das Vorgehen bei einem Wechsel.

Regulierte Branchen

Banken und Wertpapierhäuser unterliegen dem FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken». Es verlangt unter anderem geregelte Verfahren für Change Management, IKT-Betrieb und Vorfallmanagement. Nutzt ein Institut seine ESM-Plattform auch für solche IKT-Vorgänge, gehören die Workflows zum internen Kontrollsystem und sollten entsprechend dokumentiert und geprüft werden. Mehr dazu auf der Seite ky2help® für Finanzdienstleister.

Betreiber kritischer Infrastrukturen müssen Cyberangriffe seit dem 1. April 2025 innert 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden. Ein ESM-Workflow kann die interne Meldekette abbilden, die Meldung selbst ersetzt er nicht.

Häufige Fragen zu ESM

Was versteht man unter Enterprise Service Management?

ESM ist die Anwendung von Methoden des IT Service Managements auf alle Bereiche einer Organisation. Fachbereiche wie Personal, Finanzen oder Facility bieten ihre Leistungen über einen Servicekatalog an und bearbeiten Anfragen in dokumentierten Workflows mit festgelegten Freigaben.

Wer ist im ESM für einen Service verantwortlich?

Der Fachbereich, der die Leistung erbringt. Er beschreibt den Service, legt Freigabestufen fest und entscheidet über Leserechte. Die IT betreibt die Plattform und setzt Rollenmodell, Anmeldung und Schnittstellen um.

Welche Personaldaten dürfen in einem ESM-Workflow bearbeitet werden?

Nach Art. 328b OR nur Daten, die die Eignung für das Arbeitsverhältnis betreffen oder für die Durchführung des Arbeitsvertrags erforderlich sind. Formulare sollten deshalb nur abfragen, was der jeweilige Vorgang braucht, und Löschfristen je Vorgangsart festgelegt sein.

Wie lässt sich nachweisen, wer einen Vorgang freigegeben hat?

Über die Historie des Vorgangs. Voraussetzung ist ein Werkzeug, das Statuswechsel, Feldänderungen und Freigaben mit Person und Zeitpunkt festhält. ky2help® nennt im Funktionsumfang eine automatische Historisierung und ein integriertes Daten-Audit. Welche Angaben im Einzelnen protokolliert werden, lässt sich in einer Live-Demo prüfen.

Gilt das FINMA-Rundschreiben 2023/1 auch für ESM?

Das Rundschreiben richtet sich an Banken und Wertpapierhäuser und regelt den Umgang mit operationellen Risiken, darunter IKT-Risiken. ESM erwähnt es nicht. Steuert eine Bank über die Plattform aber IKT-Änderungen, Vorfälle oder Berechtigungen, fallen diese Abläufe unter seine Anforderungen.

Wo liegen die Daten bei ky2help®?

ky2help® läuft als SaaS mit eigener Instanz im Rechenzentrum in der Schweiz oder in Deutschland oder On-Premises in Ihrer eigenen Infrastruktur. Den Support leisten deutschsprachige Mitarbeitende in Vaduz.

Quellen und weiterführende Artikel

Quellen

• Fedlex: Obligationenrecht (SR 220), Art. 328b
• Fedlex: Bundesgesetz über den Datenschutz (DSG, SR 235.1)
• FINMA: Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» (PDF)
• Bundesamt für Cybersicherheit: Meldepflicht für Cyberangriffe auf kritische Infrastrukturen
• PeopleCert: FAQ zu ITIL (Version 5) (englisch)
• KYBERNA: Funktionsumfang von ky2help®

Weiterlesen

• Was ist ESM? Der ausführliche Leitfaden
• Glossar: ITSM, ITIL und Change Management
• Glossar: ISO 27001 und Single Sign-on
• Referenzen Personalamt Kanton Thurgau und thyssenkrupp Presta
• ky2help® für Finanzdienstleister und Cloud oder On-Premises