Richtlinie für die Planung und Durchführung von IT-Projekten in dem Saarländischen Verfahren (IT-Projektrichtlinie)

RICHTLINIE FÜR DIE PLANUNG UND DURCHFÜHRUNG VON IT-PROJEKTEN IN DER SAARLÄNDISCHEN LANDESVERWALTUNG IT-PROJEKTRICHTLINIE Stand: 05.06.2003 INHALT IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 2 0 VORBEMERKUNG Die Aufgaben der öffentlichen Verwaltung werden in weiten Bereichen mit Hilfe der Informations- und Kommunikationstechnik (IT) wahrgenommen. Der IT-Einsatz hat an Bedeutung und Komplexität in den vergangenen Jahren stetig zugenommen. Um der raschen Entwicklung in der Informations- und Kommunikationstechnik Rechnung zu tragen, bedarf es daher auch Regelungen für die Durchführung von IT-Projekten, die einen möglichst reibungslosen und den jeweiligen Einzelbedürfnissen anpassbaren Umgang mit diesem Wandlungsprozess ermöglichen. Ein Projekt nach DIN 69901 ist im wesentlichen durch die Einmaligkeit der Bedingungen in ihrer Gesamtheit gekennzeichnet, wie z.B.: - Zielvorgabe - zeitliche, finanzielle, personelle oder andere Begrenzungen - Abgrenzung gegenüber anderen Projekten und - projektspezifische Organisationen. Charakteristische Merkmale sind insbesondere: - Ein Projekt behandelt eine einmalige Aufgabenstellung. - Ein Projekt beinhaltet eine Aufgabe von schätzungsweise drei Personenmonaten oder mehr. - Ein Projekt ist zeitlich befristet (Laufzeit max. 2 Jahre) - Ein Projekt hat ein oder mehrere klar definierte Ziele. - Ein Projekt wird mit einem Projektplan angemessen geplant . - Ein Projekt wird mit vorgegebenen Terminen und vorgegebenem Budget (Sach- und Personalmittel) durchgeführt. - Für jedes Projekt wird eine Projektorganisation festgelegt. - Projekte können in Teilprojekte gegliedert werden. - Projekte sollen in Meilensteinen geplant werden. Ein IT-Projekt organisiert den zielgerichteten Übergang von einer Ist-Situation zu einer gewünschten Soll-Situation. Mit Situation ist dabei allgemein der Zustand von Produkten, Prozessen und Ressourcen im jeweiligen Einzelfall gemeint. Ein IT-Projekt dient entweder der Einführung eines neuen oder der wesentlichen Änderung eines laufenden Verfahrens oder Infrastrukturdienstes. Diese Richtlinie regelt die generelle Vorgehensweise bei der Planung und Durchführung von IT-Projekten. Sie soll ferner dazu dienen, IT-Projekte wirtschaftlicher durchzuführen und die Qualität von IT-gestützten Verfahren und Infrastrukturdiensten zu sichern. Unter Beachtung der wesentlichen Schritte (z.B. Beteiligungsvorschriften, Wirtschaftlichkeitserwägungen, sicherheitsrelevante Aspekte) unterstützt die Richtlinie den Projektverantwortlichen bei der formal richtigen Abwicklung von IT-Projekten. IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 3 1 GELTUNGSBEREICH 1. Die IT-Projektrichtlinie gilt für alle IT-Projekte der saarländischen Verwaltung. Für den Verwaltungsbereich der Hochschulen ist die IT-Projektrichtlinie entsprechend anzuwenden. 2. Sie ist anzuwenden, wenn a) ein neues IT-Verfahren eingeführt oder ein laufendes strukturell oder substantiell geändert werden soll (Verfahrensprojekt), b) Programme entwickelt oder erheblich verändert werden sollen (Programmaufträge), c) ein neuer Infrastrukturdienst (Systeme, Netze) eingeführt oder ein bestehender wesentlich geändert werden soll (Infrastrukturprojekt) oder d) Soft- und/oder Hardware beschafft werden sollen, falls damit die Ablauf- und/oder Aufbauorganisation signifikant verändert werden/wird. Der Betrieb und die Wartung sind nicht Gegenstand dieser Richtlinie. 3. Bei gemeinsamen Verfahrensentwicklungen mit Anwendern anderer öffentlicher Verwaltungen außerhalb der Landesverwaltung kann von dieser Richtlinie abgewichen werden, soweit vergleichbare Regelungen zugrunde gelegt werden. Kann mit den an der Entwicklung beteiligten Stellen keine Einigung über die Anwendung der Richtlinien erzielt werden, ist das Einvernehmen mit dem IT-Innovationszentrum und eine Abstimmung mit dem Rechnungshof des Saarlandes herbeizuführen. 4. Die Vorschrift ist auch dann anzuwenden, wenn das IT-Projekt oder Teilaufgaben extern vergeben werden. 5. Die Anwendung dieser Richtlinie muss in einem angemessenen Verhältnis zum Umfang und zur Bedeutung der Maßnahme stehen. Gegebenenfalls können einzelne Schritte zusammengefasst werden. Allerdings sind Wirtschaftlichkeit und Machbarkeit stets zu prüfen. Die IT-Sicherheit muss gewährleistet sein. Eine Verkürzung der Anwendung dieser Richtlinie ist schriftlich zu begründen und zu dokumentieren. 6. Projekte zur Erarbeitung von Gutachten sind nicht Gegenstand dieser Richtlinie. 7. Die in dieser Richtlinie benannten Rollen bestimmen sich nach dem Funktionsgliederungsplan. 2 ZUSTÄNDIGKEITEN Für die Abgrenzung der Verantwortlichkeit bei der Planung und Durchführung von IT-Projekten gelten die im Funktionsgliederungsplan (FGlPl) in der jeweils gültigen Fassung getroffenen grundsätzlichen Regelungen. Danach sind u.a. zuständig für die a) Planung: Fachverwaltung unter beratender und koordinierender Beteiligung des IT-Innovationszentrums b) Programmierung: Landesamt für Finanzen (LfF)/Zentrale Datenverarbeitungsstelle für das Saarland (ZDV-Saar) bzw. die zuständige Fachverwaltung IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 4 c) zentralen Infrastrukturdienste (zentraler Systemeinsatz, Betrieb des Landesdatennetzes) LfF/ZDV-Saar für die dort betriebenen Rechnersysteme d) dezentralen Infrastrukturdienste: Fachverwaltungen für die dort betriebenen Rechnersysteme und lokalen Netze e) Beschaffung von IT-Geräten und Programmen: LfF/ZDV-Saar Soweit durch den Ministerrat abweichende Regelungen getroffen sind, tritt an die Stelle des LfF/ZDV- Saar die im Beschluss festgelegte Stelle. Zuständige Fachverwaltungen für die Planung und Realisierung von IT-Projekten sind die obersten Landesbehörden. Dazu gehört auch die Erteilung von Aufträgen zur Programmentwicklung und Programmpflege (Programmaufträge) an das LfF/ZDV-Saar. Im Einvernehmen mit dem IT-Innovationszentrum kann im Einzelfall die Zuständigkeit auf eine nachgeordnete Dienststelle übertragen werden. Das IT-Innovationszentrum ist von Anfang an bei der Planung von IT-Projekten zu beteiligen. Es kann das LfF/ZDV-Saar zur Mitarbeit heranziehen. Das IT-Innovationszentrum und das LfF/ZDV-Saar können IT-Projekte bei den zuständigen Fachverwaltungen anregen. Für IT-Projekte ist eine Projektgruppe unter Leitung der federführenden Fachverwaltung zu bilden. Dem IT-Innovationszentrum ist Gelegenheit zur Teilnahme zu geben; es kann das LfF/ZDV-Saar hinzuziehen. Der Rechnungshof sowie der Landesbeauftragte für Datenschutz sind möglichst frühzeitig zu beteiligen. Bei grundsätzlichen oder ressortübergreifenden Aufgaben kann das IT-Innovationszentrum im Einvernehmen mit den zuständigen obersten Landesbehörden die Leitung einer Projektgruppe selbst übernehmen. Die Projektgruppen berichten den beteiligten obersten Landesbehörden und holen ggf. deren Entscheidung ein. 3 GRUNDSÄTZE IT-Projekte kommen insbesondere in Betracht, - wenn damit die Verwaltungsaufgabe wirtschaftlicher als bisher erfüllt werden kann, - wenn im Rahmen des wirtschaftlich Vertretbaren die Arbeitsabläufe sicherer, einfacher, schneller oder humaner gestaltet werden können. IT-Projekte sollen rechtmäßig, begründet, zweckmäßig, angemessen, machbar und sicher sein und nach anerkannten Methoden in geordneter Projektorganisation entwickelt werden. Für jedes IT-Projekt wird eine geeignete Projektorganisation festgelegt. IT-Projekte sollen in die IT-Infrastruktur der saarländischen Landesverwaltung integrierbare, wiederverwendbare, änderbare und erweiterbare IT-Komponenten erzeugen, qualitätsgesichert, controllinggestützt durchgeführt und vollständig dokumentiert werden. Bei der Planung und Realisierung von IT-Projekten sind die geltenden Standards und IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 5 Richtlinien, insbesondere die Normen des DIN sowie ggf. technische und organisatorische Leitlinien für den IT-Einsatz zu beachten. 1. Der Grundsatz der Rechtmäßigkeit ist insbesondere unter den Gesichtspunkten • Haushaltsrecht (z.B. LHO), • Organisation (z.B. Funktionsgliederungsplan, IT-Dienstanweisungen), • Datenschutz (z.B. Saarländisches Datenschutzgesetz) und Datensicherheit, • Mindestanforderungen der Rechnungshöfe des Bundes und der Länder zum Einsatz der Informationstechnik, • Beteiligungsrechte der Personalvertretungen, Frauenbeauftragten sowie Schwerbehindertenvertretungen, • Ergonomie (z.B. BildScharbV, ISO-Norm 9241 10-17) zu beachten. Neben dem Rechnungshof des Saarlandes und dem Landesbeauftragten für Datenschutz sind die Personalvertretungen, die Schwerbehindertenvertretungen sowie die Frauenbeauftragten frühzeitig zu beteiligen. 2. Das Projektergebnis muss die Fachaufgabe zweckmäßig unterstützen, d.h. es muss die Qualität des Produkts (z.B. Optimierung der Arbeitsabläufe) deutlich verbessern. 3. Die Projektziele müssen in einem angemessenen Verhältnis zur Bedeutung der Fachaufgabe stehen. Dabei ist insbesondere auf die Wirtschaftlichkeit (Automationswürdigkeit) des geplanten Verfahrens oder der geplanten Maßnahme zu achten, d.h. • die wirtschaftlichste Lösung ist anzustreben und • der erzielbare Nutzen eines Verfahrens oder Infrastrukturdienstes muss den Aufwand der Erstellung und des Betriebs deutlich übersteigen. Die Wirtschaftlichkeitsbetrachtungen sind nach den jeweils gültigen ”Empfehlungen zur Durchführung von Wirtschaftlichkeitsbetrachtungen beim Einsatz der IT in der Bundesverwaltung” (IT-WiBe) zu erstellen. 4. Ein IT-Projekt muss machbar sein. Insbesondere müssen • die Automationsfähigkeit (technische Machbarkeit) und • die Verfügbarkeit der personellen und sonstigen Ressourcen (organisatorische Machbarkeit) gesichert sein. 5. Die geplanten Maßnahmen oder Verfahren müssen • in die vorhandene Infrastruktur integriert werden können und • insbesondere mit der IT-Strategie der saarländischen Landesverwaltung vereinbar sein. 6. IT-Projekte sind - soweit erforderlich - in Projektphasen zu planen und abzuwickeln. Sie sind • in einem iterativen1 Prozess mit mehreren Zyklen inkrementell2durchzuführen und 1 allg.: wiederholend, hier, Aktionsart, die durch mehrfache Wiederholung von Vorgängen zum schrittweisen Erreichen des Ziels führt 2 allg.: wachsend, hier: ein Inkrement ist ein eigenständig nutzbarer Teil, um den ein System zunimmt. IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 6 • nach anerkannten Methoden zu entwickeln, um Offenheit und Zukunftssicherheit des geplanten Systems zu erreichen und auf sich ändernde Anforderungen und Rahmenbedingungen zeitgerecht und wirtschaftlich reagieren zu können. 7. Bei der Auswahl geeigneter Lösungen für die jeweiligen IT-Komponenten sind bereits vorhandene Komponenten wiederzuverwenden, es sei denn, dies ist aus rechtlichen, wirtschaftlichen, technischen oder sonstigen Gründen nicht möglich. Jede neue Lösung ist so zu gestalten, dass sie für gleichartige oder ähnliche Aufgaben wiederverwendet werden kann. Änderbarkeit, Wiederverwendbarkeit und Erweiterbarkeit der IT-Komponenten sind als Konstruktionsmerkmale in besonderem Maße zu berücksichtigen. 8. IT-Projekte sind durch einen Prozess der Qualitätssicherung (QS) zu begleiten. Die dafür erforderlichen Maßnahmen sollen sich an den Normen DIN ISO 9000 ff., EN 29000 ff. orientieren. Dabei sollten die Aufgaben der QS nach Möglichkeit von einer gegenüber der Durchführung des IT-Projekts unabhängigen Organisationseinheit wahrgenommen werden. 9. Es sind Erfolgskontrollen (Zielerreichungs-, Wirkungs- und Wirtschaftlichkeitskontrollen) durchzuführen bei • konsolidierter Implementierung eines Verfahrens oder einer Komponente oder • zu festgelegten Terminen - bei umfangreichen IT-Projekten - (begleitende Erfolgskontrolle). 10. Die Projektdokumentation ist prozessbegleitend und technikunterstützt zu erstellen. Dabei sind insbesondere • das ggf. von der ursprünglichen Planung abweichende Vorgehen, • die durchgeführten QS-Maßnahmen und deren Ergebnisse und • Testläufe und deren Ergebnisse festzuhalten. Erfolgreiche Tests sind durch Freigabeprotokolle zu dokumentieren. Benutzungshandbücher (Anwendungs- und Systemhandbücher) sind spätestens bis zur Freigabe des Verfahrens oder des Infrastrukturdienstes anzulegen und auf ihre Tauglichkeit zu prüfen. 11. Die Sicherheit eines Verfahrens oder Infrastrukturdienstes ist stets zu gewährleisten. Die Grundlage hierfür bildet die IT-Sicherheitsrichtlinie (in der jeweils gültigen Fassung). Notwendige Maßnahmen sind in allen Projektphasen (gemäß Tz. 4) einzuplanen. Insbesondere sind die dafür erforderlichen Ressourcen in der Projektvorbereitung ausreichend zu berücksichtigen. Die notwendigen Sicherheitskonzepte sollten soweit möglich in einem iterativen Prozess entwickelt werden. 4 ABLAUF EINES IT-PROJEKTS Damit Projekte besser zu planen sowie zu überwachen sind, haben sie grundsätzlich einen förmlichen Antrags- und Bearbeitungsweg, ein Auftragsverfahren zu durchlaufen. Bereits zu Beginn müssen sie eine klare Zielausrichtung haben und die Rahmenbedingungen sind klar zu umreißen. Das Auftragsverfahren gliedert sich in die Projektdefinition und den Projektauftrag. Die Projektdefinition umfasst Informationen über • die Zielsetzung, IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 7 • den Inhalt und • den Umfang des IT-Projektes. Nach Entscheidung der Fachverwaltung im Einvernehmen mit dem IT-Innovationszentrum mündet die Projektdefinition in einen Projektauftrag. Dieser beschreibt • wer (Projektorganisation) • was (Projektgliederung, Aufgaben, Meilensteine) • mit welchem Aufwand • wann zu tun hat, um die mit der Projektdefinition vorgegebenen Projektziele zu erreichen. 1. Ein IT-Projekt umfasst die Schritte a) Projektvorbereitung (s. 4.1), b) Projektspezifikation (Festlegung der Kernanforderungen) (s. 4.2), c) Feinkonzeption (s. 4.3.1 und 4.3.2), - fachlich (Entwicklung eines Modells des gewünschten fachlichen Systemverhaltens), - technisch (Entwicklung eines Modells des gewünschten technischen Systemverhaltens), d) Vergabe der Projektdurchführung (4.4), e) Implementierung bzw. Installation des Verfahrens bzw. des Infrastrukturdienstes (s. 4.5), f) Einführung vor Ort (s. 4.6), g) Verfahrensfreigabe (s. 4.7), h) Projektende (s. 4.8) und i) Verfahrenskontrolle (s. 4.9). 2. Schon während der Projektlaufzeit sind späterer Betrieb und Wartung eines Verfahrens bzw. Infrastrukturdienstes zu berücksichtigen. Gleichzeitig sind bereits Maßnahmen für die spätere Erfolgskontrolle (controllingfähige Kostenrechnung) und Datenschutzkontrolle einzuplanen. Der Betrieb und die Wartung sind nicht Gegenstand dieser Richtlinie. 3. Teilergebnisse sollen unmittelbar produktiv einsetzbar sein und für die Weiterentwicklung genutzt werden können. 4. Ein begleitendes projektinternes Controlling für die Projektsteuerung ist durchzuführen. Für das Gesamtprojekt und für jedes Teilprojekt sind geeignete Maßnahmen zur Qualitätssicherung (bezogen auf den Entwicklungsprozess und die zu erstellenden Produkte) durchzuführen. 5. Alle Projektphasen sind im erforderlichen Umfang zu dokumentieren. Die jeweils benötigten Teile der Dokumentation müssen beim Auftraggeber des Projektes nach dem letzten Stand verfügbar sein. Die Dokumentation muss so gestaltet sein, dass alle wichtigen Projektaktivitäten für Fachkundige nachvollziehbar und verständlich beschrieben sind. 6. Es sind mindestens folgende Organisationseinheiten zu beteiligen: • IT-Stellen der Fachverwaltung, IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 8 • IT-Innovationszentrum, • LfF/ZDV-Saar, sofern deren Dienste benötigt bzw. in Anspruch genommen werden (sollen); • das Ministerium für Finanzen und Bundesangelegenheiten bei Einführung oder Veränderung von Verfahren zur Anordnung oder Zahlbarmachung von Zahlungen, zur Haushaltsüberwachung oder zur Einrichtung von Büchern und Belegen gem. § 79 LHO sowie den HKR-ADV- Best; • der Landesbeauftragte für den Datenschutz, • der Rechnungshof des Saarlandes, • der behördliche Datenschutzbeauftragte • die jeweils zuständigen Personalvertretungen, Frauenbeauftragten sowie Schwerbehindertenvertreter. 4.1 PROJEKTVORBEREITUNG 1. In der Projektvorbereitung müssen - unter Beachtung bestehender Vorschriften und Grundsätze - • die Zieldefinition und eine Kurzbeschreibung des IT-Projekts ausgearbeitet, • der Problembereich abgegrenzt, • der Lösungsumfang, die technische Machbarkeit, die grundsätzlichen Sicherheitsanforderungen und die Wirtschaftlichkeit des geplanten IT-Projekts (Machbarkeitsstudie) abgeschätzt, • der Bedarf an Haushaltsmitteln grob kalkuliert, • Finanzierungsvorschläge erarbeitet, • die Berichtsform festgelegt (wer berichtet, worüber, wann), • ein Vorschlag zur Projektorganisation inkl. Projektsteuerung und ggf. weiterer projektbegleitender Gremien entwickelt, • eine grobe Terminplanung erarbeitet, • eine Risikoanalyse (Projektrisiken, Risiken im Zusammenhang mit dem Einsatz des geplanten Verfahrens oder Dienstes) erstellt, • Qualitätsmerkmale für den Entwicklungsprozess und Maßnahmen zu ihrer Prüfung festgelegt und • Anforderungsprofile für am IT-Projekt Beteiligte definiert werden. Die Projektvorbereitung kann als eigenständiges Teilprojekt durchgeführt werden. 2. In der Projektphase ”Projektvorbereitung” wird die Projektdefinition erarbeitet, die eine Entscheidung bezüglich der Projektdurchführung ermöglicht. Bestandteile sind der Projektplan und der Qualitätssicherungsplan, in denen jeweils die Verantwortlichkeiten durch ein projektspezifisches Rollenkonzept festgelegt werden, ein formalisierter Projektstatusbericht und ein Qualifizierungsplan (Schulungsplan). 3. Die Projektaktivitäten sind auch für die ressortübergreifende Koordinierung und Steuerung in geeigneter Weise offen zu legen. IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 9 4. Der Projektstatusbericht ist regelmäßig fortzuschreiben. Auf der Basis der Statusberichte werden Entscheidungen getroffen. 4.2 PROJEKTSPEZIFIKATION 1. Zur Erstellung einer Projektspezifikation müssen • die Projektbeteiligten und deren Aufgaben festgelegt, • der Ist-Zustand im Hinblick auf die fachlichen, organisatorischen und technischen Gegebenheiten erhoben, • die Anforderungsspezifikation, insbesondere die Beschreibung des materiellen Inhalts und Umfangs des Verfahrens bzw. des Infrastrukturdienstes und der zu beachtenden Rahmenbedingungen, Vorschriften und Grundsätze erstellt, • eine Kosten-Nutzen-Analyse vorgenommen, • bei Bearbeitung personenbezogener Daten eine Vorabkontrolle gem. § 11 SDSG vorgenommen (siehe hierzu auch IT-Sicherheitsrichtlinie Tz. 2.2 b)), • eine Feinanalyse zum Umgang mit Projektrisiken im Sinne eines Risikomanagements erstellt und der "point of no return" festgelegt, • die Vollständigkeit und die Konsistenz der Anforderungen, die Durchführbarkeit und die ökonomische Rechtfertigung des IT-Projekts geprüft, • Termine und Ressourcen des IT-Projekts bzw. der Teilprojekte geplant werden. 2. Das Ergebnis der Projektspezifikation umfasst • die Entscheidungsvorlage für das weitere Vorgehen, • die Anforderungsspezifikation, • die Beschreibung, Analyse und Bewertung des Ist-Zustands, • den bevorzugten Lösungsvorschlag und mögliche Alternativen, • das fachliche Grobkonzept, • die Wirtschaftlichkeitsbetrachtung inkl. einer vorläufigen Gesamtkostenkalkulation, • eine Übersicht der vorgesehenen Maßnahmen zur Verfahrenssicherheit und zum Datenschutz sowie das Ergebnis der Vorabkontrolle (Änderungswunsch LfD) • das Nutzungskonzept (s. IT-Dienstanweisung in der jeweils gültigen Fassung) und • die überarbeiteten Management- und Planungsunterlagen (Projektplan, Qualitätssicherungshandbuch, Testplan). IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 10 4.3 FEINKONZEPTION 4.3.1 FEINKONZEPTION FÜR VERFAHRENSPROJEKTE 1. Bei der Erstellung der Feinkonzeption für Verfahrensprojekte müssen • künftige aufbau- und ablauforganisatorische Zusammenhänge als Grundlage für die integrierte Funktions- und Datenmodellierung, insbesondere unter den Gesichtspunkten - Prozessoptimierung, - Ausnutzung des technischen Leistungspotentials gestaltet und beschrieben, • Vorgaben zur technischen Realisierung erstellt, • auf Basis einer Risikoanalyse mit Schutzbedarfsbewertung ein Sicherheitskonzept und eine Restrisikoanalyse erarbeitet, • die einzusetzende Hard- und Software beschrieben, • die Nutzung der ressortinternen und ressortübergreifenden Infrastrukturdienste (Kommunikationsbeziehungen bei Einsatz lokaler Netze oder Nutzung des Landesdatennetzes) festgelegt,• Schnittstellen zur behörden- und verfahrensübergreifenden Nutzung von Programmen und Daten spezifiziert, • die zukünftige Benutzungsoberfläche spezifiziert, • Testvorgaben erarbeitet, • eine Wirtschaftlichkeitsberechnung erstellt bzw. aktualisiert, • ein Nutzungskonzept erarbeitet, • ein Benutzungshandbuch/Arbeitsanleitung (Struktur) entworfen, • ggf. Dienstanweisungen entworfen und • ein Schulungskonzept entworfen werden. 2. Das Ergebnis einer Feinkonzeption für Verfahrensprojekte umfasst • das fachliche Feinkonzept in Form von Modellen entsprechend der gewählten Methodik, • das technische Verfahrenskonzept aus den Modellen für die Verarbeitungsregeln, die Verteilungsmechanismen und die technischen Detailausprägungen, • das vorläufige Sicherheitskonzept, • die Spezifikation der Schnittstellen zur behörden- und verfahrensübergreifenden Nutzung von Programmen und Daten, • die Spezifikation der zukünftigen Benutzungsoberfläche, • die fachliche Testkonzeption, • die technische Testkonzeption IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 11 • eine überarbeitete Gesamtkostenkalkulation, • das Nutzungskonzept, • das vorläufige Benutzungshandbuch/Arbeitsanleitung, • ggf. Dienstanweisung und • den vorläufigen Schulungsplan. 4.3.2 FEINKONZEPTION FÜR INFRASTRUKTURPROJEKTE 1. Zur Erstellung der Feinkonzeption für Infrastrukturprojekte müssen • ein Prozessmodell für den späteren Betrieb erstellt, d.h. zukünftige aufbau- und ablauforganisatorische Zusammenhänge unter Beachtung wirtschaftlicher Aspekte (z.B. Synergieeffekte) in Abhängigkeit von landesweiten IT-strategischen Vorgaben modelliert, • Vorgaben zur technischen Realisierung erstellt, • die Infrastrukturdienstschnittstellen spezifiziert, • die zukünftige Benutzungsoberfläche, sofern es sich nicht um passive Komponenten handelt, spezifiziert, • auf Basis einer Risikoanalyse mit Schutzbedarfsbewertung ein Sicherheitskonzept und eine Restrisikoanalyse erarbeitet, • ein Geschäftsplan, d.h. die Leistungsbeschreibung nach Art, Umfang und Preis des Infrastrukturdienstes und seine Einordnung in das vorhandene Dienstangebot erstellt, • ein Nutzungskonzept erarbeitet, • ein Benutzungshandbuch (Struktur) entworfen und • ein Schulungskonzept entworfen werden. 2. Das Ergebnis einer Feinkonzeption für Infrastrukturprojekte umfasst • das Konzept für den Betrieb des Infrastrukturdienstes, • das technische Verfahrenskonzept aus den Modellen für die Verarbeitungsregeln, die Verteilungsmechanismen und die technischen Detailausprägungen, • die Spezifikation der Infrastrukturdienstschnittstellen, • ggf. die Spezifikation der zukünftigen Benutzungsoberfläche, • das vorläufige Sicherheitskonzept, • eine überarbeitete Gesamtkostenkalkulation, • eine vorläufige Leistungsbeschreibung inkl. Preisangabe, • das Nutzungskonzept, • das vorläufige Benutzungshandbuch und • den vorläufigen Schulungsplan. IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 12 4.4 VERGABE DER PROJEKTDURCHFÜHRUNG Voraussetzung für die externe Vergabe der Projektdurchführung ist mindestens die Erledigung der unter 4.1 definierten Tätigkeiten inklusive der Ergebnisniederlegung. Bei Einhaltung des hier beschriebenen Ablaufs können grundsätzlich alle weiteren Einzeltätigkeiten extern vergeben werden, Voraussetzung ist jedoch die Einhaltung der in der Richtlinie beschriebenen Abläufe. § 55 LHO und die dazu ergangenen VV sind zu beachten. 4.5 IMPLEMENTIERUNG / INSTALLATION 1. Bei der Implementierung oder Installation müssen • die Spezifikationen (Konfigurierung von Betriebsparametern oder von Standardsoftware, durch Programmierung) technisch umgesetzt, • Tests im Hinblick auf die fachliche und technische Korrektheit der Implementierung oder der Installation der Spezifikationen inkl. Funktionstest durchgeführt, • das Nutzungskonzept umgesetzt, • Sicherheitsmaßnahmen entsprechend des jeweiligen Sicherheitskonzepts umgesetzt, • zusätzlich benötigte Infrastrukturdienste integriert, • das endgültige Benutzungshandbuch erstellt und • das endgültige Schulungskonzept erstellt werden. 2. Das Ergebnis ist ein getestetes IT-Verfahren, eine getestete Anwendungssoftware bzw. ein getesteter Infrastrukturdienst mit dem dazugehörigen Benutzungshandbuch und dem endgültigen Schulungsplan. 4.6 VERFAHRENS- UND INFRASTRUKTURDIENSTEINFÜHRUNG 1. Im Rahmen der Einführung eines Verfahrens bzw. Infrastrukturdienstes müssen • die organisatorischen und personellen Voraussetzungen realisiert, • die erforderlichen Schulungsmaßnahmen durchgeführt, • die infrastrukturellen Voraussetzungen realisiert, • die Sicherheitsmaßnahmen entsprechend des jeweiligen Sicherheitskonzepts umgesetzt, • die Projektdokumentation und das Benutzungshandbuch ggf. überarbeitet, • Integrationstests am jeweiligen Einsatzort zum Nachweis des ordnungsgemäßen Zusammenwirkens aller Komponenten durchgeführt sein. IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 13 4.7 VERFAHRENSFREIGABE Mit der Verfahrensfreigabe übernimmt die Fachverwaltung die Verantwortung dafür, dass die für die Ordnungsmäßigkeit, Sicherheit und den Datenschutz des Verfahrens erkennbar erforderlichen Maßnahmen getroffen worden sind. 1. IT-Verfahren bzw. Infrastrukturdienste sind von der Fachverwaltung schriftlich freizugeben. Die Freigabe kann erst dann erfolgen, wenn • diese ausreichend getestet sind und die Verfahrensdokumentation vollständig vorliegt; • der Verfahrenstest (Abschlusstest) durch die Fachverwaltung erfolgt ist. Dem Rechnungshof des Saarlandes, dem IT-Innovationszentrum und - soweit Belange der Buchführung und Rechnungslegung berührt sind - dem Ministerium für Finanzen und Bundesangelegenheiten ist Gelegenheit zur Teilnahme zu geben; • das Verfahren bzw. der Infrastrukturdienst - bei Verarbeitung personenbezogener Daten unter Beteiligung des Landesbeauftragten für Datenschutz gemäß § 7 Abs. 2 SDSG - abgenommen ist; • die förmliche Beauftragung bei Datenverarbeitung im Auftrag kann mit der Verfahrensfreigabe verbunden werden. 2. Vorbehaltlich notwendiger Änderungen bzw. Ergänzungen für eine endgültige Freigabe kann die Fachverwaltung einem vorläufigen Einsatz eines Verfahrens bzw. Infrastrukturdienstes nach fehlerfreiem Test zustimmen, wenn dies aus zwingenden Gründen notwendig ist. Das Freigabeverfahren ist unverzüglich durchzuführen. Der Rechnungshof und der Landesbeauftragte für Datenschutz sowie die Interessenvertretungen sind vorab zu informieren. 3. Bei einfachen Verfahren oder Verfahrensänderungen kann die Fachverwaltung auf einen Abschlusstest verzichten und die Freigabe auf der Grundlage vorausgehender Tests erteilen. 4. Bei komplexen Verfahren kann das neue Verfahren parallel zum bisherigen Verfahren mit Echtdaten erprobt werden, bis ein ausreichendes Maß an Fehlerfreiheit und Sicherheit erreicht wird. Eine vorläufige Freigabe ist erforderlich. 5. Das Ergebnis ist ein von der Fachverwaltung förmlich freigegebenes Verfahren bzw. förmlich freigegebener Infrastrukturdienst. 6. Der Routinebetrieb wird auf der Grundlage des Nutzungskonzepts aufgenommen. 4.8 PROJEKTENDE 1. Ein IT-Projekt endet regelmäßig mit der Erfüllung des Projektauftrags durch die Freigabe der Fachverwaltung. Ein Abschlussbericht ist den zu beteiligenden Stellen zu übergeben. 2. Sofern die Zielerreichung nur mit wesentlichen Änderungen des Projektauftrags gesichert werden kann, ist von der Fachverwaltung im Einvernehmen mit dem IT-Innovationszentrum insbesondere unter Wirtschaftlichkeitserwägungen zu entscheiden, ob eine Fortschreibung des Projektauftrags möglich ist. IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 14 3. Ein IT-Projekt ist abzubrechen, wenn erkennbar wird, dass das vorgesehene Projektziel nicht erreicht werden kann. Die Abbruchgründe sind zu dokumentieren. Der Abbruch ist von der Fachverwaltung im Einvernehmen mit dem IT-Innovationszentrum zu verfügen. Der Rechnungshof ist zu unterrichten. 4.9 VERFAHRENSKONTROLLE Nach der Verfahrenseinführung ist von der Fachverwaltung eine Nachkalkulation bezüglich der rechnerischen Wirtschaftlichkeit vorzunehmen. Dabei sind Kosten und Nutzen abschließend zu ermitteln und die frühere Wirtschaftlichkeitsberechnung vergleichend nachzuvollziehen. Weiterhin ist zu kontrollieren, ob die gesetzten Ziele erreicht wurden. Die Ergebnisse der Nachkalkulation und der Zielkontrolle sind in einem Abschlussbericht zusammenzustellen um, • Rechenschaft über das IT-Projekt zu geben, • Erfahrungen zu sammeln und für künftige Vorhaben auszuwerten. Dem IT-Innovationszentrum sowie dem Rechnungshof ist eine Ausfertigung des Abschlussberichtes zuzuleiten. Zum Zwecke der Verfahrensoptimierung ist nach einer Verfahrenskonsolidierung fortlaufend zu prüfen, ob Schwachstellen vorhanden sind und Verbesserungsmöglichkeiten aufgezeigt werden können. 5 ÜBERGANGS- UND SCHLUSSBESTIMMUNGEN 1. Diese Richtlinie löst die ADV-Projektrichtlinien vom 30. Oktober 1987 ab. 2. Soweit bestehende IT-Projekte zum Zeitpunkt des Inkrafttretens dieser Richtlinie hiervon abweichen, ist die Umstellung bzw. Anpassung im Rahmen des wirtschaftlich Vertretbaren unverzüglich vorzunehmen. 3. Die Richtlinie tritt mit Veröffentlichung im Gemeinsamen Ministerialblatt des Saarlandes in Kraft. IT-PROJEKTRICHTLINIE - STAND: 05.06.2003 Seite 15