Reduktion der Dokumentationspflichten für Softwareentwicklung und Softwaredeployment in einem regulierten Umfeld

Abstract

Der Artikel beschäftigt sich mit der Reduktion der IT Dokumentationspflichten in einem Unternehmen, welches als Kapitalanlagegesellschaft einer Reihe von verbindlichen externen Richtlinien und selbstauferlegten Vorgaben unterliegt. Über mehrere Jahre sind mit wachsenden Vorschriften redundante Kontrollen und Ergebnistypen mit Überschneidungen etabliert worden, die zwar die Dokumentationspflichten darstellen, in der Praxis jedoch einen hohen Aufwand erzeugen. Vergleichbar mit anderen größeren Unternehmen werden Kontrollen von unterschiedlichsten Funktionen, teils praxisfern, teils praxisnah, definiert und sind dann von Projekten zu erfüllen. In der Ausgangssituation fanden wir neben verschiedenen Tools, in denen Kontrollen abgebildet wurden auch eine sog. Service Acceptance Criteria Liste (SAC-Liste) vor, welche verbindlich 160 Kontrollen für Produktivnahmen enthielt. Mit unserem Vortrag zeigen wir auf, wie die Kontrollen mit einer einheitlichen Struktur und einer übergreifenden Methodik aufeinander abgestimmt und damit Redundanzen sowie Blindleistung erheblich reduziert werden können. Die angewendete Struktur setzt dabei auf folgende Eigenschaften einer Kontrolle auf: Scope, zur Steuerung des Geltungsbereichs; Szenarien bezüglich des Umfangs und Art der Änderung; Quality Gates, die eine Abhängigkeit und eine Abfolge aufzeigen; Fokus auf Ergebnistypen mit Gütekriterien als Kontrolle, klare Benennung der relevanten Verantwortungen hinsichtlich Definition von Kontrollen, Bearbeitung sowie Empfänger und Abnehmer. Diese Kombination ergibt ein leicht darstellbares, pflegbares Kontrollenmodell, welches zugleich eine Reduktion der Kontrollen auf das Wesentliche ermöglicht. Ergänzend wurde ein einfacher, an Lean-Management-Methoden angelehnter Prozess etabliert, mit dem der Neuaufbau von redundanten Prüfungen verhindert werden soll. Zusätzlich sollen die Kontrollen so aufbereitet werden, dass diese zielgerichtet, risikoorientiert und passend für das jeweilige IT-Projekt ausgewählt werden und jeweils zeitnah geprüft werden. Mit Hilfe des neuen Modells kann anhand eines Beispielprojekts nachgewiesen werden, dass die Pflichtkontrollen auf 9 % des ursprünglich undifferenzierten Gesamtumfangs reduziert werden können. Der Artikel stellt das Projekt und das erarbeitete Optimierungsmodell vor.