Wie immer: Eine sehr persönliche Zusammenfassung des Tages Was ich gehört und verstanden habe Nicht unbedingt was die Referenten wirklich gesagt haben

Transkript

1 IT-Migration aus Sicht des Prüfers IT-Migration aus Sicht des Prüfers Peter R. Bitterli, CISA, CISM Wie immer: Eine sehr persönliche Zusammenfassung des Tages Was ich gehört und verstanden habe Nicht unbedingt was die Referenten wirklich gesagt haben Bitte beachten Sie das Urheberrecht: Sie dürfen diese Folien ausschliesslich zusammen mit diesem Copyright-Vermerk an Dritte weitergeben. Wenn Sie Teile daraus in eigenen Referaten oder Darstellungen verwenden, bitte ich Sie um einen entsprechenden Quellenhinweis so wie auch ich bei allen von anderen Personen oder Stellen übernommenen Darstellungen einen entsprechenden Hinweis aufführe. Eine kommerzielle Verwendung ist ausdrücklich nur mit schriftlichem Einverständnis des Verfassers gestattet.

2 Warum ist das Thema wichtig für die Prüfer? Michel Huissoud CISA, CIA Vizedirektor Eidgenössische Finanzkontrolle Bern Vize-Präsident ISACA Switzerland Chapter Mitglied des Fachstabs Informatik der Schweiz. Treuhand-Kammer IT-Migration aus Sicht des Prüfers

3 Warum ist das Thema wichtig für die Prüfer? Michel Huissoud Revisoren sollten Kenntnisse haben über inhärente Risiken (z.b. alle Migrationen stehen unter Zeitdruck) Kontrollrisiken (z.b. fehlende oder unwirksame Kontrollen, mangelhafte Tests) Alle Risiken nehmen zu; dies sollte in unserer Arbeit reflektiert werden

4 Warum ist das Thema wichtig für die Prüfer? Michel Huissoud Anforderungen an Prüfer: PS400: Abschlussprüfer muss beurteilen, ob interne Kontrollen während der ganzen Rechnungsperiode in Funktion waren GeBüv Art. 3 Echtheit und Unverfälschbarkeit und Art. 10 Überprüfung und Datenmigration [PRB]: Bedingt bei Migrationen besondere Anstrengungen; steht aber im Widerspruch zum Budget

5 Warum ist das Thema wichtig für die Prüfer? Michel Huissoud Unterschiedlichste Arten von Migrationen auf allen Ebenen der Cremeschnitte, welche oft grossen Einfluss auf Geschäftsprozesse haben Zuverlässigkeit des IKS oft wird mindestens kurzfristig (negativ) beeinflusst Wir Prüfer sollten vermeiden, dieselben Lücken wie die anderen Beteiligten aufzuweisen

6 Die hohen Erwartungen gegenüber den Prüfern Marcel Walker Chief Executive Officer, COMIT AG, Zürich IT-Migration aus Sicht des Prüfers

7 Die hohen Erwartungen gegenüber den Prüfern; Marcel Walter Für Banken: Zum Kunden differenzieren, alles andere Kostenoptimieren Standardisierung macht für fast alle Sinn Gegen Projektende führen Verschiebungen zu wahnsinnigen Folgen: Verzögerungen gegenüber Stakeholdern kaum erklärbar Neue Produkte führte zu enormer Migrations-Welle Grosse Enttäuschung aller Beteiligten grundsätzlich grosse Herausforderungen Migration = 2 Jahre Ausnahmezustand Reputationsschäden Typische Verschiebungen: mehrere Monate bis neuer Cut-over möglich Mehrkosten typisch 4-5 Mio/Monat

8 Die hohen Erwartungen gegenüber den Prüfern; Marcel Walter Ausgangslage Management gar nicht trainiert für Migration Hunderte von Lieferobjekten Von Revision zwingend zu tun: Qualitätssicherung, aber mehr als formelles Nachprüfen Erfahrung von anderen Second Opinion sehr schwierig sehr nützlich in Krisen Unterscheiden zwischen strategischer und operativer Projektebene

9 Die hohen Erwartungen gegenüber den Prüfern; Marcel Walter Was ist das richtige Mass der Prüfung? Behutsam vorgehen, aber zu wenig ist auch nicht gut Zu viel: neues Projektrisiko Aktiv beitragen zur Wertschöpfung des Projektes Früh auf heikle Themen aufmerksam machen In hektischen Situationen Übersicht bewahren Stimmung muss gut sein! [PRB]: Sind wir Revisoren dazu überhaupt in der Lage?

10 Die hohen Erwartungen gegenüber den Prüfern; Marcel Walter Standardsoftware Erste Releases nie fertig, da zu wenig umfassend Fertigstellung ist für Jahre eines der zentralen Risiken Tests, Schulung, Doku usw. immer unvollständig Migrationen: Business- nicht IT-Projekte Als Prüfer Wesentliches tun Testmanagement Reconciliation alt <> neu Schnittstellen zu Umfeld

11 Konkrete Erfahrungen mit der Planung von Migrationsprüfungen Thomas Koch CISA Senior Manager Systems & Process Assurance, PricewaterhouseCoopers Zürich IT-Migration aus Sicht des Prüfers

12 Konkrete Erfahrungen mit der Planung von Migrationsprüfungen; Thomas Koch Unterschiedlichste Gründe für Migrationsprojekte Technologische Entwicklung Wettbewerb Kostendruck Standardisierung Arten von Migrationsprojekten aber: ein standardisierter Vorgehensansatz für die Revision

13 Konkrete Erfahrungen mit der Planung von Migrationsprüfungen; Thomas Koch Strukturiertes Revisions- Vorgehen in klaren Schritten Unterschiedlicher Aufwand je nach Phase Teilweise interne/externe Revision gemeinsam Gewisse Themen sollten sinnvollerweise intern geprüft werden Beauftragung erfolgt immer wieder mal zu spät Schlechte Planung erhöht [PRB: letztlich für alle] den Aufwand nach Cut-over

14 Konkrete Erfahrungen mit der Planung von Migrationsprüfungen; Thomas Koch Konzentration der Revision auf wesentliche Themen notwendig Schwerpunkte wandeln sich Auch grüne, nicht nur rote Bereiche anschauen Klare Fragestellungen zu bestimmten Zeitpunkten Revision oft sind dazu notwendige Deliverables (viel) zu spät Muss rasch Ergebnisse liefern 10,000 Testfälle kann niemand beurteilen IKS-Design steht oft zu spät

15 Erkenntnisse aus Migrationsprüfungen und -begleitungen aus Revisionssicht (aus Optik der Daten) Dr. Pascal Semadeni CISA, SAP-certified Consultant Manager Mathias Sager CISA Manager IT-Migration aus Sicht des Prüfers Technology & Security Risk Zürich

16 Erkenntnisse aus Migrationsprüfungen; P.A. Semadeni, M. Sager Es gibt Unterschiede in der Zahl der Prüfungsphasen aber nicht in wesentlichen Inhalten Revision bei Daten-Migration Daten werden 1:1 migriert? Export, Transformation, Tests und Import sind schwierig und wichtig Separate Abstimmung aber organisatorisch integriert in Migrationsprojekt mit eigenen Kontroll(ziel)en

17 Erkenntnisse aus Migrationsprüfungen; P.A. Semadeni, M. Sager Validierungen der Daten detailliert vorgeben Probleme GUIs nicht einfach glauben sondern hinterfragen Daten-Extraktionen kritisch Umgang mit vermeindlichen Redundanzen (Homonymen) Kritische Umwandlungen (Duplikate, transformieren) Bereinigungen fehleranfällig und oft nicht nachvollziehbar! Bereinigungen nach Sign-Off Übergabe Projekt > Betrieb

18 Erkenntnisse aus Migrationsprüfungen; P.A. Semadeni, M. Sager Projekt-Fortschrittskontrolle für verschiedene Workstreams Sinnvoll wäre rasche Migration wegen paralleler Datenpflege wegen manuellem Workaround wegen Datensicherungen Schalter für Schreiben im alten System bewusst umlegen [PRB]: Restore-Verfahren für alte Datensicherungen? Ausserbetriebsetzung ist eigenes Projekt

19 Risques de dégradation du SCI Que faut il auditer?? Emanuel Campos Expert comp. dipl. Projects Manager Banque Pictet & Cie, Genève IT-Migration aus Sicht des Prüfers

20 Risques de dégradation du SCI Que faut il auditer? Emanuel Campos Grösstes Risiko aus Optik seines Arbeitgebers: gescheitertes Migrationsprojekt steht in Zeitung Big Bang -Migration mit 40 kritischen Systemen (von 260) Daten Systeme Prozesse Benutzer (2000) Resultat von 4 Jahren Arbeit grösste Herausforderung: die menschliche Komponente

21 Risques de dégradation du SCI Que faut il auditer? Emanuel Campos Grosse Bedeutung der zwischenmenschlichen Themen Erfolgsfaktor Projekt: Frühzeitige Governance Anpassung Risikomanagement Einbezug des Business Wahl eines Champion Erfolgsfaktor Revision Permanenter Einbezug Regelmässiger Challenge Koordiniert mit Projekt Fokus auf Diskussion von Risiken

22 Risques de dégradation du SCI Que faut il auditer? Emanuel Campos Iterativer Verbesserungsprozess für Tests mit Schlüssel-Benutzer Ausgefeilte Storyboards Zunehmende Verfeinerung der Planung der Abschlussphase Selektion möglicher Termine Auf keinen Fall am Ultimo!? Frühzeitiger Fokus auch auf generellen IT-Kontrollen Permanente Berücksichtigung Gesamtbild Mehrere Zyklen mit kurzem Parallelbetrieb alt <> neu

23 Die technische Migration: ein Minenfeld? Heinz Többen Geschäftsleitung Swisscom IT Services Bern IT-Migration aus Sicht des Prüfers

24 Die technische Migration: ein Minenfeld? Heinz Többen Provider ticken anders sind extrem kostenbewusst man bekommt was man bezahlt (bei US-Provider) hängen Preise von Quartalsende ab Providerwechsel sind kritisch Der alte Provider stellt ab Nicht dokumentierte Funktionen vor öffentlichem Entscheid analysieren Partnerwechsel bedingt offene Kommunikation

25 Die technische Migration: ein Minenfeld? Heinz Többen Transparente Kommunikation ist (auch hier) zentral Realität bei (technischen) Migrationen ist immer anders als geplant: Vorhandene technische Installationen Lokale Vorschriften/Behörden Testbarkeit von Vorgaben, wie z.b: Simulation von 10,000 Usern Grösse des Stromverbrauchs Verfügbarkeit von Test- Software

26 Die Lehren aus dem Seminar Peter R. Bitterli CISA, CISM Bitterli Consulting AG Zürich Vorstandsmitglied ISACA Switzerland Chapter Mitglied des Fachstabs Informatik der Schweiz. Treuhand-Kammer IT-Migration aus Sicht des Prüfers

27 Zeitlicher Verlauf Migration Verfügbarkeits-/Qualitäts-Level in Abhängigkeit der Zeit Aktivitäts-Niveau 2-3 Tage Migration Vernünftiger Neubetrieb Zeit mindestens so gut wie vorher

28 Die Lehren aus dem Seminar; Peter R. Bitterli Unterschiedlichste Arten von Migrationen Migrationen sind einmalige Ereignisse: Neues Umfeld Neues Produkt Erhöhte Komplexität Neue Kontrollen (noch) unwirksam Parallelbetrieb alt/neu oft nicht möglich Inhärentes, Kontroll- und Aufdeckungsrisiken nehmen alle zu! Problematisch ist Negieren der grossen zusätzlichen Risiken auf allen Ebenen: Softwareentwickler Geschäftsleitung akzeptieren grösste Restrisiken als unterhalb der Akzeptanz- Schwelle Revisoren Ein Hauptrisiko ist der zu grosse Optimismus Gegenmittel sind ausgefeilte Tests

29 Die Lehren aus dem Seminar; Peter R. Bitterli Theoretischer Parallelbetrieb (auch über kurze Zeit) ist in der Praxis oft extrem schwierig Rollback in vielen Fällen total ausgeschlossen Projektleiter schliessen das oft bereits im voraus aus kaum getestet und testbar oft gar nicht (mehr) möglich Und die Revision? Fachlich & kommunikativ herausragende Revisoren Spagat zwischen Beitrag auf strategischer Ebene (beim Steuerungsausschuss) und operativer Ebene (Projektleitung) Unser Beitrag hat leider oft direkten Einfluss auf die Stimmung Pizza-Essen ist gut, aber Ausreichende Zahl von Qualitätsaudits machen

30 Die Lehren aus dem Seminar; Peter R. Bitterli Auftraggeber schränken Prüfaufträge manchmal (unsinnig) ein Generell zu wenig Ressourcen (Anzahl und Skills) auf Seite Kunde Kundenprojekte laufen oft nicht ideal wie funktioniert der standardisierte Revisionsansatz in diesem Umfeld? Gibt es den idealen Zeitpunkt überhaupt? Jahresende ja oder nein? Einige migrieren genau am Jahresende, viele sicher nicht! Business Vertreter Steuerungsausschuss auf Seite Projektleitung auf Seite Revision Bestimmte Themen sind immer wieder problematisch eigentliche Datenmigration Dokumentenmanagement Mehrfachtests der Migration Aufbewahrung der Altdaten

31 Die Lehren aus dem Seminar; Peter R. Bitterli Wenig Literatur zum Thema Migrationen Wenig revisionsrelevante Vorgaben (PS400, GeBüv) Zu wenig Ressourcen (Anzahl und Skills) Nützliches Hilfsmittel von IIA ->