|
5. Interne IT-Revision und externe Programmprüfungen
Mit mehr als 850 Funktionen stellt der CT-Assist als Add-On zur Software-Technologie der SAP® AG, ein signifikantes Unterstützungspotential für den IT-Bereich zur Verfügung.
Neben den innerhalb der Standardsoftware R/3, Netweaver usw. verfügbaren Standard-Transaktionen und Reports zur Unterstützung der IT-Revision (z.B. SAP® Solution Manager), ist aus grundsätzlichen Erwägungen anzuraten, system-unabhängige externe Softwaretools zusätzlich innerhalb der Prüfung einzusetzen.
Ein wichtiges Kriterium zur Qualitätsbeurteilung von externen Prüfungstools ist die Analyse und Auswertung von ABAP Programmen auf Befehlsebene. Häufig ist die eingesetzte externe Prüfungssoftware ebenfalls in der Sprache ABAP™ realisiert
(CT-Assist = C++), die untere Detailierungsebene in den zu prüfenden Programmen wird nicht oder nur
rudimentär analysiert ("... der Teufel (oder der Fehler) steckt jedoch im Detail").
Die turnusmäßige Prüfung im IT-Bereich ...
Im Rahmen einer turnusmäßigen Revision im IT-Bereich sollte von den Revisoren (m/w) die systematische Bearbeitung eines vorgegebenen Prüfungsrasters erfolgen, um z.B. das 'Internal Control' auf Funktionalität, Effektivität. Plausibilität und Applikationssicherheit im IT-Bereich zu kontrollieren.
Die dabei festgestellten kritischen Stellen im IT-Workflow oder innerhalb der IT-Objekte (Programme, Tabellen, Dokumentation, Programmergebnisse usw.) sind anschließend je nach Relevanz auf Detailebene einer weiteren Schwerpunktprüfung zu unterziehen.
Die Prüfungsarbeiten ...
Zu den Prüfungsarbeiten auf Detailebene gehören z.B.: Die Analyse von ABAP™ Programmen, Kontrolle von Projektunterlagen, Revision der Dokumentationen im Prüfungszeitraum, Nachvollziehen der tatsächlich prozessierten Daten während des Programmeinsatzes, Art und Umfang von Tabelleninhalten innerhalb der Zeitachse, Prüfung der Authority, Risikobeurteilung, ...
Die Prüfungsergebnisse ...
Die im Revisionsbericht dargestellten Ergebnisse der turnusmäßigen Revision sollten geeignet sein, die beanstandeten IT-Objekte zu korrigieren oder den IT-Workflow zu verbessern und damit die Funktionsfähigkeit sowie die Wirtschaftlichkeit der Geschäftsprozesse zu gewährleisten.
Nutzbringend ist innerhalb der Prüfungstätigkeit die Verwendung von geeigneten Online-Formularen (z.B. Checklisten oder zur Dokumentation von Detailergebnissen), sie sind zweckmäßigerweise die Grundlage der nachfolgenden Programmkorrekturen.
Der CT-Assist stellt mehr als 40 Online-Formulare zur Dokumentation unterschiedlicher Ereignisse zur Verfügung. Diese Formulare/Checklisten können Sie Ihren hausinternen Richtlinien entsprechend anpassen.
Die Online-Formulare sind nach Abschluss der Prüfungsarbeiten bei den anschließend durchzuführenden Programm- oder Workflow-Änderungen vom IT-Bereich als Basisinformation und Programmdokumentation zu nutzen.
Beispiele für die Anwendungsunterstützung durch den CT-Assist ...
Für die IT-Revision wird durch den CT-Assist für folgende Aufgabenbereiche die Realisierung vereinfacht:
5.1 Internal Control, sicherheitsrelevante Programmkontrollen, Workflow-Analyse,
5.2 Kritische Analyse des IT-Workflows,
5.3 Unterstützung innerhalb der Programmrevision, Programmprüfung, Ordnungsmäßigkeit, Authority,
5.4 Weitere Prüfungsfelder
5.1 Internal Control, sicherheitsrelevante Programmkontrollen, Workflow-Analyse
Der Bereich der Programmkontrollen kann allgemein in 2 unterschiedliche Prüfungsfelder eingeteilt werden:
1. Analyse des statischen ABAP™ Codings und
2. Analyse der dynamischen Vorgänge während der Programmausführung
5.1.1 Analyse des statischen ABAP™ Codings und der verwendeten Tabellen
Die Kontrolle der Zuverlässigkeit der vom IT-Bereich zu bearbeitenden Daten hat innerhalb der Programmprüfung einen hohen Stellenwert. Neben der Analyse des statischen ABAP™ Codings, der beteiligten Tabellendaten, Art und Zeitpunkt des Programmeinsatzes, Interaktionen mit anderen Komponenten zur Laufzeit usw. ist zusätzlich unbedingt eine Analyse der dynamischen Ereignisse und Prozeduren erforderlich.
5.1.2 Analyse der dynamischen Vorgänge zum Zeitpunkt der Programmausführung
Dynamische ABAP™ Befehle ...
Konkret betrifft diese Betrachtungsweise die dynamischen Vorgänge zum Zeitpunkt der Programmausführung. Die Wirkung von variablen ABAP™ Befehlen zum prozessierten Zeitpunkt ist zu ermitteln. Hier steht der endgültige Programm- und Befehlsablauf erst zum Zeitpunkt der Befehlsausführung fest.
Tabelleninhalt zur Progammlaufzeit ...
Es ist zusätzlich festzustellen, dass von den prozessierten ABAP™ Programmen (Transaktion, Report, ...) allgemein in großem Umfang Steuerungstabellen verwendet werden, deren ständige Verwaltung dem jeweiligen Fachbereich zugeordnet ist.
Welcher Tabelleninhalt zu welchem Zeitpunkt von welchem Programm wie verwendet wurde, ist eine der wesentlichen Prüfungsaufgaben.
Weitere Informationen zu statischen und dynamischen Programmobjekten
Zu 5.1.1 Analyse der statischen Einflußfaktoren
Der CT-Assist generiert durch maschinelle Analysen des ABAP™ Codings verbunden mit der Suche nach kritischen Codingstellen, zu den gefundenen relevanten Coding-Prüfpunkten, eine situationsbezogene Checkliste.
Die zu den jeweiligen Fundtreffern ausgewiesene Checkliste unterstützt die nachfolgenden systematischen Prüfungsarbeiten durch Fragen/Hinweise/Reaktionen zu der Problematik der jeweiligen Codingstelle.
In der Auslieferungsversion des CT-Assist stehen mehr als 60 Prüfpunkte als Vorschlag für die weiteren Prüfungsarbeiten zur Verfügung. Sie können Ihre hausinternen Regeln oder Prüfungsschwerpunkte in diese Detailanalyse einbringen.
Zu 5.1.2 Analyse der dynamischen Einflussfaktoren
Die Kontrolle der dynamischen Einflussfaktoren kann erfolgen z.B. durch die Prüfung der konkreten Programmergebnisse (z.B. durch systematische Testfälle) oder durch Aufzeichnung der Ergebnisse auf Befehlsebene.
Welches ABAP™ Programm welche Ergebnisse wann produziert hat und auf welche Weise durch welche Befehle diese Ergebnisse entstanden sind, kann mit vertretbarem wirtschaftlichen Aufwand nur durch Trace-Aufzeichnungen ermittelt werden.
Zusätzlich zum CT-Assist stehen zur Analyse dynamischer Einflussfaktoren 2 gesonderte Add-Ons zur
Verfügung (nicht im Lieferumfang vom CT-Assist enthalten):
- Dynamische Aufzeichnung mit dem CT-Debug & Trace_Modul
Der CT-Assist stellt solche Trace-Aufzeichnungen nicht zur Verfügung. Für diesen Prüfungsbereich empfehlen wir Ihnen das kostenpflichtige Add-On "CT-Debug & Trace_Modul". Dieses von uns angebotene Add-On ist in der Lage, in schneller Folge die prozessierten Befehle und den Inhalt der beteiligten Variablen autonom aufzuzeichnen.
Nach Abschluss eines automatischen Trace-Ablaufes stehen Ihnen umfangreiche Trace-Informationen zur Verfügung, diesen Informationspool können Sie durch die mitgelieferten Auswertungsroutinen analysieren.
Sie sehen z.B. welcher Variableninhalt zu welchem Zeitpunkt in welchen Variablen von welchen Befehlen wie bearbeitet wurde (manuelles Debugging war gestern ...).
Weitere Informationen erhalten Sie hier ...
- Visuelle Darstellung von Traceaufzeichnung mit dem CT-Test & Optimizer
Mit einem weiteren Add-On ("CT-Test & Optimizer") können Sie die aufgezeichneten Prozess-Informationen aus dem Informationspool der Traceaktionen graphisch z.B. als CALL-Graph darstellen, um so einen schnellen Überblick über die aktuell prozessierten Programmteile und deren Häufigkeit zu erhalten.
Auch ein Vergleich der Graphen aus der statischen Analyse des Codings (= CT-Assist) mit dem Ergebnis des Traceablaufes (= CT-Test & Optimizer) ist aufschlussreich. Interessant dabei sind z.B. die statische Programmstruktur und der realer Programmablauf, die nicht prozessierte Programmbereiche, die Optimierung der häufig verwendeten Codingteile, die Prozessdokumentation zur Klärung einer Fehlersituation, usw..
Weitere Informationen erhalten Sie hier ...
5.2 Kritische Analyse des IT-Workflows
Die von dem CT-Assist generierten Online-Formulare können sowohl Definitionen und Arbeitsplanungsdaten als auch die konkreten Arbeitsergebnisse des jeweils aktuellen IT-Workflows enthalten. Zu der Workflow-Planung zählt z.B. die visuelle Darstellung des Workflow-Ablaufes mit In/Output-Definition sowie der relevanten Bearbeitungsschritte. Die dokumentierten Ergebnisse je Workflow-Step dienen z.B. der Information für die nachfolgenden Arbeitsschritte.
Die IT-Revision kann aufgrund der implementierten Online-Formulare für die jeweiligen konkreten IT-Workprozesse sowohl die Einhaltung der vorgegebenen Bearbeitungsketten formell und substanziell prüfen als auch die korrekte Bearbeitung der Work-Steps bewerten.
Durch Anwendung von Online-Formularen kann sowohl der jeweils aktuelle Arbeitsprozess transparent gehalten werden, gleichzeitig wird der zu einem späteren Zeitpunkt erforderliche Prüfungsaufwand der IT-Revision signifikant reduziert.
Die vom CT-Assist zur Verfügung gestellten Muster (Templates) der Online-Formulare können modifiziert und weitere kundeneigene Templates erzeugt werden. Die bereits bearbeiteten Online-Formulare können über gesonderte Menüfunktionen verwaltet und die jeweiligen Arbeitsergebnisse ausgewertet werden ('Doku-Administration', 'Info-Objekte auswerten', ...)
5.3 Unterstützung innerhalb der Programmrevision, Programmprüfung,
Ordnungsmäßigkeit, Authority
Im Rahmen der Programmrevision können z.B. die im ABAP™ Coding verwendeten benutzerorientierten Schnittstellen einen Schwerpunkt bilden. Hier ist durch die Filterung von geeigneten ABAP-Schlüsselworten (z.B. PARAMETERS, SELECT-OPTIONS, INITIALIZATION, oder MESSAGE, ...) zu ermitteln, ob eine geeignete Kommunikation mit dem Benutzer während der Programmausführung sinnvoll erfolgt ist.
Der Prüfungsschwerpunkt ist z.B. die Usability (Fehlermeldungen/Hinweise mit verständlichen Begriffen, eindeutige Anweisungen/Alternativen,...) oder ob ergonomische Layout-Schwächen ersichtlich sind.
Sie können z.B. im CT-Assist Ihre hausinternen Prüfungsfragen zum Theme "Schnittstellenprüfung - Benutzerunterstützung" als Checkliste vorgeben (incl. regulare Expression) und damit durch den CT-Assist Ihre kundeneigenen Y/Z-Programme kontrollieren. Die Ergebnisse werden je Suchtreffer mit den Checklisten zur Einzelbearbeitung generiert.
Auch die nicht direkt durch den CT-Assist unterstützten Kontrollen von zertifizierten/nicht zertifizierten externen Anwendungsprogrammen sind im Rahmen einer Revision zu berücksichtigen. Neben Virenscannern (HTML-Coding) sind auch die zahlreichen externen Schnittstellen (digitale Signaturen, Directory-Services, ...) zu nennen.
Das ABAP™ Coding ist indirekt zu prüfen und auf entsprechende Verbindungselemente (Übergabeparameter, Schnittstellen,) zu diesen externen Anwendungsprogrammen zu untersuchen. Die Ergebnisse können in Online-Formularen dokumentiert und mit dem ABAP™ Coding verlinkt werden.
5.4 Weitere Prüfungsfelder
Durch zahlreiche ergänzende Anwendungsmöglichkeiten kann der CT-Assist Sie bei der Durchführung von weiteren Prüfungsaufgaben unterstützen:
- Revision der Dokumentation und Programmanalysen
Die Programm-Dokumentation ist historisch abzubilden. Für jeden Zeitpunkt nach der erstmaligen produktiven Freigabe des ABAP™ Programms ist eine dem realen Programmstand entsprechende Dokumentation vorzuweisen.
Die von dem CT-Assist für die Vergangenheit erstellte Programmdokumentation enthält neben dem jeweils gültigen Coding eine umfangreiche Sammlung von Analysedaten, die revisionstechnisch aufbereitet und ausgewertet werden können. Durch gleichbleibenden Dokumentations-Anforderungen (= Dokumentationsprofile) ist zudem die Vergleichbarkeit der einzelnen Dokumentationsversionen gegeben.
- Kontrolle der Projektunterlagen (Historie, Verwaltung, Administration, ...)
Neben der Programm-Dokumentation sind auch die verketteten ergänzenden Dokumente (z.B. Change-Request, Maintenance-Arbeiten, Klärung von unplausiblen Programmergebnisse, ...) in den Prüfungsauftrag einzubeziehen. Durch einige der im CT-Assist enthaltenen Menüfunktionen (z.B. Doku-Administration) werden diese Revisionsarbeiten unterstützt.
- Prüfung auf Einhaltung der hausinternen IT-Rules
Wenn hausinterne Verfahren/Regeln/Hinweise für die Programmentwicklung zu beachten sind, kann dies bis zur Detailebene (ABAP Befehle) vorgegeben werden. Diese strikten Vorgaben können im CT-Assist pro ABAP-Befehl abgebildet werden (z.B. sinnvoll bei externer Programmentwicklung).
Die Prüfung auf Einhaltung dieser Normen kann durch die Funktionen des CT-Assist unterstützt werden.
Bild vergrößern ...
|
