Effizienz dank revisionssicherer Software-Bereitstellung
Wie unser Kunde seine Prozesse für die unternehmensweite Bereitstellung von Software und IT-Services revisionssicher aufsetzte und so die Transparenz verbesserte.
Vom Prüfungsbefund zur Neuausrichtung
Unser Kunde nahm aufgrund regulatorischer Anforderungen an die IT seinen Requirement-to-Deploy-Value-Stream in den Blick. Dieser beschreibt die Schritte für die Bereitstellung von Software und IT-Services im Unternehmen – von der ersten Anforderung bis zur Einführung. Das Ziel bestand darin, Standards zu entwickeln und Dokumentationen zu aktualisieren, zu erweitern, zu vereinheitlichen, transparenter abzubilden und unternehmensweit besser zu verankern. Dafür holte sich der interne IT-Service-Provider die Unterstützung von metafinanz. Das Ziel: Prozesse neu strukturieren und im Unternehmen bekannter machen.
IT-Prozesse unter der Lupe der Finanzaufsicht
Die Digitalisierung hat die IT zum geschäftskritischen Herzstück der Versicherungsbranche gemacht. Über die „Versicherungsaufsichtlichen Anforderungen an die IT“ (VAIT) stellt die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sicher, dass Unternehmen ihre operationellen Risiken im Griff haben. Der Requirement to Deploy (R2D) Value Stream steht dabei im Fokus der Aufsicht, da er die gesamte Entstehungskette einer Software oder eines ITServices abbildet. Die dahinter liegenden Prozesse und Dokumentationen müssen gewisse Mindeststandards erfüllen, um nicht zum Sicherheitsrisiko zu werden und um einer Prüfung standzuhalten. Wichtig ist unter anderem, dass Prozessabläufe und einhergehende Dokumentationen kohärent protokolliert und revisionssicher belegbar sind.
Lücken schließen mit System
Zunächst analysierten wir die unternehmensinternen und regulatorischen Vorgaben für die Entwicklung von Software und IT-Services und verglichen diese mit den bestehenden Dokumentationen sowie ihrer praktischen Umsetzung. Unsere Intention war es, Compliance-Lücken zu identifizieren und konkrete Mängel in den Prozessen und Dokumentationen zu lokalisieren. Aufbauend auf unseren Erkenntnissen überarbeiteten, standardisierten und optimierten wir die Prozessmodelle, von der Anforderungsaufnahme bis zur produktiven Bereitstellung von Software und Services. Wir schufen zudem einen umfassenden Orientierungsrahmen durch Leitlinien und Prinzipien für Konsistenz in der operativen Umsetzung. Unser Ziel war es, Effizienz und Compliance über den gesamten Ablauf hinweg zu gewährleisten.
Regelkonform und praxistauglich zugleich
Für die neuen Prozesse war entscheidend, dass sie praktikabel sind und sich auf alle Unternehmenseinheiten und Ländergesellschaften übertragen lassen. Um dies sicherzustellen, wurden Fachexpert:innen, Prozess-Manager:innen und -Architekt:innen des IT-Service-Providers im Rahmen von Workshops und regelmäßigen Abstimmungen eng in die Modellierung eingebunden. Zusätzlich entwickelten wir „Maturity Questionnaires“: Mithilfe dieser Fragebögen kann der Reifegrad der Prozesse unternehmensweit ermittelt werden. Dies ermöglicht es den Teams vor Ort, den aktuellen Stand im Vergleich zum neuen Soll-Prozess zu evaluieren und entsprechende Maßnahmen für die Umsetzung abzuleiten.
Wissenstransfer leicht gemacht
Damit die neuen Prozesse im Alltag gelebt werden, schufen wir mit dem Application Delivery Playbook ein digitales Handbuch, das verbindliche Mindeststandards, Prozessanforderungen und Best Practices an einem Ort bündelt. Zudem entwickelten wir für den Rollout der Prozesse ein Kommunikationskonzept sowie Schulungsunterlagen für die Mitarbeitenden. Die Schulungen wurden so konzipiert, dass sie einen ersten Einstieg in die Prozesse ermöglichen und das Zurechtfinden in der weiterführenden Prozessdokumentation erleichtern.
Regulatorische Sicherheit mit operativer Schlagkraft vereint
Als weiterer wichtiger Bestandteil des Projekts wurde eine zentralisierte IT-Service-Dokumentation aufgesetzt, in der alle relevanten und von der Regulatorik vorgeschriebenen Informationen zu den entwickelten IT-Services erfasst sind.
Allerdings sind die sanierten R2D-Prozesse weit mehr als eine regulatorische Pflichterfüllung. Sie stärken die Transparenz und Effizienz, indem sie unkontrollierten Prozesswildwuchs durch globale Standards verhindern. Das „Delivery Playbook“ dient als Nachschlagewerk zu Leitlinien und Best Practices. Die zentrale IT-Service-Dokumentation bündelt alle relevanten Details der IT-Services. Darüber hinaus sind dank der Trainingsmaterialien die Abläufe bekannt und werden gelebt. So entstand ein revisionssicherer und intuitiver Workflow.
Mehr Klarheit in komplexen Prozesslandschaften
Eine besondere Herausforderung bestand darin, die komplexen regulatorischen Anforderungen zu durchdringen und daraus Schlüsse für die Umsetzung abzuleiten. Zum anderen war es knifflig, das über das Unternehmen verstreute Expertenwissen zu den R2D-Prozesse zu erfassen und so neu zu strukturieren, dass es einfach und für alle verständlich ist. Beide Hürden konnten wir dank regelmäßiger Absprachen, gemeinsamer Überlegungen aller Projektbeteiligten und iterativer Schritte in kurzer Zeit erfolgreich überwinden.
Mit bewährten Methoden zur Revisionssicherheit
Für die Modellierung nutzten wir die Business Process Modeling Notation 2.0, einen gängigen Standard für die Prozess-Visualisierung. Dieser ermöglicht es, Abläufe so darzustellen, dass sie für alle – von der Führungskraft bis zur bzw. zum Softwareentwickler:in – nachvollziehbar sind. Als technisches Rückgrat diente uns ADONIS, um eine methodisch saubere und revisionssichere Datenbank aufzubauen. Durch die Integration in das Kollaborations-Tool Confluence und die dortige zusätzliche Anreicherung mit weiterführenden Informationen ist zudem sichergestellt, dass die Prozessdokumentation für das gesamte Team jederzeit zugänglich und verständlich ist.
Greifbares Praxiswissen statt theoretischer Prozessbibel
Besonders viel Spaß machte die Einarbeitung in die verschiedenen Teilprozesse, das Sammeln und Visualisieren der Informationen sowie die Workshops mit den Fachexpert:innen. Es war schön zu sehen, wie wir in einem kleinen Team gemeinsam eine gut strukturierte, klare und umfassende Sammlung von Prozessinformationen aufbauten. Entstanden ist keine dicke Prozessbibel, sondern ein praxisnahes Nachschlagewerk für alle.
Schreiben Sie uns!
