Governance-as-Code: Wenn Compliance aus Git kommt

← Alle Artikel

Governance-as-Code: Policy trifft Versionskontrolle

Klassische Compliance läuft über Word-Dokumente, PDFs und SharePoint-Ordner. Niemand liest sie. Niemand weiß, welche Version aktuell ist. Audits werden zum Horrortrip.

Governance-as-Code löst das strukturell.

Was ist Governance-as-Code?

Alle Richtlinien, Policies, Grenzwerte und Freigabelogiken werden als maschinenlesbare Dateien (YAML, JSON) in Git versioniert:

# HITL-BOUNDARY-POLICY.yaml
rules:
  - action: production-deploy
    decision: HITL
    reason: Irreversibel, Produktionseinfluss
  - action: read-only-query  
    decision: AUTO
    reason: Kein Risiko, vollständig reversibel

Warum das besser ist

Klassisch	Governance-as-Code
PDF in SharePoint	YAML in Git
Manuell aktualisiert	Versioniert, diff-bar
Ignoriert	Maschinell durchgesetzt
Auditvorbereitung: Wochen	Audit-Report: automatisch

IIO’s Umsetzung

Das IIO-Framework hat über 400 Governance-Dateien in Git:

• Freigaberichtlinien (HITL-Boundary-Policy)
• Datenschutz-Regeln (CDT-Levels)
• Kostenkontrollen (Cost-Control-Policy)
• Compliance-Nachweise (Evidence-Trail)

Jede Änderung ist nachvollziehbar. Jede Entscheidung ist auditierbar.

Governance-Implementierung für Ihr Unternehmen →

Was Governance-as-Code konkret heißt

Traditionelle IT-Governance lebt in Word-Dokumenten, SharePoint-Ordnern und E-Mail-Threads. Governance-as-Code bringt dieselben Prinzipien in den Code:

# Beispiel: HITL-Gate Definition in YAML
gate_id: gate.production-deploy
title: Production Deployment Freigabe
risk_level: HIGH
approvers:
  - role: operator_admin
auto_conditions:
  - infra_mode: standard
  - branch: feature/*
block_conditions:
  - actor_trust: L0
  - infra_mode: storm

Die vier Prinzipien

1. Versionierbar — Governance-Änderungen im Git-Log nachvollziehbar. Wer hat wann welche Richtlinie geändert?

2. Testbar — Policy-Tests laufen in der CI/CD-Pipeline. Kein Deployment ohne Governance-Check.

3. Auditierbar — Maschinenlesbare Evidence-Dateien für jeden Entscheidungspunkt. Auditoren erhalten vollständige Pakete ohne manuelle Aufbereitung.

4. Automatisch durchsetzbar — Policies werden beim Verstoß automatisch geblockt — nicht nur dokumentiert.

Praxisbeispiel: Payroll-Freigabe

Ohne Governance-as-Code: Excel-Tabelle → Freigabe per E-Mail → manuelles Buchen. Mit Governance-as-Code: Berechnung automatisch → HITL-Gate öffnet → Reviewer sieht Diff → Klick → SEPA-Datei generiert.

Ergebnis: 70% weniger manuelle Schritte, 100% Audit-Trail.

IIO Platform-Architektur →