www.bt-magazin.de

Business Process Management

72 bt | 1.2013

Viele Unternehmen stehen vor der Herausforderung, be-stehende Organisations- bzw. IT-Prozesse einzuführen, zu dokumentieren oder aber zu verbessern. Oft spielt die Unternehmensgröße eine entscheidende Rolle, was den Prozessreifegrad betrifft, da Größe und Beschäfti-gung eine positive Korrelation hinsichtlich der Prozes-se aufweisen. So sind beispielsweise bei kleineren und mittleren Unternehmen (KMUs) die Gründe für eine Beschäftigung mit der Prozessthematik oft in Dokumen-tationsanforderungen und dem erstmaligen Einführen von Prozessen zu !nden. Wohingegen Großunterneh-men meist ihren Fokus auf die Verbesserung bereits existierender Prozesse legen. Gemeinsame Anliegen der Unternehmen sind rechtliche Anforderungen, Trans-parenz im betrieblichen Ablauf und Möglichkeiten der Prozesssteuerung, wie etwa Messung und Verbesserung (Kontinuierlicher Verbesserungsprozess, KVP).

GESCHÄFTSPROZESSMANAGEMENTBusiness Process Management (BPM) steht für Pro-zessmanagement im Allgemeinen und das Geschäfts-

prozessmanagement im Speziellen. Bei einer Reihe von festgelegten Tätigkeiten (Aktivitäten, Aufgaben), die von Menschen oder Maschinen ausgeführt werden, um ein oder mehrere Ziele zu erreichen, spricht man von einem Prozess. Im Mittelpunkt steht dabei das Erzielen eines Kundennutzens bzw. das Generieren von Wert für das Unternehmen.

BPM ist ein systematischer Ansatz, der das Erfas-sen, Gestalten, Ausführen, Dokumentieren, Messen, Überwachen und Steuern umfasst und damit nachhal-tig bezweckt, die mit der Unternehmensstrategie abge-stimmten Ziele zu erreichen (Abb. 1).

Bewusst und zunehmend wird die IT-unterstützte Bestimmung, Verbesserung, Innovation und Erhaltung von End-to-End-Prozessen (ganzheitliche bzw. komplet-te Betrachtung, Bewertung und Optimierung eines Pro-zesses) mitberücksichtigt. Business Process Management and Notation (BPMN) bietet die dazugehörige gra!sche Spezi!kationssprache, die Symbole zur Verfügung stellt und mit der Geschäftsprozesse und Arbeitsabläufe do-kumentiert bzw. modelliert werden können.

Optimierung und Wertsteigerung bei der Prozessdokumentation und -modellierung

Transparenz und Ef"zienz In diesem Artikel werden die Dokumentation von Informationsflüssen vor- und das Erfassen

von manuellen Workflows dargestellt. Darüber hinaus wird die Zustandsanalyse der Prozess-

definition, Modellierung und Implementierung beschrieben. Praktisch erfolgte dies am Beispiel

einer UAM-Softwareeinführung bei der Tochter eines großen deutschen Versorgers. Die ver-

wendete Sprache, BPMN, sowie das Geschäftsprozessmanagement (BPM) werden eingangs

kurz vorgestellt.

AUTOR: SASCHA LAUTERSACK

73bt | 1.2013www.bt-magazin.de

Prozessdenken allgemein und Geschäftsprozessma-nagement im Speziellen wird in den letzten Jahren immer mehr Gehör geschenkt. Während sich vor wenigen Jah-ren meist nur die Großunternehmen auf einem gewissen Level mit dem Thema Prozessmanagement beschäftigt haben, verstehen auch immer mehr mittelständische Un-ternehmen, dass die Beschreibung und Aufnahme ihrer Prozesse von Wert ist (Abb. 2).

So besteht für das Unternehmen zum Beispiel das Risi-ko, beim Ausscheiden eines erfahrenen Mitarbeiters einen kompletten Verlust des jeweiligen Know-hows zu erlei-den, wenn Prozesse nicht ausreichend dokumentiert sind.

Des Weiteren ermöglicht eine strikte organisato-rische Ausrichtung auf Prozesse bzw. das prozess-orientierte Denken der Mitarbeiter zunehmend die Fokussierung auf Kundenanforderungen anstatt auf Verrichtungen, Zusammenführung von funktional zer-stückelten Arbeitsabläufen, die schnellere Reaktion auf Kundenanforderungen, die Eliminierung nicht wert-schöpfender Aktivitäten und die stärkere Leistungsori-entierung durch mehr Verantwortung.

Dies wiederum kann zu einer höheren Kundenzu-friedenheit, kürzeren Durchlaufzeiten, einer höheren Termintreue, geringeren Prozesskosten, einer besseren Prozessqualität, ggf. einem höheren Automatisierungs-grad und einer höheren Flexibilität, Motivation und Identi!kation führen.

HERAUSFORDERUNG UND VORGEHENSWEISEIn den meisten Fällen steht der Kunde vor einer der drei Herausforderungen (Motive dafür sind wiederum viel-seitig: z. B. Kostenreduktion, Unternehmenswachstum, IT-Treiber etc.):

1. Bestehende Prozesse sollen dokumentiert werden.2. Neue Prozesse sollen eingeführt werden.3. Bestehende Prozesse sollen organisatorisch und/oder

durch IT verbessert werden.

Vor allem bei Großunternehmen !ndet man meist schon Prozessdenken bzw. die Beschäftigung mit Prozessen vor, gleich ob es sich dabei um die Dokumentation oder Steuerung handelt. Dies ist nicht in jedem Fall von Vor-teil, da durchaus verschiedene Prozessnotationen (Aris, BPMN) in unterschiedlichen Bereichen verwendet wer-den und unterschiedliche Reifegrade in verschiedenen Unternehmensteilen bestehen. Das kann sich im schlech-testen Fall zu einer heterogenen Sammlung an Prozess-modellen und -dokumenten entwickeln, die es dann zu konsolidieren gilt.

In dem für diesen Artikel herangezogenen Beispiel stand der Kunde vor der Herausforderung, aus ver-schiedenen Systemen und Anwendungen mit unter-schiedlichen Rechtekonzepten bzw. Zugriffsrechten eine einheitliche Überführung in eine gemeinsame Ver-

Abb. 1: Ergebnisgetriebene Aufgabenfokussierung beim Prozessmanagement

www.bt-magazin.de74 bt | 1.2013

waltungsober#äche zu realisieren. Wichtig war es da-bei, einen transparenten und schlanken Ablaufprozess sicherzustellen sowie durch die Einführung eines über-greifenden, alle Systeme und Anwendungen umfassen-den Tools die Prozesskosten zu senken. So gab es bislang keinen einheitlichen Prozess, was die Zugriffsverletzung betraf, was zur Folge hatte, dass keine in allen Bereichen übergreifend homogene Ursachenforschung betrieben wurde und die Problemlösung zum Teil deutlich über den vom Unternehmen vorgegebenen Lead Times lag.

Gesucht wurde somit ein Werkzeug, das die Sachbearbei-tung pro Fall unterstützt (Case Management), transparente In-formationen für das Qualitäts-management und das Controlling liefert, eine kontinuierliche Ver-besserung der Prozessabläufe zulässt und vor allem eine deutli-che Reduzierung der Zugriffsver-letzungen und demzufolge auch Zugriffsverletzungsmeldungen ermöglicht.

Dies stellte sich im Detail so dar, dass Geschäftsregeln, so ge-nannte Business Rules, auf Be-nutzerrechte, so genannte User Rights, treffen. Findet zwischen beiden Seiten keine Entspre-chung (Mapping) statt, kommt es zu Zugriffsverletzungen (Vi-

olations), die wiederum mittels eines so genannten Vi-olation Reports dokumentiert werden. Dies geschieht etwa, wenn ein User verschiedene Berechtigungen in-nerhalb eines Tools hat, wobei zugleich die Geschäfts-regel besagt, dass es in diesem Tool nicht möglich sein soll, Änderungen vorzunehmen.

Für den hier beschriebenen Fall wurde eine Vorge-hensweise anhand des BPM-4-Phasenmodells (Abb. 3), bestehend aus einer Analyse-, einer Design-, Implemen-tierung- und Ausführungsphase, herangezogen.

Abb. 2: Perfekt gemanagte Prozesse als Grundlage für ein prozessorientiertes Unter-nehmen

Abb. 3: BPM-4-Phasenmodell

75bt | 1.2013www.bt-magazin.de

ANALYSEPHASEDer ersten Phase des BPM-Modells können im Allge-meinen die folgenden Themen zugeordnet werden. In der Praxis kommt es meist zu ausgewählten Tätigkeiten aus dem aufgeführten Themenbündel:

Bewertung der Strategie, der gegenwärtigen Lage und der etablierten ProzesseUntersuchen der ProzesslandkarteAnalyse der geschäftlichen Erfolgsfaktoren, Analyse und Bewertung der (priorisierten) ProzesseIdenti!kation der Geschäftsziele und Beschreibung der Anforderungen für einen existierenden oder neuen Prozess Priorisierung der Verbesserungsbereiche und Klärung des Anwendungsbereichs Beschreibung der Prozessziele

Die Ausgangssituation beim Klienten: Das beauftragen-de Unternehmen hatte verschiedene Softwarelösungen im Einsatz, zwischen denen zwar Schnittstellen bestan-den, die allerdings völlig unterschiedliche Rechte- bzw. Rechtevergabekonzepte aufwiesen. Darüber hinaus wa-ren die Ablaufprozesse für die einzelnen Anwendungen nicht bzw. nicht komplett dokumentiert. Während das Prozessziel darin bestand, eine umfassende und einheit-liche Dokumentation und Modellierung der Prozesse

innerhalb des IT- und Governance-Tools zu erbringen – mit welchem erstmalig nicht nur Autorisierungs- und Provisionsbelange geregelt, sondern auch Geschäftsan-forderungen der einzelnen Rolleninhaber angesprochen werden konnten –, galt es zunächst zusammenzutragen, ob bereits Prozesse für die einzelnen Tools vorlagen und ob diese dokumentiert und/oder modelliert wurden.

Nach einem anschließenden Konsolidierungsschritt sollte eine Analyse und Bewertung der Prozesse statt!nden sowie ein Entwurf für die Prozesslandschaft innerhalb des neu zu implementierenden Identity-Management-Tools generiert werden.

Demzufolge wurden die einzelnen Geschäftspro-zesse aufgenommen und anschließend im Rahmen ei-ner BPM-Präsentation vorgestellt und diskutiert. Ziel war es, mittels der abgezeichneten Modelle die nötigen Vorkehrungen treffen zu können, sodass während der Produktivphase keine Zugriffsverletzungen (Violation Report) entstehen, was eine zweckorientierte Anforde-rungsde!nition voraussetzt (Abb. 4).

EXKURS: DAS TOOLDas mandatierende Unternehmen beabsichtigte, das traditionelle Identitätsmanagement durch ein um-fassendes Tool, das die Lücke zwischen Compliance Policy und IT-Infrastruktur schließen soll sowie die Zugangs-Policy in allen Bereichen des Zugangs- und

Abb. 4: Anforderungsaufnahme, Prozessdesign und Implementierung

www.bt-magazin.de76 bt | 1.2013

Identitätsmanagements unternehmensweit und -ein-heitlich regelt, zu ersetzen. Hintergrund war die An-forderung, systemtechnische Interessenkon#ikte und manuelle Fehler in Geschäftsprozessen auszuschließen. Des Weiteren war die Vorgabe, dass ein prüfbarer Satz an Identitätstransaktionen generiert, die Prüfkosten und Identitätstransaktionen reduziert werden sollten und die exakten, angeforderten Autorisierungen für User aus dem Tool heraus geliefert werden mussten. Eine letzte Notwendigkeit, die das Unternehmen mit dem Tool abzudecken beabsichtigte, war das Abbilden und Monitoring einer klaren Aufgabentrennung, um Risiken in Geschäftsprozessen, wie z. B. Segregation-of-Duty-(SoD-)Kon#ikte, managen zu können.

DESIGNPHASENachdem die Analyse abgeschlossen und die Ergebnis-se vorgestellt waren, wurde damit begonnen, im Sinne von Prozessmodellen Lösungen zu skizzieren. Indem der Prozess#uss abgebildet und Ziele identi!ziert werden, können zu einem späteren Zeitpunkt Entscheidungen auf Grundlage der Prozessimplementierung getroffen, rele-vante Prozessparameter und Prozessschwächen erkannt und herausgestellt sowie Abhängigkeiten herausgearbei-tet werden. Gleichzeitig soll die Prozessanalyse vertieft werden, da zum Teil erst nach Erstellung der einzelnen Modelle etwaig verborgene Schwierigkeiten zutage ge-fördert werden (Zugangsberechtigungen und Business Rules stehen im Widerspruch und führen zu einer Zu-griffs- bzw. Geschäftsregelverletzung). Hier galt es, wenn nötig, Lösungsansätze für etwaige Schwächemuster zu !nden. Was in dieser Phase theoretisch noch ergänzend untersucht werden kann (in diesem Fall nicht gefordert):

Abschätzung potenzieller LösungenAufbau und Auslieferung der Projekt-Management-Lifecycle-(PML-)Methoden und -StandardsEin#uss der Alternativen auf Key Performace Indica-tor (KPI), Product Performance Indicator (PPI) und das Umfeld abschätzenKonsistente BPM-Rollen, Personen und organisa-torische Strukturen bestimmen/Lösungsansätze für Schwächemuster

EXKURS: DAS PROZESSMODELL IN DER PRAXIS – CASE STUDYAm Beispiel eines der zu erstellenden Geschäftsprozesse (Abb. 5) wird in diesem Exkurs der Prozess-Flow für die Zugangsberechtigung bei Konzernusern, die allerdings nicht der Tochtergesellschaft angehören, beschrieben („parent company but no subsidiary staff access rights“). Die Notwendigkeit der Dokumentation des Falls wurde

mit der Sicherstellung der korrekten Freigabe des benö-tigten Access bzw. des Matchens von Userzugehörigkeit, Benutzerrechten und Anwendungszugang begründet.

Das in Abbildung  5 gezeigte Geschäftsprozessdia-gramm sieht einen Pool mit vier Swimlanes, mit denen Aktoren und Systeme dargestellt werden, vor. Des Wei-teren wurden so genannte Flow Objects (Knoten in den Geschäftsprozessdiagrammen), wie Aktivitäten (Aufga-be, die in einem Geschäftsprozess zu erledigen ist), Gate-ways (Entscheidungspunkt [Split/Fork] bzw. Punkt, an dem verschiedene Kontroll#üsse zusammenlaufen [Join/Merge]) und Events (Ereignis, das in einem Geschäfts-prozess passieren kann, zum Beispiel das Eintreffen ei-ner Nachricht) verwendet.

Starttrigger ist die Anforderung „Request for Ac-cess Rights“. Die erste Aufgabe liegt beim Abteilungs-leiter, der sicherstellen muss, dass das ausgefüllte Antragsformular für die Zugangsberechtigung des je-weiligen Users vollständig ist. Ist dies der Fall, wird nach dem optionalen Design des Zwischenzustands das Token (im Sinne von Softwaretoken, einer Metho-de zur Autorisierung von Softwarediensten) an Subsid-iary IS Orders weitergereicht, die wiederum nur eine Durchgangsstation auf dem Weg zur Abteilung Stan-dard-Service-Request darstellt. Gerade diese Station im gegenwärtigen Prozess#uss gilt es nachfolgend auf eine etwaige Redundanz (hier liegt keine konkrete Aufgabe bzw. Abarbeitung für Subsidiary IS Orders vor) zu prü-fen und ggf. diesen Prozessschritt zu streichen.

Der Standard-Service-Request schließt in einem ersten Schritt den Request erfolgreich ab und fügt den User dem Zielsystem hinzu. Es werden anschließend zusätzliche Aktivitäten, die im Zusammenhang mit den Parent-Usern stehen, erledigt und die Zugehörigkeit des Users über-prüft. Ist dies erledigt, erreicht das Token ein Oder-Gate-way, an dem der Prozess endet, abhängig davon, ob er Subsidiary-intern bzw. Subsidiary-extern ist, oder wenn dies nicht der Fall ist, ein weiteres Oder-Gateway folgt.

Der nächste Entscheidungspunkt separiert den To-ken#uss abhängig von der Benutzung einer primären oder sekundären ID. Wird die Primary-ID (jedem Kon-zernmitarbeiter sind zwei Identi!kationsnummern (ID) zugeordnet) verwendet und anschließend festgestellt, dass diese ID bereits in der Access-Gruppe hinterlegt ist, endet der Prozess an dieser Stelle. Ebenso endet der Prozess, wenn unter Verwendung der Secondary-ID festgestellt wird, dass diese bereits in der Access-Grup-pe hinterlegt ist. Wird sowohl unter Verwendung der primären als auch sekundären ID festgestellt, dass dies nicht der Fall ist, muss der Standard-Service-Request die primäre bzw. sekundäre ID der Access Gruppe via Ac-cess Management Team (AMT) hinzufügen lassen.

77bt | 1.2013www.bt-magazin.de

Abb

. 5: A

blau

fpro

zess

der

Zug

angs

bere

chtig

ung

www.bt-magazin.de78 bt | 1.2013

Das Token liegt nun in der „Schwimmbahn“ des AMT, in der zunächst nachgeprüft wird, ob die ID bereits hinterlegt gewesen und wieder entfernt worden ist. Ist dies nicht der Fall, wird vom AMT die Access-Gruppe aktua-lisiert (die entsprechende ID hinzugefügt). Der Prozess ist beendet.

Wurde die ID entfernt, gilt es zunächst, nach dem Grund dafür zu suchen. Ist der Grund gefunden, muss dieser dokumentiert und darüber hinaus sichergestellt werden, dass dem nicht ein spezieller Anlass zugrunde lag. Es folgt ein Oder-Gateway, das abhängig davon, ob ein Grund dafür besteht, den User nicht hinzuzufügen, oder aber kein Grund vorliegt, nach Erledigung der dar-auf folgenden Aufgabe den Prozess !nal schließt.

IMPLEMENTIERUNGSPHASEIn der Implementierungsphase, die auf den erstellten Do-kumenten und Modellen aufbaut, wurde die Dokumen-tation der Sollprozesse fertiggestellt. Dabei galt es, die bereits erstellten Ergebnisse in eine entsprechende, vom Unternehmen vorgegebene Form zu überführen. Ergän-zende Punkte auf der To-do-Liste für diese Phase sind:

Vorbereitung und Ausführung des Implementierungs-projektsAbleitung notwendiger Anpassungen in der Organisa-tionsstrukturEntwicklung eines Umsetzungsplans und Errechnung des OptimierungspotenzialsErstellung von Maßnahmen für KPIsDurchführung des Change Managements und der Eta-blierung der Prozesszugehörigkeit (das Bewusstsein für BPM wecken und die Zusammenarbeit mit dezen-tralen Prozesseinheiten anstoßen)Roll-out des Prozesses

AUSFÜHRUNGSPHASEIn der Ausführungsphase werden die Prozessprojekte priorisiert, der Geschäftsprozess bzw. die Prozessleis-tung ausgeführt, gemessen und mittels eines Prozess-laufzeitplans überwacht. Werden Abweichungen durch kontinuierliches Messen anhand der zuvor de!nierten KPIs festgestellt, !ndet eine entsprechende Ursachenfor-schung statt. Die Erkenntnisse der Untersuchung dienen dazu, entsprechende Prozesskonsequenzen zu erarbei-ten. Falls nötig wird ein Geschäftsprozessoptimierungs-zyklus initiiert, die Prozesslandschaft neu gestaltet und eine prozessorientierte Planung realisiert. In jedem Fall sollte ein kontinuierlicher Verbesserungsprozess (KVP) eingeführt werden, der dabei hilft, dass auch zukünftig weiter an einer Verbesserung der Prozesse gearbeitet wird bzw. etwaige Veränderungen zeitnah eingearbei-

tet werden können. Es kann zusammengefasst werden, dass die Verbesserung der Unternehmensagilität und die Optimierung der Prozesse hinsichtlich Ef!zienz und Ef-fektivität Teil des angepeilten Lösungskonzeptes sind.

FAZITDurch den Einsatz des implementierten Identity-Ma-nagement-Tools und dem Willen aller Beteiligten zur Verbesserung der Abläufe und dem Tool-Handling konnte der gesamte Prozess hinsichtlich Business Rules, Userrechten, Dokumentationen und Zugriffsverletzun-gen wesentlich ef!zienter und transparenter gestaltet werden. Sämtliche Anwendungen und die darin hinter-legten Userrechte konnten integriert und im Zusammen-spiel weitestgehend harmonisiert werden.

Für den Kunden bedeutete dies einen schnelleren, über-sichtlicheren und vor allem anpassbaren UAM-Prozess. Sofort verfügbare Statusinformationen zu den einzelnen Userrechten, einer Dokumentation der verwendeten Ap-plikationen und einer Hinterlegung der Violation Reports führten zu einem schlankeren Arbeitsablauf und kür-zeren Lead Times. In der einheitlichen Ober#äche führt das Identity-Management-System alle beteiligten Systeme und Daten zusammen. Aussagen über Diskrepanzen im Zusammenspiel zweier Anwendungen bzw. im Umkehr-schluss die Qualitätserreichung auf der Arbeitsebene lassen sich exakt treffen und demzufolge inhaltsreichere Statistiken anfertigen.

Haben Sie nun alle relevanten Informationen erhalten, um Transparenz und Ef!zienz durch Dokumentation und Prozesssteuerung herzustellen? Es wurde ein möglichst generischer und #exibler Lösungsweg beschrieben, wie sich Prozesse aufnehmen, analysieren und dokumentieren bzw. modellieren lassen. Dieser kann völlig unabhängig von dem zu verwendenden Tool verfolgt werden. Ebenso wenig sind Sie gezwungen, die Dokumentation bzw. Mo-dellierung in BPMN zu erstellen, sondern diese kann z. B. auch über ARIS erfolgen.

Links & Literatur[1] Steve Craggs: „Identifying the BPM Sweet Spots“, (Ab-

stract), 2009

Sascha Lautersack ist Senior Consultant Management Consulting bei dem Fach-IT- und Ma-nagement-Beratungsunternehmen EXXE TA AG. Er verfügt über langjährige Projekterfahrung im Prozessmanage-mentumfeld. Ein weiterer Schwer-punkt sind prozessuale und fachliche Themen im Sektor Financial Services.

www.mobiletechcon.de

11. – 14. März 2013, MünchenExpo: 12. und 13. März 2013

Jetzt anmelden und

Notebook im Wert von

450 ! gratis sichern!

Jetzt anmelden und

Notebook im Wert von gratis sichern!

Veranstalter:

Medien-Partner:

Platin-Partner: Gold-Partner: Silber-Partner: iOS-Day-Partner:

Special-Partner:

Präsentiert von:

mobiletechcon | #mtc13

mobiletechcon

mobiletechcon

mobiletechcon

mobiletechcon

Bronze-Partner:

Annika Brinkmann(absichtbar.de

und Mobile-Knowledge.de)

Tammo Freese

(Freiberufl icher Software-

entwickler)

Oliver Reichenstein

(iA Inc.)

Boris Fründt

(Jung von Matt /next)

Heiko Behrens(BeamApp)

Claus Höfele

(eBay Klein-anzeigen)

Andrew Grill

(LondonCalling.co)

Steffen Hess

(Fraunhofer IESE)

Andrea Resmini(University of Borås)

Robert Virkus

(Enough Software)

Lars Röwekamp

(open knowledge)