"Bei der Bewältigung der Tücken haben die Verantwortlichen viel gelernt"

3. September 2020 um 14:06
  • schweiz
  • beschaffung
  • regierung
  • finanzkontrolle
  • cloud
image

Die Zentrale Ausgleichsstelle ZAS verzichtet auf BIT-Dienste und migriert Anwendungen inhouse. Die Finanzkontrolle hat Lob, Kritik, Tipps und Fragen.

Wenn die gefürchtete Eidgenössische Finanzkontrolle EFK die IT-Projekte der Zentralen Ausgleichsstelle ZAS prüft, überwiegt ihre Kritik das Lob manchmal bei weitem.
Nun publiziert sie den Prüfbericht, wie die ZAS, das zentrale Schweizer Vollzugsorgan für Sozialversicherungen wie AHV und IV, ein "Rehosting-Programm" umsetzt.
In diesem geht es darum, dass das ZAS das Hosting nicht mehr den IT-Experten des Bundesamts für Informatik und Telekommunikation (BIT) überlassen will wie bisher. Vielmehr investiert das ZAS für die Migration eines wichtigen Teils ihrer Anwendungen für dereinst budgetierte 19,8 Millionen Franken und übernimmt die Verantwortung selbst.
30 Anwendungen will das ZAS laut dem Prüfbericht migrieren, 7 Projekte umfasst das von 2017 bis 2021 dauernde Programm. Die Applikationen werden "funktionell unverändert bleiben, aber es wird erhebliche technische Änderungen geben", so die EFK.
Koste es, was es wolle, Ende 2021 muss die ZAS-Plattform in Betrieb gehen, denn das BIT stellt ihre Plattform "Mainframe 1" dann plangemäss ab, da sie End-of-Life sei.

"Auf Kurs, doch..."

Warum macht das Rehosting Sinn? Was ist der Return-on-Investment (ROI)? Wie steht es um das Programmmanagement, den Arbeitsfortschritt und die Risiken des Programms? Diese Fragen stellten die Prüfer und sie stellen auch für Aussenstehende wenig überraschend fest: "Der Aufbau und Betrieb einer Infrastruktur dieser Grösse ist ein neues Geschäft und eine grosse Herausforderung. Die Durchführung eines Projekts in der Grössenordnung des Rehosting-Programms ist für das ZAS keine leichte Aufgabe. Bei der Bewältigung der Tücken eines solchen Unterfangens haben die für das lotsen und fahren Verantwortlichen viel gelernt."
"Viel gelernt" ist oftmals gleichbedeutend mit merklichen Budgetüberschreitungen und Verzögerungen. Beides bilanziert die EFK denn beim Programm auch bereits, wenn auch nicht in unüblichem Ausmass: "Dieses ist auf Kurs, doch in einigen Projekten zeichnen sich Verzögerungen und Kostensteigerungen ab", heisst es im Bericht.
Konkret soll das Programm nun 22,9 Millionen statt 19,8 Millionen kosten (plus 15,6%).
Total aus dem Ruder laufen scheint "Rehosting" nicht zu können. "Das Programmmanagement ist insgesamt angemessen", schreibt die EFK. Das betreffe die Steuerungsinstanzen, die Entscheide und das Management von Baustellen-Prioritäten. Die Fortschritte würden regelmässig überprüft und die ZAS gehe nicht stur nach Hermes vor, sondern integriere agile Elemente. Nicht schmerzfrei allerdings, schwingt im Bericht durch, doch "der Lernprozess ist im Gange."
Ebenso würden Projekt- und Programmrisiken gemanagt und das Qualitätsmanagement sei "gut ausgestattet".
"Gibt sich und hat Mühe", könnte man aus den Details des französischsprachigen Berichts herauslesen. So recherchierten die Prüfer Spannungen zwischen den Akteuren und erinnern das ZAS an die Dauer von Beschaffungsverfahren.

"Der Fall ist ist besonders heikel"

Auch das technologische Neuland musste vom ZAS erst erobert werden: "Die technischen Fragen sind komplex, die Suche nach Lösungen und deren Überprüfung erforderte erhebliche Investitionen (zusätzliche Studien, Proof of Concept)". Ebenso fehlte offenbar das Personal dafür: "Die Ernennung der richtigen Personen (intern und extern) für Schlüsselpositionen im Programm war manchmal schwierig", so der Bericht, und es habe Fehler gegeben.
Nachdem das ZAS für drei Millionen Franken gelernt hat, gibt es ein Projekt, das laut EFK-Prüfern Sorgen machen könnte - das Java DB2 Websphere-Migrationsprojekt.
"Der Fall ist ist besonders heikel. Die Auswirkungen einer möglichen Verzögerung dieses Projekts auf das geplante Ende des Programms können zum Zeitpunkt der Überprüfung nicht bestimmt werden", bilanziert die EFK. Dies war unmöglich, weil das Projekt noch in der Konzeptionsphase steckte.
Das ZAS zeigt sich optimistisch, den Zeitrahmen einhalten zu können. Nicht so die EFK, sie "bezweifelt, dass die Pünktlichkeit des Programms nicht gefährdet ist. Die neuesten Entwicklungen im Java DB2 Websphere-Migrationsprojekt könnten das Enddatum des Programms gefährden."
Die Wirklichkeit wird zeigen, wer recht hat, die EFK-Prüfung fand Ende 2019 statt.

Fehlende Dokumentation

Bleibt die Frage, warum die ZAS das offenbar komplexe Hosting überhaupt inhouse machen will. Laut dem Bericht kam eine externe Lösung nicht in Frage. Das Modell eines Hostings bei einem externen Provider (z.B. nach einem "Platform as a Service"-Modell) wurde schnell aufgegeben." Und die ZAS erklärt "im Jahr 2017 wurde eine bundesexterne Cloud-Infrastrukturlösung vom Informatiksteuerungsorgan des Bundes (ISB) nicht genehmigt". Dies offenbar auch aus Sicherheitsbedenken.
Zudem wollte die ZAS eine PaaS-Lösung auch mangels Erfahrung nicht vertieft prüfen. "Diese Überlegungen wurden jedoch nicht dokumentiert", recherchierten die Prüfer.
So blieben als Lösungsvarianten die BIT-Profis oder inhouse übrig. "Wahl der Lösungsvarianten: ein fundierter, aber ungenügend dokumentierter Ansatz", lautet das differenzierte EFK-Urteil.
Das BIT erhielt vom ZAS dann eine Einladung, ein Hosting mit 5 Untervarianten zu quantifizieren. Der IT-Dienstleister der Eidgenossenschaft allerdings offerierte nur eine Untervariante. Eine Studie dokumentiert die Evaluation dieser Optionen und plädiert für die Rehousing-Variante. "Ausschlaggebend für diese Wahl waren die wirtschaftlichen Kriterien. Die Berechnungsannahmen wurden nicht dokumentiert", stellt der Bericht trocken fest.
Der ROI werde nachgeliefert, verspricht das ZAS und akzeptiert damit eine Empfehlung der Finanzkontrolleure.
Da bleibt nur noch zu fragen: Selbst falls das Rehousing für das ZAS Sinn macht, für wie lange? Möglicherweise nur kurze Zeit. Denn beim Bund sind amtseigene IT-Lösungen auch nicht mehr leicht möglich. Die ZAS musste eine Genehmigung für die Errichtung und den Betrieb einer Vor-Ort-Infrastruktur einholen. Sie wurde ihr vom ISB auch erteilt, aber nur bis Ende 2024 und mit Auflagen: So muss die ZAS ab 2025 unter anderem die Rückführung der Dienste und Infrastrukturkomponenten in das Netzwerk der Rechenzentren des Bundes vorsehen.
Bestätigen sich die Befürchtungen der EFK wegen Verzögerungen, schrumpft die Gnadenfrist für das Rehousing auf noch weniger als 3 Jahre zusammen.
Und die ZAS steht zusätzlich im Fokus des Interesses, seit die EFK 2017 anhand IV-Rechnungen aufdeckte, wie man IT nicht selbst betreibt. Und wie die ZAS bei der IV-Rechnungsverarbeitung und -prüfung die Möglichkeiten der Digitalisierung und Automatisierung ignoriert, statt Millionen zu sparen.
Der EFK-Bericht steht als PDF zur Verfügung (nur französisch).

Loading

Mehr zum Thema

image

Rechtliche Grundlage für Kommando Cyber wird noch Jahre fehlen

Die Aufgabenteilung zwischen Kommando Cyber, Bundesamt für Informatik, Armeestab und VBS ist noch nicht festgelegt. Auch die nötige Verordnung fehlt noch. Das ist einem aktuellen Bericht der Finanzkontrolle zu entnehmen.

publiziert am 23.3.2023
image

Wie die Bank Vontobel in die Azure-Cloud gezügelt ist

Microsoft erklärt, wie das Schweizer Finanzinstitut einen Teil seiner IT in die Cloud ausgelagert hat und was die Covid-Pandemie damit zu tun hatte.

publiziert am 22.3.2023
image

Basel-Stadt sucht neues Rechenzentrum

Der Kanton will seine IT-Basisinfrastruktur erneuern. Ein Netzwerk- und Compute-Datacenter ist am Ende seines Lebenszyklus angekommen.

publiziert am 22.3.2023
image

Twint vergrössert Geschäftsleitung

Beim Zahlungsanbieter wird die Anzahl der Personen in der Führungsetage verdoppelt. Damit will sich Twint besser für die Zukunft aufstellen.

publiziert am 21.3.2023