Softwarearcheologie als basis voor strategie

Transcriptie

1 sofware legacy Besuurlijke grip op sofware Sofwarearcheologie als basis voor sraegie Als he managemen grip wil krijgen op de sofware binnen de organisaie, kan onderzoek door onafhankelijke expers uikoms bieden. De aueurs nemen de lezer mee in de beslommeringen van de sofwarearcheoloog bij he combineren van sporen ui he verleden me de feielijke kenmerken van he heden om zo greep e krijgen op de oekoms van de sofware. Wim Goes en Chris Verhoef He in de greep krijgen en houden van sofware saa de laase ijd meer en meer in de belangselling. Alle branches, van adminisraieve organisaies o produciebedrijven, allemaal ondervinden ze aan den lijve de problemen me IT. Alleen word he nog nie veel beer: na belofen da he nu ui is me de problemen, haal men och weer de kran omda he nie van een leien dakje gaa. Toch is er een lichpunje: over sommige organisaies hoor je nooi ies. Die doen kennelijk ies goed. Wa da is, is nie zomaar e kenschesen, maar een belangrijke condiie is da men de IT-funcie in de ang heef. Elders in di blad word inderdaad ook beoogd da he besuur in conrol van de sofware moe zijn (zie he arikel van Klusener & Kuipers). Weerwoord bieden aan de IT-afdeling blijk in de prakijk seeds weer lasig. Zelfs vooraf gemaake afspraken bieden geen soelaas om bij oplevering kanekeningen e plaasen bij de geleverde presaie. Conracen opsellen voor maawerk-it en conracmanagemen voor projecen en he beheren van besaande IT is een vak apar en verg diepgaande kennis van sofware-inensieve sysemen voor zowel produc als (voorbrengings) proces. Een mogelijk gevolg is da men e veel beaal voor wa men krijg. Toch zijn er velen die graag ies meer bealen als daarmee de prijs-kwalieiverhouding maar op orde zou zijn. Ben je gebonden aan Europees aanbesedingsrech, dan hoor de overgang van de ene leverancier naar de andere sowieso bij he spel. Maar ook die overgang blijk vaak lasig. Organisaies in zowel de collecieve als privae secor die di soor problemen veelal voorblijven, hebben me elkaar gemeen da ze zich op besuursniveau laen voorlichen door de feien e kennen. Organisaies die ui he dal komen van de ene na de andere operaionele crisis idem dio. Da voorlichen is nie gemakkelijk. Om vanui de besuurskamer zich e krijgen op de IT-funcie op geaggregeerd, feielijk niveau verg een andere aanpak. Een mogelijkheid is he in opdrach van de opbesuurders laen uivoeren van een onderzoek door een gespecialiseerd (onafhankelijk) eam van expers om he onbrekende of verminderde zich op de IT en volle e openbaren. In di arikel geven we aan hoe een dergelijk onderzoek er in de prakijk kan uizien. Een aardige aanleiding voor zo n onderzoek is een majeure operaie die de organisaie e wachen saa. Denk aan van zaak naar klan, van innen naar uikeren, van bach naar online, van eiland naar keen, van probleem naar oplossing. He eerse da in alle gevallen van belang is, is om de is-siuaie e kennen, zeg maar de boe- 30

2 Samenvaing Om vanui de besuurskamer zich e krijgen op de IT-funcie op geaggregeerd, feielijk niveau kan he managemen een onderzoek laen uivoeren door gespecialiseerde (onafhankelijke) expers om he onbrekende of verminderde zich op de IT en volle e openbaren. De zogenoemde sofwarearcheoloog is diensbaar aan de IT-sraegie van de organisaie en is daarom van groe waarde om feielijk e kunnen besuren. delinvenarisaie: wa hebben we zoal in huis, wa is de saa waarin he verkeer en hoe is he zo gekomen? De anwoorden daarop suren of je, en zo ja, hoe je in de soll-siuaie erech kun komen. Daaroe is een onderzoek nodig om de oekomsvasheid van de besaande siuaie e leren kennen. Da is zo gemakkelijk nog nie en al snel dring zich de vergelijking op me archeologen die me sukjes bo en seen een oude beschaving proberen e reconsrueren. We nemen de lezer mee in de beslommeringen van de sofwarearcheoloog bij he combineren van sporen ui he verleden me de feielijke kenmerken van he heden om zo greep e krijgen op de oekoms van de sofware. De focus lig hierbij op he aspec onderhoudbaarheid. De sofwarearcheoloog veraal feien op bi -niveau naar visie op board - niveau en is hiermee diensbaar aan en van groe waarde voor de IT-sraegie van de organisaie.»de sofwarearcheoloog veraal feien op bi -niveau naar visie op board -niveau«gebiedsverkenning In de archeologie word bij de sar een nauwkeurige kaar gemaak van he gebied da moe worden onderzoch voorda me de opgravingen word begonnen. Tijdens de opgravingen word op de kaar aangegeven wanneer waar welke arefacen gevonden zijn. Bij he graven in IT-inensieve sysemen speel dezelfde afbakeningsvraag: wa zijn de grenzen van he e onderzoeken syseemcomplex, al dan nie binnen andere syseemcomplexen? IT-huishoudingen van organisaies en de applicaies daarin zijn veelal evoluionair gegroeid. De applicaies zijn in serke mae verweven me de werkprocessen die ze onderseunen. He zijn vaak dermae complexe selsels van sysemen da nie precies bekend is wa er in huis is of hoe sysemen me elkaar samenwerken en wa de impac is van he verwijderen of wijzigen van een deel van he complex. In veel gevallen is de funcionele documenaie nie volledig of onbreek die zelfs, is de sofware al jaren in gebruik en voordurend in flux, erwijl ook de echnische documenaie onvolledig is of zelfs onbreek. Een manier om invulling e geven aan de gebiedsverkenning is om een zogenoemde overzichskaar e maken. Deze aanpak, die in de prakijk onwikkeld is, heef o doel om de (werk)processen in samenhang me hun sysemen e kunnen afbeelden. Op deze wijze worden de vaak ingewikkelde relaies ussen werkprocessen en hun machinemaige onderseuning ransparan gemaak. Voorda een groe verandering kan plaasvinden, is he noodzakelijk de huidige siuaie volledig e kennen. Wa implicie is geworden in een lange reeks van jaren, moe explicie gemaak worden. Door de bedrijfsprocessen als leidend uigangspun e nemen komen alle gebruike sysemen in beeld. Overigens, sysemen die nie in beeld komen maar wel op de boedellijs saan, zijn dan direc kandidaa voor uifasering. Alle relevane sysemen zijn via die mehode daarna me naam en oenaam bekend. He gebied is in kaar gebrach. De opgravingen kunnen beginnen. Opgravingen Bij he opgraven zoeken we naar zoveel mogelijk arefacen van de binnen he gebied aangeroffen sysemen. De archeoloog wee pas of een arefac ineressan is ijdens en na de verdere analyse: graaf dus alles op en neem he mee naar he laboraorium. Er is veel da in aanmerking kom. Voor de hand lig e saren me he opgraven van de broncode van de sysemen binnen he geseleceerde gebied. Di is vaak minder eenvoudig dan he op he eerse gezich lijk. 31

3 sofware legacy Wa val er allemaal onder de broncode? Onder de volledige broncode vallen alle zaken die nodig zijn om de huidige producieomgeving volledig e kunnen reproduceren. Hieronder worden bijvoorbeeld ook versaan build-, insallaie- en daabasescrips, inpucode voor generaoren, oupucode door generaoren en de code van de generaoren zelf. De aal (of alen) waarin he syseemcomplex is geschreven, is geen beperkende facor voor een dergelijk onderzoek. Omda in he laboraorium alles nog moe worden geanalyseerd, doe een sofwarearcheoloog er goed aan de sofwarecode in eksuele (ASCII-)vorm e verzamelen. Er zijn veel hulpmiddelen waarmee broncode word gemaak. Bij de hulpmiddelen waarmee de broncode sandaard in eksueel formaa word opgeslagen, is he graaf- en analysewerk relaief he eenvoudigs. Er zijn echer ook hulpmiddelen die een eigen formaa hebben voor he opslaan van de broncode. In de prakijk blijk da er alijd wel een manier is om de broncode in eksuele vorm op e graven, e exporeren. Hiervoor word gezoch naar exporeerfuncies in de menu s van he hulpmiddel of worden daabaseselecies gebruik als de code in een daabase word opgeslagen. Soms is er sprake van code in vermomming. Zo zijn er bijvoorbeeld hulpmiddelen die de broncode ombouwen o XML-formaa, deze in een zipfile soppen en de zipfile een andere naam geven. Als er, na een zeer inensief rajec, nie verder gegraven kan worden en er is nog seeds geen eksuele, dus oesbare, vorm van de broncode gevonden, dan is er sprake van een ernsige siuaie. De code kan slechs beperk worden geoes en kan bijvoorbeeld nie gekend worden op kwaliei. Voor veiligheidskriische sysemen is da een onaccepabele siuaie. Na idenificaie van de bronbesanden is he karwei nog nie af. Er is een groo aanal arefacen da ook nog moe worden meegenomen. Ten eerse zijn er de documenen die gemaak zijn bij he o sand komen van he syseem, zoals funcionele specificaies en onwerpen. Releasedocumenaie van alle voor producie opgeleverde versies van he syseem is een weede mogelijke se aan documenaie. Deze releasedocumenen geven een beeld van de oegevoegde funcionaliei in opvolgende releases. Hiernaas vinden er gedurende de hele levensduur van een syseem, sarend vanaf he momen da he eerse documen word gemaak en de eerse code word geschreven, verschillende gebeurenissen plaas die voor een oekomsvasheidsonderzoek van belang zijn. Als eerse zijn er de wijzigingen. Er zal in de prakijk sprake zijn van een coninue sroom van aanpassingen vanui de gebruikersorganisaie. Daarom moe er gezoch worden naar de adminisraieve vaslegging van deze wijzigingsverzoeken. Alle gevonden adminisraies moeen mee naar he onderzoekslaboraorium. Bij de onwikkeling en exploiaie van sofware worden fouen gemaak. Ook hier zijn er, als he goed is, (incidenen)adminisraies over de hele levensduur van he syseem die di regisreren. Ook deze adminisraies zijn van groo belang voor onderzoek. Voor alle arefacen geld: graaf zo diep mogelijk. Neem naas de recene versies van arefacen zoveel mogelijk versiegeschiedenis mee naar he laboraorium. De adminisraies voor incidenen en wijzigingen kunnen vele verschillende vormen hebben: van ongesrucureerde eksdocumenen en spreadshees o en me gesrucureerde versiebeheersysemen en incidenenadminisraies. Er word ook soms van regisraiewijze en hulpmiddel veranderd. Voor een gedegen oekomsvasheidsonderzoek is da allemaal van belang. De verschillende arefacen zijn vaker dan eens in beheer bij verschillende afdelingen en/of organisaies. He eam van archeologen gaa voor elk syseem da binnen he in kaar gebrache gebied val, op zoek naar deze beheerders. Wie welke arefacen in beheer heef is afhankelijk van de wijze waarop he proces georganiseerd is. Een goed verrekpun is he haneren van de driedeling van funcioneel beheer, exploiaie en onwikkeling. Funcionele arefacen worden opgevraagd bij funcioneel beheer, exploiaie kan zorgen voor overzichen van incidenen en onwikkeling heef de broncode in beheer. He opleveren van al die arefacen is voor organisaies in de prakijk soms lasig. Beheerders die he versiebeheer in de vingers hebben, leveren de broncode snel en complee op. He kom ook voor da er geen versiebeheersyseem in gebruik is of da he fouief gebruik word of da de noodzakelijke discipline onbreek. In deze fase leer de sofwarearcheo- 32

4 gebruikers onwerp changes onwikkelaars incidenenadminisraies wijzigingenadminisraies code errors configuraieadminisraies releaseadminisraies codeuivoering op fysieke machine documenaieadminisraies codeadminisraies Figuur 1. Overzich van sofwarearefacen loog van he opleveringsproces en observeer hoe da verloop. He verloop van de aanlevering geef een goede eerse indruk van de saa van de IThuishouding. Naas de hiervoor genoemde arefacen moe een sofwarearcheoloog alijd de gemaake kosen voor de sysemen kunnen acherhalen. Bij deze kosen word onderscheid gemaak ussen regulier onderhoud enerzijds en projecen en vernieuwingen anderzijds. Eerse analyses in he laboraorium He ui e voeren onderzoek moe volledig ransparan en reproduceerbaar zijn. He labelen van de onvangen arefacen me een onvangsdaum en een idenificaie is een eerse sap. Soms worden nie alle arefacen egelijk en/of complee aangeleverd en zijn opvolgende opleveringen nodig. Tevens word van elke aanlevering een zogenoemde digiale vingerafdruk gemaak die de arefacen en uieindelijk de oale aanlevering uniek idenificeer. Acheraf is er dan geen enkele wijfel op basis van welke arefacen he onderzoek uigevoerd is. Een archeoloog doe ies vergelijkbaars: een foo er plaase en he labelen van de arefacen. De eerse analyses hebben o doel de aanlevering e conroleren op compleeheid en analyseerbaarheid. Een vraag die de sofwarearcheoloog zich moe sellen is of van de aangeleverde arefacen eenduidig kan worden vasgeseld wa de broncode is. Di klink als een open deur: er is immers een gegevensdrager aangeleverd waarvan aangegeven is da de broncode erop saa. Maar vassellen of he ook daadwerkelijk om broncode gaa, is vaak verre van riviaal. Meesal zijn meerdere analyses nodig. Een sofwarearcheoloog beschik over een breed pale aan mogelijke onderzoeken. Een veelgebruike eerse analyse is de zogenoemde synoniemenanalyse op basis van de digiale vingerafdruk. Hierbij worden alle als broncode aangeleverde besanden uniek geïdenificeerd. Alleen besanden me exac dezelfde inhoud hebben dezelfde vingerafdruk. Daarmee worden evenuele duplicaen in 33

5 sofware legacy kaar gebrach, ook de duplicaen die verschillende namen hebben. Een aanlevering van broncode die op orde is, kan in beperke mae duplicaie bevaen, maar deze moe dan volledig verklaarbaar zijn. Als he versiebeheer word uigevoerd door handmaig besanden naar verschillende locaies e verplaasen of e hernoemen, zijn er meesal duplicaen zonder een plausibele verklaring. Voor een goede analyse van de werkelijke broncode moeen de duplicaen eruigefilerd worden. Een andere ui e voeren analyse is de zogenoemde exensieanalyse. Een exensie word ruwweg gedefinieerd als de eks na de laase pun van een besandsnaam. Van alle aangeroffen exensies word een frequenieoverzich gemaak. Ook de besanden zonder een exensie worden in kaar gebrach. Als een aanlevering vervuiling beva, zijn er over he algemeen veel verschillende exensies en meerdere exensies die slechs zelden voorkomen. Voor alle aangeroffen exensies moe de sofwarearcheoloog onderzoeken op welke wijze ze bijdragen aan he oaal. Tes-, back-up- en debugbesanden zijn bijvoorbeeld vervuiling en horen nie huis in de broncode van een produciesyseem. He kom ook voor da aan besanden zeer ongebruikelijke exensies gegeven worden zoals.di is nie meer nodig. He is duidelijk da di nie in produciebroncode huishoor. Ook de andere arefacen onderzoek de sofwarearcheoloog op compleeheid en bruikbaarheid. Hiervoor worden ruwe ellingen gemaak van he aanal keren da daums, aueursnamen, wijzigingscodes en incidenregisraienummers voorkomen. De gevonden aanallen geven een indicaie welke sooren analyses kunnen worden uigevoerd en waarvoor (vooralsnog) onvoldoende gegevens voorhanden zijn. De vroegse daums in de aangeleverde adminisraies geven de ijdsspanne weer waarover de analyses kunnen worden uigevoerd. Ook geven deze daums een indicaie of de adminisraies voor de volledige levensduur van he syseem zijn aangeleverd. He kom nauurlijk voor da in he verleden gegevens verloren zijn gegaan. Zo wil een beheerder wel eens een versieadminisraie opruimen en de oudse gegevens verwijderen om de performance van he versiebeheersyseem e verbeeren ne zoals men in oude ijden nu zeer waardevolle zaken gewoon weggooide. Di opruimen lijk op he eerse gezich versandig, maar een belangrijk deel van de onwerpkennis van he syseem, de onderbouwing van in he verleden gemaake keuzes, gaa daardoor verloren. Zo brengen we de verschillende ijdperken van de sofware in kaar, alleen de ijdschaal is anders dan bij archeologie. De eerse analyses resuleren meesal in nadere vragen aan de hoeders van de arefacen. Om he volledige onderzoek zo goed mogelijk e sroomlijnen moeen de arefacen in een vroeg sadium zo complee mogelijk zijn. Als ui de eerse analyses blijk da di nie he geval is, moe de sofwarearcheoloog erug he veld in. Terug he veld in Er zijn ijdens de eerse analyse verschillende vragen gerezen die alleen door he veld kunnen worden beanwoord. Een aanlevering van alle arefacen in één keer is de norm, maar kom nie alijd voor. Inensieve ineracie me de beheerders is dan noodzakelijk. Di zijn enkele voorbeelden van vragen die een sofwarearcheoloog sel: Wa beekenen de exensies abc en xyz en kunnen deze ook o de broncode gerekend worden? Besanden me de exensie 123 zijn nie eksueel leesbaar. Kan he onwikkelhulpmiddel waarmee deze besanden gemaak zijn een eksuele versie exporeren? Er lijk een aanal gegenereerde besanden in de aanlevering e zien. Me welke generaor zijn deze besanden gemaak en waar is de inpu? Als de besanden me een zelfgemaake generaor gegenereerd zijn, welk deel van de aangeleverde broncode vorm dan die van de generaor? In de aangeleverde versiehisorie zijn geen aueursnamen en wijzigingscommenaar opgenomen. Worden deze nie bijgehouden of is een nieuwe aanlevering nodig? De versiehisorie gaa nie verder erug dan de laase paar jaar erwijl he syseem ouder is. Waarom is deze oudere versiehisorie nie aangeleverd? Soms is dan een nieuwe aanlevering van een aanal arefacen nodig. Terug in he laboraorium volg de sofwarearcheoloog weer de eerdergenoemde sappen. De nageleverde arefacen worden ingeboek en een aanal analyses word opnieuw uigevoerd. He doel is e bepalen of de o nu oe verkregen arefacen geschik zijn voor he uivoeren van he onderzoek. Als er nog seeds 34

6 onduidelijkheden zijn in de aanleveringen, moe de sofwarearcheoloog weer erug he veld in. Als in deze fase van he onderzoek meerdere ieraies nodig zijn om de arefacen geschik e maken voor onderzoek, is di evens een belangrijke bevinding. De wijze waarop de spullen beheerd worden, is waarschijnlijk onder de maa. Da heef soms gevolgen die zich openbaren bij gebruik: fouen en falen gaan namelijk hand in hand. He aanleveren van verkeerde versies aan producie is bijvoorbeeld een direc coninuïeisrisico. De verkregen arefacen zijn de basis voor verder onderzoek: he maken van foo s en de films. Foo s en films maken Bij he uivoeren van he verdere onderzoek maak de sofwarearcheoloog foo s en films. Fooanalyses geven een saisch beeld van de huidige saa en kwaliei van he IT-syseem in ermen van bijvoorbeeld complexiei en onderhoudbaarheid. Voorbeelden van onderdelen ui de fooanalyses zijn: Modulecomplexiei (McCabe): hierbij word onder andere een maa bepaald voor he aanal paden van de sofwaremodules van een syseem. Hogere waarden van deze maa zijn een indicaie van e complexe sofware. Omvang en disribuie van modules, in ermen van regels: als er bijvoorbeeld veel groe besanden zijn, kan di een risico vormen voor de aanpasbaarheid. Aanwezigheid of afwezigheid van commenaren: de mae en kwaliei van he commenaar in de code zijn indicaies voor de mae van oekomsvasheid. Iner-modulecomplexiei: he analyseren van globale modulerelaies en daamodelcomplexiei. In he daamodel worden de gegevens opgeslagen en de verschillende modules van he syseem maken gebruik van (delen van) he daamodel. Complexe relaies ussen modules en daa zijn indicaies van een inflexibel syseem me een complexe impac bij veranderingen. Naamgevingsanalyse: consisenie in srucuur en naamgeving van variabelen, consanen, procedures, modules e ceera; gebruik van en zich houden aan convenies en richlijnen en da benchmarken aan bes pracices. He doel van filmanalyses is de wordingsgeschiedenis van he IT-syseem e bepalen op basis van een reconsrucie van he verleden. De filmanalyse reconsrueer he onderhoudsboekje van een ITsyseem en daarmee word onder meer inzichelijk of op ijd onderhoudsbeuren uigevoerd zijn. Er word gezoch naar sporen van goede of slechere momenen in he verleden. He verleden verel veel over de huidige saa, bijvoorbeeld over de onderhoudbaarheid en aanpasbaarheid, maar ook over performance en andere aspecen van de ISO 9126-norm voor sofwarekwaliei. Was he vroeger nooi een probleem om aanpassingen e maken, dan is de kans aanzienlijk da di in de oekoms ook he geval zal zijn. Waren er bijvoorbeeld alijd al performanceproblemen, dan is de verwaching da die in de oekoms nie zomaar verdampen. Voor he maken van de film kunnen bijvoorbeeld de volgende hisorische analyses worden gemaak: Daumanalyse: wanneer zijn er groe veranderingen in de sofware doorgevoerd? Hadden deze veranderingen een accepabele impac en doorloopijd? Onwikkelaaranalyse: welke onwikkelaars hebben (wanneer) kennis van welk deel van he syseemcomplex? Zijn er gaen in de syseemkennis of bedreigingen voor de borging hiervan? Incidenenanalyse: hoe heef he syseem zich in he verleden gedragen en hoe verhoud zich di o de doorgevoerde wijzigingen? Inerpreaie Als de eerse foo- en filmbeelden er zijn, moe de sofwarearcheoloog erug he veld in, in gesprek me de onwikkelaars en beheerders. Er zijn veel manieren om sofware e onwikkelen. De onwikkelaar kan hiervoor een groe verscheidenheid aan mehoden, echnieken en hulpmiddelen gebruiken. Maawerkoepassingen verschillen hierdoor onderling serk. Deze zeer groe verscheidenheid maak da er bij he onderzoeken van sofware enerzijds sprake is van een exploraief proces. Anderzijds kan door deze groe verscheidenheid alleen een goed kwalieisoordeel gegeven worden na ineracie me beheerders in he veld. De normen voor bijvoorbeeld complexiei van programmauur vergen naas de kwaniaieve ook een kwaliaieve inseek. Er kunnen bijvoorbeeld goede onwerpredenen (denk aan ingewikkelde we- en regelgeving) zijn waardoor een module wel hoog op McCabe-complexiei scoor maar er och sprake is van een esbare en sabiele module. Da soor zaken kom in overleg me onwikkelaars o sand. Een andere sandaard is de zogenoemde J-STD-016 voor sysems engineering. Ook voor he oesen op een dergelijke sandaard moeen de overwegingen 35

7 sofware legacy van de onwerpers/onwikkelaars in ogenschouw genomen worden. Op basis van de feien en de verschillende analyses leg he eam van expers verbanden. Bijvoorbeeld: zijn er delen van he syseem waar veel wijzigingen in doorgevoerd moeen worden, die evens heel complex zijn en waar feielijk maar één onwikkelaar kennis van zaken heef? Dan is een hospo in de programmauur ondek. Dan kom de vraag Hoe nu verder? aan bod en die word aan de besuurders geseld. Veralen naar besuurlijke visie Aan he eind van he onderzoek is er een groe hoeveelheid kwaliaieve en kwaniaieve gegevens verzameld. De sofwarearcheologen veralen deze nu vanui verschillende gezichspunen naar de impac, waaronder risico s. Voorbeelden van deze gezichspunen zijn: Financieel. Vanui he financiële gezichspun kan worden bepaald of de kosen die voor he syseem worden gemaak voor onderhoud en vernieuwing, in verhouding saan o de inhoudelijke aspecen, zoals omvang en complexiei. Organisaorisch. Als de veraling vanui he organisaorische gezichspun word gemaak, komen aandachspunen zoals he nie opimaal funcioneren van de versiebeheer- en onwikkelprocessen of beperke kennis bij onwikkelaars naar voren. Technisch. Vanui he echnische gezichspun kom bijvoorbeeld naar voren welke delen van he syseem echnisch risicovol zijn voor de oekomsvasheid en welke inveseringen nodig zijn om di e verbeeren. Op basis van deze besuurlijke veraling kunnen op feien gebaseerde beslissingen genomen worden over de sraegische en acische omgang me he IT-syseem. In plaas van asen in he duiser is di een groe sap voorwaars en heef he managemen, dankzij de sofwarearcheoloog, de sofware weer in de greep. Drs. ir. Wim Goes is bij PricewaerhouseCoopers Advisory adviseur Informaion Managemen, waaronder Sofware Assessmen & Conrol. wim.goes@nl.pwc.com. Prof. dr. Chris Verhoef is hoogleraar informaie aan de Vrije Universiei en weenschappelijk adviseur voor overheid en bedrijfsleven. x@cs.vu.nl. 36