Vijf jaar geleden begon ICTU de manier waarop ze software ontwikkelt vast te leggen in een kwaliteitsaanpak, de ‘ICTU Kwaliteitsaanpak Softwareontwikkeling’. Voor de ontwikkeling van maatwerksoftware is het de vaste werkwijze geworden.

Willem van Ravesteijn, opdrachtgever vanuit de Rijksdienst voor Identiteitsgegevens voor het programma Verbeteren Reisdocumentenstelsel waar ICTU aan werkt: “Als je ziet wat het oplevert, dan zou ik zeggen dat je deze aanpak voor elk ontwikkelproject van software moet inzetten.”

Frank Niessink is adviseur softwarekwaliteit bij ICTU. Hij is vijf jaar geleden “gaan opschrijven hoe we werken, als hulpmiddel om met collega’s kennis te delen en om aan onze opdrachtgevers te kunnen vertellen hoe we werken”. De reden was dat ICTU steeds meer maatwerksoftware ging ontwikkelen voor uiteenlopende opdrachtgevers. “Mensen deden en doen twee of drie projecten tegelijk. We hebben doorgaans een kleine twintig projecten parallel lopen, van hele grote tot hele kleine.” Inhoudelijk kunnen die projecten erg verschillen, maar de aanpak en werkwijze die ICTU ervoor gebruikt is in grote lijnen identiek. Dat is de kwaliteitsaanpak.

Frank Niessink (fotografie Studio Oostrum)

Volautomatisch monitoringssysteem

Strategisch adviseur en adviseur softwarekwaliteit bij ICTU Auke Bloembergen: “We verbeteren de kwaliteitsaanpak continu, we schrappen dingen die niet meer relevant zijn en breiden de aanpak uit met onderbelichte aandachtspunten, zoals onlangs de rolverdeling bij het uitvoeren van performancetests. Zodat de kwaliteitsaanpak blijft aansluiten bij de behoefte van de projecten.” Een tool dat er in de loop van de jaren aan werd toegevoegd, is een volautomatisch monitoringssysteem dat Niessink ontwikkelde. Je kunt er onder meer mee zien welke onderdelen van de software zijn getest of waar nog beveiligingsrisico’s zijn. Opdrachtgevers kunnen deze en andere aspecten van de software, bijvoorbeeld of het voldoet aan de toegankelijkheidseisen, met de rapportages uit het tool controleren.

De kwaliteitsaanpak bestaat uit een omschrijving hoe ICTU werkt, uit tools zoals die voor monitoring en uit templates die de projecten kunnen gebruiken. “We brengen zo’n twee keer per jaar een nieuwe versie uit. Recent hebben we de securityrichtlijnen uit de Baseline Informatiebeveiliging Overheid (BIO) en de methode voor secure software development van het Centrum Informatiebeveiliging en Privacybescherming in de kwaliteitsaanpak geïntegreerd,” vertelt Niessink.

ICTU werkt in ontwikkelprojecten voor maatwerksoftware met twee fases: een voorfase en een realisatiefase. De voorfase blijkt cruciaal om samen met de opdrachtgever helder te krijgen wat het probleem is dat moet worden opgelost. Op basis van het plan dat dat oplevert, kan ICTU een team met de juiste mensen samenstellen en een inschatting maken van een eerste planning. “Voor alle documenten die in deze voorfase worden gebruikt, ontwikkelden we templates die de projecten kunnen gebruiken,” vertelt Bloembergen.

Auke Bloembergen (fotografie Studio Oostrum)

Agile en PRINCE2 gecombineerd

Als onderdeel van de kwaliteitsaanpak gebruikt ICTU Scrum, een agile aanpak voor de ontwikkeling van software. Veel opdrachtgevers gebruiken PRINCE2 als sturingsmechanisme voor projecten. Dit lijkt een tegenstelling, maar hoeft dat niet te zijn. “We proberen uit die twee het beste te halen en dat in onze aanpak te verenigen. We bereiken daarmee een goede balans tussen snelheid en beheersing”. Het opdelen van een project in een voorfase en een realisatiefase is een voorbeeld van deze gecombineerde aanpak. Voor de doorgaans complexe projecten die ICTU doet, waar meestal meerdere partijen bij betrokken zijn, blijkt het essentieel om vooraf met de opdrachtgever helder te krijgen wat er moet gebeuren en hoe dat het beste kan.

Bloembergen: “Het komt regelmatig voor dat we na de voorfase concluderen dat een project beter kan wachten, of dat het beter helemaal niet kan starten. Als je deze fase zou overslaan, dan zou je al aan het ontwikkelen zijn voordat je daar achter komt en dan is de neiging om door te gaan groot, ook als je beter kunt stoppen.”

Duidelijke afspraken

Niessink: “In de voorfase maken we duidelijke afspraken over wie welke verantwoordelijkheid heeft als het project doorgaat. Zo komt de product owner altijd uit de organisatie van de opdrachtgever, omdat die de business het beste kent.” Als eenmaal wordt gestart met de realisatiefase, dan zijn de afspraken helder en kan dankzij de agile methode snel worden gewerkt. Niessink: “We maken zo snel mogelijk een eerste, werkende versie van de gewenste software, zodat we meteen al kunnen zien of dit bruikbaar is voor de opdrachtgever. Bij voorkeur is die eerste versie gereed op een derde van de doorlooptijd van het project. Dan hebben we nog twee derde van de tijd om het te verbeteren, en heeft de opdrachtgever al iets dat echt werkt. Dan kan een project eigenlijk niet meer mislukken.”

Dat de kwaliteitsaanpak werkt, blijkt niet alleen uit tevreden opdrachtgevers en goede resultaten op externe audits, maar ook uit het feit dat organisaties als Rijkswaterstaat en het Rijksvastgoedbedrijf de kwaliteitsaanpak en de ontwikkel- en teststrategie van ICTU hebben gekopieerd. Een mooi resultaat van 5 jaar werken met de kwaliteitsaanpak.

ISO-standaard

De kwaliteitsaanpak van ICTU is input geworden voor een NEN-richtlijn: de Nederlandse Praktijkrichtlijn (NPR) 5326, die specifiek gaat over de risico’s van de ontwikkeling van maatwerksoftware.

“Het is een omschrijving van maatregelen die je kunt nemen om de tien grootste risico’s af te dekken,” vertelt Niessink. “We waren blij met hoe onze eigen projecten dit toepasten en dachten dat het misschien interessant zou zijn voor andere organisaties.” De NEN deelde die opvatting en samen met andere overheidsorganisaties en bedrijven is de praktijkrichtlijn ontwikkeld. Deze wordt inmiddels vertaald naar een internationale ISO-richtlijn, vertelt Niessink: “Dat is een vrij ingewikkeld proces, waar veel partijen bij betrokken zijn. Eind april hebben partijen hun mening gegeven over het technical report. Het kan zijn dat het op termijn een internationale standaard wordt.”

Dat de aanpak uiteindelijk misschien wel een internationale standaard wordt, is een bijzonder resultaat van iets dat begon als een intern instrument. Niessink is er wel nuchter over: “Ik vind het natuurlijk heel mooi dat we onze eigen lessen in deze vorm bruikbaar maken voor andere organisaties. Dat gebeurt al, ik werd onlangs nog gebeld door een organisatie die hiermee aan de slag wil. Maar ik ben ook wat dubbel, want er zijn al zoveel standaarden. Ik had er het liefst een paar verwijderd en er een nieuwe aan toegevoegd. Maar het verwijderen van standaarden is heel lastig!”

Lees ook de Whitepaper Kwaliteitsaanpak ICTU Software ontwikkeling.