Risikomanagement für IT- und Software-Projekte

Präsentation zum Thema: "Risikomanagement für IT- und Software-Projekte"—  Präsentation transkript:

1 Risikomanagement für IT- und Software-Projekte
Round Table Zürich, 2. September 2004 Information Risk Management © 2004 KPMG

2 Vielen Dank für Ihr Interesse!
Mit Ihrem Interesse an dieser Veranstaltung beweisen Sie, dass Fragen der Reorganisation unabhängig von Ihrer Branche sehr gross ist. Ich bin überzeugt, dass wir in dieser Zusammensetzung eine für alle sehr befruchtende Diskussion führen werden Vielen Dank für Ihr Interesse! Alea Europe AG Axpo Informatik Basler Kantonalbank cosba private banking ag Die Mobiliar Direktion für Entwicklung und Zusammenarbeit Eidgenössische Finanzkontrolle Immobit AG Kühne & Nagel Management Migros Genossenschaftsbund Migrosbank Raiffeisen Informatik AG Robert Bosch AG SBB AG Swiss Life Telekurs UBS AG Unisys (Schweiz) AG Zühlke Engineering AG Zürich Financial Services Zürcher Kantonalbank Information Risk Management © 2004 KPMG

3 Der Verantwortungsbereich Ihrer Gesprächskollegen
Mit Ihrem Interesse an dieser Veranstaltung beweisen Sie, dass Fragen der Reorganisation unabhängig von Ihrer Branche sehr gross ist. Ich bin überzeugt, dass wir in dieser Zusammensetzung eine für alle sehr befruchtende Diskussion führen werden Der Verantwortungsbereich Ihrer Gesprächskollegen Geschäftsführung Informatikleitung IT Risk Management IT Security Interne Revision Project Office Projektleitung Qualitätssicherung Information Risk Management © 2004 KPMG

4 Vorstellung des Gastreferenten
Qualität & Informatik Haslernstrasse 14 8954 Geroldswil Vorstellung des Gastreferenten Dr. Ernest Wallmüller Geschäftsführer von Qualität & Informatik Tel.: 01 / Handy: Coaching im Projekt- und Prozess-Management Univ. Dozent für Wirtschaftsinformatik Audit und Assessment von verschiedenen Standards: -- ISO 9001, EFQM, TPI, CMMI, SPICE/ISO15504 Autor zahlreicher Publikationen: -- Risikomanagement für IT- und Software-Projekte (2004, Hanser Verlag) -- Software-Qualitätsmanagement in der Praxis (2001, Hanser Verlag) Information Risk Management © 2004 KPMG

5 Ihre Ansprechpartner bei KPMG
Ich möchte das Team vorstellen, welches Sie durch die Veranstaltung führen wird Herr Fredy Frei ... Herr Thomas Sutter Herr Stefan Ritsch Diese Herren werden in der Expertenrolle der anschliessenden Diskussion beiwohnen Moderiert werden die Diskussionen zum einen von Herrn ..., zum anderen von mir Mein Name ist Palf Ploner. Ich habe am 1. August letzten Jahres von Andersen zu KPMG gewechselt und leite das Competence Center Project Risk Management KPMG Fides Peat Badenerstrasse 172 CH-8026 Zürich 4 Ihre Ansprechpartner bei KPMG Gregor Frey Partner Tel.: Gerhard Wasnick Senior Consultant Tel.: kpmg.com Ralf Ploner Senior Manager Tel.: S. Lustenberger Assistant Tel.: kpmg.com Thomas Sutter Senior Manager Tel.: Marco Grüter Senior Consultant Tel.: Information Risk Management © 2004 KPMG

6 Inhaltsverzeichnis No Risk- no business (fun) Grundlagen
Risiken in Unternehmen Gefahren bei Software-Projekten und -Produkten Prozesse, Techniken und Hilfsmittel Methodische Grundaufgaben Fallstudie Einführung von Risikomanagement und Risikomanagementprozessen Zusammenfassung und Ausblick Information Risk Management © 2004 KPMG

7 KPMG Expertenbeiträge
Operational Risk Management und der Impact von Basel II für die Finanzdienstleister Stefan Ritsch Vertrauen dank der Informations-sicherheitsnorm BS (ISO 17799) Reto P. Grubenmann Management des Projekt-portfolios - Die Kunst, das Richtige richtig zu tun, Ralf Ploner Stakeholder Management - Richtiger Umgang mit Menschen und Erwartungen Ralf Ploner Information Risk Management © 2004 KPMG

8 Agenda Eingangsreferat 16.00 -16.50
Zur Agenda: Im Anschluss an meine kurze Begrüssung wird Herr Stefan Ritsch und ich in das Thema IT in der Reorganisation einführen. Wir werden auf Beispiele, Erfahrungen und Konzepte eingehen. Er soll auch einige Impulse für die dann anschliessende Diskussion geben. Damit die Diskussionen in angemessener Grösse stattfinden können, teilen wir das Plenum auf 2 Diskussionstische auf. Sie sehen auf Ihrem Namensschild in der Ecke einen Buchstaben, welcher Ihre Gruppenzugehörigkeit angibt. Gruppe A wird anschliessend in Raum ... verschieben. Gruppe B ... Agenda Eingangsreferat IT-Risikomanagement: Status Quo & Trends IT-Risikomanagement-Organisation Risiken in IT- und Software-Projekten IT-Risikomanagement-Tools & -Frameworks Zusammenfassung & Fragen für die Diskussion Moderierte Diskussion Gruppe A Gruppe B Apéro 18.00 Information Risk Management © 2004 KPMG

9 Risikomanagement für IT- und Software-Projekte im Kontext zum KPMG Information Risk Management
IT & Information Security Architecture Definition Assess Reduce Monitor Review, Hacking, Penetration Tests, User Mgmt., Single Sign On, Information Systems Audit, Web Trust Certification Process Risk Management (ITIL, COBIT) Engineering, Customer - Supplier, Management Processes Information Risks Technology Processes Projects IT Risk Assessment & Benchmarks BS7799, SPICE, Systems (SAP, Abacus), PKI IS Audit & Certification Business Continuity Planning Software Evaluation & Migration Controlling SAP, CRM, Windows 2000, ... Project Portfolio Evaluation Project Risk Assessment Project Risk Management Risk & Quality Management, Project Management, Board Coaching, External Project Management Costs & Performance Management Service Level Mgmt., Cost Reduction, Outsourcing Management Information Risk Management © 2004 KPMG

10 Der „Reifegrad“ in Schweizer Unternehmen Quelle: KPMG Studie „Risikomanagement 2004“
30% der Unternehment verfügen über ein umfassendes & integrier-tes Risikomanagement-system Viele Komponenten des RM-Systems sind zwar vorhanden aber nur teilweise dokumentiert und noch weniger häufig kommuniziert Information Risk Management © 2004 KPMG

11 IT-Risikomanagement: Status-Quo & Trends
Ralf Ploner

12 Status Quo: Die Top-IT-Risiken des Jahres 2003 Quelle: KPMG-Studie “IT Management 2003”
Grösste Risiko-Konzentration im Bereich “IT-Management“: IT-Planung & -Controlling, Projekt- & Projektportfoliomanagement, IT-Risikomanagement Wenige Risiken im Bereich der Technik identifiziert; der technische Zustand der IT wird als solide eingeschätzt Information Risk Management © 2004 KPMG

13 Welche Risiken entstanden durch die “Kostenbremse”
Welche Risiken entstanden durch die “Kostenbremse”? Quelle: KPMG-Studie “IT Management 2003” Die IT-Sicherheit bleibt unangetastet Information Risk Management © 2004 KPMG

14 Das Risiko der Markterholung: Projektstau Quelle: KPMG-Studie “IT Management 2003”
Mit ausbleibendem unternehmerischem Erfolg werden die Projekte auf die Wartebank geschoben Dank verbessertem Projektportfoliomanagement ist es aber nicht zu einem „hysterischen“ Projektestreichen gekommen Bei denjenigen Unternehmen, welche transparente Verrechnungsmodelle zu den Projektleistungen führen, hat der Projektstau überproportional zugenommen Die Qualität im Projektmanagement ist gestiegen: weniger „Abenteuerlust“ und engeres Controlling sind die Gründe hierfür Es ist sinnvoll heute Aufträge an Dritte zu vergeben: das „Commitment zu Qualität“ ist mehr denn je vorhanden Zunahme der Projektbudgets 2003 im Durchschnitt um 3% Zunahme des Projektstaus im Durchschnitt um 27%; bei Unternehmen mit IT-Budget-Reduktionen um 40% 2003: Zunahme der Anzahl Projekte in Arbeit um 23% bei Unternehmen mit IT-Budget-Erhöhungen Information Risk Management © 2004 KPMG

15 Status-Quo im Handelssektor Quelle: KPMG IT Risk Management Benchmarking
Business focus 5 1 2 3 4 Information Assets Dependence on IT Regulatory environment Dependence on IT Internal staff 1st Quartile 2nd Quartile 3rd Quartile 4th Quartile Firma Changes to IT Dependence on 3rd parties Reliability of IT Systems Information Risk Management © 2004 KPMG

16 Status-Quo im Handelssektor Beispiel einer Bedrohungsanalyse
Bus. led IT Strategy Board IT awareness Current needs vs IS Functionality Business focus 5 1 2 3 4 Information Assets Dependence on IT Regulatory environment Dependence on IT Internal staff 1st Quartile 2nd Quartile 3rd Quartile 4th Quartile Firma Changes to IT Dependence on 3rd parties Reliability of IT Systems Information Risk Management © 2004 KPMG

17 Security of Information and Systems
Status-Quo im Handelssektor Quelle: KPMG IT Risk Management Benchmarking Management of IT 1 2 3 4 5 Control Assurance Project and Change Management Continuity of Systems IT Operations 1st Quartile 2nd Quartile 3rd Quartile 4th Quartile Firma Security of Information and Systems Information Risk Management © 2004 KPMG

18 Status-Quo im Handelssektor Beispiel einer IT-Kontrollanalyse
Senior Mgmt involvement IT Planning Cost management Management reporting Service Level Mgmt Legal Compliance Organisation of IT End User Computing Outsourcing Management of IT 1 2 3 4 5 Control Assurance Project and Change Management Continuity of Systems IT Operations 1st Quartile 2nd Quartile 3rd Quartile 4th Quartile Firma Security of Information and Systems Information Risk Management © 2004 KPMG

19 Konzentration auf die Nettorisiken
Information Risk Management © 2004 KPMG

20 Trends und die Konsequenzen für den IT-Leiter
Es bestehen Nachholbedürfnisse im Projektgeschäft Die hochstehenden Erwartungshaltungen der Geschäftsleitungen bezüglich der IT-Leistungserbringung sowie deren Kosten werden zukünftig noch höher geschraubt Dies fordert den IT-Leiter bezüglich: seiner unternehmerischen Rolle mit guter Chancen/Risiko-Balance exakter strategischer IT-Planung Moderation des Projektportfoliomanagement-Prozesses effektivem Nutzen der relevanten IT-Führungsinformationen aktiver Beteiligung an der Unternehmensentwicklung (Geschäfts-prozess-Kenner mit dem notwendigen Technologie-Know-how) Vorantreiben von sinnvollen Standardisierungen Information Risk Management © 2004 KPMG

21 IT-Risikomanagement- Organisation
Ralf Ploner

22 Die Positionierung von IT Risk Management
Qualität Ordnungs- mässigkeit Security IT Security Management IT Risk Management Informatik Information Information Risk Management Information Security Geschäft Information Risk Management © 2004 KPMG

23 „Kandidaten“ für das IT Risk Management
Board of Directors Nomination und Compensation Committee Audit Committee Group CEO Group CFO Linie / IT-Leiter Risk / Assurance Manager External Audit IT-Security- manager Internal Audit Reporting Koordination Operational IT Information Risk Management © 2004 KPMG

24 Der Risikomanagementprozess
Einsatz von Benchmarking: Awareness aufzubauen Investitionsgrundlagen zu schaffen Risiken zu erkennen RM-Organisation und Prozesse anzustossen Untenehmensziele Risiken erkennen und bewerten Verbesserung des Risiko-managements Informationen Ergebnisse Risikomanage-ment-Strategie Risiko- Monitoring Risikomanagement- prozess Information Risk Management © 2004 KPMG

25 Zusammenspiel Chancen- und Risikomanagement
Welche Unternehmerischen Chancen lassen wir ungenutzt? Welche IT-Risiken bedingen Rückstellungen? Welche Projekte reduzieren die Risiken und sind somit eine Chance? Welche Chancen behandeln wir im Projektportfolio? Welche Risiken beeinflussen die Priorisierung der Projekte? Lösen die Projekte neue Sicherheitsrisiken aus? Wie machen wir die Erfolgskontrolle? Information Risk Management © 2004 KPMG

26 Risiken in IT- und Software-Projekten
Dr. Ernest Wallmüller

27 Warum Risikomanagement?
“NASA took consequences from the Columbia Disaster : Manager fired!” “Washington: NASA boss Sean O'Keefe will renew the (risk) culture of the agency“ „The final report says: Missing risk awareness and lacking moral courage of employees” Don´t forget: Swissair, Enron, KirchGruppe, Toll-Collect, SV-Chipkarte and others 7 crew members died on February, 1st 2003 Information Risk Management © 2004 KPMG

28 Risk Spider Chart in NASA Programs: Essential Program Elements
Visibility of Project Activities Experience Level of Team Level of Technology Readiness TRL 1-3 OJT Limited Reviews, Project Internal TRL 5-6 Proven Team Extensive, Peer & Independent Reviews Design to Cost Existing Result of Technical / Schedule Activity Lowest Risk Planning Extensive, Up-Front Performance is a Tradable Resource Reactive Cohesive, Authority Clear, Fixed, Parent-Child Controlled Process Dynamic, Interactive Widely Dispersed, Controlled Developed as Needed, Free Float Team Operation Requirement Definition Consequence of Resource Limits Information Transfer Communication Risk Management Approach Information Risk Management © 2004 KPMG 39

29 Low Risk / Single Weakness High Risk / Multiple Strengths & Weaknesses
Communication Requirements Planning TRL Experience Cost Visibility Team Low Risk Profile High Risk Profile Low Risk / Single Weakness High Risk / Multiple Strengths & Weaknesses Information Risk Management © 2004 KPMG 40

30 Gängige Risiko-Bereiche Barry Boehm, Software Risk Management
Personelles-Versagen Unrealistische Zeitpläne und Budgets Fortlaufende Anforderungsänderungen und unsichere Anforderungen Sich ändernde und unsichere Technologien Entwicklung der falschen Funktionen Entwicklung falscher Benutzer-Schnittstellen Vergolden Versagen von extern bezogenen Komponenten und Leistungen Überschätzen der IT-Fähigkeiten Nicht das Problem lösen Information Risk Management © 2004 KPMG

31 Gängige Risiko-Bereiche “Where to look for risks?”
Objects to Inspect: Project scope Project schedule Project management plan Request for proposal / Proposal / Contract Work Breakdown Structure (WBS) Statements of work Technical specifications Budgets Organizational Breakdown Structure / Resource Plans Deviations from standards Information Risk Management © 2004 KPMG

32 Risk Management Process
Risk Assessment Identification - Listing the risks Analysis - Determining the probabilities and impacts Prioritization - Ranking the risks for action Risk Control Planning - Determining how & when to take action Resolution - Taking risk mitigation action Monitoring - Measuring the outcome Risk Reporting Risk Assessment • Identification • Analysis • Prioritization Risk Control • Planning • Resolution • Monitoring Risk Management Risk Reporting Information Risk Management © 2004 KPMG

33 Risk Assessment (Identification & Analysis) Risiko-Bewertungstabelle
Information Risk Management © 2004 KPMG

34 Risk Assessment (Prioritization) Priorisieren durch Risikoziffer
Information Risk Management © 2004 KPMG

35 Risk Control Risk reduction stair – ON-49000
avoid Identified project risks (without risk response) mitigate Remaining Project risks (after risk avoidance) limit Remaining Project risks (after risk mitigation) Remaining project risks (after risk limitation) transfer Remaining project risks (after risk transfer) accept Risiko- akzeptanz Risk reduction using project steering measures Information Risk Management © 2004 KPMG

36 Beispiel Risk portfolio - DaimlerChrysler
Information Risk Management © 2004 KPMG

37 IT-Risikomanagement- Tools und -Frameworks
Dr. Ernest Wallmüller

38 Governance im Sinne von angemessener
Unternehmensorganisation und -steuerung um Wertschöpfung langfristig zu sichern Externe Einflüsse • Kunden • Aktionäre • Gesetze • Behörden Interne Stakeholder • Verwaltungsrat • Geschäftsleitung • Management • Mitarbeiter Governance Organisation und Prozesse Risikopolitik Risikostrategie Information und Kommunikation Risikoanalyse Risikobewältigung mit System Kontrollumfeld Information Risk Management © 2004 KPMG

39 Standard ON 49000 for Austria and Switzerland
ON-Regel 49003 Qualifikation des Risikomanagers Qualification of the risk manager Guideline: Integration of risk management in an integrated management system ON-Regel Leitfaden für das Risikomanagement ON-Regel Leitfaden für die Einbettung des Risikomanagements in ein integriertes Management-System Guideline for the risk management ON-Regel 49001 Elemente des Risikomanagement-Systems Elements of the risk management system ON-Regel 49000 Risikomanagement für Organisationen, Produkte, Dienstleistungen und Projekte Begriffe und Grundlagen Terms and basics Information Risk Management © 2004 KPMG

40 Risikobeurteilung / Risikolandschaft ONR 49002-1
häufig möglich selten sehr selten unwahrscheinlich N G C A B H O I M Unbedeutend gering Spürbar kritisch katastrophal F K D E L Information Risk Management © 2004 KPMG

41 Australian Standard Risk Management Process - AS/NZS 4360:1999
Information Risk Management © 2004 KPMG

42 Positionierung gängiger Rahmenwerke
COSO COBIT DSG StGB CMMI ITIL Managementorientiert IT Grundschutz (BSI) BS 7799/ISO 17799 Planung und Organisation Implemen- tation Betrieb Überwachung Phasen- orientiert Legende: COSO = Committee of Sponsoring Organisations of the Tradeway Commission COBIT = Control Objectives for Information and related Technology DSG = Datenschutzgesetz StGB = Strafgesetzbuch CMM = Capability Maturity Model ITIL = IT Infrastructure Library Information Risk Management © 2004 KPMG

43 CMMI Staged Representation
Level 5 Optimizing Organization Innovation & Deployment Causal Analysis and Resolution Level 4 Quantitatively Managed Organizational Process Performance Quantitative Project Management Requirements Development Technical Solution Product Integration Verification Validation Organizational Process Focus Organizational Process Definition Organizational Training Integrated Project Management Risk Management Decision Analysis and Resolution Level 3 Defined Requirements Management Project Planning Project Monitoring and Control Supplier Agreement Management Measurement and Analysis Product & Process Quality Assurance Configuration Management Level 2 Managed Level 1 Performed Information Risk Management © 2004 KPMG

44 For Both Software and Systems Engineering
Risk Management must be implemented at Level 3 Determine risk sources and categories Define risk parameters Establish a risk management strategy Identify risks Evaluate, classify and prioritize risks Develop risk mitigation plans Implement risk mitigation plans Risk Management must be institutionalized at Level 3 Organizational policy Define process Plan Adequate resources Assigned responsibility Training Configuration management Identify and involve relevant stakeholders Monitor and control Collect improvement information Objectively evaluate adherence Review status with higher-level management Information Risk Management © 2004 KPMG

45 Kontrolliere Verfolge Plane Kommuniziere Identifiziere Analysiere Kontinuierliches Risikomanagement (nach SEI, Funktion Beschreibung Identifizieren Suche und orte Risiken, bevor sie zu Problemen werden. Verfolgen Überwache Risikoindikatoren und Vorsorge-/Vermeidungsmassnahmen. Analysieren Übersetze Risikodaten in Entscheidungsinformationen. Bewerte Auswirkungen, Wahrscheinlichkeit und Zeitrahmen, klassifiziere und priorisiere Risiken. Planen Transformiere Risikoinformation in Entscheidungen und Vermeidungs- und Vorsorgemassnahmen und führe diese Aktionen durch. Kontrollieren Korrigiere Abweichungen vom Risiko-Massnahmenplan. Kommunizieren Informiere Projektinterne und -externe über Risikoaktivitäten, über akute sowie neu sich anbahnende Risiken. Hinweis: Kommunikation zieht sich quer durch alle RM-Funktionen. Information Risk Management © 2004 KPMG

46 Tools Risk Radar -- Software Program Managers Network Risk management database to help project managers identify, prioritize, and communicate project risks RiskTrak - Risk Services & Technology Allows an entire project team or organization to view, track, analyze and report on risks in real time CORA: Cost Of Risk Analysis System Software-based risk management system Information Risk Management © 2004 KPMG

47 Umsetzungsempfehlungen
Früh mit RM beginnen RM als iterativer Prozess während des ganzen Projektlebenszyklusses Risiken als potentielle Chancen betrachten Verantwortlichkeiten zuordnen (Prozess, jedes Risiko) Projektstrukturplan (WBS) zur Risikoidentifikation beiziehen Vorsorge-Fonds für Risiken einrichten RM-Plan überwachen und nachführen Das gesamte Projektteam in den Prozess involvieren Information Risk Management © 2004 KPMG

48 Zusammenfassung & Fragen für die Diskussion
Gregor Frey

49 Fragen für die Diskussion
Zur Provokation: Ist Risikomanagement nur ein Modewort der Berater? Leistet das Risikomanagement überhaupt einen Beitrag, um die Qualität in den Informatikprojekten nachhaltig zu verbessern? Ist der Wert des Risikomanagements vorhanden und messbar? Timing: Wann ist der richtige Moment, um das Risikomanagement in IT-Projekte zu involvieren? Wie regelmässig ist die Situation neu zu hinterfragen? Information Risk Management © 2004 KPMG

50 Fragen für die Diskussion
Verantwortlichkeit: Wer ist verantwortlich für das IT-Risikomanagement? Entstehen Reibungsverluste zwischen Audit-, IT-Security und Linienfunktion? Tools, Rahmenwerke und Good Practice: Welche Tools sind für das IT-Risikomanagement die Richtigen? Grundlagen: Welche Informationsquellen sind wichtiger: Menschen (Interviews) oder Dokumente (Projektergebnisse) Welche Informationsquellen sind verlässlich, welche nicht? Information Risk Management © 2004 KPMG

51 Moderierte Diskussion