Über sieben Brücken musst Du gehen! Wie organisatorische Hindernisse eine Chance sein können

Transkript

1 Über sieben Brücken musst Du gehen! Wie organisatorische Hindernisse eine Chance sein können Agile Center D-IT-BVG2-E1 Christoph Weiss, Michael Schäfer

2 Ausgangssituation Christian Sebastian Müller (CSM) hat als frisch gebackener Certified ScrumMaster eine Stelle bei der Securitas Versicherung angetreten. Er hat dort mit großem Enthusiasmus das erste Scrum-Team aufgebaut. Nach dem ersten Release wurde eine Release-Retrospektive abgehalten und dabei wurden folgende Hindernisse in der Organisation der Securitas identifiziert: Hindernisse IT-Security Anforderungen Vorgaben zu Ergonomie und Usability Standardisierte Tools Architektur- Governance Dokumentations -Anfordeungen durch ein IKS Vorgegebenes Vorgehensmodell CMMI Copyright Allianz Deutschland AG

3 Vorgaben zu Ergonomie und Usability Alle Benutzerschnittstellen müssen vom Kompetenzzentrum für Software-Ergonomie und Usability geprüft und abgenommen werden. Das Team ist der Meinung, dass die Ausgestaltung der Benutzeroberfläche ausschließlich in Interaktion mit dem Kunden erfolgen soll. Wichtige gesetzliche Vorschriften und Normen hierzu: Die Barrierefreie-Informationstechnik-Verordnung BITV 2.0 ist eine Ergänzung des Behindertengleichstellungsgesetzes (BGG) vom 27. April 2002 zur Schaffung barrierefreier Informationstechnik Die ISO-Norm EN ISO 9241 ist ein internationaler Standard, der Richtlinien der Interaktion zwischen Mensch und Computer beschreibt Vorgaben zu Ergonomie und Usability Hier empfiehlt es sich, dass Kunde, Team und Usbility-Experten gemeinsam einen Styleguide entwickeln (und bei neuen Ideen aktualisieren). So wird die Abnahme durch das Usability-Center zur reinen Formsache. Copyright Allianz Deutschland AG

4 Vorgaben zu IT-Security IT-Security Alle Architekturen und Anwendungen müssen vom Kompetenzzentrum für IT-Security geprüft und abgenommen werden Das Team sieht sich in seiner Unabhängigkeit und technischen Expertise eingeschränkt. Wichtige gesetzliche Vorschriften und Normen hierzu: Die ISO-Norm ISO/IEC beinhaltet Empfehlungen für diverse Kontrollmechanismen für die Informationssicherheit Das Bundesdatenschutzgesetz (BDSG) Das Strafgesetzbuch (insbesondere 203 StGB Verletzung von Privatgeheimnissen) Zunächst sollte das Team zusammen mit den Security-Experten die erforderlichen Security-Maßnahmen definieren. Diese müssen vom Team in die Definition of Done aufgenommen und damit auch eingehalten werden. Copyright Allianz Deutschland AG

5 Vorgaben zu Architektur-Governance Architektur- Governance Alle Architekturen unterliegen einer Architektur-Governance, müssen also geprüft und abgenommen werden. Das Team steht auf dem Standpunkt die besten Architekturen entstünden durch selbsorganisierende Teams, nicht durch externe Experten. Verschiedene Anwendungen müssen heutzutage immer stärker ineinander integriert werden. Deshalb hat das Unternehmen ein Interesse daran, dass die Architektur so gestaltet wird, dass die Anwendungen gut zusammen passen. Um den Wunsch des Teams nach architektureller Autonomie mit dem Anspruch auf eine übergreifende Architektur zu verbinden, sollte die Architektur-Governance als Community of Practise organisiert werden. Copyright Allianz Deutschland AG

6 Einsatz vorgegebener Tools Standardisierte Tool Das Unternehmen verfolgt eine Ein-Tool-Strategie, d.h. für jede Aufgabenstellung darf unternehmensweit nur ein Tool eingesetzt werden Das Team möchte seine Tools selber auswählen können um so besonders produktiv zu sein. Wählt jedes Team seine eigenen Tools aus, entsteht häufig ein Wildwuchs an Installationen und Lizenzen. Hier ist in jedem Einzelfall zwischen dem Produktivitätsgewinn des einzelnen Teams und den möglichen mittel- und langfristigen Aufwänden die durch den Einsatz eines neuen Tools entstehen abzuwägen. Copyright Allianz Deutschland AG

7 Einheitliches Vorgehensmodell Einheitliches Vorgehensmodell Im Unternehmen ist ein Vorgehensmodell vorgegeben, das von allen Teams befolgt werden muss. Das Team will sein Vorgehen selbst definieren und in Retrospektiven verbessern. Trotz teilweise unterschiedlicher Definitionen des Begriffs Vorgehensmodell herrscht Konsens darüber, dass in einem Vorgehensmodell festgelegt ist, welche Ergebnisse im Verlauf einer Entwicklung anfallen müssen. Scrum gibt zwar Ergebnisse wie das Product Backlog vor, aber es tut dies nicht in hinreichendem Maße für eine gesamte Softwareentwicklung. Daher ist Scrum alleine kein vollständiges Vorgehensmodell sondern muss entsprechend ergänzt werden. Auch gemäß der offiziellen Definition der Scrum Alliance ist Scrum (lediglich) ein agiles Framework für die Produktentwicklung, innerhalb dessen verschiedene Prozesse und Techniken zum Einsatz gebracht werden können. Bei agilen Vorgehensmodellen bildet oft Scrum die Basis, die um andere Methoden (wie z.b. XP) ergänzt wird. Scrum erhebt also keinen Anspruch auf Vollständigkeit. Diese zu erreichen, ist Aufgabe der Verfahrenstechnik, die verschiedene Methoden zu einem Vorgehensmodell kombiniert. Das Team sollte darauf dringen, dass das agile Vorgehen als eine Möglichkeit in das vorgeschriebene Vorgehensmodell aufgenommen wird. Dies sollte eigentlich kein darstellen, da auch bei agilem Vorgehen alle gesetzlichen Vorschriften eingehalten werden können. Copyright Allianz Deutschland AG

8 Anforderungen an die Dokumentation Dokumentationsanforderungen Die Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme(GoBS) schreiben ein Mindestmaß an Dokumentation vor. Das Team möchte die Art der Dokumentation selbst festlegen und hält funktionierende Software für wichtiger als Dokumentation. Alle Systeme einer DV- gestützen Buchführung müssen nach GoBS entwickelt werden. Das betrifft Systeme, die Zahlungen generieren und/oder für die Finanzberichterstattung verwendet werden. Die GoBS fordert eine Verfahrensdokumentation, welche folgendes beinhalten muss: eine Beschreibung der sachlogischen die Beschreibung der programmtechnischen eine Beschreibung, wie die Programm-Identität gewährt wird Beschreibung, wie die lntegrität von Daten gewahrt wird Arbeitsanweisungen für den Anwender Das gilt insbesondere auch für Firmen, die SOX (Sarbanes Oxley Act), ICOFR (Internal Control over Financial Reporting) oder ähnliche Kontrollsysteme für die Finanzberichterstattung haben. Bei den Dokumentationsrichtlinien sollte natürlich darauf geachtet werden, dass nur gesetzlich notwendige Dokumentationen vorgeschrieben werden. Diese Dokumentation ist dann in die definition of done aufzunehmen und durch das Team zu erbringen. Copyright Allianz Deutschland AG

9 CMMI-Level soll erreicht werden CMMI Das Unternehmen strebt CMMI-Level 3 an. Daraus ergeben sich Vorgaben für die Prozesse nach denen die Teams arbeiten. Das Team möchte keine unnötigen Bürokratismen nur um irgendeine Zertifizierung zu erhallten. Mit CMMI ist das Referenzmodell für die Softwareentwicklung CMMI-DEV des Software Engineering Institute (SEI) gemeint. Dieses ist in verschiedene Prozessgebiete eingeteilt, gibt selbst aber keine Prozesse vor. Die Prozessgebiete beinhalten Ziele und Empfehlungen für gute Praktiken zur Erreichung dieser Ziele. Diese Ziele gelten jeweils nur für die Prozesse ihrer Prozessgebiete und werden daher spezifische Ziele (specific goals, kurz SP) genannt. Neben den spezifischen Zielen gibt es in CMMI auch die sogenannten generischen Ziele (generic goals, kurz GG), die für alle Prozesse aller Prozessgebiete gelten. Darin wird beispielsweise das Thema Prozessoptimierung adressiert. Beginnend mit dem Reifegrad CMMI-Level 3 müssen nicht nur Prozesse organisationsweit geregelt sein, sondern es muss zudem etwas in Richtung fortlaufender nachhaltiger Prozessoptimierung getan werden. Der Einsatz agiler Methoden steht einem CMMI-Level nicht im Wege. Im Gegenteil sind einige Anforderungen aus CMMI durch das stark formalisierte Vorgehen das z.b. Scrum bietet sogar oft einfacher zu erreichen, als bei einem klassischen Vorgehen wie es in manchen Firmen gelebt wird. Copyright Allianz Deutschland AG