Foto: KPMG
Gerade bei Banken und Versicherungen werden IT-Prüfer zunehmend mit agilen Projektmanagement-Methoden konfrontiert. Der für finanzrelevante Entwicklungen verpflichtende Prüfungsstandard 850 des Instituts der Wirtschaftsprüfer folgt beispielsweise einem klassischen Projektverlauf mit den Phasen Planung, Definition, Entwurf, Realisierung bis zu Test und Produktivsetzung.
Die IT-Prüfer legen hierbei Wert auf eine Dokumentation der einzelnen Phasen, Freigaben der Projektergebnisse sowie klare Verantwortlichkeiten. Was aber passiert, wenn - wie im Falle von agilen Projektmanagement-Methoden - diese Phasen und Dokumentationserfordernisse bewusst aufgebrochen werden?
Aus Sicht der IT-Prüfung gibt es im Wesentlichen drei Herausforderungen, denen sich die IT der geprüften Unternehmen stellen muss.
3 zentrale Herausforderungen
1. Koordination des Projektteams: Im herkömmlichen Projektmanagement erhalten die Projektbeteiligten präzise Aufgaben, um das Projektziel zu erreichen. Anders als bei dem klassischen Verfahren wird bei agilem Projektmanagement das Projektziel kommuniziert, nicht jedoch die zu erfüllende Aufgabe. Aufgrund nicht eindeutig festgelegter Aufgaben steht der Projektleiter einerseits vor der Herausforderung, das Team zielgerichtet zu lenken. Andererseits muss diese Koordinationsleistung dem IT-Prüfer gegenüber so nachgewiesen werden, dass Nachvollziehbarkeit gewährleistet ist.
2. Kommunikation statt Dokumentation: Innerhalb agiler Projekte nimmt die Kommunikation breiten Raum ein. Dabei kommt die Dokumentation häufig zu kurz, da nicht jeder Austausch schriftlich festgehalten werden kann. Dies bedeutet im Zusammenhang mit der IT-Prüfung, dass Prüfungsunterlagen nur beschränkt vorhanden sind und es oft nicht möglich ist festzustellen, ob Vorgaben und Ordnungsmäßigkeiten eingehalten und Tests durchgeführt worden sind.
3. Vertragliche Vereinbarung: Auf detaillierte vertragliche Vereinbarung zwischen Projektverantwortlichen wird im agilen Projektmanagement häufig verzichtet. Gerade in einem regulatorischen Umfeld ist dies problematisch. Aus Sicht eines IT-Prüfers sind zum Beispiel dokumentierte Meilensteine und Change Requests, ein nachvollziehbares Qualitätsmanagement sowie klar umrissene Projektziele unumgänglich.
3 Lösungsansätze
Um es vorwegzunehmen: Agiles Projektmanagement ist grundlegend geeignet, den IT-Prüfungsanforderungen Genüge zu leisten. Darüber hinaus wird agiles Projektmanagement gegenüber herkömmlichen Ansätzen sogar empfohlen, um Risiken frühzeitig zu erkennen und Vermeidungsmaßnahmen aufzusetzen.
1. Koordination des Projektteams: Um die Nachvollziehbarkeit der koordinatorischen Leistungen sicherzustellen, sollte der unabhängige IT-Prüfer bereits zu Beginn des Projekte konsultiert werden. Dieser achtet beispielsweise darauf, dass der Projektleiter einen ausreichenden Erfahrungshintergrund besitzt und die Ziele auch bei geringer Aufgabenbeschreibung eingehalten werden.
2. Kommunikation statt Dokumentation: Da bei agilem Projektmanagement ein deutlich geringerer Dokumentationsgrad vorherrscht, kommt dem IT-Prüfer die Aufgabe zu Wesentlichkeitsentscheidungen zu treffen. In der Praxis trifft der IT-Prüfer so also bereits zu einem frühen Zeitpunkt die Entscheidung, welche Aufgaben, Ergebnisse, Entscheidungen und Handlungen zwingend zu dokumentieren sind.
3. Vertragliche Vereinbarung: Unumgänglich sind klare Vereinbarungen darüber, welche Vorgaben und Regelungen einzuhalten sind. Gerade in stark reglementierten Märkten - wie beispielsweise Versicherungen - kann der IT-Prüfer bereits zu Beginn festlegen, welche Vereinbarungen von Relevanz sind. Durch eine frühe Einbeziehung stellt sich oft heraus, dass das Maß an Vorgaben und Regelungen deutlich geringer ist als ursprünglich angenommen.
Fazit
Unter Berücksichtigung der oben dargestellten Lösungsansätze ist agiles Projektmanagement demnach mit den Anforderungen der IT-Prüfung vereinbar. Der Schlüssel zum Erfolg liegt in einem regelmäßigen und von Vertrauen geprägtem Austausch zwischen Projektverantwortlichen und IT-Prüfern.
Sebastian Paas ist Partner bei KPMG im Bereich Performance & Technology.