Causing factors, outcomes, and governance of Shadow IT and business-managed IT: a systematic literature review

Abstract

Shadow IT and Business-managed IT describe the autonomous deployment/procurement or management of Information Technology (IT) instances, i.e., software, hardware, or IT services, by business entities. For Shadow IT, this happens covertly, i.e., without alignment with the IT organization; for Business-managed IT this happens overtly, i.e., in alignment with the IT organization or in a split responsibility model. We conduct a systematic literature review and structure the identified research themes in a framework of causing factors, outcomes, and governance. As causing factors, we identify enablers, motivators, and missing barriers. Outcomes can be benefits as well as risks/shortcomings of Shadow IT and Business-managed IT. Concerning governance, we distinguish two subcategories: general governance for Shadow IT and Business-managed IT and instance governance for overt Business-managed IT. Thus, a specific set of governance approaches exists for Business-managed IT that cannot be applied to Shadow IT due to its covert nature. Hence, we extend the existing conceptual understanding and allocate research themes to Shadow IT, Business-managed IT, or both concepts and particularly distinguish the governance of the two concepts. Besides, we find that governance themes have been the primary research focus since 2016, whereas older publications (until 2015) focused on causing factors.

Workarounds and shadow IT – balancing innovation and risk

“…There is general agreement is that a workaround is the use of an application that is supported by a corporate IT department, whereas shadow IT (often written as Shadow IT) is the use of unsupported and unapproved IT applications which may either have been acquired and supported by a department or are the personal IT applications of employees, notably the use of smart phones. (Hulsebosch 2023; Klotz 2019; Rakovic 2020; De Vargas Pinto 2022; Soffer 2023).…”

Shadow IT in higher education: survey and case study for cybersecurity

“…Documentation surrounding a shadow IT system is sometimes used when available [3,4,16,18]. Finally, some shadow IT literature is based on a meta-review of existing literature, to summarize the field or synthesize new ideas [20,21,23,24,26,27].…”

Von Schatten-IT zu Business-managed IT: Fachbereichs-IT gezielt gestalten

“…Demzufolge kann die langsam und wenig agil erscheinende IT-Organisation die Anforderungen der Fachbereiche nicht mehr adäquat erfüllen. Weiterhin gibt es oft wenig Restriktionen für Fachbereichs-IT, oder Restriktionen sind den Mitarbeitern in Unternehmen nicht bewusst [4,6]. Die Nichtausrichtung der IT-Organisation an den Bedürfnissen der Fachbereiche ist eine Hauptursache für das Entstehen von Fachbereichs-IT.…”

“…Diese agilen, iterativen Prozesse ermöglichen zudem mehr Flexibilität bei der Suche nach neuen Lösungen[4]. Die Literatur nennt als weiteres Potenzial von Schatten-IT und Business-managed IT die Förderung von Innovationen[6].Die Studienteilnehmer und die akademische Literatur haben zahlreiche Risiken der selbstständigen Erstellung, Beschaffung und Verwaltung von IT-Instanzen durch die Fachbereiche in Form von Schatten-IT und Business-managed IT beschrieben. Insbesondere Sicherheitsrisiken, fehlender Datenschutz, Ineffizienzen und eine fehlende Integration wurden als Risiken angeführt[4,6].…”

“…Die Literatur nennt als weiteres Potenzial von Schatten-IT und Business-managed IT die Förderung von Innovationen[6].Die Studienteilnehmer und die akademische Literatur haben zahlreiche Risiken der selbstständigen Erstellung, Beschaffung und Verwaltung von IT-Instanzen durch die Fachbereiche in Form von Schatten-IT und Business-managed IT beschrieben. Insbesondere Sicherheitsrisiken, fehlender Datenschutz, Ineffizienzen und eine fehlende Integration wurden als Risiken angeführt[4,6]. Dabei sind sich die Teilnehmer unserer Studien und die akademische Literatur weitestgehend ei-nig, dass Sicherheitsrisiken und mangelnder Datenschutz die größten Risiken von Schatten-IT sind.…”