Risikomanagement in IT-Projekten

Risikomanagement in IT-Projekten ISACA Mitgliederversammlung 12. März 2004 Markus Gaulke KPMG Advisory / Information Risk Management Frankfurt am Main MGaulke@kpmg.com www.markus-gaulke.de Agenda Das Dilemma Notwendigkeit eines RM-Systems Best Practise Risikomanagement in IT- und Organisationsprojekten – Vorgehensweise – Project Risk Review – Risikobehandlungsmaßnahmen Zusammenfassung © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 2 Das Dilemma (1) „Zum ersten Mal in der Geschichte moderner Unternehmen hat die Technologie sich von einem Werkzeug zu einem die Unternehmensstrategie bestimmenden Faktor gewandelt.“* *Vinod Khosla, Partner der Risikokapitalfirma Kleiner Perkins Caufield & Byers aus „Effektiver im E-Business“ © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 3 Das Dilemma (2) z.B. Ergebnisse der Chaos-Reports 1994 – 2000 60 52,7 49 50 46 40 40 1994 33 31,1 28 27 28 1996 30 26 23 1998 20 16,2 2000 10 0 failed challenged succeed © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 4 Agenda Das Dilemma Notwendigkeit eines RM-Systems Best Practise Risikomanagement in IT- und Organisationsprojekten – Vorgehensweise – Project Risk Review – Risikobehandlungsmaßnahmen Zusammenfassung © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 5 Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) „Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden.“ (§91 Abs. 2 AktG) © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 6 Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) KonTraG fordert n.h.M. ein integriertes Risikomanagementsystem für das gesamte Unternehmen. Ein solches System besteht aus den Elementen: – Frühwarnsystem – Internes Überwachungssystem – Controlling © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 7 Empfehlungen des Baseler Ausschusses zu operationellen Risiken (Basel II) „The risk of loss resulting from inadequate or failed internal processes, people and systems or from external events “ (Working Paper on the Regulatory Treatment of Operational Risk, September 2001) Risikokategorien für operationelle Risiken (lt. VÖB): – Mensch – Technologie – Prozesse und Projektmanagement – Externe Einflüsse © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 8 Agenda Das Dilemma Notwendigkeit eines RM-Systems Best Practise Risikomanagement in IT- und Organisationsprojekten – Vorgehensweise – Project Risk Review – Risikobehandlungsmaßnahmen Zusammenfassung © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 9 CMM (Capability Maturity Model) CMM (1987) ist das bekannteste und älteste Referenzmodell zur IT-Prozessoptimierung 5 Reifestufen des Software-Entwicklungsprozesses: – Initialer Prozess – Wiederholbarer Prozess – Definierter Prozess – Gesteuerter Prozess – Optimierender Prozess Risikomanagement ist im CMM-Reifemodell Bestandteil des Prozessbereiches „Integrated Software Management“ (ISM) auf Reifestufe 3 © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 10 ISO 15504: Software Process Improvement and Capability dEtermination (SPICE) SPICE ist ein internationales Modell zur Feststellung des Reifegrads von Prozessen und deren Verbesserung SPICE unterscheidet 5 Prozesskategorien: – Customer – Supplier – Engineering – Management (enthält explizit „manage risks“) – Organization – Support Der Prozess „Risk-Management“ ist im „Management“-Prozesszyklus enthalten. © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 11 Project Management Institute: A Guide to the Project Management Body of Knowledge“ PMBOK enthält Risikomanagement als eigenständiges Kapitel mit 6 Unterkapiteln. Ziel des Risikomanagements in Projekten ist, die Wahrscheinlichkeit und Auswirkungen von positiven Ereignissen auf Projektergebnisse zu maximieren und die von negativen Ereignissen zu minimieren. Risikoüber- Identifizierung Qualitative Quantitative Reaktion wachung und der Risiken Risikoanalyse Risikoanalyse auf Risiken -kontrolle © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 12 IT Governance “A focus on the leadership, organizational structures and processes to ensure that IT sustains and extends an entity’s strategies and objectives in the creation and preservation of values and wealth.” © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 13 IT Governance-Zyklus IT Resource IT Value Management Delivery IT Strategic Geschäftliche IT Risk Alignment Management Ausrichtung IT Performance Management © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 14 Control OBjective for Information and related Technology (COBIT) (1/2) Projektmanagement als Teil von COBIT: PO10: manage projects © 2004 Markus Gaulke – Risikomanagement in IT.Projekten 15 Control OBjective for Information and related Technology (COBIT) (2/2) Bereich: Planung und Organisation, Prozess: Manage Projects 13 Kontrollziele: 1. Richtlinien f.d. Projektmanagement 8. Qualitätssicherungsplan 2.