Het vertalen van IS-strategie naar IS-operatie CobiT in relatie tot ITIL & CMMI

Uitvoeren van IT-dienstverlening door de leverancier Het vertalen van IS-strategie naar IS-operatie.6 Het vertalen van IS-strategie naar IS-operatie CobiT in relatie tot ITIL & CMMI Als gevolg van de snelle rationalisatie van IS (Information Services), moeten IS-afdelingen in staat zijn een transparante vertaling te maken van een gekozen IS-strategie naar procesinrichting, procesrapportage en procesverbetering. In de praktijk wordt dit belemmerd door het ontbreken van een gemeenschappelijk referentiekader voor het definiëren van stuurinformatie en procesvolwassenheid voor de verschillende disciplines binnen IS. In dit artikel wordt geschetst hoe CobiT in relatie tot ITIL en CMMI kan worden gebruikt om aan deze problemen het hoofd te bieden. Behalve als een eenvoudig stappenplan om een gekozen IS-strategie te vertalen naar operationele procesdoelstellingen, is dit artikel dan ook te lezen als een introductie in de samenhang tussen CobiT, ITIL en CMMI. 287 Auteurs: M.J. van der Velden, Senior Consultant, Quint Wellington Redwood en F.U. Grift, CEO, Quint Wellington Redwood. INLEIDING Kostenbeheersing is nu ook voor IS realiteit. Bij veel organisaties lopen programma s om IS-kosten te reduceren en beheersen. Ingrijpende reorganisaties zijn aan de orde van de dag, met een meer dan gemiddelde tendens om onderdelen van de IS-organisatie uit te besteden (meestal ingegeven vanuit de wens om kosten te reduceren). Tegelijkertijd neemt de druk op IS-afdelingen toe om snel nieuwe diensten te ontwikkelen waarbij (mede door het toenemende gebruik van web-applicaties) een hoge betrouwbaarheid, performance en beschikbaarheid belangrijker zijn dan ooit. De spagaat die ontstaat door enerzijds gedwongen te worden zo efficiënt mogelijk te werken en anderzijds zo veel mogelijk met de klant mee te moeten denken geeft aan dat het afstemmen van de IS-strategie op de businessstrategie nog steeds actueel is. De snelle rationalisatie van IS betekent ook dat IS-afdelingen in staat moeten zijn om een transparante vertaling te maken van de gekozen IS-strategie naar operationele processen. Transparant, omdat verantwoording naar het hoger management belangrijker is dan ooit. De vertaling van strategie naar operatie wordt in veel organisaties belemmerd omdat een uniforme manier van procesinrichting, procesrapportage en procesverbetering ontbreekt. Dit artikel richt zich op de problematiek van het vertalen van een gekozen IS-strategie naar operationele IS processen. Daarbij wordt gebruik gemaakt van veel gebruikte (de facto) standaardmodellen, zodat de gekozen oplossing voor velen herkenbaar zal zijn. Organisaties die kiezen voor de hier beschreven aanpak hoeven geen desinvesteringen te doen door geheel nieuwe modellen te introduceren. Als we de scope van dit artikel afzetten tegen het Business IT Alignment (=BITA) model van Henderson & IT Service Management, best practices

BUSINESS IT 288 Differentiation Business scope Strategic fit Admin. infra Business Governance System competences Technology scope Admin. IT Infrastructure IT Governance External Internal Processes People Processes People Figuur 1 Scope van dit artikel free after Henderson Venkatraman (199) dan zien we dat het artikel de rechterhelft van het model betreft. Omdat de aanpak mede is gebaseerd op (onderdelen van) CobiT (IT Governance Institute, 2000), CMMI (SEI, 2002), en ITIL/IPW (Bom et al., 2001) kan dit artikel ook worden gelezen als een overzichtsartikel om de onderlinge positionering van deze modellen te begrijpen, zonder dat de lezer verdwaalt in een gedetailleerd overzicht van de overeenkomsten en verschillen tussen deze modellen. Voor een gedetailleerde beschrijving van deze modellen wordt verwezen naar de literatuurlijst. In het onderdeel Het vertalen van IS-strategie naar IS-operatie worden de afstemmingsproblemen tussen IS-strategie en ISoperatie beschreven. Vervolgens wordt een gestructureerde aanpak beschreven waarmee een gekozen IS-strategie consistent kan worden doorvertaald naar operationele ISprocessen. In het gedeelte daarna wordt ingegaan op het nut en de beperkingen van de beschreven aanpak, waarna de afsluitende conclusies worden getrokken. AFSTEMMINGSPROBLEMEN TUS- SEN IS-STRATEGIE EN IS- OPERATIE Het kiezen van een IS-strategie Het afstemmen van IS-strategie en IS-operatie begint met het bepalen van een strategie. Dit kan bijvoorbeeld aan de hand van het gedachtegoed van Treacy & Wiersema (1993). Op basis van empirisch onderzoek komen zij tot de conclusie dat een succesvolle onderneming uit drie mogelijkheden altijd één dominante strategie kiest. De mogelijke strategieën die worden onderscheiden zijn: Operational Excellence, Product Leadership en Customer Intimacy (Figuur 2). Operational Excellence (OE) Bij een Operational Excellence strategie wordt gekozen voor een optimale prijs-prestatieverhouding van geleverde IS-diensten. Een OE-strategie leidt tot kostenbeheersing, standaardisatie en voorspelbare kwaliteit. McDonalds en IKEA zijn bekende voorbeelden van bedrijven die deze strategie met succes toepassen.

Uitvoeren van IT-dienstverlening door de leverancier Het vertalen van IS-strategie naar IS-operatie Product Leadership (PL) Bij een Product Leadership strategie wordt er voor gekozen steeds het beste product in de markt te zetten. Dit gaat gepaard met hoge kosten voor Research & Development, maar minder margedruk op het eindproduct omdat de competitieve positie uniek is. Intel is een voorbeeld van een bedrijf dat deze strategie met succes toepast. Kenmerkend is dat in tijden van economische teruggang Intel haar R&D budgetten verhoogd om de afstand met de concurrentie verder te vergroten. Customer Intimacy (CI) Bij een Customer Intimacy strategie worden processen en producten maximaal afgestemd op de specifieke behoeften van een klant. Veel consultancy bureaus volgen deze strategie. Onder druk van de economische omstandigheden kiezen veel IS-afdelingen voor een OE-strategie. Klanten zijn echter in veel gevallen door de hoogconjunctuur aan het eind van de vorige eeuw gewend aan ISafdelingen die een CI-strategie volgen. Veel klanten vragen dat nog steeds (een informatiemanager: ik wil best wat meer betalen, als ze maar eens gingen meedenken ). Dit levert een ambivalente situatie op. Klanten vragen customer intimacy, terwijl de board IS-afdelingen aan de hand van kostenbesparingsdoelstellingen dwingt een operational excellence strategie te volgen. Dit leidt tot ontevreden klanten, en bovendien blijken interne IS-afdelingen meestal minder goed te kunnen concurreren op kosten dan een externe IS-leverancier, omdat ze minder kunnen profiteren van schaalvoordelen. Het volgen van een OE-strategie verhoogt daarmee het risico van IS-afdelingen uitbesteed te worden, omdat op termijn geen concurrentievoordeel meer bestaat op IS outsourcers. In de rest van dit gedeelte wordt ingegaan op de afstemmingsproblemen die ontstaan als een eenmaal gekozen strategie vertaald moet worden naar operationele processen. Het bepalen van een adequate IS-strategie valt buiten de scope van dit artikel. Afstemmingsproblemen tussen strategie en operatie Bottom-up/top-down Bij veel organisaties worden procesverbeteringen niet bepaald door een (top-down) vertaling van strategie naar operatie, maar worden verbeteringen bottom-up in gang gezet. Dit gebeurt dan vaak op grond van technische expertise en met behulp van methoden als het CMMI en ITIL/IPW. Als gevolg hiervan kan een organisatie ontstaan waar de relatie tussen verbeteringen en bedrijfsstrategie niet meer duidelijk is. 289 Product Leadership "Beste product" Operational Excellence "Best prijs/prestatie verhouding" Customer Intimacy "Beste customer solution" Figuur 2 Dominante Strategiën volgens Treacy & Wiersema (1993) IT Service Management, best practices

290 Voorbeeld Bij een financiële dienstverlener werd door de centrale IS-afdeling gekozen voor een procesverbetertraject gebaseerd op ITIL. Er werd gekozen voor een standaard ITIL implementatie; dat wil zeggen, er werd stevig ingezet op het professionaliseren van de helpdesk, en de processen incidentenbeheer, wijzigingsbeheer en configuratiebeheer. Nadat op deze manier de winkel op orde was gebracht werd dienstenniveaubeheer opgepakt. Uit een onderzoek naar de bedrijfscontinuïteit bleek dat uitwijk bij deze organisatie maar zeer beperkt was geregeld, in ieder geval te beperkt in het licht van de sterk toegenomen afhankelijkheid van de organisatie van haar informatiesystemen. In gesprekken met informatiemanagers bleek bovendien dat deze redelijk tevreden waren over de structuur en naleving van dienstenniveauovereenkomsten. Een analyse van de bedrijfsstrategie en van daaruit de vaststelling welke processen moesten worden verbeterd had dus waarschijnlijk voor dienstenniveaubeheer geleid tot een lagere prioriteit en voor continuïteitsbeheer (dat dus geheel buiten beschouwing was gelaten) tot een hogere prioriteit. Stuurinformatie In menige organisatie is de laatste jaren gewerkt aan het genereren van stuurinformatie voor processen. Het aantal Key Performance Indicators (KPI s) dat (in ieder geval op papier) is bedacht is schier oneindig. Hoeveel levert dit op? In een aantal gevallen is het voor een procesmanager een uitstekend hulpmiddel om grip te krijgen op zijn of haar proces. In andere gevallen wordt zoveel stuurinformatie opgeleverd dat een goede interpretatie door het management moeilijk is. Voorbeeld Bij een overheidsorganisatie werd maandelijks een incidentrapportage opgesteld. Het detailniveau van de rapportage was zodanig dat het management de rapportage nooit las; ze volstond met de vraag of er nog bijzonderheden waren. De incidentmanager gebruikte de rapportage ook niet, omdat het opstellen van een maandelijkse rapportage voor hem meer een kwestie van archiveren van gebeurtenissen was, dan een hulpmiddel om tijdig het proces te kunnen bijsturen. Het koste hem overigens wel enige uren per maand om dit ritueel in stand te houden. Domeinspecifieke procesverbeteringen In het recente verleden zijn bij veel organisaties procesverbeterprogramma s uitgevoerd binnen het ontwikkeldomein en/of het beheerdomein. In een aantal gevallen werd dit weliswaar tegelijkertijd gedaan, maar zelden onder centraal programmamanagement. Traditioneel heeft elk vakgebied haar eigen proces- en volwassenheidsmodellen ontwikkeld. Vanuit het perspectief van de betreffende vakgebieden is dit natuurlijk valide; de modellen brengen theorie en praktijkervaring bij elkaar in best practices. Voor professionals behoren ze zonder meer tot de vereiste body of knowledge. Er is echter ook een keerzijde bij het gebruik van al deze modellen, die het best kan worden samengevat onder de noemer spraakverwarring (Figuur 3). Horizontale spraakverwarring ontstaat als specialisten uit verschillende domeinen met elkaar moeten samenwerken onder meer door overlap en onvoldoende aansluiting tussen modellen. Logischerwijs wordt gebruik gemaakt van terminologie uit het eigen vakgebied, wat in een aantal gevallen tot problemen kan leiden. Voorbeeld Bij het inrichten van domeinoverstijgende processen, zoals incidentenbeheer en releasebeheer, moet ter ondersteuning ook aandacht worden besteed aan configuratiebeheer. CMMI onderscheidt binnen configuratiebeheer zowel versiebeheer als het afhandelen van wijzigingsverzoeken ( Change Requests ). ITIL ziet configuratiebeheer en het afhandelen van wijzigingsverzoeken ( Requests for Change ) als gescheiden pro-

Uitvoeren van IT-dienstverlening door de leverancier Het vertalen van IS-strategie naar IS-operatie Beschrijven huidige situatie CMM Procesbeheersing Optimizing Voorspelbaar, Procesmetingen Managed Beheerst Quantitatively Meetbaar, Procesdefinitie Defined van processen Generieke basisset Pro-actief Focus op projecten Managed Gediciplineerd Planmatig werken Ad Hoc Onvoorspelbaar Reactief Projectmanagement Initial ACM Customer organization strategy ICT portfolio ICT management Customer development environment strategy strategy Life cycle management Userenvironment Kwaliteitsmanagement Service level management Steeds verder Verbeteren o.b.v. metingen CobIT Services OCM Demand Account Market definition definition Richtinggevend definition Service Inside out delivery Outside in Delivery Technology Skills definition definition Supply Tactisch/ Planning en Kostenmanagement Sturend control ASL Sturende processen Applicatie 291 Not performed Niets vastgelegd Uitvoerend Ontwerp Impactanalyse Realisatie Implementatie Testen Incident beheer Continuiteitbaarheids Beschik- beheer beheer Capaciteitratie Configu- beheer beheer Wijzigingen beheer Programmabeheer en distributie Beheer Verbindende processen Onderhoud/ vernieuwing EFQM Prince 2 Document control Product-based technique planning technique Configuration Management Start up Change control Organisation Directing a project Managing initiating Controlling stage a project a stage boundaries Closing a project Plans Waardering Medewerkers door medewerkers Waardering Leiderschap Strategie & Processen door klanten Eindresultaten beleid en leveranciers Quality in a project environment Managing product delivery Controls Middelen Waardering door de maatschappij Planning ORGANISATIE RESULTAAT Management of Leren & Verbeteren Quality review technique risk Stages Change control technique Figuur 3 Het modellenmoeras cessen. Voor het voeren van een versiebeheeradministratie en het beheren van wijzigingsverzoeken wordt in het ontwikkeldomein gebruik gemaakt van tools zoals Continuus van Telelogic en ClearCase/ ClearQuest van Rational. Binnen het beheerdomein wordt gebruik gemaakt van bijvoorbeeld IT Service Desk van Hewlett Packard of Remedy van BMC. Een ontwikkelaar (CMMI) en een beheerder (ITIL) hebben dus als gevolg van de in hun domein populaire modellen een net ander referentiekader, terwijl ze het over dezelfde problematiek hebben. Verticale spraakverwarring ontstaat als vanuit het management verbeterdoelstellingen worden geformuleerd, geïnitieerd en gemonitord. Een probleem hierbij is namelijk dat elk domein haar eigen (proces-)volwassenheidsmodellen kent. Zo zijn er bijvoorbeeld volwassenheidsmodellen voor Human Resource Management, Financiële Processen, Ontwikkeling en Beheer. Populaire modellen in de IS zijn ITIL/IPW en het IT Service CMM (Niessink, 2000) voor beheer, en CMMI voor ontwikkeling. Een gedetailleerde discussie over de overeenkomsten en verschillen tussen deze modellen valt buiten de scope van dit artikel. De volgende verschillen zijn hier echter relevant: De modellen verschillen in terminologie en structuur. Waar ITIL/IPW spreekt van Processen, daar spreekt CMMI van Process Areas (bij de voorganger CMM werd overigens de term Key Process Area gebruikt). Het verschillende aantal niveaus per proces. CMMI onderkent zes zogenaamde Capability Levels per proces (in de Continuous variant van het model) en vijf organisatieniveaus (in de Staged variant). ITIL/IPW kent zes niveaus per proces, waarvan het onderlinge verband leidt tot een inschaling van de organisatie op één van vijf organisatieniveaus (ITIL/IPW is een zogenaamd Hybride model). IT Service Management, best practices

292 Voorbeeld Bij de IS-afdeling van een groot warenhuis liepen tegelijkertijd projecten voor het behalen van CMMI level 2 bij ontwikkeling en ITIL/IPW level 3 voor een aantal beheerprocessen. Daarnaast werd gewerkt aan de implementatie van DSDM (DSDM Consortium, 2002) en er liep een project voor de inrichting van een projectmanagementmethode waar een op PRINCE2 (CCTA, 1999) lijkende, maar in eigen huis ontwikkelde, methode voor werd gebruikt. Nadat werd vastgesteld dat steeds minder managers zich iets van deze projecten aantrok ( ik snap er helemaal niks meer van ) werden deze projecten onder centrale regie geplaatst en werd zoveel mogelijk overlap uit de verbeterplannen verwijderd. Hierdoor ontstond een verbeterplan met een duidelijke focus dat beter kon worden gemanaged. Als door een organisatie slechts één volwassenheidsmodel zou kunnen worden gebruikt heeft dit de volgende voordelen (Ahern et al., 2001, pp. 1): Kosten. Door procesverbeteringen in de gehele organisatie op één model te baseren kan worden bespaard op trainingkosten, assessment kosten, beheer van de procesbibliotheek en inkoop van externe expertise. Focus. De meeste projecten en processen gaan over domeinen heen. Vaak worden bedrijfsprioriteiten beter bediend door dergelijke domeinoverstijgende verbeteringen dan door verbeteringen binnen een enkel domein (het voorkomt hobbyisme). Ook centraal programmamanagement draagt hier aan bij. Uitwisselen kennis en ervaring. Door het bezit van een gezamenlijk referentiekader krijgen specialisten vanuit verschillende domeinen een extra instrument om kennis en ervaring uit te wisselen. Flexibiliteit. Bij gebruik van een uniform volwassenheidsmodel kunnen nieuwe disciplines in een organisatie eenvoudiger aansluiten bij lopende initiatieven. Een extra reden voor het gebruik van een enkel volwassenheidsmodel is: Rapportage. Het wordt eenvoudiger voor het (hoger) management om een beeld te krijgen van de volwassenheid van de processen in de verschillende bedrijfsdisciplines als één referentiekader wordt gebruikt en op eenduidige wijze kan worden gerapporteerd. Dus zowel interne benchmarking als (potentieel) externe benchmarking wordt eenvoudiger. HET VERTALEN VAN IS-STRATEGIE NAAR IS-OPERATIE In de beschrijving van de aanpak voor het vertalen van een gekozen IS-strategie naar operationele prioriteiten en processen wordt ingespeeld op de eerder beschreven problemen. De aanpak bestaat uit de volgende stappen: Stap 0 Kies een strategische oriëntatie. Stap 1 Bepaal de consequenties voor IS processen. Stap 2 Bepaal procesdoelstellingen en richt een scorecard in. Stap 3 Bepaal procesindicatoren en richt een dashboard in. Stap Bepaal het huidige en het gewenste volwassenheidsniveau. Stap 5 Maak een verbeterplan en monitor de feitelijke verbetering. Het stappenplan geeft een methode voor het top-down afstemmen van IS-strategie op procesdoelstellingen. Om uniforme stuurinformatie te genereren en één volwassenheidsmodel voor het gehele IS-domein te hanteren wordt gebruik gemaakt van CobiT. CobiT onderscheidt een 3-tal processen die zijn ondergebracht in vier domeinen, te weten Planning & Organisation (PO), Acquisition & Implementation (AI), Delivery & Support (DS) en Monitoring (M) (Figuur ). Het stappenplan wordt in de volgende paragrafen nader toegelicht.

Uitvoeren van IT-dienstverlening door de leverancier Het vertalen van IS-strategie naar IS-operatie 293 Figuur CobiT processes for managing IT resources Stap 0: Kies een strategische oriëntatie De eerste stap is het bepalen van een ISstrategie op basis van Operational Exellence (OE), Customer Intimacy (CI) of Product Leadership (PL). De gevolgen van een strategiekeuze zijn (per definitie) groot. Zoals eerder opgemerkt worden IS-afdelingen na jaren een min of meer CI-strategie te hebben gevolgd nu vaak gedwongen over te gaan op een OE-strategie. Een direct gevolg is dat (vaak ingrijpende) applicatie- en infrastructuur consolidatieprogramma s nodig zijn om de hardware en softwareomgeving in lijn te brengen met de nieuwe strategische oriëntatie. Zoals gezegd beperkt dit artikel zich tot de aanname dat er een IS-strategie is bepaald. Voorbeeld Ter illustratie worden de opeenvolgende stappen toegelicht aan de hand van een fictieve centrale IS-afdeling die diensten verleent aan verschillende bedrijfsonderdelen. De gekozen strategie is Operational Excellence. Stap 1: Bepaal de consequenties voor IS-processen In Figuur 5 wordt een globaal overzicht gegeven van de consequenties van een gekozen IS-strategie op de IS domeinen. Dit gebeurt door voor ieder domein de belangrijkste requirements te formuleren die door de (tot dat domein behorende) processen moeten worden gerealiseerd. Om de tabel in Figuur 5 te begrijpen worden twee voorbeelden toegelicht. Allereerst de vraag hoe wordt omgegaan met standaardoplossingen versus maatwerk. Vertrekkend vanuit een OE-strategie wordt gestreefd naar marktconforme oplossingen, proven technology en voorspelbare kwaliteit. Dit zal in de regel leiden tot de aanschaf van standaardoplossingen. Vertrekkend vanuit een CI-strategie staat niet meer de prijs-prestatieverhouding centraal, maar het voldoen aan de klantwens. Als de klantbehoefte met standaardoplossingen kan worden ingevuld is dat natuurlijk prima, maar bij een CI-strategie past ook maatwerk (zelf ontwikkelde oplossingen, of aanpassingen van standaardoplossingen aan de specifieke klantsituatie). Bij IT Service Management, best practices

Operation Excellence Customer Intimacy 29 Planning & Organisation (PO) Marktconforme oplossingen IS afdeling als Profit Center HRM beleid gericht op 'IS processen' Integratie en 'proven technology Stringente beheersing van Kosten Maatwerk IS afdeling als Cost Center HRM beleid gericht op 'business intelligence' Oportunity based architectuurkeuzes Pricing Cost Acquisition & Implementation (AI) Focus op kopers van standaardoplossingen Conservatief in autoriseren van gebruikers en IS wensen Standaardoplossingen waar mogelijk, maatwerk en ontwikkeling niet schuwen Progressief in autoriseren van gebruikerswensen Delivery & Support (DS) Standaard dienstenniveauovereenkomsten Managen van dienstenniveaus volgens gedefinieerd proces Efficiënte standaardprocessen gemanaged op prijs/kwaliteit ratio Managen van verschillende dienstenniveaus voor verschillende klanten mogelijk Procesinrichting afgestemd op klantprioriteiten Monitoring (M) Efficiënte processen (Externe) benchmarking Effectieve processen Figuur 5 Outsourcing is het doorknippen van de IT-organisatie een PL-strategie zal vaak worden gekozen voor maatwerk en in huis ontwikkelen, omdat op de markt nog onvoldoende standaardoplossingen verkrijgbaar zullen zijn. Als tweede voorbeeld kijken we naar dienstenniveaubeheer. Bij een OE-strategie wordt gestreefd naar één dienstenniveauovereenkomst die geldt voor alle klanten. Bij een CIstrategie past het afsluiten van verschillende niveaus van dienstverlening voor verschillende klanten. Bij een PL-strategie zal het dienstenniveaubeheer minder stringent zijn, omdat daar de oplossing meer centraal staat. Op basis van Figuur 5 kan voor ieder proces het relatieve belang worden bepaald. Als een organisatie daarnaast een inschatting maakt van de huidige prestaties van de verschillende processen, ontstaat een eerste indruk van de aansluiting van de huidige procesinrichting op de gekozen strategie. In Figuur 6 wordt hiervoor een hulpmiddel gegeven dat gebruikt kan worden bij een OEstrategie. Opmerking De processen in Figuur 6 zijn de 3 processen die door CobiT worden onderkend. De procesarchitectuur van uw eigen organisatie zal hier zeer waarschijnlijk van afwijken. In dat geval zijn er in essentie twee mogelijkheden: de tabel wordt aangepast aan de feitelijke procesarchitectuur of andersom. Het aanpassen van de tabel zou kunnen betekenen dat er bijvoorbeeld processen worden toegevoegd. Voor het hier gepresenteerde stappenplan is dat geen probleem, maar in de vervolgstappen kan mogelijk minder direct van CobiT gebruik worden gemaakt. In veel gevallen zal de aanpassing echter beperkt zijn omdat CobiT is gebaseerd op bestaande modellen (zoals ITIL en CMM) en zich bovendien richt op doelstellingen en niet op procesimplementaties. De kans is dus groot dat processen uit uw organisatie dezelfde doelstellingen nastreven als de CobiT processen; een vertaling is dan betrekkelijk eenvoudig. Het aanpassen van de procesarchitectuur aan CobiT is natuurlijk ook mogelijk, maar ligt niet erg voor de hand vanwege de potentieel grote gevolgen voor uw organisatie.

Uitvoeren van IT-dienstverlening door de leverancier Het vertalen van IS-strategie naar IS-operatie Voorbeeld - Incidenten en Problemen In het gekozen voorbeeld gingen we uit van een IS-afdeling met een OE-strategie. In Figuur 6 kunnen we aflezen welke processen bij deze strategische oriëntatie van belang zijn. Onze fictieve organisatie heeft onder meer een op ITIL gebaseerd proces voor incidentenbeheer en een op ITIL gebaseerd proces voor probleembeheer. Om het voorbeeld eenvoudig te houden gaan we ervan uit dat alleen deze processen onvoldoende presteren. Omdat CobiT mede op ITIL is gebaseerd en zich bovendien richt op doelstellingen, ligt het voor de hand om Figuur 6 niet aan te passen, maar vast te leggen dat in de organisatie twee aparte processen (incidentbeheer en probleembeheer) bestaan die samen de doelstellingen van DS10 Manage Problems and Incidents moeten realiseren. Voorbeeld - Human Resource Manament (HRM) Als tweede voorbeeld nemen we het beleid ten aanzien van Human Resource Management. Ook hier geldt dat CobiT zich sterk richt op doelstellingen. Denk in dit verband aan doelstellingen ten aanzien van werving en selectie, training, en de formulering van rollen en verantwoordelijkheden. Ongeacht de feitelijke inrichting van de HRM-activiteiten in de organisatie kan worden vastgesteld of aan de doelstellingen van PO7 Manage Human Resources wordt voldaan. Stap 2: Bepaal procesdoelstellingen en richt een scorecard in Uit stap 1 is het relatieve belang van IS-processen in het licht van de gekozen strategie bekend. Om nu te kunnen beoordelen of deze processen hun bedrijfsdoelstellingen waarmaken worden zogenaamde Key Goal Indicators (KGI s) opgesteld en opgenomen in een scorecard. CobiT definieert voor de 3 onderkende processen een verzameling KGI s die als startpunt kan worden genomen voor het vaststellen van de KGI s voor uw organisatie. De scorecard zou eens per maand of kwartaal kunnen worden opgesteld en geeft het management inzicht in de vraag of met de processen de gewenste bedrijfsdoelstellingen worden bereikt. 295 Figuur 6 Belang & Performance IT Service Management, best practices

296 Voorbeeld - Incidenten en Problemen Als Key Goal Indicators die zichtbaar moeten maken of de doelstellingen worden bereikt kiezen we bijvoorbeeld: een meetbare reductie van het aantal incidenten; een meetbare reductie van de (business) impact van problemen en incidenten; een meetbare reductie van incidenten die herhaald optreden. Voorbeeld - Human Resource Management Voor het bepalen van de effectiviteit van de HRM activiteiten kiezen we bijvoorbeeld: percentage IS medewerkers dat voldoet aan het competentieprofiel voor hun rol in de organisatie; de tijd die gemiddeld nodig is voor het rekruteren van nieuwe medewerkers. Stap 3: Bepaal procesindicatoren en richt dashboard in Nu bekend is welke (bedrijfs)doelstellingen met een proces moeten worden behaald, kan worden gewerkt aan het bepalen van operationele stuurinformatie voor de relevante processen. CobiT definieert voor de 3 onderkende IS-processen zogenaamde Key Performance Indicators (KPI s) die als startpunt voor het bepalen van deze performance doelstellingen kunnen worden gebruikt. Deze KPI s worden opgenomen in een dashboard. Een dergelijk dashboard moet dagelijks (of wekelijks) worden geactualiseerd om procesmanagers in staat te stellen tijdig bij te sturen, zodat ze op voorhand weten dat de procesdoelstellingen worden gehaald. Voorbeeld - Incidenten en Problemen Bij stap 2 hebben we een drietal Key Goal Indicators bepaald om het effect van het inrichten van incidentenbeheer en probleembeheer te kunnen bepalen. In deze stap moeten we de stuurparameters bedenken om een procesmanager in staat te stellen actief te sturen op het behalen van deze KGI s. Omwille van de eenvoud werken we hier alleen de gevolgen van de eerste KGI ( een meetbare reductie van het aantal incidenten ) verder uit. Om te sturen op het behalen van een meetbare reductie van het aantal incidenten kiezen we als Key Performance Indicator het voortschrijdend gemiddelde van het aantal incidenten dat per week wordt vastgesteld. Het meten en beoordelen van deze KPI gebeurt bijvoorbeeld met een Shewart Control Chart, een in de industrie gebruikelijk hulpmiddel om statistisch verantwoorde beslissingen te kunnen nemen over de stabiliteit en performance van een productieproces (Grant & Leavenworth, 1988). De hoge omloopsnelheid van het incident management proces leent zich hier goed voor (Figuur 7). Hoe komt Figuur 7 tot stand? Om het aantal incidenten te kunnen beoordelen wordt iedere dag het aantal incidenten geregistreerd. Per week leidt dit tot een gemiddeld aantal voor die week. Na een 15-tal weken is het statistisch verantwoord om het gemiddelde van deze weekgemiddelden te bepalen en met behulp daarvan een onder- en bovengrens te berekenen ten behoeve van trendanalyse. De controlekaart kan op de volgende manieren worden gebruikt: De incidentmanager vult iedere dag het aantal incidenten in en ziet zo de kaart voor zijn ogen ontstaan. Dit is belangrijk, omdat zo nauwelijks vertraging ontstaat tussen de registratie en (een deel van) de interpretatie van de rapportage. Merk op dat in week 16 de kaart gewoon een weekje opschuift, het is dus niet nodig weer 15 weken te wachten. Met behulp van de onder- en bovengrenzen kan de incidentmanager direct zien of op een dag een uitschieter is geweest of dat zich een trend voordoet 1. Hij/zij kan dus ook direct het effect zien van het oplossen van structurele problemen wat zou moeten leiden tot afname van het aantal incidenten (en dus een daling van het centraal gemiddelde). 1 Voor de statistici onder de lezers: er is sprake van een trend als 6 opeenvolgende meetpunten steeds naar boven of steeds naar beneden gaan, of als 6 opeenvolgende meetpunten onder of boven het centraal gemiddelde liggen (Grant & Leavenworth, 1988).

Uitvoeren van IT-dienstverlening door de leverancier Het vertalen van IS-strategie naar IS-operatie 297 Figuur 7 Controlekaart aantal incidenten Voorbeeld - Human Resource Management Als KPI om te kunnen sturen op het behalen van de in de vorige stap geschetste KGI s zou bijvoorbeeld gekozen kunnen worden voor het bijhouden van: het percentage IS-medewerkers met een persoonlijk ontwikkelingsplan; het percentage gealloceerde en gebruikte trainingstijd per medewerker. Stap : Bepaal het huidige en het gewenste volwassenheidsniveau We weten nu wat de doelstellingen zijn voor de relevante processen en hebben het instrumentarium om de procesresultaten en procesperformance te kunnen meten. De volgende stap is het bepalen van de noodzaak om de processen (verder) te verbeteren. De volgende vragen helpen om deze noodzaak te kunnen vaststellen: Worden door het proces de beoogde doelstellingen (structureel) behaald? IT Service Management, best practices

298 Is het mogelijk om aan de hand van het dashboard vast te stellen of het proces de beoogde doelstellingen bij de volgende scorecardrapportage zal hebben behaald? Zijn de implementatierisico s van het proces acceptabel? Om deze vraag te beantwoorden kan worden onderzocht of bij de implementatie van de processen wordt voldaan aan de Key Success Factoren (KSF s) die CobiT definieert voor de 3 processen. Als op grond van deze vragen wordt besloten dat procesverbeteringen nodig zijn, dan wordt vervolgens het huidige volwassenheidsniveau van het proces bepaald. Als er uiteindelijk gekozen wordt om procesverbeteringen door te voeren, dan moet eerst het huidige volwassenheidsniveau van de betreffende processen worden bepaald. Voor alle 3 onderkende IS-processen definieert CobiT een volwassenheidsmodel dat gebaseerd is op de volwassenheidsniveaus van CMM. Een op CobiT gebaseerd assessment levert dus een uniform beeld op van de huidige en gewenste volwassenheid per proces. Voorbeeld Stel dat in onze voorbeeldorganisatie geen meetbare reductie van het aantal incidenten kan worden bereikt. Bovendien blijkt het proces niet stabiel te zijn waardoor de controlekaart weinig voorspellende waarde heeft. Tenslotte blijkt dat er geen goede integratie is van probleembeheer en wijzigingsbeheer (één van de CobiT Key Success Factors voor DS10 Manage Problems and Incidents ). Het is dan duidelijk dat het proces moet worden verbeterd. Vermoedelijk zal bij een assessment van dit proces het volwassenheidsniveau op 2 worden vastgesteld. Bij een OE-strategie past een hoog volwassenheidsniveau van operationele delivery processen; op grond waarvan we het streefniveau vaststellen op niveau. Stap 5: Maak een verbeterplan en monitor de feitelijke verbetering Uit de voorgaande stappen weten we welke processen moeten worden verbeterd en welke verbeteringen (in termen van procesvolwassenheid, maar ook in te bereiken resultaten) moeten worden gerealiseerd. 5 Optimized Proces voortdurend geoptimaliseerd aan omstandigheden op basis van best practices. Managed and Meassurable Efficiency en effectiviteit worden gemeten. Proactieve sturing. 3 Defined Process Gestandaardiseerd en gedocumenteerd process. Voornamelijk weergave van bestaande activiteiten. Reactief. 2 Repeatable but Intuitive In verschillende situaties wordt min of meer hetzelfde proces gevolgd. Grote afhankelijkheid van individuen. 1 Initial/Ad Hoc Noodzaak is onderkend, activiteiten worden ad hoc toegepast. Nonexistend 0 Proces is niet aanwezig, de organisatie is zich niet bewust van de noodzaak. Figuur 8 CobiT Maturity Levels

Uitvoeren van IT-dienstverlening door de leverancier Het vertalen van IS-strategie naar IS-operatie Input Activiteit Output Metingen 299 Test en evalueer Fout indentificatie Oplossing Fout Bepaal oplossing Oorzaak Bepaal oorzaak Figuur 9 Kwaliteitsverbetercycles Nu kan een verbeterplan worden opgesteld om het gewenste volwassenheidsniveau te realiseren. Tijdens het realiseren van het plan wordt gebruik gemaakt van het ontwikkelde rapportage-instrumentarium om direct inzicht te hebben in het effect van de groei in volwassenheid (Figuur 9). Om het verbeterplan uit te werken wordt geleund op de volgende bronnen: De CobiT volwassenheidsstadia, Key Success Factors en procesdoelstellingen geven inzicht in de resultaten die door het verbeterplan moeten worden bereikt. Andere modellen zoals CMMI, ITIL en PRINCE2 kunnen worden gebruikt als hulpmiddel voor het bepalen van de implementatie van de procesverbeteringen. Voorbeeld Het verbeteren van DS10 Manage Problems and Incident kan mede worden gebaseerd op de ITIL processen Incidentenbeheer en Probleembeheer. Het verbeteren van PO7 Manage Human Resources kan mede worden gebaseerd op de People Service Index (Gompers & Meijers, 2001). OVERWEGINGEN In dit artikel is een aanpak beschreven voor het vertalen van een gekozen IS-strategie naar operationele procesinrichting. Daarbij wordt gebruik gemaakt van CobiT als belangrijkste vehicel in aanvulling op populaire modellen als CMMI en ITIL/IPW. Ter afsluiting volgen hieronder nog een aantal opmerkingen over de mogelijkheden en beperkingen van de beschreven werkwijze. Instrumentele benadering De beschreven aanpak suggereert dat een instrumentele top-down benadering van deze complexe materie mogelijk is. Dat zal in de praktijk niet zo zijn. In de praktijk is het echter ook niet belangrijk of de stappen precies zo worden doorlopen als hierboven beschreven. Waar het om gaat is dat het eindresultaat (strategie, prioriteiten, stuurinformatie) dat binnen een organisatie wordt gebruikt een samenhangend geheel vormt dat begrijpelijk is alsof het uit een top-down stappenplan is ontstaan. Het kunnen geven van een dergelijke uitleg is op zichzelf al een bewijs van de consistentie van het eindresul- IT Service Management, best practices

300 taat, ongeacht of dat nu top-down, bottomup, middle-out of zelfs random tot stand is gekomen (Parnas en Clements, 1990). CobiT is toch voor auditors? Hoewel CobiT bij een groot aantal organisaties wordt toegepast, is dat meestal bij de audit-afdelingen. Dat leidt er in een aantal gevallen toe dat IS-managers CobiT eerder als een bedreiging zien, dan als een aanvullend hulpmiddel om hun werk te structureren (Mingay & Bittinger, 2002). Als CobiT op de hier beschreven wijze wordt toegepast zal het echter de samenwerking tussen IS-afdelingen en auditors eerder bevorderen dan verstoren. Samenhang CobiT, ITIL/IPW & PRINCE2 Dat de vraag naar de samenhang tussen de in dit artikel gebruikte modellen actueel is blijkt wel uit de uitspraak van S. Mingay dat questions from out customers about the relationship between models like PRINCE2, ITIL and CMM raised from 20 per year in 2000 to 20 per week currently (uitspraak tijdens conference call met de auteurs op 19 maart 2003). Compleet? De beschreven werkwijze is niet compleet omdat het met name de proceskijk op organisaties belicht. Een aspect als leiderschap wordt bijvoorbeeld niet meegenomen. Hieraan zou tegemoet kunnen worden gekomen door op organisatieniveau gebruik te maken van het EFQM-model (EFQM, 1992). De hier beschreven aanpak kan vervolgens worden gebruikt voor het detailleren van de IS-functie. Aansluiting CobiT op andere modellen De niet volledige aansluiting van CobiT op ITIL, CMMI en andere modellen vormt voor de hier beschreven werkwijze geen wezenlijk probleem. Zoals eerder opgemerkt komt dit omdat CobiT zich richt op te behalen doelstellingen, en niet op de wijze van implementatie van processen. Een andere reden is dat CobiT wel mede op deze modellen is gebaseerd. Als gevolg daarvan bestaat er een hoge mate van overlap tussen de CobiT processen en doelstellingen, en de processen en doelstellingen van veel andere populaire methoden. In een specifieke situatie moet een organisatie echter wel bereid zijn de vertaalslag uit te voeren. Stap 1 en stap 5 vergen hierbij de meeste aandacht. Free Lunch? Het toepassen van de geschetste aanpak langs de hoofdlijnen van CobiT is niet geheel een free lunch vanwege de genoemde inspanning die nodig is om de aansluiting van procesdefinities tussen CobiT en andere methoden te realiseren. Dit betaalt zich echter terug in een betere Return on Investment op procesverbetertrajecten omdat de verbetering vanuit de strategie wordt aangelopen (en dus belangrijk is). Prioriteiten worden zoals het hoort top-down gesteld. Dit in tegenstelling tot bottum-up procesverbeteringstrajecten waar de verantwoording van investeringen vaak te wensen overlaat met als grootste risico dat na verloop van tijd het verbetertraject geen draagvlak meer heeft en een zachte dood sterft. CONCLUSIE De beschreven aanpak om te komen tot een operationele procesinrichting in het licht van een gekozen IS-strategie komt tegemoet aan de eerder beschreven afstemmingsproblemen door: Het geven van een top-down stappenplan waardoor de aansluiting tussen IS-strategie en IS-operatie wordt gewaarborgd. De omvang van de hoeveelheid stuurinformatie te beperken door verschillende rapportages af te stemmen op hun eigen doelgroep. Met de Shewart Control Chart is bovendien een voorbeeld gegeven van een dashboard dat door een zeer korte feedback-lus goed voor de dagelijkse sturing van een proces als incident management kan worden gebruikt. Het probleem van domeinspecifieke rapportages en volwassenheidsmodellen te beperken door het gebruik van CobiT.

Uitvoeren van IT-dienstverlening door de leverancier Het vertalen van IS-strategie naar IS-operatie De aanpak is daarnaast een hulpmiddel voor het begrijpen van de positionering van CobiT, CMMI en ITIL/IPW. LITERATUUR Ahern, D.M., A. Clouse & R. Turner. CMMI Distilled, SEI Series in Software Engineering, Addison-Wesley, 2001. Bom, J. et al. Het ABC tot Integraal IPW, Implementatie van een Procesgerichte Werkwijze. ICT Management Pocket Guides, Ten Hagen & Stam, 2001. CCTA. Managing Succesful Projects with PRINCE2, The Stationary Office, London, 1999. DSDM Consortium. Framework for Business Centred Development. DSDM Manual, Version.1. 2002. EFQM. EFQM Excellence Model, EFQM, 1992. Gompers, R. & J. Meijers. People Service Index, Internal Report, Quint Wellington Redwood, 2001. Grant, L. & R.S. Leavenworth. Statistical Quality Control, Sixth Edition, McGraw- Hill Book Company, New York, 1988. Hagen, L. van der. Application Services Library, Introductie Best Practices en Framework voor Application Management, ASL Foundation, 2001. IT Governance Institute. CobiT 3rd Edition - Framework, July 2000. Lanowitz, T. en D. Curtis. Unity in the IS Organization Improves Business Processes, GartnerGroup, 2003. Mingay, S. and S. Bittinger. Combine CobiT and ITIL for Powerful IT Governance, GartnerGroup, 2002. Niessink, F. IT Service CMM, Software Engineering Research Centre, 2000. OGC. ITIL Service Delivery, TSO, 2001. OGC. ITIL Service Support, TSO, 2000. Parnas David L. and Paul C. Clements. A Rational Design Process: How and Why to Fake it. In: IEEE Trans. Software Eng. 12(2): 251-257, 1986. SEI. Capability Maturity Model Integration (CMMISM), Version 1.1, CMMISM for Systems Engineering, Software Engineering, Integrated Product and Process Development, and Supplier Sourcing (CMMI-SE/SW/IPPD/SS, V1.1) Continuous Representation. CMU/SEI- 2002-TR-011; also ESC-TR-2002-011. Pittsburgh, PA: Software Engineering Institute, Carnegie Mellon University, March 2002. Treacy, M., and F. Wiersema. Customer Intimacy and Other Value Disciplines. In: Harvard Business Review, January- February, 1993. 301 IT Service Management, best practices