Geschäftsprozessdesign als Grundlage von Compliance Management, Enterprise Architecture und Business Rules

Transkript

1 Geschäftsprozessdesign als Grundlage von Compliance Management, Enterprise Architecture und Business Rules Jörg Klückmann Die ARIS-Methode als Basis für ein unternehmensweites Business Process Management Die Wertschöpfung aller Unternehmen beruht auf Geschäftsprozessen. Werden die Prozesse gezielt analysiert und kontinuierlich optimiert, können sie zu entscheidenden Wettbewerbsvorteilen ausgebaut werden. Wird die Gestaltung der Prozesse jedoch dem Zufall überlassen, spiegelt sich dies negativ in den Bilanzen von Unternehmen wider. Vor diesem Hintergrund bauen Unternehmen zunehmend auf ein aktives Business Process Management (BPM), um ihre Geschäftsprozesse optimal an den Marktanforderungen anzupassen. Wie in Abbildung 1 dargestellt, besteht erfolgreiches Business Process Management (BPM) aus vier Schritten. Abb. 1: ARIS Business Process Management Aufbauend auf der Business Process Strategy (Strategie) erfolgen Design (Gestaltung), Implementierung (Überführung in IT) und Controlling (Messung und Bewertung) von Geschäftsprozessen. Die Erschließung von Verbesserungspotenzialen darf jedoch keine einmalige Aktivität darstellen. Mittelfristig bringt nur ein kontinuierlicher und in sich geschlossener BPM-Kreislauf nachhaltige Wettbewerbsvorteile. Bei der Umsetzung eines unternehmensweiten BPM wird ARIS in verschiedensten Organisationseinheiten eingesetzt. Die Produkte der ARIS Platform müssen daher den unterschiedlichen Anforderungen und Themengebieten der Managementebene, der Fachabteilungen und der IT-Abteilung entsprechen. Während im Management ARIS u. a. zur Strategiedefinition und -implementierung genutzt wird, optimiert die Fachabteilung operative Prozesse wie z. B. Einkaufs- und Vertriebsabläufe. Die IT-Abteilung verwendet die Werkzeuge der ARIS Platform u. a. zur Aufstellung und Optimierung von IT-Bebauungsplänen. ARIS unterstützt daher verschiedenste Einsatzszenarien durch speziell definierte, voll integrierte Methoden. Die hohe Generik des ARIS-Ansatzes erlaubt die Integration aller Methoden in einem zentralen Repository. Die konzeptionelle Stärke dieses Ansatzes zeigt sich darin, dass sich seit der ersten Version von ARIS die unterstützten Themen entsprechend der Kundenbedürfnisse stark erweitert haben. Auch wenn die unterschiedlichen Themen jeweils andere Darstellungsformen benötigen, so sind die inhaltlichen Fragen, die sie beantworten, sehr ähnlich: 1

2 Wer macht was? Welche Daten sind In- / Output? Wie ist die Ablaufstruktur? Welche Anwendungssoftware oder Transaktion wird genutzt? Die umfassenden Methoden der ARIS Platform können diese Fragestellungen beantworten und sind somit der Schlüssel für einen flexibles, unternehmensweites Business Process Management. Geschäftsprozessdesign Modellierung, Analyse und Optimierung Im Rahmen eines BPM-Kreislaufes kommt dem Geschäftsprozessdesign eine besondere Bedeutung zu. Hier wird es Unternehmen ermöglicht, Transparenz bzgl. der aktuellen Prozessqualität zu schaffen. Durch die in ARIS integrierten Methoden wird eine konsistente Vorgehensweise sowie eine einheitliche Beschreibungssprache sichergestellt. In der Designphase wird in einem ersten Schritt eine Bestandsaufnahme der aktuellen Ist-Zustände vorgenommen. Die Reihenfolge der ablaufenden Arbeitsschritte, die involvierten Abteilungen und die verwendeten IT-Systeme werden dokumentiert. Das Wissen um die Unternehmensabläufe bzw. -strukturen wird über die grafische Modellierung in der zentralen ARIS-Datenbank abgelegt. So wird die unternehmensweite Wiederverwendbarkeit der Daten und Modelle sichergestellt und ein einheitlicher Blick auf die Organisation über alle Prozesse, Organisationseinheiten und Themengebiete hinweg ermöglicht. Einer der bedeutendsten Modelltypen von ARIS ist die ereignisgesteuerte Prozesskette (EPK). Die Methode der EPK visualisiert, welche Ereignisse in einem Unternehmen dazu führen, dass bestimmte Funktionen angestoßen werden, die ihrerseits wieder Ereignisse zur Folge haben. Den einzelnen Funktionen kann man u. a. die ausführenden Organisationseinheiten zuordnen. Abbildung 2 zeigt ein im ARIS Business Architect erstelltes EPK-Modell, das die Arbeitsschritte für die Erstellung eines Kundenangebotes bei einem Automobilhersteller dokumentiert. Sämtliche in dem Modell visualisierten Elemente und Beziehungen der Methode sind im zentralen ARIS-Repository abgelegt. Der Sachbearbeiter Auftragsbearbeitung ist zwar zweimal als ausführende Organisationseinheit einer Funktion zugeordnet, beide Elemente verweisen jedoch auf ein einziges Objekt in der Datenbank. Der Sachbearbeiter kann außerdem im Organigramm angezeigt werden. Abb. 2: EPK-Modellierungsmethode im ARIS Business Architect Durch eine solche Wiederverwendung von Objekttypen wird die Methodenintegration in verschiedenen Anwendungsszenarien sichergestellt. Dies ermöglicht eine Vielzahl von Auswertungen wie z. B.: Wel- 2

3 che Funktionen werden von einer Organisationseinheit im Unternehmen ausgeführt?. Bei dieser Art des Prozessdesigns werden kritische Informationen über die tatsächliche Effizienz der Geschäftsprozesse erhoben. Die Auslastungen von Kostenstellen und Ressourcen sowie die Verlangsamung von Prozessen bedingt durch Medien- und Systembrüche werden ebenso sichtbar wie die Ermittlung von Best Practices, also von Ablaufvarianten, die im Vergleich hinsichtlich ihrer Zeiten und Kosten als beste ihrer Art hervortreten. Es können organisatorische, strukturelle und technische Schwachstellen in den Abläufen aufgedeckt und Verbesserungspotenziale erschlossen werden. Aus den Ergebnissen der Analyse, kombiniert mit den Unternehmenszielen, werden Soll-Prozesse abgeleitet, also die Prozesse, die innerhalb der IT umgesetzt das Unternehmen künftig bei der Wertschöpfung unterstützen sollen. Die ARIS Design Platform ermöglicht ein Geschäftsprozessdesign für verschiedenste Anwendungsszenarien vom Qualitätsmanagement über Prozesskostenrechnung bis zur Implementierung betriebswirtschaftlicher Software. Durch die hohe Flexibilität der Methoden in ARIS kann der Umfang der unterstützten Themengebiete schnell erweitert werden. Im Folgenden wird der Einsatz der beschriebenen ARIS-Methode in den neuen Themenbereichen Compliance Management, Enterprise Architecture und Business Rules dargestellt. Vom Geschäftsprozessdesign zum Compliance Management Die unternehmerische Wertschöpfung wird immer mehr von externen, staatlichen Regulierungen und Richtlinien wie z. B. Basel II, Sarbanes-Oxley Act und Solvency II beeinflusst. Compliance Management bezeichnet die Einhaltung solcher Gesetze in Unternehmen und umfasst die Einführung und den Betrieb eines unternehmensweiten Compliance Management Systems. Obwohl weder der Sarbanes- Oxley Act noch die anderen Gesetze und Standards abschließende Regelungen über die Ausgestaltung und die notwendigen Komponenten eines solchen Systems enthalten, gibt es jedoch eine zentrale Anforderung: die Verbindung von Geschäftsprozessen mit Risiken und Kontrollen. Der ARIS-Ansatz für Compliance Management erfüllt diese entscheidende Vorgabe. ARIS ermöglicht einen prozessorientierten Kontrollansatz unabhängig von den organisatorischen Bereichen des Unternehmens. Risiken werden in den Prozessen identifiziert und um alle Compliance relevanten Informationen ergänzt. Im ARIS Business Architect wird die Grundlage für die Überwachung aller internen Kontrollen gelegt. Hier findet die gesamte Dokumentation der Stammdaten des Compliance Management Systems statt, die als Grundlage für die dauerhafte Überwachung der Kontrollen mit ARIS Audit Manager dienen. Unternehmensprozesse, Hierarchien, Organisationsstrukturen und IT-Systeme werden im ARIS Business Architect dokumentiert. In Abhängigkeit von verschiedenen gesetzlichen Anforderungen oder Verhaltensmaßregeln werden darauf aufbauend Risiken identifiziert. Diese Risiken werden in verschiedenen Dimensionen genauer beschrieben: Datum der letzten Bewertung, mögliche Frühwarnsignale, Kennzahlen zur Risikoüberwachung mit Eingriffsschwellen, Kontrollprozesse, Notfallprozesse und Risk Owner. Nachfolgend findet eine Risikobewertung statt. Zur Risikoanalyse gehört neben der Risikoidentifikation auch die Bewertung der Risiken hinsichtlich ihres Schadenspotenzials. Diese Bewertung liefert notwendige Daten für die weiteren Phasen, insbesondere für die Soll-Konzeption der Kontrollen und das Risikoreporting. Im ARIS Business Architect werden auch die Maßnahmen / Kontrollen zur Minimierung der Risiken definiert. Es findet eine Zuordnung der Kontrollen unter Angabe der Kontrollziele und des Kontrollzuständigen zu den operationalen Risiken statt. Abschließend werden Tests zur Prüfung der eingeführten Kontrollen (inklusive den Informationen: wer testet, was wird getestet, wie oft wird getestet, in welchem Zeitraum wird getestet, welchen Umfang hat der Test usw.) festgelegt. Abbildung 3 zeigt ein Finanzberichterstattungsprozessmodell, in dem ein Sarbanes-Oxley Act Risiko (SOX Abschluss Risiko 1.1) in einem Prozessschritt identifiziert wurde. Das Symbol unter dem Element verweist auf ein hinterlegtes Modell. 3

4 Abb. 3: Sarbanes-Oxley relevantes Risiko in einer EPK Abbildung 4 zeigt das hinterlegte Modell, in dem das Risiko und der damit verbundene Compliance Prozess in einer höheren Detaillierungsstufe dargestellt wird. Die erforderlichen Kontrollen werden in der Control Source beschrieben. In den Testdefinitionen ist festgelegt, wie die erforderliche Kontrolle geprüft wird. Die verantwortlichen Personen sind den Testdefinitionen direkt zugeordnet. Abb. 4: Detaillierte Darstellung eines Risikos Der ARIS Audit Manager garantiert die dauerhafte Überwachung der Angemessenheit und Wirksamkeit der internen Kontrollen. Nach der automatischen Synchronisation der Compliance-Stammdaten zwischen ARIS Business Architect und ARIS Audit Manager, organisiert dieser die Testdurchführung. Es wird einem Testworkflow gefolgt, der mit der automatischen Aufforderung der Testverantwortlichen 4

5 beginnt und mit dem Sign-off durch das Management und der Aufbereitung der Daten für externe Auditierungen endet. Alle Tester werden mit den nötigen Informationen versorgt von der Führung durch den Test, dessen Dokumentation, bis zur Auslösung von Folgeaktionen in Abhängigkeit vom Testergebnis. Sind Tests einmal vom System oder vom Benutzer geschlossen, können sie nicht mehr verändert werden. Die Vorgänge werden vom System dokumentiert und protokolliert (für das Management nachvollziehbar, für eine Prüfung durch einen externen Auditor aufbereitet). Alle internen Kontrollen und deren Tests sind mit den Prozessen verknüpft, in denen die Risiken lokalisiert wurden. Mitarbeiter haben über ein Web-basiertes Compliance- oder Risk-Portal einen rollenbasierten Zugriff auf die für sie relevanten Prozess-, Risiko- und Compliance-Informationen. Ein Management View informiert über den Stand der Testaktivitäten und ermöglicht die frühzeitige Erkennung von Schwächen im internen Kontrollsystem. Alle unternehmensweiten Maßnahmen rund um das Compliance Management können im ARIS Audit Manager auf einen Blick erfasst werden. Hier stehen umfangreiche Auswertungsfunktionalitäten wie z. B. die Testfallstatistik zur Verfügung. Mit dieser können u. a. Auswertungen über nicht funktionsfähige Kontrollen erstellt werden. Durch die Anbindung an weitere operative Systeme (ERP, DMS, MIS) ermöglicht ARIS das Monitoring und die Überwachung einer Vielzahl operativer Prozesse. Durch Alarm- und Eskalationsfunktionen wird rechtzeitig auf Mängel in Kontrollsystemen und auf Optimierungspotenziale im Unternehmen hingewiesen. Durch ein zielorientiertes, unternehmensweites Aufzeichnen von Prozessen basierend auf den Methoden der ARIS Platform kann das von vielen als Kostentreiber gesehene Compliance Management so zu einem strategischen Wettbewerbsvorteil ausgebaut werden. Vom Geschäftsprozessdesign zur Enterprise Architecture Die Geschäftsprozesse moderner Organisationen basieren auf hoch entwickelten unternehmensweiten Informationssystemen. Unternehmensarchitekturen (Enterprise Architecture) sind das wichtigste Werkzeug für die Dokumentation, Analyse und Verwaltung dieser komplexen IT-Umgebungen. Sie sind in ein Architecture Framework eingebunden, das die für eine komplette Architektur erforderlichen Informationen beschreibt. Die ARIS Enterprise Architecture Solution ermöglicht es Unternehmen, basierend auf Architecture Standards (z. B. DoDAF, C4ISR, Zachman, TOGAF, TEAF, FEAF und IT City Planning) Unternehmensarchitekturen aufzubauen, zu pflegen und zu optimieren. Durch die Verbindung der Framework-spezifischen Methoden mit den bestehenden ARIS-Methoden sowie der zentralen Ablage im ARIS-Repository können Unternehmen einen ganzheitlichen Überblick durch verschiedene Sichten auf die Organisation erhalten. Die ARIS-Methode für IT-Architekturen beruht auf einem objektorientierten Ansatz zur Wiederverwendung von Architekturartefakten über alle Ansichten hinweg. Das Zusammenspiel von Unternehmensstrategie, Geschäftsprozessen und IT-Architekturen kann so optimal erfasst werden. Die Hauptaufgabe der IT besteht aus der Unterstützung und Optimierung von Unternehmensprozessen. Die IT-Strategie sollte daher auch aus der Unternehmensstrategie abgeleitet werden. IT- Architekturen müssen aus einer Geschäftsprozessperspektive aufgenommen, analysiert und optimiert werden. Die ARIS-Methode für IT-Architekturen startet aus diesem Grund mit der Aufzeichnung der entsprechenden Unternehmensprozesse im ARIS Business Architect. In der Designphase können Benutzer ausgehend von einem Prozessmodell Kernelemente von IT-Architekturen wie Organisationseinheiten, Anwendungssysteme, Daten und Anforderungen an IT-Systeme definieren. In Abbildung 5 wurde die EPK des Automobilherstellers zur Erstellung eines Kundenangebotes um IT- Architekturelemente erweitert. Zur Bearbeitung der ersten Funktion ist ein Zugriff auf das SAP CRM System notwendig. Während der Auftragsprüfung in der zweiten Funktion nutzt der Sachbearbeiter Auftragsbearbeitung SAP R/3. Als Input benötigt er die Produktdaten. 5

6 Abb. 5: Enterprise Architecture Methode in einer EPK Durch die zentrale Ablage im ARIS-Repository ist es nach der Designphase einfach, die erforderlichen Architekturübersichten und Detailansichten zu generieren. In Abbildung 6 ist ein IT-Bebauungsplan eines Unternehmens abgebildet. Dieser stellt den Zusammenhang von Unternehmensstandort, Geschäftsprozessen und unterstützenden IT-Systemen dar. Bei einem Ausfall eines IT-Systems kann schnell herausgefunden werden, welche kritischen Geschäftsprozesse an welchen Standorten beeinträchtigt sind und wie der Defekt am schnellsten behoben werden kann. Abb. 6: IT-Bebauungsplan 6

7 Der Bebauungsplaner bzw. IT-Manager kann in seiner gesamten Unternehmensarchitektur navigieren, dabei den Objektbeziehungen folgen und fundierte Entscheidungen treffen, die auf einer ganzheitlichen Sicht seines Unternehmens und einem konsistenten Methodenverständnis basieren. Im Repository gehaltene IT-Standards definieren Zielarchitekturen und ermöglichen es den Benutzern, diese mit Ist-Architekturen zu vergleichen und Migrationspläne abzuleiten. Der ARIS Business Architect unterstützt dabei die Zusammenarbeit von verteilten Teams im Sinne eines unternehmensweiten BPM. Die modellierten IT-Architekturen können mit Hilfe des ARIS Business Publisher, einer dynamischen Publishing-Komponente, im Intranet oder Internet veröffentlicht werden. Dadurch können Firmen nicht nur Unternehmensarchitekturen entwerfen, sondern auch Unternehmensarchitekturportale aufbauen. Die Zusammenführung von Geschäftsprozessdesign und IT-Architekturen ermöglicht ein synchronisiertes Management beider Bereiche. Dieser integrative Ansatz ist von besonderer Bedeutung für den Erfolg von Enterprise Architecture Management, da sich Geschäftserfolg und IT-Landschaft wechselseitig beeinflussen. Vom Geschäftsprozessdesign zur Prozessausführung mit Business Rules Unter Business Rules versteht man im Allgemeinen Richtlinien bzw. Geschäftspraktiken, die das Verhalten eines Unternehmens gestalten oder leiten. Verhalten bedeutet in diesem Zusammenhang, mit welchen Prozessen (wie) und mit welchen Ressourcen (womit), welche Produkte erstellt werden (was). Dabei lässt sich zwischen dispositiven und operativen Regeln unterscheiden. Die dispositiven Regeln beeinflussen das Geschäftsprozessdesign aufgrund von strategischen Unternehmenszielen oder Gesetzesvorgaben, wie z. B. Compliance Management. Die Abbildung dieser Regeln in den Methoden der ARIS Platform wurde in den vorhergehenden Abschnitten bereits dargestellt. Prozessorientierung endet jedoch nicht mit der Modellierung betrieblicher Abläufe. Die optimierten Geschäftsprozesse müssen auch in lauffähige Anwendungen übertragen und dort ausgeführt werden. An dieser Stelle wirken sich die operativen Business Rules auf das Geschäftsprozessdesign und die ARIS- Methodik aus. Operative Geschäftsregeln präzisieren den Weg des Prozessverlaufes. Sie definieren nach welchen Vorgaben ein Preis berechnet oder ein Kreditantrag bewilligt bzw. abgelehnt wird. Obwohl diese Regeln von entscheidender Bedeutung für den Geschäftserfolg sind, werden sie in vielen Unternehmen nur selten in einem zentralen Repository abgelegt. Meist befinden sich diese kritischen Regeln nur im Programmcode von Anwendungen, die sie zur Ausführung nutzen. Die immer komplexer werdenden Anwendungssysteme entwickeln sich so schnell zum Engpass für neue oder modifizierte Prozessabläufe. Die zu bearbeitenden Business Rules müssen mühsam identifiziert und manipuliert werden. Da sie meist auf vielen Teilsystemen verteilt sind fällt es dem Programmierer sehr schwer, den übergreifenden Prozessbezug zu behalten. Ohne den Blick auf das Gesamtsystem besteht jedoch die Gefahr, dass Wechselwirkungen zwischen Regeln übersehen und somit fehlerhafte Implementierungen durchgeführt werden. Das Herauslösen der operativen Business Rules aus der ausführenden Applikation ermöglicht nicht nur die effiziente Beschreibung von Geschäftslogik mittels Entscheidungstabellen. Die Trennung der Applikationslogik von der eigentlichen Regellogik ermöglicht auch eine schnelle Modifizierung der Regeln, ohne dass die ausführende Applikation aufwendig angepasst und getestet werden muss. Da sich die Änderungen am Prozessfluss und die Änderungen in der Entscheidung nicht beeinflussen, können beide getrennt gepflegt werden. Der eigentliche Prozessablauf wird so unabhängig von der speziellen Regellogik im ARIS Business Architect beschrieben. An der entsprechenden Funktion wird dann die Regellogik hinterlegt. In Abbildung 7 ist eine Funktion mit einer Business Rule erweitert. Über das Business Rule Methodenobjekt (Determine BR application type) wird direkt in die Entscheidungstabelle navigiert. Dort kann die Regellogik bearbeitet werden. Der Prozessverantwortliche muss somit kein externes Tool zur Business Rule Modifikation nutzen. Er kann im ARIS Business Architect sowohl den Prozess als auch die hinterlegte Geschäftslogik bearbeiten. Da alle Regeln im zentralen ARIS-Repository abgelegt sind, können die Auswirkungen von Regeländerungen systemweit antizipiert werden. 7

8 Abb. 7: Business Rule in einer EPK Die Hinterlegung der zugehörigen Geschäftsregel an entsprechender Stelle im Prozessmodell bildet auch eine wertvolle Dokumentation von Unternehmenswissen. Durch spezielle Analysen und mathematische Tests werden Hinweise auf fehlende Vollständigkeit der Regeln oder logische Fehler gegeben. Dies erklärt bisherige Rückfragen und Prozessverzögerungen in der Praxis, die durch nicht vollständig definierte Regeln entstanden sind. Umfangreiche Tests und Analysen bereits zur Geschäftsprozess-Designphase stellen die Wiederverwendbarkeit in der Ausführungsebene sicher. Fazit Die flexiblen Methoden der ARIS Platform ermöglichen ein Business Process Management über Abteilungsgrenzen und Einsatzgebiete hinweg. Neben klassischen Szenarien, wie das Design operativer Geschäftsprozesse oder Prozesssimulationen, werden durch die Erweiterungen der ARIS-Methode kontinuierlich neue Themengebiete erschlossen. Da alle Methoden in ein Repository integriert sind, entsteht in ARIS eine einheitliche Abbildung aller Facetten einer Organisation. Das Zusammenspiel von Geschäftsprozessen, IT-Systemen, gesetzlichen Vorschriften, Geschäftslogik etc. wird erfassbar und steuerbar. Interdependenzen können über Systemgrenzen hinweg frühzeitig erkannt werden. Der innovative Methodenansatz der ARIS Platform ermöglicht es Organisationen so, Geschäftsstrategien zu definieren, diese in Prozesse zu übersetzen, die modellierten Prozesse in IT-Systeme zu überführen und ein intelligentes Controlling aufzubauen alle notwendigen Schritte für ein erfolgreiches Business Process Management. 8