{"id":3012,"date":"2021-08-23T10:28:34","date_gmt":"2021-08-23T08:28:34","guid":{"rendered":"https:\/\/sast-solutions.de\/blog-de\/?p=3012"},"modified":"2021-08-24T13:45:01","modified_gmt":"2021-08-24T11:45:01","slug":"role-conversion-kein-kinderspiel-wie-man-s4hana-berechtigungsprojekte-sicher-zuegig-meistert","status":"publish","type":"post","link":"https:\/\/sast-solutions.de\/blog-de\/2021\/08\/23\/role-conversion-kein-kinderspiel-wie-man-s4hana-berechtigungsprojekte-sicher-zuegig-meistert\/","title":{"rendered":"Die Role Conversion ist kein Kinderspiel \u2013 Wie man S\/4HANA-Berechtigungsprojekte dennoch sicher und z\u00fcgig meistert"},"content":{"rendered":"

\"RoozbehEine Umfrage im Rahmen des ITOK-Expert-Talks zu den gr\u00f6\u00dften Herausforderungen f\u00fcr SAP Security ergab im M\u00e4rz, dass gut die H\u00e4lfte der Befragten diese im Umfeld von Rollen und Berechtigungen sehen.\u00a0Die Einbettung des Berechtigungskonzeptes stellt also eine der Kernaufgaben bei der S\/4HANA-Einf\u00fchrung dar und ist ein h\u00e4ufiger Grund daf\u00fcr, dass diese als Ganzes scheitert. Wie aber ist mit Konflikten\u00a0wie Ressourcenengp\u00e4ssen, Priorit\u00e4tenverschiebungen bei Teilprojekten, \u00c4nderungen bei Tasks und Tests umzugehen?<\/p>\n

<\/p>\n

 <\/p>\n

Im Interview mit dem it management-Herausgeber Ulrich Parthier<\/strong>\u00a0erkl\u00e4rt Roozbeh Noori-Amoli, Deputy Head SAST CONSULTING, warum neben Ansatz und Projektmanagement das richtige Berechtigungskonzept \u00fcber Erfolg und Dynamik der Transformation entscheidet.<\/p>\n

Herr Noori-Amoli, Sie haben gerade erfolgreich eine globale Role Conversion mit PUMA SE abgeschlossen. Was sind die wichtigsten \u00dcberlegungen, die man vor der S\/4HANA-Migration anstellen sollte?<\/strong><\/h2>\n

Roozbeh Noori-Amoli:<\/em><\/strong>\u00a0Zuerst nat\u00fcrlich, welcher Ansatz dem Projekt gerecht wird, also etwa Green-, Brown- oder Bluefield. Beim Vorgehen muss zwischen klassischem und agilem Projektmanagement entschieden werden. Und dann folgt schon die Frage: Wie sieht mein Berechtigungskonzept<\/a> aus? Richtet es sich wie h\u00e4ufig nach dem einzigen Vorschlag eines Beraters oder einem Best-Practice-Ansatz ohne Bezug auf das Unternehmen und die projektspezifischen Bed\u00fcrfnisse? Dann ist das schon der eigentliche Kardinalfehler: Denn man muss sich die Vor- und Nachteile der verschiedenen Konzepte vorher bewusst machen, die ja alle je nach Situation ihre Daseinsberechtigung haben. Hat man die falsche Wahl getroffen, erkennt man das h\u00e4ufig erst nach etlichen Tagen, die bereits f\u00fcr die Implementierung aufgewendet wurden, oder schlimmer noch, erst sp\u00e4ter im Alltag. Die nachtr\u00e4gliche Korrektur kann dann hohe Aufw\u00e4nde und Kosten bedeuten.<\/p>\n

Aber wie l\u00e4sst sich angesichts der Vielfalt das richtige Berechtigungskonzept finden?<\/strong><\/h2>\n

Roozbeh Noori-Amoli:<\/em><\/strong>\u00a0Daf\u00fcr m\u00fcssen von Beginn an die wichtigsten Fragen gekl\u00e4rt werden: Wie ist der tats\u00e4chliche Unternehmensbedarf, was sind die Projektziele und wie hoch ist das Sicherheitsbed\u00fcrfnis? Wie sind Budget sowie zeitliche und personelle Ressourcen bemessen? Limitierende Faktoren wie die bestehenden organisatorischen Strukturen und Prozesse, die Anzahl der SAP-User sowie grunds\u00e4tzlich die Art und Architektur des Systems geben bereits einen festen Rahmen vor. Die Priorisierung der Ziele wird dann von der jeweiligen IT-Strategie bestimmt. Die Wahl des Berechtigungskonzepts ist so letztlich eine Abw\u00e4gung zwischen dem Bed\u00fcrfnis nach hoher Sicherheit mit passgenauen Berechtigungen und dem Wunsch nach minimalem Administrationsaufwand. Als Zielkonflikt k\u00f6nnte man die minimale Vergabe von Berechtigungen vs. die Vereinheitlichung von Prozessen formulieren.<\/p>\n

K\u00f6nnen Sie uns ein paar Szenarien nennen, wann welches Konzept Sinn macht?<\/strong><\/h2>\n

Roozbeh Noori-Amoli:<\/em><\/strong>\u00a0Also, bei einer internationalen Organisation mit vielen gleichen Unternehmensteilen und wiederkehrenden Prozessen funktioniert zum Beispiel der Template-Rollenansatz mit Ableitungen nach organisatorischen Einheiten oder das Menu\/Value-Rollenkonzept. Bei einem sehr hohen Sicherheitsbed\u00fcrfnis und dem Wunsch nach pr\u00e4ziser Vergabe der Berechtigungen und gleichzeitig einer niedrigen Anzahl verwendeter Transaktionen je User und einem System mit wenigen, aber unterschiedlichen Prozessen empfiehlt sich stattdessen das Konzept 1 Transaktion \u2013 1 Rolle.<\/p>\n

Gibt es konkrete Beispiele aus Ihrer Erfahrung f\u00fcr eine richtige und eine schlechtere Wahl?<\/strong><\/h2>\n

Roozbeh Noori-Amoli:<\/em><\/strong> Gerne, das l\u00e4sst sich gut anhand der durchdachten und einer weniger durchdachten Entscheidung f\u00fcr dasselbe Berechtigungskonzept zeigen. Der Kunde PUMA mit rund 14.000 Mitarbeitern in 50 L\u00e4ndern hatte viele l\u00e4nderspezifische Eigenentwicklungen und Schnittstellen sowie hohe Compliance-Anforderungen. Das Projekt beinhaltete den Start der Migration mit 4 L\u00e4ndern und unterschiedlichen SAP ERP-Systemen\u00a0auf S\/4HANA. Wegen vieler Organisationseinheiten, verteilter Prozesse, kritischer L\u00e4nderspezifika ergab sich die Herausforderung, ein globales Berechtigungskonzept zu erstellen, das anschlie\u00dfend auf L\u00e4nderebene in die Tiefe ausgerollt werden sollte. Wir haben uns mit PUMA schlie\u00dflich f\u00fcr prozessuale Einzelrollen mit funktionalen Arbeitsplatz-Sammelrollen entschieden, weil es viele Einheiten gibt, die \u00e4hnlich sind, zentral verwaltet, mit zentraler Revision und einem einheitlichen Konzept mit Sonderrollen sowie Ableitungen \u00fcber Organisationsebenen. Der Kunde ist damit heute hochzufrieden, zumal wir das Ganze mit einem agilen Projektmanagement-Ansatz sehr z\u00fcgig, dynamisch und flexibel umgesetzt haben.<\/p>\n

Und die schlechtere Entscheidung?<\/strong><\/h2>\n

Roozbeh Noori-Amoli:<\/strong>\u00a0<\/em>Dass dasselbe Konzept aber l\u00e4ngst nicht f\u00fcr jeden die richtige Wahl ist, wurde bei einem anderen S\/4HANA-Projekt deutlich: Hier war auf dringlichen Wunsch des Kunden und ohne vorhergehende Beratung ebenfalls genau dieses Berechtigungskonzept umzusetzen. Dabei wurde jedoch in den Workshops mit den Fachbereichen schnell klar, dass es nur bedingt m\u00f6glich war, Benutzer in homogene Gruppen zu separieren und eine klare Trennung der einzelnen Prozesse zu implementieren. Letztlich konnten wir den Kunden deshalb \u00fcberzeugen, ein hybrides Berechtigungskonzept vorzuziehen, um besser auf die Gegebenheiten der L\u00e4nder- und Abteilungsspezifika eingehen zu k\u00f6nnen.<\/p>\n

Welche Learnings k\u00f6nnen Sie f\u00fcr eine gelungene S\/4HANA <\/strong>Role Conversion mit auf den Weg geben?<\/strong><\/h2>\n

Roozbeh Noori-Amoli:<\/em><\/strong>\u00a0Wichtig ist, von Beginn an Zeit f\u00fcr das Testing einzuplanen und zwischen dem Test-, dem Schulungsmanagement und dem Berechtigungsteam eine detaillierte Abstimmung sicherzustellen. Ein agiles Projektmanagement birgt hier gro\u00dfe Vorteile: Integrations-, Regressions- und Berechtigungstests werden dabei nicht separat betrachtet, sondern parallel durchgef\u00fchrt. Die gesamte Thematik muss fr\u00fchzeitig gemeinsam mit den Fachbereichen angegangen werden, schlie\u00dflich gilt es, fachbereichs\u00fcbergreifende Entscheidungen hinsichtlich der Rollen-Inhalte zu treffen und kundeneigene Kataloge und Gruppen zu erstellen, um nicht auf den \u00fcberladenen SAP-Standard zur\u00fcckgreifen zu m\u00fcssen. Eine weitere Erkenntnis: Weg vom Berechtigungsteam, hin zu je einem Verantwortlichen in den Fachabteilungen. Sinnvoll ist eine passgenaue Tool-Unterst\u00fctzung<\/a>, ben\u00f6tigt werden Standard-Templates f\u00fcr Vorschlags-Rollen zum Testen sowie saubere und SoD-freie Rollen. Berechtigungen d\u00fcrfen nicht nur auf Funktionalit\u00e4t getestet werden, sondern es m\u00fcssen auch Negativ-Tests stattfinden. Ein unterbrechungsfreies Tagesgesch\u00e4ft sollte unbedingt durch einen Safe-go-live-Ansatz gew\u00e4hrleistet bleiben. Wichtig ist schlussendlich, ausreichend Zeit und Ressourcen einzuplanen, das Thema kann nicht einfach neben dem Tagesgesch\u00e4ft umgesetzt werden.<\/p>\n

Herr Noori-Amoli, wir danken f\u00fcr dieses Gespr\u00e4ch.<\/strong><\/p>\n

\"Roozbeh
\nDieser Artikel ist im IT Management Magazin Juli\/August 2021<\/strong> erschienen und steht als kostenloser online Leser-Service auf it-daily.net<\/a> zur Verf\u00fcgung: https:\/\/www.it-daily.net\/leser-service<\/a><\/p>\n

 <\/p>\n

<\/h2>\n

<\/h2>\n

 <\/p>\n

Weitere Beitr\u00e4ge zum Thema:<\/h2>\n

Auf ins Migrationsprojekt – Was Sie bei der Conversion von SAP ERP-Berechtigungen auf S\/4HANA beachten sollten<\/a><\/p><\/blockquote>\n