Informatiemanagement ICT-projecten hoeven niet te mislukken MAAK EERST EEN GOEDE BUSINESSCASE ICT-projecten, ze lijken zo eenvoudig. Helaas gaat er ook vaak veel mis en lopen de projecten daardoor uit de hand. De auteurs laten zien hoe u door het opstellen van een goede en objectieve businesscase betere resultaten kunt behalen. Ook onderzochten ze het belang van risicomanagement voor het succesvol afronden van projecten en de rol van de controller hierin. DOOR PETER NOORDAM, JEROEN VAN HULTEN EN SHIWA VAN DER HORST Eigenlijk zijn ICT-projecten heel eenvoudig. Van tevoren denken een paar mensen uit de business heel goed na en schrijven ze met elkaar op hoe ICT hen gaat helpen bij het realiseren van hun doelstellingen. Als ze klaar zijn met denken, vragen ze een ervaren IT er wat hij/zij denkt dat het gaat kosten. Als het saldo positief is en er ook niet al te veel risico s kunnen worden bedacht, wordt er een ervaren ICT-projectmanager gezocht. Deze projectmanager krijgt een heldere opdracht mee: binnen budget en binnen de afgesproken tijd een vooraf helder gedefinieerd resultaat opleveren. Om tussendoor de vingers aan de pols te houden, zorg je er als opdrachtgever voor dat je regelmatig wordt geïnformeerd en dat je aandacht besteedt aan risicomanagement. Kortom: een kind kan de was doen. Maar waarom zijn er dan nog steeds zo onnoemelijk veel voorbeelden van uit de hand gelopen ICT-projecten? In dit artikel gaan we in op twee belangrijke valkuilen: de businesscase en het belang van risicomanagement. Businesscase Om tot besluitvorming te komen, maken organisaties te weinig gebruik van businesscases. Een businesscase beschrijft de doelstelling die wordt beoogd met het project en geeft een overzicht van de benodigde investeringen om deze doelstelling te bereiken. In de businesscase worden de argumenten om de investering te plegen geëxpliciteerd en krijgt het zogenaamde onderbuikgevoel meer handen en voeten. Een businesscase bevat meestal een verkennend en een evaluerend gedeelte. Het eerste deel van de businesscase beschrijft de formele zaken, zoals wie zijn de opdrachtgever en de opdrachtnemer? Wat zijn de ontwikkelingen die bepalen dat er een investeringsbeslissing genomen moet worden? Verder wordt het investeringskader beschreven en worden doelstelling, randvoorwaarden en criteria bepaald, zodat het duidelijk is waarop de investering geëvalueerd wordt. Daarbij wordt bepaald of er één specifiek scenario wordt onderzocht en afgewogen tegen het nulscenario. Ook kunnen meerdere scenario s tegen elkaar worden afgewogen. Het onderzoek In dit artikel wordt regelmatig verwezen naar een onderzoek dat wij hebben uitgevoerd in 2007, naar de kwaliteit van projectmanagement bij Nederlandse organisaties. Onderzoekers van Bisnez Management hebben een enquête samengesteld. Deze enquête is vervolgens via www.bitti.nl aangeboden. De vragenlijst is uiteindelijk door ruim 220 respondenten ingevuld. De respondenten waren afkomstig uit organisaties van verschillende omvang en verschillende branches. JUNI 2008 7
Rubriek /onderwerp Chapeau KOP Intro DOOR AUTEUR Figuur 1 Rol van de businesscase in het besluitvormingstraject Hierna vindt de daadwerkelijke evaluatie plaats op basis van de gestelde criteria en geven financiële modellen en/of berekeningen de consequenties vorm. Hierin worden met name de kosten, baten en risico s van de investering uitgewerkt. Tot slot komen conclusies en aanbevelingen tot stand door de alternatieven met elkaar te vergelijken. Het gebruik van een businesscase resulteert in hogere tevredenheid Vooral in het publieke domein geldt nog sterker dan voorheen dat pas tot investeren wordt overgegaan nadat duidelijk is geworden wat de kosten, baten en risico s van de betreffende investering zijn. Door gebruik te maken van goede businesscases verbetert het besluitvormingsproces rond ICT-investeringen sterk. Juist in de uitwerking van een businesscase worden de te behalen doelstellingen en de daarmee gepaard gaande investeringsuitgaven, kosten en risico s op gestructureerde wijze met elkaar in verband gebracht. En wel op zo n manier, dat tijdens en na het investeringstraject nog bijsturing en evaluatie mogelijk is. Vooral de baten of de bijdrage aan organisatiedoelstellingen verdienen in een businesscase veel meer aandacht dan tot nu toe het geval was. Juist in het benoemen en kwantificeren van de baten (liefst financieel), zit de legitimering van het voorgestelde project. Daarnaast helpt een businesscase om een aantal gerelateerde onderwerpen te benoemen: ~ Het expliciet maken van het onderbuikgevoel door het beschrijven van de relaties en de criteria die een rol spelen bij de beslissing en het bepalen van de toegevoegde waarde van de investering voor verschillende stakeholders. Op deze manier is een goed overwogen keuze voor een investering op basis van heldere criteria mogelijk. Door op deze manier een kader te creëren voor beoordeling vooraf en achteraf en door het eventueel stellen van prioriteiten van investeringen (projecten) onderling, professionaliseert tevens de bedrijfsvoering. ~ Het creëren van commitment door met behulp van een gemeenschappelijk referentiekader een gedeelde investe- 8 JUNI 2008
ringsvisie tot stand te brengen. Het accent van kosten en doorlooptijd komt ook steeds meer te liggen op het behalen van baten. ~ Het concretiseren van de doelstellingen op een specifieke en meetbare manier. ~ Het realiseren van een succesvolle inzet van mensen en (ICT-)middelen door de grondslag te vormen voor het vervolg, zoals de planning van het ontwikkeltraject, doorbelasting, outsourcing, service level agreement (SLA)- management, enzovoort. De risicomanager heeft binnen een organisatie een toetsende rol Door het besluitvormingstraject rond ICT-investeringen te professionaliseren en gebruik te maken van businesscases, wordt expliciet dat net als bij gewone investeringen alle ICT-investeringen niet op één hoop gegooid mogen worden. Ook bij ICT-investeringen geldt dat er onderscheid kan en zelfs moet worden gemaakt tussen verschillende typen investeringen. Immers, de inzet van innovatieve technologie heeft een ander effect op de organisatie dan het plegen van onderhoud op bestaande systemen. Hierna zetten we een typologie voor ICT-investeringen uiteen. Bepaalde onderdelen van het automatiseringsproject zijn waarschijnlijk minder risicovol, terwijl andere onderdelen juist bijzonder risicovol zijn. De besluitvormer krijgt hiermee een instrument, op basis waarvan hij/zij op specifieke onderdelen van het automatiseringsproject extra aandacht, ofwel risicomanagement, kan uitvoeren. De laatste vijf jaar is de businesscase weer hoog op de agenda gezet. Een goede kans om ook de businesscase weer in een nieuw jasje te steken. In een goede businesscase worden naast de kosten, ook de baten en risico s in kaart gebracht. Hierna wordt duidelijk gemaakt dat de businesscase een veel grotere reikwijdte heeft, namelijk voor allerlei typen investeringen en zowel in de voorbereiding als in de uitvoering van ICT-projecten. Gebruik businesscase Uit figuur 2 blijkt dat bijna een derde van de onderzoeksdeelnemers voor investeringsbeslissingen nog steeds niet of onvoldoende gebruikmaakt van een businesscase. Ruim een derde maakt grotendeels gebruik van een businesscase (vooral de begrote projectkosten worden goed ingevuld) en een derde maakt volledig gebruik van een businesscase. Uit het onderzoek komt naar voren dat het gebruik van een businesscase leidt tot grotere tevredenheid over het project, respectievelijk de investeringsbeslissing. In figuur 3 geven we nogmaals de resultaten uit figuur 2 weer, maar Rol businesscase in besluitvormingstraject In de planningsfase rondom de inzet van ICT in en door een organisatie, worden de verschillende voorgenomen ICT-investeringen op een rij gezet (zie ook figuur 1). Er bestaat vaak nog geen uitgekristalliseerd beeld van de specifieke investeringen. Daarom worden deze op hoofdlijnen geschetst, vaak als bijlage van het informatieplan. Deze houtskoolschetsen geven op hoofdlijnen een beeld van de voorgenomen ICT-investering, een indicatie van de kosten en de verwachte baten van de investering. Op enig moment vaak nadat voorstudies zijn verricht kan een zogenaamde blauwdruk van de voorgenomen ICT-investering worden gegeven. Op dat moment is ook exact duidelijk in welk kwadrant deze investering zich bevindt en kunnen op basis van de positie op het Vizier de bijbehorende kosten, baten en risicomethode worden vastgesteld. Tevens kunnen op dat moment de voor dat kwadrant relevante onderdelen van de businesscase worden uitgewerkt. Nadat de ICT-investeringsbeslissing is genomen, kan het vervolg worden ingekleurd. In deze fase kan het Vizier een verdienstelijke rol spelen als het gaat om de uitwerking. Figuur 2 De mate waarin gebruik wordt gemaakt van een businesscase bij de start van een project JUNI 2008 9
Figuur 3 De aanwezigheid van een businesscase afgezet tegen de tevredenheid over het project nu afgezet tegen de mate van tevredenheid. Bij de geënquêteerden die hebben aangegeven zeer ontevreden te zijn over het project (de eerste kolom), blijkt 50% geen businesscase te hebben opgesteld en 50% een gedeeltelijke businesscase te hebben opgesteld. Bij de geënquêteerden die hebben aangegeven zeer tevreden te zijn over het project (de laatste kolom), blijkt dat 100% een volledige businesscase heeft opgesteld. Dit leidt tot de volgende conclusies. Het gebruik van een businesscase resulteert in hogere tevredenheid en er is een zeer lage tevredenheid als er geen businesscase wordt gebruikt. Een andere conclusie die kon worden afgeleid uit de onderzoeksresultaten is, dat er een positieve relatie is tussen de toetsing van de baten en de tevredenheid over de resultaten van het project. Het simpele feit dat er na afloop van het traject aandacht werd besteed aan de toetsing van de baten, leidt al tot aanzienlijk hogere tevredenheid over de resultaten van het project. Een simpele rekensom leert dat: 32% (grotendeels) een businesscase heeft gebruikt. Daarvan evalueert op basis van de businesscase 58%. Slechts 18 op de 100 projecten worden grondig geëvalueerd; 82 projecten dus beperkt of helemaal niet. Opsteller businesscase In het onderzoek is ook gevraagd door wie de businesscase wordt opgesteld (zie ook figuur 4): ~ de lijnmanager die het project aanvraagt; ~ de projectmanager die het project gaat uitvoeren; of ~ het projectenbureau. Van tevoren was ingeschat op basis van de theorie en ervaringen uit de praktijk, dat de businesscase in verreweg de meeste gevallen wel zou worden opgesteld door de verantwoordelijke lijnmanager, of dat hij/zij hierin in ieder geval een belangrijke rol speelt. Tot onze verbazing zagen de resultaten er anders uit. In 50% van de gevallen wordt de businesscase door de projectmanager opgesteld; in 30% van de gevallen door de lijnmanager. Als de lijnmanager of de projectmanager de businesscase opstelt, blijkt de tevredenheid het hoogst te zijn. Het feit dat de projectmanager zelf de businesscase opstelt, staat haaks op Prince2 en alle theorieën over projectuitvoering. Daarnaast vraag je de projectmanager die straks het project moet gaan uitvoeren, om zelf een businesscase voor zijn project op te stellen. Het gevaar van belangenverstrengeling ligt dan op de loer. Plaats en rol risicomanagement Zowel een staande organisatie als een projectorganisatie kent rollen als een toezichthouder, een eindverantwoordelijke, een 60% 50 40 30 20 10 0 Figuur 4 Wie stelt de businesscase op? 10 JUNI 2008
Als staforgaan Op deze plek staat risicomanagement primair in het teken van het project en de projectuitvoering. Risicomanagement wordt aangestuurd vanuit de projectleider en kan twee rollen vervullen. Ofwel het risicomanagement verzorgt zelf alle risicoanalyses en aanvullende toetsingen voor het gehele project, ofwel de risicomanagementfunctionaris ondersteunt vanuit de staf de verschillende projectonderdelen. Figuur 5 Mogelijke plaatsen van risicomanagementrol onafhankelijke, een voor de gehele organisatie opererende ondersteuning en een productieorganisatie. Afhankelijk van de grootte van de organisatie en de organisatievorm, zijn deze rollen in verschillende functies belegd, zoals respectievelijk de stuurgroep, board of directors, dan wel projectleider, staf en de uitvoerende afdelingen, businessunits en projectgroepen. De risicomanagementrol kan op verschillende plaatsen tot uitdrukking komen, mede afhankelijk van het initiatief tot uitvoering van risicomanagement en de afspraken die intern zijn gemaakt. Deze risicomanagementrol kan ingevuld worden op de volgende plaatsen (zie figuur 5): ~ als onafhankelijk orgaan náást de board of directors en rapporterend aan de toezichthouder, waarbij de board wordt geïnformeerd; ~ als staforgaan, opererend in opdracht van de board; ~ als onderdeel van de lijnorganisatie in het primaire proces, als rol van bijvoorbeeld de project- of afdelingsverantwoordelijke. Als onafhankelijk toezichthouder De risicomanagementrol die belegd is bij een onafhankelijke toezichthouder handelt in opdracht van de stuurgroep, dan wel het management van de organisatie waarbinnen het ICTproject wordt uitgevoerd. Risicomanagement zal zich vooral richten op de doelstellingen waar de stuurgroep, dan wel het hoger management zich voor ziet gesteld. De projectorganisatie kan het risicomanagement als opgelegd beschouwen. Er zal dus veel aandacht moeten worden besteed aan het kweken van vertrouwen en er zal zorg gedragen moeten worden voor goede en veelvuldige communicatie. Als onderdeel van de projectorganisatie Met name bij grotere of zeer risicovolle projecten kan het gebeuren dat het risicomanagement in ieder van de deelprojecten of in de verschillende fases van het project belegd is. Risicomanagement staat hierbij primair in het teken van het beheersen en beheerst krijgen van het ICT-project en dit in opdracht van de direct verantwoordelijke. De rol van de controller als risicomanager Op ieder van de hiervoor genoemde drie plaatsen kan de controller als risicomanager zijn rol vervullen op het vlak van risicomanagement. De risicomanager heeft binnen een organisatie een toetsende rol. Je zou dus kunnen zeggen dat een controller als risicomanager slechts een second opinion geeft over opzet, bestaan en werking van de beheersmaatregelen. De controller hoeft dus niet inhoudelijk op de hoogte te zijn van het project. De laatste jaren is deze toetsende rol opgeschoven naar een steeds meer meewerkende en adviserende rol. Van een controller wordt dan ook verwacht dat hij met zinvolle en bruikbare aanbevelingen en oplossingen komt en dat hij het management ook ondersteunt bij de uitvoering en juiste werking daarvan. Wat betreft ICT-projecten zal de risicomanager mogelijk nauw willen samenwerken met de EDP-auditor. Deze laatste richt zich met name op de goede inrichting, werking van en verantwoording over de IT-infrastructuren, -architecturen en inbedding van de IT-ondersteuning bij het bedrijfsproces. De belangrijkste doelstellingen waartegen de EDP-auditor toetst, zijn integriteit van gegevensstromen, betrouwbaarheid en continuïteit van de IT-structuren. De controller richt zich vooral op de opzet, het bestaan en de werking van het interne beheersingssysteem, waarmee de organisatie haar geformuleerde doelstellingen poogt te realiseren. De controller richt zich dan specifiek op de door het management geformuleerde doelstellingen, vaak in termen van klantvriendelijkheid, flexibiliteit van bedrijfsprocessen en producten, innovativiteit van de organisatie en betrouwbaarheid van de dienstverlening. Waar het de controller aan ICT-kennis ontbreekt, kan de EDP-auditor een welkome aanvulling betekenen op het gebied van risicomanagement. De volgende rollen kunnen voor de controller als risicomanager worden onderscheiden (figuur 6): JUNI 2008 11
De toetser De evaluator De adviseur De ondersteuner Figuur 6 De verschillende rollen voor de controller als risicomanager De toetser Dit is de meest klassieke rol. Als toetser, ook wel inspecteur genoemd, richt hij zich vooral op de naleving van richtlijnen, procedures en werkinstructies binnen de uitvoering van het project. Wat betreft risicomanagement zal de risicomanager zich alleen bezighouden met de vraag of het risicomanagementtraject is uitgevoerd conform de vooraf opgestelde procedure en richtlijnen. Hij bemoeit zich uitdrukkelijk niet met de inhoud van de bevindingen van de risicoanalyse en het risicomanagementtraject in het algemeen. Hij zal zich vooral opstellen als de onafhankelijke en objectieve beoordelaar. De toetser kan gedurende het gehele project zijn werk doen. De evaluator Ook deze rol hoort bij de klassieke rol van de auditor, maar dan vooral aan het einde van het project, om te oordelen over de kwaliteit van de opzet en de werking van de risicomanagementprocedures en de beheersingskaders, zoals deze centraal zijn opgelegd. Het systeem van informatievoorziening speelt hier een cruciale rol. Binnen projecten is het mogelijk dat deze rol na afloop van iedere fase wordt ingevuld. Bij geconstateerde gebreken is geen correctie meer mogelijk. Enkel het leereffect voor toekomstige projecten is van belang. Het gevaar bestaat dat deze rol als afrekenmechanisme wordt gehanteerd. Er is een positieve relatie tussen de toetsing van de baten en de tevredenheid over de resultaten van het project Wanneer de risicomanager ook vakinhoudelijk een risicomanagementexpert is en hij tevens kennis heeft van de inhoudelijke materie van het ICT-project, kan hij ook de quality-assurancerol vervullen. Deze blijft op het vlak van het evaluatieve, echter hij kijkt tevens naar de kwaliteit van het opgeleverde werk. Dit kan zowel zijn het eindproduct van het ICT-project, als wel de resultaten in de eindrapportage van de uitvoering van het risicomanagement. De adviseur De auditor in zijn rol als adviseur loopt het gevaar een dubbelrol te vervullen. Op uitnodiging van de projectleider of de opdrachtgever draagt de controller medeverantwoordelijkheid voor het uitvoeren van risicomanagement op het project. Dit doet hij vaak vanuit een vakinhoudelijke expertise en een gebrek aan voldoende capaciteit voor het project zelf. Hij draagt bij aan de uitvoering. Dit kan zowel zijn in de procesinhoudelijke aansturing, als in de uitvoering van de analyses en het maken van de aanbevelingen en de rapportages. De dubbelrol ontstaat wanneer de controller op een later moment als toetser of evaluator wordt gevraagd zich een oordeel te vormen over de opzet, de werking en het resultaat van het risicomanagementproces. Deze situatie is niet gewenst, omdat de controller zelf onderdeel is geweest van het risicomanagementproces en hij dus geen onafhankelijk oordeel kan vellen over zijn eigen werk. Hij heeft in ieder geval de schijn tegen. Mogelijk kan de toetsende of evaluatieve rol worden ingevuld door een externe auditor, dan wel kan een externe auditor de adviserende rol vervullen en behoudt de interne risicomanager zicht op het proces. De ondersteuner De controller als coach beperkt zijn speelveld tot de inrichting, de aansturing en de visie op de projectorganisatie. Advisering hierover is mogelijk vanuit zijn vakinhoudelijke expertise. De projectleider vraagt de auditor hem te ondersteunen om daarmee zijn eigen denkbeelden te spiegelen. Ook hier ligt het gevaar van de dubbelrol op de loer. Ook al heeft de risicomanager in deze hoedanigheid geen formele verantwoordelijkheid, zijn adviezen zullen mede leiden tot besluitvorming, waardoor het lastig is hier op een later moment een oordeel over te vellen. 12 JUNI 2008
Afsluitend Studenten bij de postdoctorale controllersopleiding leren tegenwoordig dat er bij projectrisicomanagement één belangrijkste vraag is: Wie is mijn opdrachtgever? Als je als projectrisicomanager weet wie de opdrachtgever is, dus aan wie je rapporteert en aan wie je verantwoording aflegt, dan ken je ook je onafhankelijkheid en weet je dus ook welke compenserende andere risicomanagementrollen je in of rondom het project moet inrichten. Pas als een duidelijk antwoord is verkregen op deze vraag, komen vragen over methodes en instrumentarium aan de orde. Vanuit het onderzoek trekken wij de conclusie dat de betrokkenheid van een controller tijdens en na afloop van het project even belangrijk is als bij de start van het project. Wij pleiten ervoor dat een controller als risicomanager al vanaf de start bij het project betrokken wordt om erop toe te zien dat er een zo goed en objectief mogelijke businesscase wordt opgesteld. Er is een positieve relatie tussen de toetsing van de baten en de tevredenheid over de resultaten van het project. Het simpele feit dat er na afloop van het traject aandacht werd besteed aan de toetsing van de baten, leidt al tot een aanzienlijk hogere tevredenheid over de resultaten van het project. Drs. P.G. Noordam is Directeur advies bij Bisnez Management. Jeroen van Hulten en Shiwa van der Horst zijn beiden werkzaam bij de Belastingsdienst. Voor een persoonsgerichte bemiddeling van financiële professionals binnen de quartaire sector POSTBUS 51 6880 AB VELP TELEFOON 026 44 50 796 TELEFAX 026 32 14 598 E-MAIL INFO@QUARTAIR-SELECT.NL Controller Gedegen kennis op financieel-economisch en administratief terrein binnen de non-profitsector, ruime leidinggevende ervaring en ervaring en affiniteit met het begeleiden van veranderingstrajecten zijn voor deze brede functie vereist. Het zwaartepunt van deze functie ligt op het ontwikkelen, opstellen en bewaken van jaaractiviteitenplannen op, met name, het onderdeel financiën. Bovendien coördineert en bewaakt u de uitvoering van de administratieve organisatie en de interne controle en adviseert u het management van deze welzijnsorganisatie bij financieel-economische vraagstukken. Goede sociale en communicatieve vaardigheden, doorzettingsvermogen en stressbestendigheid zijn voor deze functie essentieel. Verder bent u zakelijk, resultaatgericht en pro-actief ingesteld en beschikt u over een academisch werk- en denkniveau en een relevante opleiding. Zuid-Holland - Max. t 68.000,- Ref.code FI843VL Manager Bedrijfsvoering Binnen deze organisatie geeft u leiding aan het bedrijfsbureau welke bestaat uit de diensten Financiën, ICT, PO en Secretariaat. U bent verantwoordelijk voor de financiële administratie en controlling, alsmede de ontwikkeling van de informatisering. Tevens voert u de regie over de planning- en controlcyclus en draagt u bij aan de verdere ontwikkeling van de planning en controlinstrumenten en de administratieve organisatie. U bent lid van het MT en adviseert de managers en de Raad van Bestuur. Ook speelt u een belangrijke rol bij de ontwikkeling van nieuwe projecten. U beschikt over academisch werk- en denkniveau en ruime ervaring in een soortgelijke functie. Daarnaast bent u communicatief sterk, ontwikkelings- en klantgericht en weet u een coachende stijl van leidinggeven te combineren met zakelijkheid en resultaatgerichtheid. Noord-Holland - Max. t 80.000,- Ref.code FI863VL VOOR MEER VACATURES EN NADERE INFORMATIE OVER QUARTAIR SELECT BEZOEK ONZE WEBSITE: WWW. QUARTAIR- SELECT. NL Controllersopleidingen Erasmus School of Accounting Assurance (ESAA) Voorlichtingsavond 10 juni 2008 Master of Management Control (MMC) Post HBO-BE, RA, AA Tweejarig parttime, post-experience Praktische oriëntatie op werkveld Doorstroming naar RC opleiding en MSc E-mail esaa-mmc@few.eur.nl Telefoon 010-408 14 92 www.esaa.nl Registercontroller (RC) Post doctoraal/msc, MMC Twee en een half jaar, parttime post-experience Gezamenlijke kennisproductie Hoogleraren met praktijkervaring E-mail esaa-contr@few.eur.nl Telefoon 010-408 28 73 JUNI 2008 13