Summary

  • Das GAO verglich CIO-Risikobewertungen vom April 2025 mit Unterlagen zu 53 ausgewählten großen IT-Investitionen bei zwölf Behörden. In 24 Fällen bewertete es das Risiko höher, in 27 gleich und in zwei niedriger als die CIOs. Die Anteile beschreiben diese Auswahl, nicht sämtliche Bundesprojekte.
  • 21 der 53 CIO-Bewertungen waren nach den eigenen behördlichen Abläufen nicht rechtzeitig erneuert worden. Die Verfahren von Education und Health and Human Services (HHS) konnten länger dauern als der von Office of Management and Budget (OMB) verlangte Vierteljahresrhythmus. OMB kündigte im April 2026 ein Nachfolgesystem für das Dashboard an, ohne im geprüften Hinweis einen Starttermin zu nennen.

Das Register warnt, das Rating beruhigt

Der GAO-Bericht vom 7. Oktober 2026 prüft die Qualität einer scheinbar kleinen Verwaltungsentscheidung. Auf dem Federal IT Dashboard steht für eine große Investition eine Risikobewertung des Behörden-CIO. OMB legt die Regeln fest, General Services Administration (GSA) betreibt die Seite, und die Behörden liefern ihre Urteile. Wer über Aufsicht, Geld und Prioritäten entscheidet, sieht einen knappen Wert. Die Schwierigkeiten eines Projekts stehen dagegen in Risikoregistern, Berichten an Führungsgremien und Leistungsdaten.

Für den Vergleich wertete das GAO Haushaltsdaten des Fiskaljahrs 2025 aus 26 Behörden aus. Es wählte 53 Investitionen bei zwölf Behörden mit mindestens 35 Millionen Dollar Entwicklungstätigkeit. Grundlage waren die veröffentlichten CIO-Bewertungen vom April 2025 und die Risikounterlagen etwa vom März desselben Jahres. Hinzu kamen Vorträge vor Entscheidungsgremien, Informationen zur Projektleistung und andere amtliche Berichte. Die Prüfer hielten das öffentliche Urteil an Dokumente, die überwiegend aus den Behörden selbst stammten.

Bei 27 Investitionen stimmten die beiden Einschätzungen überein. In zwei Fällen war der CIO strenger. Bei 24 sah das GAO mehr Risiko. Fünf dieser 24 bewertete es als hochriskant, obwohl die Behörde sie höchstens als mittelriskant eingestuft hatte. Sieben rückten von mittel oder darunter auf mäßig hoch, zwölf von niedrig oder mäßig niedrig auf mittel. Keine dieser Zahlen beweist, dass 24 Projekte gescheitert sind. Sie zeigt, dass der öffentliche Hinweis bei fast der Hälfte der ausgewählten Fälle milder ausfiel als die Aktenlage im GAO-Vergleich.

Mindestens eine solche Abweichung fand sich bei neun der zwölf untersuchten Behörden. Alle sechs ausgewählten Investitionen von Veterans Affairs lagen auf der Seite höheren GAO-Risikos. Bei Transportation waren es fünf von acht, bei HHS vier von neun, bei Treasury drei von vier und bei Homeland Security zwei von vier. Die Nenner sind wichtig. Sie bezeichnen die geprüften Projekte und erlauben kein Urteil über alle Vorhaben einer Behörde.

Ein altes Urteil kann auf einer schnellen Website wohnen

Das GAO prüfte auch, wann die Urteile erneuert wurden. Bei 21 der 53 Investitionen hatten die Behörden ihre eigenen Fristen verfehlt. Diese 21 sind nicht automatisch dieselben Projekte wie die 24 mit höherem GAO-Risiko. Eine ältere Bewertung kann richtig bleiben, eine neue kann Risiken kleinrechnen. Eine belastbare Anzeige braucht deshalb neben dem Wert dessen Stichtag und die Fassung des Risikoregisters, auf der er beruht.

Die 21 verspäteten Bewertungen verfehlten den jeweiligen Zeitplan der Behörden. Neun dieser 21 Werte lagen bei HHS. Education arbeitete mit einem Halbjahreszyklus; bei HHS konnten Teile der Organisation vierteljährlich, andere halbjährlich prüfen. Solche längeren Abstände konnten über die heutige OMB-Vorgabe von mindestens einem Update je Quartal hinausgehen. Ein Projekt wählt seinen nächsten Zwischenfall nicht nach dem Sitzungsplan der Bewertungsstelle.

CIOs dürfen Risiken unterschiedlich gewichten. Das GAO erkannte solche Unterschiede an und stützte seine eigene Bewertung insbesondere auf die von den Behörden geführten Risikoregister. Zwei CIO-Urteile waren sogar strenger als seine Einschätzung. Der Konflikt besteht darin, wie ein bereits dokumentiertes Risiko in eine aktuelle öffentliche Bewertung gelangt. Dazu gehört fachliches Urteil, aber auch ein überprüfbarer Zeitpunkt.

Der Nachfolger darf die Vorgeschichte nicht abschneiden

OMB teilte im April 2026 mit, das bestehende Dashboard auslaufen zu lassen und ein schlankeres System vorzubereiten. Der vom GAO geprüfte Hinweis enthielt keinen Erscheinungstermin und kaum Einzelheiten. Laut GAO war die alte Seite im Mai noch zugänglich. Zugleich war eine frühere GAO-Empfehlung an OMB zur besseren Aufsicht über durch CIO-Werte erkennbare Problemprojekte noch unerledigt. Ein Ersatz, der nur den jeweils letzten Wert übernimmt, würde die entscheidende Frage ausradieren: Wann stand ein Risiko im Register, wann änderte sich das Rating, wann traf die Aufsicht eine Entscheidung?

Das GAO sprach diesmal 17 neue Empfehlungen an neun Behörden aus, um Genauigkeit und Häufigkeit der CIO-Bewertungen zu verbessern. Fünf Behörden stimmten ihren Empfehlungen zu. Homeland Security stimmte einer zu und widersprach einer anderen; Commerce und Defense widersprachen, Treasury bezog keine Position. Die Antworten sind öffentlich. Die Wirkung wird an späteren Datensätzen erkennbar: ein geändertes Risikoregister, ein fristgerecht angepasstes CIO-Rating und eine dokumentierte Reaktion des zuständigen Gremiums.

Heng Lus Überlegung zum Vertretungsproblem in der Governance liefert die Frage, wer ein Signal kontrolliert und wer die Folgen eines verspäteten Signals trägt. Sämtliche Bundeszahlen stammen aus dem GAO-Bericht. Projektteam, CIO, OMB und GSA besitzen verschiedene Glieder derselben Kette. Solange der Übergang zwischen Akte, Urteil und Anzeige nicht datiert ist, kann eine Behörde Warnungen intern besitzen und öffentlich dennoch Ruhe ausstrahlen.

Sources