Keine Angst vor Blauen Briefen

Zu meiner Schulzeit, die zugegebenermaßen schon ein Weilchen zurückliegt, waren sie gefürchtet: Die Blauen Briefe, mit denen die Schule die Eltern oder uns selbst darüber in Kenntnis setzte (als ob wir das nicht längst schon wussten), dass unsere Versetzung mal wieder gefährdet war. Wieso überhaupt blau? Die Bezeichnung stammt laut Wikipedia aus dem 18. Jahrhundert, als königliche Anordnung in einem Papier blickdicht verpackt wurden, das oft aus Lumpen von Uniformröcken hergestellt wurde. Und diese Uniformen waren in Deutschland damals vorwiegend preußisch-blau.

Im Englischen spricht man gewöhnlich von einem Warning Letter oder einer Abmahnung, nicht zu verwechseln mit einem Drohbrief, wohl weil das mit der Lumpenfarbe nicht so klar war. Die Engländer waren als Rotröcke gefürchtet, während die Amerikaner mit blauen Röcken in den Unabhängigkeitskrieg und später dann in den Bürgerkrieg zogen – zumindest die Nordstaatler. Die Uniformen der Südstaatler  hatte eher die Farbe von Recyclingpapier. Warum ich Ihnen das alles erzähle? Weil gerade Sommerloch ist und es keine großen PLM-Schlagzeilen gibt.

Obwohl oder vielleicht gerade weil Briefe in der privaten Kommunikation kaum noch eine Rolle spielen, sind Blaue Briefe immer noch recht wirkungsvoll. Die Warning Letters der amerikanischen FDA (Food and Drug Administration) sind besonders gefürchtet, weil sie für die Geschäftsentwicklung der betroffenen Pharmaproduzenten oder Medizintechnikhersteller gravierende Auswirkungen haben können. Vor ein paar Monaten hat zum Beispiel Fresenius Medical Care selbst bekannt gegeben, eine Abmahnung der FDA erhalten zu haben, um gleich anzufügen, dass keine negativen Auswirkungen auf Umsatz und Gewinn für 2013 zu erwarten seien.

PLMblauerbrief
Mit freundlicher Genehmigung von Stuart Miles, www.FreeDigitalPhotos.net

Der Warning Letter an Fresenius bemängelte das Sterilisationsverfahren von Dialysefiltern in einer amerikanischen Produktionsstätte des Unternehmens. Nicht dass das Verfahren selbst Mängel aufwies – die Dokumentation der Verfahrenseinführung vor mehr als zehn Jahren entsprach nach Ansicht der FDA-Inspektoren nicht den so genannten cGMP (current Good Manufacturing Practices). Die US-Aufsichtsbehörde inspiziert übrigens nicht nur die Produktionsstätten in den Vereinigen Staaten, sondern überall da auf der Welt, wo Produkte für den nordamerikanischen Markt hergestellt werden. Auch Boehringer Ingelheim hat dieses Jahr einen Blauen Brief aus Silver Spring bekommen, weil die Inspektoren im Stammwerk in Ingelheim signifikante Verstöße gegen die cGMP feststellten.

Jetzt könnte man sagen, mit PLM wäre das alles nicht passiert, aber damit würde man es sich zu einfach machen. Die wachsende Flut an administrativen Vorschriften in einer Datenbank zu speichern, vielleicht sogar noch fein säuberlich zu strukturieren und zu klassifizieren, heißt ja noch nicht, dass sie bei der Produktentwicklung dann auch beachtet werden. Irgendwann im Entwicklungsprozess müssen sie in konkrete Anforderungen umgesetzt werden, und das lässt sich nicht so einfach automatisieren.

Wobei PLM aber sicher helfen kann, ist den Prozess sauber zu dokumentieren und mögliche Schwachstellen aufzudecken. Viel Zeit lässt die FDA den abgemahnten Unternehmen nämlich nicht: Binnen 15 Arbeitstagen müssen sie der Aufsichtsbehörde mitteilen, welche konkreten Schritte sie einzuleiten gedenken, um die Mängel abzustellen, und das auch entsprechend dokumentieren.

Die Regelkonformität (compliance) lässt sich natürlich auch ohne PLM nachweisen. Die Unternehmen der pharmazeutischen und medizintechnischen Industrie haben das auch vor der Einführung entsprechender IT-Systeme schon getan. PLM verspricht dabei aber erhebliche Zeit- und Kosteneinsparungen oder wie der Geschäftsführer eines renommierten Herstellers von Dentalprodukten, den ich kürzlich besuchte, sich ausdrückte: “Das gute alte Papier ist zwar auch noch dienlich, aber die meterlange Dokumentation würden wir gerne anders vorhalten. Und wir könnten viel Zeit sparen, wenn wir sie direkt austauschen könnten, statt sie wochenlang am Schreibtisch aufzubereiten.” Da müssen dann natürlich auch die Behörden mitspielen, die ihre Blauen Briefe noch mit Rückschein auf dem Postweg versenden.

Agentenklamauk mit ernstem Hintergrund

David John Moore Cornwell, besser bekannt als John le Carré, hätte die Geschichte nicht besser erfunden. Die Enthüllungen des milchgesichtigen Systemadministrators Edward  John Snowden entwickeln sich zum amüsantesten Agententhriller seit der Filmkomödie Charade, die vor ziemlich genau 50 Jahren gedreht wurde – wir erinnern uns: mit Walter Matthau als falschem CIA-Mann. Einzig die National Security Agency (NSA), Amerikas größter und am besten ausgestatteter Militärnachrichtendienst, ist verständlicherweise not amused.

Aus der Geschichte des Whistleblowers (auf gut Deutsch Verpfeifers) und seiner witzigen Verfolgungsjagd mit Zwischenstopp auf dem Flughafen des ehemaligen Erzfeinds lassen sich eine Reihe von ernsten Lehren ziehen. Zunächst einmal die, dass man mit Freunden wie den Amerikanern eigentlich keine Feinde mehr braucht. Unter dem Vorwand, Terroristen zu jagen, spähen sie klammheimlich ihre Verbündeten aus, und das so systematisch, dass jeder chinesische Industriespion vor Neid erblassen muss. Anders ist nicht zu erklären, dass die Datenspione der NSA in Europas vor allem Deutschland im Visier hatten.

PLMvertraulich
Mit freundlicher Genehmigung von Naypong auf FreeDigitalFotos.net

Zweitens beweisen unsere europäischen Politiker einmal mehr, dass sie etwa so viel Rückrat wie ein Weichtier aus dem jüngeren Pleistozän haben. Selbst unsere eiserne Lady Angela Merkel ist merkwürdig kleinlaut, wenn es darum geht, Stellung zu der massiven Ausspähung zu beziehen. Was muss eigentlich noch geschehen, bevor jemand den amerikanischen Botschafter einbestellt, um ihm eine offizielle Protestnote zu übergeben? Die einzige Erklärung für die Funkstille ist, dass unsere Geheimen von Militärischem Abschirmdienst und Co. mit den amerikanischen Diensten traulich vertraulich im selben Glashaus sitzen, so dass sich keiner traut, den Stein zu werfen.

Die dritte und vielleicht wichtigste Lehre lautet, dass unsere sensiblen Daten nirgendwo so verletzlich sind wie auf dem Transportweg durch die weltweiten Datennetze. Das ist wahrlich keine neue Erkenntnis. Aber wenn irgendein innovatives deutsches Unternehmen mal die verrückte Idee gehabt haben sollte, sein intellektuelles Eigentum in die Cloud zu schicken und das auch noch bei einem amerikanischen Wolkenschieber, dann dürfte sich das Thema erst einmal erledigt haben. Die NSA hat den Anbietern von Cloud-basierten CAD- und PLM-Lösungen einen wahren Bärendienst erwiesen.

Auch die vierte Erkenntnis ist nicht wirklich neu: Der größte Risikofaktor für die Datensicherheit ist der Mensch. Nicht der normale Anwender, der regelmäßig sein Passwort vergisst und es deshalb auf einen Klebezettel an den Bildschirm heftet, sondern der Herr über alle Passwörter. Edward Snowden wird in der Presse immer als Geheimdienstmitarbeiter bezeichnet, was er eigentlich nicht war. Er arbeitete vielmehr als Systemadministrator bei der Beratungsfirma Booz Allen Hamilton, das heißt einem externen Dienstleister, der im Auftrag der NSA an der Datenüberwachung beteiligt war. Dank seiner Tätigkeit konnte er sich Zugang zu geheimen Informationen verschaffen, die selbst für einen Meisterspion schwer zu hacken gewesen wären.

Interessanterweise beschäftigte sich der erste Artikel, den ich vor ein paar Wochen in den USA über den Fall Snowden las, nicht so sehr mit dem Skandal als solchen, sondern mit der Frage, wie dem geheimsten aller Geheimdienste seine Geheimnisse abhanden kommen konnten und wie man sich gegen solche Leaks schützt. Ausgerechnet die IT, die sich um die Datensicherheit kümmert, ist gerade in Unternehmen mit global verteilten Standorten ihre größte Achillesferse, weil die Systemadministratoren vor Ort direkt auf die Datenbanken zugreifen und geschützte Informationen abgreifen können. Da nützen dann auch die besten Rollen- und Rechtekonzepte im PLM-System nichts.

Die Unternehmen sind sich dieser Problematik durchaus bewusst. Neulich besuchte ich einen renommierten Automobilzulieferer, der in der frühen Entwurfsphase eng mit OEM-Kunden zusammenarbeitet und deshalb bei der Datenkommunikation hohe Sicherheitsanforderungen erfüllen muss. Die Firma entwickelt weltweit an elf Standorten, die zum Teil gemeinsam an Projekten arbeiten. Um das Risiko der Industriespionage so gering wie möglich zu halten, werden nur die gemeinsam genutzten Daten an andere Standorte repliziert und auch nur dann, wenn der Anwender die entsprechende Berechtigung hat. “Nichts ist gefährlicher für die Datensicherheit als ein frustrierter Mitarbeiter”, meinte mein Gesprächspartner. Als Systemadministrator wusste er wovon er sprach.

Daneben geschossen – Ziele in Entwicklungsprojekten

FreeDigitalPhotos.net
FreeDigitalPhotos.net

In der aktuellen Ausgabe der „Projektmanagement aktuell“, herausgegeben von der Gesellschaft für Projektmanagement findet sich eine sehr lesenswerter Artikel zu den Hintergründen aktueller Großprojekte, die in drastische Schieflage geraten sind. Natürlich geht es dabei um den Berliner Flughafen und die Elbphilharmonie. Interessant ist, welche Bedeutung dabei zum einen Technische  Änderungen einnehmen, und zum anderen klare bzw. weniger klare Zielvorgaben als Teil des Projektauftrags. Lesen Sie hier die Bewertung von Rainer Schofer, Vorsitzender des Verbands der Projektmanager in der Bau- und Immobilienwirtschaft.

Interessant ist auch der Zusammenhang mit Entwicklungsprojekten in „unserer“ Domäne. Nach der reinen Lehre werden Gebäude ja gebaut, nachdem der Plan – die Blaupause  – entwickelt wurde. Schließlich ist dieser die Grundlage für alle Arten von Bau- und Betriebsgenehmigungen. Wie die Beispiele zeigen, kann die Realität ganz anders aussehen. Ohne bewährte Steuerungsverfahren, wie sie z.B. die Automobilindustrie kennt, kommt man dann nicht da an, wo man eigentlich hin will.

Schofer dazu: „Der Projektmanager analysiert gewünschte Änderungen sorgfältig hinsichtlich der Technik, des Budgets und des Zeitplans; er gibt Änderungen erst frei, wenn wirklich alles abgestimmt ist.“  Und zu den Zielen sagt Schofer: „… man muss die Ziele genau ermitteln. Also nicht nur den Bau eines Flughafens als Ziel vorgeben, sondern das Ziel präzisieren und auffächern.“

Verbindliche Anforderungen, Quality Gates und Deliverables könnten da helfen! Und im Falle von Änderungen ein transparentes  Engineering Change Management, angestoßen durch Change Request. Solche Bauwerke sind zuallererst und immer noch Produkte von professionellen Ingenieuren und es sollten dann auch deren Methoden und Verfahren  eingesetzt werden. Wie man auf etwas anderes kommen kann, ist schon erstaunlich, vor allem wenn man den Artikel gelesen hat. Meine Meinung.