Handleiding SURF Sourcing Maturity Self Assessment (SSMSA) 22 april 2014 Doel en beperkingen In het Hoger Onderwijs in Nederland begint het sourcen van Informatie-diensten terrein te winnen. Het besef dringt door dat hierdoor voordeel te behalen is voor de instellingen, en dus voor de sector in het algemeen. Daarbij hoort het inzicht dat onvolwassenheid van het sourcing proces het voordeel kan verminderen, en zelfs doen omslaan in nadeel. Aandacht voor de impact van sourcing op de inrichting van en de processen binnen de organisatie vergroot de kans op succes van een sourcing activiteit. Het uit (laten) voeren van een volwassenheidsonderzoek ligt voor de hand. Daarbij kan gebruik gemaakt worden van een algemeen volwassenheids-model (bijvoorbeeld CMMI, zie http://cmmiinstitute.com) of een specifiek op sourcing toegesneden variant daarvan (zoals bijvoorbeeld escm-cl, zie http://www.itsqc.org). Gangbare volwassenheidsmodellen zijn complex, audits worden derhalve vaak overgelaten aan externe experts. Het aanzienlijke beslag op mensen en middelen is daarbij evenwel drempelverhogend. Het SURF Sourcing Maturity Self Assessment moet gezien worden als een vereenvoudigde, lichtgewicht versie, die door een instelling gebruikt kan worden voor een zelfonderzoek. Het model prentendeert geen volledigheid, maar dient als katalysator, om essentiële aspecten van sourcing maturity te benadrukken, en de interne dialoog daarover op gang te brengen. Model Het model beschrijft een 26-tal vooral praktische aspecten van sourcing maturity. Deze aspecten worden gerelateerd aan de verschillende fasen van het sourcing proces. Deze fasen worden als volgt gedefinieerd. 1. Voorbereiding en randvoorwaarden, 2. Behoeftebepaling, 3. Marktverkenning en besluitvorming, 4. Leveranciersselectie en implementatie (waaronder contractbepaling), 5. Beheer (inclusief performance management) en evaluatie. In de vragenlijst wordt voor elk van de 26 items de ideale situatie beschreven, die correspondeert met een level 5 volwassenheid. Zie bijlage 1 voor de volledige beschrijvingen. De invullers van de vragenlijst schatten zelf in of de instelling deze ideale situatie al bereikt heeft en als dit niet zo is op welk van de onderliggende niveaus 1 t/m 4 de instelling zich bevindt. Daarbij wordt gebruik gemaakt van de meest gangbare definities van maturity levels, (geïnspireerd door bijvoorbeeld CMMI, CoBIT en ITIL). Zie hiervoor bijlage 2. Aanbevolen werkwijze Uitvoering van het zelfonderzoek dient dus om binnen de instelling de dialoog op gang te brengen en het draagvlak te creëren dat nodig is om de eerste stappen te zetten op weg naar een toegenomen sourcing volwassenheid. Daarbij gaat men als volgt te werk. Waneer de instelling besluit het self assessment uit te voeren wordt een Assessment Manager (AM) aangesteld 1. Deze heeft tot taak het assessment proces te leiden. De AM stelt met zorg een assessment team samen. De leden van het assessment team vullen de vragenlijst en dienen dus te beschikken over inzicht in de materie en kennis van de organisatie. Zie verder bijlage 3. Aan het begin van het assessment proces organiseert de AM een start-bijeenkomst. Hier wordt het model uitgelegd en het proces besproken. Vervolgens krijgt het assessment team de gelegenheid om de vragenlijst in te vullen. Zie verder bijlage 4. 1 Uiteraard gebeurt dit in iedere instelling op een andere wijze. 1
De inidviduele resultaten worden verzameld en geanalyseerd. Voor tips bij de analyse zie bijlage 5. Vervolgens komt het assessment team bijeen om overeenkomsten respectievelijk verschillen van de individuele scores te bespreken. Gezamenlijk wordt besloten tot vervolgacties. Zie verder bijlage 6. Desgewenst kan dit proces met dezelfde groep invullers enige malen worden herhaald om een trend in de tijd vast te stellen. In een latere fase kan dan eventueel een meer volledige en diepgaande audit worden uitgevoerd, wellicht door een externe partij. Deze publicatie is beschikbaar onder de licentie Creative Commons Naamsvermelding 3.0 Nederland. www.creativecommons.org/licenses/by/3.0/nl 2
Bijlage 1 Aspecten van volwassenheid Hieronder volgt een beschrijving van de aspecten, gerelateerd aan de fasen van het sourcing proces. De beschrijving komt overeen met volwassenheids-niveau 5, de ideale toestand. 1. Voorbereiding en randvoorwaarden 1.1. Sourcing strategie. 1.1.1. De organisatie beschikt over een expliciete en breed gedragen sourcing strategie die reële meetbare waarde voor de instelling toevoegt. Deze strategie beschrijft de manier waarop de visie wordt gerealiseerd, en geeft aan hoe door middel van sourcing meerwaarde voor de instelling wordt gecreëerd. Het strategiedocument is een hulpmiddel bij het systematisch en gestructureerd nemen van sourcing besluiten. De sourcing strategie wordt daadwerkelijk gebruikt als leidraad bij sourcing activiteiten. 1.2. Regie-organisatie. 1.2.1. Behoeftebepaling en dienstenlevering zijn duidelijk gescheiden. Er is een duidelijke demand => regie => supply keten. De regiefunctie is expliciet beschreven en belegd, en volledig afgestemd op de bedrijfsdoelen. Missie, visie en strategie zijn gedefinieerd, op elkaar afgestemd, gecommuniceerd en worden op resultaten regelmatig geëvalueerd. Sourcing maakt deel uit van de regiefunctie. 1.3. Governance model. 1.3.1. De organisatie heeft een governance model vastgesteld, dat leidend is bij de inrichting van besluitvorming en beheer. De regels zijn vastgelegd, worden nageleefd, regelmatig geëvalueerd en verbeterd. De beschreven governance heeft betrekking op alle processen, systemen en gegevens binnen de instelling. 1.4. Architectuur. 1.4.1. De organisatie kent een duidelijk architectuurproces. Bij elke verandering in de informatiehuishouding wordt eerst de architectuur beschreven. Deze geeft inzicht in de samenhangende informatiediensten (kavels) en de bijbehorende koppelvlakken, processen en gegevensstromen. 1.5. Begrippenkader. 1.5.1. Er wordt binnen de instelling gecommuniceerd op basis van een goed toegankelijke, breed geaccepteerde formele lijst van begrippen en definities. Deze termen zijn ontleend aan bestaande best practice publicaties. De meeste stakeholders (incl. klanten) kennen en gebruiken deze terminologie 1.6. Life-cycle management. 1.6.1. De instelling heeft het Life-cyle proces beschreven, belegd en ingevoerd. Hierdoor is de binnen de instelling gebruikt technologie (zowel hardware als software) up to date en voorzien van actuele patches. Relevante vervangingen, upgrades, of contractvernieuwingen worden door dit proces tijdig aangekondigd. 2. Behoeftebepaling 2.1. Business analyse. 2.1.1. De organisatie beschikt over experts die in staat zijn om, in samenwerking met gebruikers en leveranciers de behoefte aan informatiediensten goed te articuleren en te vertalen. Deze experts worden bij alle veranderingen van de informatiehuishouding formeel ingeschakeld. De behoeften worden dan beschreven in termen van functionaliteit en service management. 3
2.2. Alignment. 2.2.1. Wensen tot verandering worden formeel getoetst aan de strategie van de organisatie. Er zijn hiervoor formele strategische documenten beschikbaar, zoals instellingsplannen, informatievoorzieningsplannen, ICT ontwikkelingsplannen, etc. Veranderwensen worden slechts gehonoreerd indien ze een bijdrage leveren aan het realiseren van de instellingsdoelen. 2.3. Maatwerk. 2.3.1. Er wordt getracht zo min mogelijk maatwerk te ontwikkelen en te gebruiken. Gebruikers worden geholpen om hun wensen te (her)formuleren in termen van standaard informatiediensten. Deze rol is formeel belegd. Indien nodig worden processen aangepast en generiek gemaakt. Behoefte in maatwerk wordt gestructureerd besproken door leverancier, klant en gebruiker van informatiediensten. 2.4. Verkaveling. 2.4.1. Er is een architectuur van informatiediensten (op alle TOGAF niveaus) die de verplichte basis is voor elke verkaveling. Alle informatiediensten zijn --- in hun samenhang --- in deze architectuur opgenomen. De kavels zijn ontvlechtbare eenheden. De organisatie beschikt daarnaast over een canoniek datamodel. 2.5. Bedrijfsgegevens. 2.5.1. De kennis van wet- en regelgeving wordt regelmatig geactualiseerd en geborgd. Bedrijfsgegevens zijn gemodelleerd en geclassificeerd op Beschikbaarheid, Integriteit en Vertrouwelijkheid (BIV). De gegevensarchitectuur wordt gebruikt voor procesintegratie en proces/service ketenmanagement. 3. Marktverkenning en besluitvorming 3.1. Kennis van de markt. 3.1.1. Ontwikkelingen in de markt en trends worden bijgehouden, gedocumenteerd en gestructureerd toegepast bij alle sourcingbesluiten. Trendwatching en communicatie daarover is ingericht gezamenlijk met externe leveranciers. 3.2. Inzicht in eigen kosten. 3.2.1. De instelling beschikt over inzicht in de totale kosten van de door de eigen ict-afdeling geleverde diensten. Op basis van deze inzichten worden begrotingen bepaald. Deze informatie wordt gebruikt bij het bepalen van de sourcing scenario s en risico-analyses en bij aanbestedingen en andere leverancierselecties. 3.3. Gebruik business case. 3.3.1. Alle veranderbesluiten worden gebaseerd op een business case, waarin kwalitatieve en kwantitatieve voor- en nadelen van de verschillende oplossingen tegen elkaar worden afgewogen. Daarbij worden projectniveau en instellingsniveau aan elkaar gerelateerd. Er is een template voor zo n business case beschikbaar. Business Case wordt gebruikt gedurende de gehele life-cycle van de informatiediensten van initiatie-/idee-/ oriëntatiefase tot aan uitfaseren. 3.4. Personele consequenties. 3.4.1. Bij sourcing besluiten worden de gevolgen niet alleen uitgedrukt in kosten of baten ten aanzien van FTE s of formatieplaatsen, maar ook in termen van competenties en ervaring die nodig zijn voor succesvolle sourcing. Trends op de arbeidsmarkt worden gedocumenteerd en meegenomen in 4
het sourcing proces. 3.5. Draagvlak. 3.5.1. Bij de voorbereiding van een sourcing besluit wordt aandacht besteed aan de politieke context. Er worden expliciete acties ondernomen om sponsors te krijgen en draagvlak te verwerven. Communicatielijnen en structuren zijn beschreven. Er bestaat een geaccordeerd communicatieplan waarin essentiële stakeholders zijn opgenomen. 4. Leveranciersselectie en implementatie 4.1. Beeldvorming leveranciers. 4.1.1. Potentiële leveranciers worden systematisch uitgevraagd, met behulp van een gestandaardiseerde vragenlijst. Dialoog vindt plaats met medewerking van meerdere groepen stakeholders op alle niveaus (strategisch, tactisch, operationeel). Hoe leveranciers kunnen uitgroeien tot partners is beschreven. 4.2. Cultuur matching 4.2.1. Bij selectie van leveranciers wordt ook de bedrijfscultuur van de leverancier meegewogen. De match wordt gedocumenteerd en meegenomen in aanbestedingen. Cultuur en tradities van de instelling worden zo op een gedocumenteerde wijze afgewogen tegen die van de (potentiele) leverancier. 4.3. Leveranciersvolwassenheid. 4.3.1. De volwassenheid van de leverancier wordt bij de selectie van leveranciers meegewogen (evt. op basis van deze maturity scan). 4.4. Contract onderhandelingen. 4.4.1. Contract onderhandelingen worden uitgevoerd door daarin geschoolde en gespecialiseerde medewerkers. Alle relevante partijen zowel van binnen als van buiten de instelling worden erbij betrokken. 4.5. Planmatige aanpak 4.5.1. Veranderingen worden projectmatig aangepakt. Er zijn geschoolde projectleiders, en er wordt organisatiebreed één en dezelfde methode toegepast die regelmatig wordt geëvalueerd en verbeterd. Er is een project management methode geïmplementeerd zowel binnen de gebruikersorganisatie als bij de interne informatiedienstenleverancier. 5. Beheer (inclusief performance monitoring) en evaluatie 5.1. Beheer. 5.1.1. Ontwikkeling, beheer en aansturen van beheer zijn strikt gescheiden. Alle vormen van interactie tussen deze gebieden zijn beschreven en worden regelmatig verbeterd. Regie-organisatie is gepositioneerd tussen de business en leverancier (intern en/of extern) 5.2. Regie organisatie en competenties. 5.2.1. Bij werving en scholing van personeel wordt rekening gehouden met de competenties die een regieorganisatie vereist. Werkafspraken worden regelmatig bijgesteld en aangepast aan de veranderende IT-wereld. Competentieontwikkeling is beschreven in de instellingsstrategie. 5.3. Beheerprocessen. 5.3.1. De belangrijkste beheerprocessen zijn bekend en ingericht. De bijbehorende rollen zijn formeel belegd. IT-personeel is in meerderheid ITIL of BISL gecertificeerd. Continue verbeteringsmaatregelen zijn beschreven en worden stelselmatig opgenomen in exploitatiebegrotingen. 5
5.4. Performance management en monitoring. 5.4.1. Van alle informatiediensten zijn performance-indicatoren opgesteld die regelmatig worden gemonitord. Dit is vastgelegd in de betreffende SLA s. Performancerapportage wordt meegenomen bij onderhandelingen en evaluatie. Performance is gedefinieerd in termen van de toegevoegde waarde van informatiediensten voor de business. 5.5. Evaluatie 5.5.1. Projecten en informatiediensten worden regelmatig geëvalueerd. De resultaten van deze evaluaties resulteren in een afgewogen advies over het vervolg. Het uitfaseren c.q. vervangen van de diensten is gekoppeld aan de analyses van business cases. 6
Bijlage 2 Volwassenheidsniveaus De volwassenheidsniveaus worden als volgt omschreven. 1. Initial Ad hoc, herkenning, proces is niet ingericht en/of gedocumenteerd, formeel niet belegd of geborgd, dus instabiel, de uitkomst is onvoorspelbaar, activiteiten zijn afhankelijk van kennis en kunde van afzonderlijke specialisten, hobbyisme, vooral reactieve ongecoör-dineerde activiteiten/initiatieven, fire fighting. 2. Managed Herhaalbaar, het informele domineert, proces alleen effectief en gecontroleerd binnen projecten, de doelen van het proces zijn niet gedefinieerd, gebruik van groep specialisten is bewust, sommige stakeholders zijn betrokken, KPI s zijn niet relevant, proces wordt soms geëvalueerd, management is bewust van de noodzaak. 3. Defined Professioneel gestandaardiseerd proces is ingericht, beschreven en onder controle, de doelen zijn begrepen, rapportages en metingen kloppen met de werkelijkheid, rollen zijn formeel belegd, relevante stakeholders zijn betrokken, pro-activiteit neemt toe, risico s zijn bekend, er worden professionele tools gebruikt. 4. Quantitatively managed Proces genereert voorspelbare output, is proactief, beschreven in relatie tot andere processen, goed gedocumenteerd, de rollen zijn vastgelegd in de personeelsprofielen, proces wordt gestuurd op basis van betrouwbare kwantitatieve rapportages. KPI s zijn gedefinieerd in termen van toegevoegde waarde voor de bedrijfsdoelstellingen. 5. Optimizing Optimale beheersing, pro-activiteit domineert, preventief gedrag van de meeste rollen is beschreven en nageleefd, risico s en impact worden gemanaged. Tools en organisatie worden optimaal ingezet om performance van het proces continu te verbeteren o.a. met gebruik van innovatie en proces maatregelen. 7
Bijlage 3 Samenstelling assessment team Het is van belang dat het assessment team de juiste samenstelling heeft. De leden van het team vallen in tenminste één van de volgende categorieën: De medewerkers van wie men weet of mag verwachten dat zij in staat zijn om de meeste van de 26 items in het model gemotiveerd te beoordelen op het punt van maturity. De medewerkers die van belang zijn bij het laten uitvoeren van de verbetermaatregelen, bijvoorbeeld de lijnmanagers van de afdelingen die de acties moeten uitvoeren of die object zijn van de acties. De medewerkers die noodzakelijk zijn voor het draagvlak. Bijvoorbeeld diegenen die zullen dwarsliggen en tegenwerken als ze niet bij de besluitvorming over de verbetermaatregelen worden betrokken. Het is duidelijk dat de Assessment Manager de organisatie goed moet kennen om tot een evenwichtige samenstelling van het team te komen. 8
Bijlage 4 Het verspreiden en invullen van de vragenlijst Dit kan uiteraard op verschillende manieren. Een handige manier is om gebruik te maken van Google docs. De werkwijze is als volgt. De Assessment Manager opent een nieuwe Google Form in zijn Google Drive en kopieert de kopjes en de level 5 beschrijvingen van de 26 vragen vanuit bijlage 1 naar het formulier. Het vraagtype is multiple choice en bij elke vraag zijn er 5 mogelijkheden. Het is handig om een korte toelichting boven aan het formulier te plaatsen. Vervolgens wordt er een destination spreadsheet aan gekoppeld. De AM stuurt de form naar zich zelf, en ontvangt dan in de mail de vragen en een link naar het online formulier. Omdat het invullen van de vragen via de mail niet bij elk mailprogramma lukt is het beter om alleen de link te gebruiken. De AM stuurt de link naar het online formulier door naar de leden van het assessment team. De individuele resultaten komen automatisch terecht in het spreadheet in de Google Drive. Als de invultermijn verstreken is kan het spreadsheet gedownload worden voor verdere analyse. In het geval dat men geen gebruik kan of wil maken van de Google voorziening kunnen de teksten die bij de vragen horen zeer eenvoudig naar een spreadsheet worden gekopieerd, dat daarna kan worden rondgestuurd. Het verzamelen en analyseren van de gegevens is dan wel wat meer werk. 9
Bijlage 5 Tips voor de analyse. De ervaring heeft geleerd dat het analyseren van de resultaten het beste met de hand kan gebeuren. Immers, de resultaten zijn elke keer weer anders, maar de hoveelheid data is gering omdat de grootte van het assessment team beperkt is. Een paar vuistregels maken het leven eenvoudiger: In het Google spreadsheet krijgt elke invuller een rij. Het is handig om dit te transponeren zodat elke invuller een kolom krijgt met 26 rijen. Bereken per rij minimum, maximum, mediaan en gemiddelde. Bereken de range, het verschil tussen het minimum en het maximum. Zoek de hoge en lage uitbijters. Een uitbijter is een hoogste of laagste waarde die maar 1 keer voorkomt. Uitbijters worden besproken, maar weggelaten uit de analyse. De adjusted range, dat is het verschil tussen maximum en minimum na weglaing van de uitbijters, geeft een indruk van de mate van consensus. Adjusted range = 1 betekent: men is het eens. (Gegeven de precisie van deze meting). Adjusted range = 2 betekent: er is verschil van mening. Adjusted range = 3 betekent: men is het oneens. Items met een lage score, waarover men het eens is, zijn de basis voor verbetermaatregelen. 10
Bijlage 6 Opstellen verbeterplan De evaluatiebijeenkomst dient voor het analyseren en bespreken van de individuele enqueteresultaten en het opstellen van een verbeterplan. Bij het bespreken van de resultaten is het handig om aandacht te besteden aan: Onderwerpen waarover binnen het team een grote mate van overeenstemming bestaat. Dit schept een gevoel van saamhorigheid en maakt samenwerking mogelijk. Onderwerpen waarover een groot verschil van inzicht bestaat. Als er extreme scores voorkomen is het goed om deze te bespreken teneinde er achter te komen waarom de inzichten zo verschillen. Mogelijkerwijs kunnen die verschillen opgelost worden bijvoorbeeld door na te gaan of ze zijn ontstaan door uiteenlopend gebruik van definities. Bij het opstellen van een verbeterplan is het goed om uit te gaan van de punten waarover men het eens is, en waar de maturity score verbetering behoeft. Er zijn meerdere mogelijkheden om dit aan te pakken: Begin met quick wins, zoek naar veelal kleine verbeteringen, die relatief gemakkelijk kunnen worden geïmplementeerd. Indien dat lukt schept dit een gezamenlijk gevoel dat verbetering haalbaar is. Begin met die issues waarop zeer laag wordt gescoord. Waarschijnlijk heeft de organisatie daar in de praktijk dan ook last van, en is er meerwaarde te behalen door verbetering te realiseren. Indien er benchmark resultaten beschikbaar zijn is het handig om na te gaan waar andere instellingen significant beter presteren. De Assessment Manager kan van te voren nagaan op welke wijze de andere instellingen de hogere score hebben bereikt. Zo komt een voorbeeld van een verbeteractie beschikbaar die in ieder geval elders tot resultaat heeft geleid. Een lastige en bewerkelijke methode is het opstellen van een grafiek waarin de complexiteit van verbeteracties wordt uitgezet tegen de opbrengst. Op die manier kunnen prioriteiten worden bepaald: hoge opbrengst en lage complexiteit eerst. Uiteraard is het opstellen van en het eens worden over zo n grafiek een lastige zaak. Bepaal de risico s van niets doen. Begin daar waar de risico s het grootst zijn. De aard van de uit te voeren verbetermaatregelen wordt in veel gevallen gedicteerd door de beschrijving van het maturity level dat men wil bereiken. Als men op een bepaald punt nog in het ad hoc stadium is, dus op het beginnersniveau, moet er gewerkt worden aan een beschrijving en documentatie. Is men al op niveau drie dan is het zaak om meetinstrumenten te bedenken. In ieder geval geeft de beschrijving van de ideale toestand (level 5) een handvat voor een verbeteractie. 11