Les référentiels de qualité et de contrôle du SI CMMI B Quinio 2010 - 2011

Approche SEI/CMM SEI (Software Engineering Institute) créé en 1984 à l’université Canergie Mellol à la demande du DOD Objectifs : améliorer la qualité des logiciels Plusieurs modèles élaborés dont CMM (1998) En 2000 CMMI ou Capability Maturity Model Integration SCAMPI sert à évaluer une entreprise / CMMI Objectifs : évaluer les capacités des fournisseurs en logiciels Pousser les fournisseurs des marchés de la défense à améliorer la qualité des produits logiciels Ce n’est pas de la gestion de projet Evaluation de l’entreprise Pas des hommes

Approche maturité L'entreprise cherche acquérir un meilleur contrôle de ses processus SI par l’application de méthodes qualités C’est une démarche d'amélioration qui permet d'atteindre progressivement des niveaux prédéfinis qui correspondent au respect d'un certain nombre de bonnes pratiques Encourager l'auto-évaluation sur la base d'un référentiel bien accepté et d'outils intégrés dans les processus eux-mêmes Démarche complète longue

Les cinq niveaux de CMM Niveau 1 « Initial » Pas de procédures formalisées, en cas d’échec régression vers des pratiques purement réactives Niveau 2 « Reproductible » Gestion des nouveaux projets basée sur l’expérience mémorisée, pérennité du savoir faire Niveau 3 « Défini » Processus standards et procédures sont établies et documentées, formation des équipes organisée Niveau 4 « Maîtrisé » Objectifs quantitatifs et qualitatifs, évaluation productivité, contrôle des jalons Niveau 5 « Optimisé » Amélioration continue, identifie en permanence ces faiblesses, veille technologique, recherche des pratiques d’ingénierie les plus efficaces

Les cinq niveaux de CMM

Niveau 1 CMMi Le processus de développement n’est pas défini La réussite des projets dépend de quelques personnes Pas de formalisation du savoir-faire et pas de partage Le RDC d’un immeuble Ce qui caractérise ce niveau : Les estimations varient énormément Les délais pilotent les projets Successions de crises non prévues et abandon du peu de rigueur dans ces cas là. Pas d’apprentissage possible La phase héroïque !

Le niveau 2 CMMi Les principaux processus de gestion de projet sont définis. Une gestion de projet élémentaire est en place Les équipes projets sont stabilisées Ce qui caractérise ce niveau : Une discipline existe dans les projets Des variations subsistent entre projets La planification est faite (prévision) On met en place des actions correctives Transmission de savoir-faire par les équipes SOUVENT le niveau initial

Le niveau 3 CMMi Les processus définis au niveau 2 sont généralisés à toute l’organisation. Tout processus projet est une instanciation du processus standard de l’organisation. Ce qui caractérise ce niveau : Capacité équivalente entre projet Cohérence entre projets Capitalisation systématique Culture et compréhension communes SOUVENT l’objectif majeur des entreprises

Le niveau 4 CMMi Mise sous contrôle de l’ensemble des activités projet Ce qui caractérise ce niveau : Des métriques et indicateurs sont mis en place et exploités Les retours d’expérience sont possibles Critères de comparaison commun Programme qualité Evaluation des impacts

Le niveau 5 CMMi Les processus sont totalement maîtrisés Les processus sont optimisés en permanence  Ce qui caractérise ce niveau : Amélioration continue du processus Performance individuelle et collective suivie SOUVENT trop cher, trop long ou non utile

Les 25 secteurs clés de CMMi Définis pour permettre une évolution progressive de l’entreprise vers l’amélioration continue des projets. Chaque niveau représente une étape dans l’amélioration de certains processus, qui sont dénommés Secteur clés (process area). On parle aussi de simplement de «processus» ou « domaine de processus »

Exemple de lien entre niveau de maturité et secteur clé Pour être au niveau 2, il faut maîtriser 7 des secteurs clés : Gestion des exigences (Requirements Management) Planification du projet (Project Planning) Conduite et maîtrise du projet (Project Monitoring and Control) Gestion des sous traitants (Supplier Agreement Management) Production et analyse des indicateurs (Measurement and Analysis) Assurance qualité des processus et des produits (Process and Product Quality Assurance) Gestion de configuration (Configuration Management) C’est le niveau moyen de beaucoup d’entreprises Le passage au niveau 3 est souvent souhaité

Les secteurs clés CMMi et les niveaux (source SQLI) Les 2 plus importants

Secteur clés / objectifs / pratiques Chaque secteur clé doit répondre à des Objectifs génériques ou spécifiques. Chaque objectif est organisé en Pratiques qui décrivent les activités à réaliser dans le cadre du plan d’amélioration Chaque pratique fournit une produit ou service identifié Secteur Clé Objectifs Pratiques Produit

Structure d’un secteur clé Source www.volle.com Secteur clé x Objectif Objectif Objectif Pratique Pratique Pratique Pratique Pratique Produit Produit Produit Produit Produit Objectifs Spécifiques Objectifs génériques

Les objectifs génériques D’un secteur clé à l’autre, les objectifs génériques sont semblables : organiser la planification du processus le planifier effectivement lui fournir les ressources nécessaires définir et affecter les responsabilités former ses acteurs construire puis gérer sa documentation identifier et impliquer les stakeholder le conduire et le maîtriser (monitor and control) évaluer son exécution rendre compte aux dirigeants.

2 utilisation de CMMI (1) La représentation continue Un niveau de maturité pour chaque secteur clé sur une échelle allant de 1 à 5. Puis ces secteurs-clés sont regroupés en 4 catégories : Gestion de processus, Gestion de projet, Ingénierie et Support. L’évaluation (niveau 1 à 5) est donnée : Par catégorie (4) Par secteur clés (25) Cela permet de voir les points forts et les points faibles

2 utilisation de CMMI (2) La représentation étagée Mesure un niveau global de maturité de l’organisation. Identification des secteurs-clés dont les objectifs sont remplis  le niveau de maturité atteint Tant que tous les secteurs clés d’un niveau ne sont pas validés, l’organisation reste à ce niveau C’est un diplôme pour l’entreprise: Important pour les SSII notamment

Représentation Continue Représentation Étagée 2 utilisations de CMMI Niveau 2 Processus Représentation Continue Niveau 3 Projet Niveau 3 Représentation Étagée

Exemple de passage au niveau 2 : 7 secteurs clés à couvrir (1) Gestion des exigences gestion de la cohérence entre les exigences et les produits de sortie du projet exigences bien comprises par les stakeholder gestion des modifications apportées en cours Planification de projet mesurer l’avancement du projet, estimer les coûts et délais restants Evaluations rationnelles (quantitatives, justifiées et expliquées) suivre la consommation du budget et le calendrier de réalisation Gérer les risques, les ressources et les connaissances Gérer les relation avec les autres projets

Exemple de passage au niveau 2 : 7 secteurs clés à couvrir (2) Conduite de projet suivre l’évolution du projet selon le schéma construit lors de sa planification. Les décisions prises en cours de route (corrective actions) sont définies et gérées. Gestion des sous-traitants Les fournisseurs sont choisis à partir d’une évaluation de leurs aptitudes Un contrat est passé avec chaque fournisseur le produit du fournisseur doit être intégré dans l’architecture du SI les équipes de l’entreprise doivent être formées aux techniques du fournisseur

Exemple de passage au niveau 2 : 7 secteurs clés à couvrir (3) Production et analyse des indicateurs Les indicateurs sont ceux relatifs à l’avancement du projet Il faut « spécifier la façon dont les données seront analysées et diffusées ». Assurance qualité des processus et produit Il s’agit de vérifier que les processus et les produits sont conformes aux normes et aux exigences. Si la vérification des produits fait apparaître des anomalies (noncompliance issues). Celles-ci doivent être identifiées, qualifiées, et leur correction doit faire l’objet d’un suivi.

Exemple de passage au niveau 2 : 7 secteurs clés à couvrir (4) Gestion de configuration Identifier et décrire les produits que le projet doit fournir : il faut donc en construire le référentiel (définition des identifiants et des attributs), puis le mettre à jour

Certification personne morale Un diagnostic d’aptitude ou de maturité de ses processus systèmes d’information. La mise en œuvre de CMMI est formellement contrôlée par le SEI par l’intermédiaire de partenaires du SEI et des agréments d’un évaluateur en chef (le Lead Appraiser). Pour devenir évaluateur il faut être formé : à CMMI (Introduction to CMMI) et à sa méthode d’évaluation SCAMPI par un Lead Appraiser. Pour devenir Lead Appraiser il faut : justifier d’une certaine expérience, appartenir à une société partenaire du SEI, être formé au CMMI et à la méthode d’évaluation SCAMPI, être observé lors de la première évaluation et enfin être accepté par le SEI, suite à cette observation. Il est cependant possible pour toute entreprise de s’auto-évaluer en appliquant la méthode d’évaluation disponible sur le site du SEI. La certification vaut pour 3 ans

Evaluation CMMi Source SQLI Check-CMMI : Basé sur des interviews pour mesurer la compréhension des pratiques en plance Se déroule généralement sur une journée, avec évaluation en fin de journée Lors de l'évaluation, présentation des point positifs et des points d'amélioration par secteur CMMI Cotation de chaque secteur (note de 1 à 4) Réalisation d'un plan d'actions pour corriger les points d'amélioration Planification du Go/Nogo (si note moyenne > 2,5)

Evaluation CMMi Go/Nogo CMMI (ou certification Classe B) : Avant un Go/Nogo, l'Ambassadeur CMMI complète une "matrice" faisant la correspondance entre les exigences du modèle CMMI et les preuves directes disponibles sur les projets Audit approfondi des différents projets de l'agence Analyse des preuves directes (documents projets, pratiques CMMI) Analyse des preuves indirectes (interviews) Se déroule généralement sur une semaine Le Go est validé si au moins 75% des exigences du modèle CMMI sont couvertes

Evaluation CMMi Certification SEI CMMI (ou certification Classe A) : Avant une certification SEI CMMI, une équipe d'évaluation doit être constituée. Cette équipe doit suivre une formation officielle CMMI (agrée SEI) et une formation à la méthode d'évaluation (SCAMPI). l'Ambassadeur CMMI doit fournir une "matrice" validant la réponse aux exigences du modèle CMMI. Audit approfondi des différents projets de l'agence Analyse des preuves directes (documents projets) Se déroule généralement sur 8 jours La Certification SEI est accordée si 100% des exigences du modèle CMMI sont couvertes

Conclusion Un référentiel projet Qui n’est pas une méthode de conduite de projet Qui permet d’évaluer la qualité de l’organisation Qui est lourd à mettre en œuvre Environ 2 ans pour monter d’un niveau Qui définit bien la cible mais pas le moyen d’y arriver