Formale und gesetzliche Anforderungen an die Software-Entwicklung für deutsche Banken. Markus Sprunck

Transkript

1 Formale und gesetzliche Anforderungen an die Software-Entwicklung für deutsche Banken Markus Sprunck REConf 2009, München, März 2009

2 Agenda Einführung Motivation Grundlagen Vorgehensweise Arbeitsschritte Resümee 2

3 Einführung (1/2) Die UniCredit Gruppe Mitarbeiter mehr als Kunden mehr als Filialen mehr als Aktivitäten in 23 Ländern Internationales Netzwerk in 50 Ländern 3

4 Einführung (2/2) Die IT der UniCredit Gruppe Die globale IT unterstützt die Banken der UniCredit Group in Italien, Deutschland, Österreich und CEE-Ländern. Die IT der UniCredit beruht auf einem Competence Center Model und ist mit ihren Niederlassungen auf acht Länder verteilt. Zahlen: 5000 Mitarbeiter 19 Standorte in 8 Ländern 3 Data Center 2 Milliarden Euro Umsatz pro Jahr 4

5 Agenda Einführung Motivation Grundlagen Vorgehensweise Arbeitsschritte Resümee 5

6 Motivation Auswirkungen bei Verstößen während BaFin-Prüfungen Ersetzen des Managements Finanzielle Strafen Fortgesetzte Prüfung durch die BaFin bis alle Forderungen erfüllt sind Teilweises Ersetzen des Managements, Interims- Management oder Schließen von ganzen Geschäftsbereichen Entzug der Banklizenz 6

7 Motivation Chancen der Analyse zu gesetzlichen und formalen Anforderungen Wie bei der Rollbraten-Metapher (*) tun wir oft Dinge die wir immer schon so getan haben und wissen häufig nicht genau warum Die sorgfältige Analyse ermöglicht das Entfernen von nicht benötigten Tätigkeiten aus dem Entwicklungsprozess Schlüssige Argumentation zur Notwendigkeit gegenüber allen Stakeholdern des Entwicklungsprozesses 7 (*) Ein Kind fragt die Mutter "Warum schneidest Du den Rollbraten immer links und rechts ab?" Mutter: "Weil die Oma das so gemacht hat und ich habe es so von ihr gelernt." Beim nächsten Besuch der Oma fragt die Tochter "Warum schneidest Du den Rollbraten links und rechts ab?" - Die Antwort der Oma: "Früher hatte wir einen Backofen der zu klein war, deshalb habe ich den Rollbraten immer abgeschnitten."

8 Agenda Einführung Motivation Grundlagen Vorgehensweise Arbeitsschritte Resümee 8

9 Grundlagen - Welche gesetzlichen und formalen Anforderungen sind bei SW-Entwicklungsprojekten im Focus? Bundesdatenschutz -gesetz (BDSG) Kreditwesengesetz (KWG) IT Secutity Revision zentraler Datenschutz Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GOBS) Quellen, abhängig vom konkreten Inhalt des Vorhabens IT-Betreiber Retained Organistion (Bank) Betriebs- Verfassungsgesetz Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU) Guidelines of the Committee of European Banking Supervisors (CEBS) Mindestanforderungen an das Risikomanagement (MaRisk) Operational Risk Management weitere. 9

10 Agenda Einführung Motivation Grundlagen Vorgehensweise Arbeitsschritte Resümee 10

11 Vorgehensweise (1/3) Vorbereitung ist die halbe Arbeit... A) Formulierung der Kernfragen Was will ich mit der Analyse beantworten? B) Festlegung des grundsätzlichen Vorgehens Top Down, Bottom Up oder Mischform C) Erstellung einer geeigneten Strukturierung Breakdown (hierarchisch, aufgelistet, geclustert, etc.) D) Einsortieren der gesetzlichen oder formalen Anforderungen E) Prüfung auf Vollständigkeit und Review z.b. kann Cobit als Referenzrahmen dienen F) Festlegung Maßnahmen Anpassungen des Vorgehensmodells, Richtlinien, etc. 11

12 Vorgehensweise (2/3) Top-Down Approach 1) Anforderungen unabhängig vom Vorgehensmodell analysieren Vollständigkeit aus Sicht der Anforderungen leicht sicher zu stellen Abbildung auf konkrete Maßnahmen im Vorgehensmodell ist teilweise schwer durchführbar 2) Abbildung aufs Vorgehensmodell und Maßnahmen definieren Änderung ggf. erforderlich Erweiterung erforderlich 12

13 Vorgehensweise (3/3) Bottom-Up Approach 1) Anforderungen basierend auf dem Vorgehensmodell analysieren Vollständigkeit schwer, d.h. zusätzliche Prüfung auf Vollständigkeit erforderlich Abbildung auf konkrete Maßnahmen im Vorgehensmodell ist leicht durchführbar 2) Zusätzliche Abbildung aufs Vorgehensmodell nicht erforderlich Änderung ggf. erforderlich keine Anforderung gefunden Erweiterung erforderlich 13

14 Agenda Einführung Motivation Grundlagen Vorgehensweise Arbeitsschritte Resümee 14

15 Arbeitsschritte (1/6) Formulierung der Kernfragen Wo wird die Software betrieben? Wo wird die Software genutzt? Wie ist das Vorgehensmodell? Wer sind Stakeholder & Reviewpartner? Was sind die Rahmenbedingungen? Was ist das eigentliche Ziel? 15

16 Arbeitsschritte (2/6) Festlegung des grundsätzlichen Vorgehens Die Entscheidung ob ein Top-Downoder Bottom-Up-Ansatz gewählt wird, hängt stark von der Aufgabenstellung ab Startet man mit einem ausgereiften Vorgehensmodell, ist in den meisten Fällen ein Bottom-Up-Ansatz von Vorteil Bei einer bestehenden Analyse und kleineren Änderungen von Anforderungen ist in der Regel ein Top-Down-Ansatz zu bevorzugen 16

17 Arbeitsschritte (3/6) Erstellung einer geeigneten Strukturierung (Beispiel) 17

18 Arbeitsschritte (4/6) Einsortieren der gesetzlichen oder formalen Anforderungen Sichten der als relevant ausgewählten Richtlinien, Gesetze und Dokumente. Eine gezielte Suche nach Schlüsselwörtern ist hilfreich Spezialisten und zuständige Ansprechpartner im Unternehmen befragen. Teilweise hilft die Suche bei historischen Prüfungen/Audits Jede Erkenntnis mit Quelle dokumentieren. Früher oder später verliert man den Überblick, was man getan hat oder wer die Quelle ist 18

19 Arbeitsschritte (5/6) Prüfung auf Vollständigkeit und Review Präsenz-Review mit Stakeholdern und Spezialisten, bei dem ein gemeinsames Verständnis für alle Fragestellungen geschaffen wird Bei manchen Begriffen oder Definitionen ist die Führung eines Glossars zu empfehlen, um Missverständnisse zu vermeiden Eine formale Abnahme des Ergebnisses ist erforderlich, um die gebotene Verbindlichkeit sicher zu stellen 19

20 Arbeitsschritte (6/6) Festlegung Maßnahmen Es werden in den meisten Fällen definierte Maßnahmen erforderlich sein, um den gesetzlichen oder formalen Anforderungen zu genügen Mit einem Maßnahmen-Plan wird die Nachhaltigkeit sichergestellt. Diese Aufgabe sollte aus dem Prozess- Management heraus erfolgen Die erarbeiteten Dokumente sollen aktuell gehalten werden, d.h. es sollte einen "Kümmerer" geben, der die Inhalte und Änderungen verfolgt 20

21 Agenda Einführung Motivation Grundlagen Vorgehensweise Arbeitsschritte Resümee 21

22 Resümee Eine klare Fragestellung und gute Vorbereitung ist wichtig, um sicher ein verwendbares Ergebnis zu erhalten Teilweise ist das Ergebnis unerwartet, d.h. nicht für alles, was getan wird, kann eine Anforderung gefunden werden Source: Es gibt keine generelle Antwort auf die Frage: Was ist denn wirklich verpflichtend? Oft gibt es mehrere Wege, die Anforderungen zu erfüllen 22

23 Kontakt Markus Sprunck Team Manager SW-Engineering Methods & Process HIC3EP HVB Information Services GmbH Am Tucherpark 12 D München phone