Такие решения это где-то до 3% во всем портфеле комп. систем, активности в большинстве случаев одноразовые при внедрении. Лишь где-то половина из них меняются или дорабатываются.

Ну при таком объеме это немного. Конечно же такой пересмотр это похвально, но при больших объемах это уже теряет всякий смысл, потому что проще эту работу выполнить своими силами, как привел пример Александр с БИОКАД.

SAP это чистое страдание для ИТ и команды поддержки SAP, изменения не успевают внедрять как уже свежие прилетают :) А толковых людей не сискать на открытые вакансии. 

Но на него можно очень хорошо натравить процессы RPA, которые очень сильно экономят человеческие ресурсы.

Касательно трудозатрат на оценку кода, наверно выпало из контекста, такой роботы очень и очень не много. Такие решения это где-то до 3% во всем портфеле комп. систем, активности в большинстве случаев одноразовые при внедрении. Лишь где-то половина из них меняются или дорабатываются.

Возможно поэтому, этот процесс никого не напрягает и все видят в нем плюс, особенно безопасники ? 

Ближе всех из участников к этому была пара BIOCAD + SAP - я, конечно, не задал вопрос по коду - меня интересовали исполняемые модели BPMN 2.0. Узнал, что пока они ограничиваются аналитическими моделями EPC, но на новых проектах намереваются освоить исполняемые модели BPMN 2.0 и связанный с этим функционал. О коде в ABAP речи не шло, но могу попытаться спросить вдогонку.

До недавнего времени BIOCAD содержал микросервисы и полк собственных разработчиков.

Директор по качеству Johnson & Johnson, Михаил Хазанчук, говорил в контексте цифровой трансформации, что тренд идёт в сторону охвата всех уровней - операционного и транзакционного, поддержки планирования и принятия решений, стратегического анализа (с). При этом будут находить применение следующие технологии: искусственный интеллект, анализ больших данных, интернет вещей, машинное обучение, дополненная реальность, умные роботы (с). Это всё цитаты из статьи в GDP Review и доклада Михаила Хазанчука. 

К чему нас приведёт ROI vs risk assessment? Реально ли будет делать source code review для всех подобных решений?

Даже в 1С в СППР встраиваются элементы автоматизации тестирования - та же Vanessa Automation - это тестовый скрипт, который может быть запущен хоть 10 тысяч раз. Лучше пусть она "пересмотрит" не столько код, сколько в целом поведение системы и рапортует об этом. 

От себя добавлю - появление low code систем - та же российская ELMA, международные Bisagi (я на самом деле очень поверхностно касался этой темы) - вообще сильно снизит потребность в кодерах.

Поэтому на мой взгляд (опять-таки, очень поверхностный) - эта деятельность (source code review) хороша в теории, но малоповоротлива на практике. Допускаю, что сочетания высококлассных спецов Cisco и просмотр ими кода поможет сделать кастомные решения лучше (а упомянутые спецы закроют другие тикеты). Но я думаю система, при которой у меня одни спецы закрывают тикеты, а вторые - сосредоточены на коде целиком (внешние или внутренние разработчики, которым сообщены требования по надлежащей практике) - может сработать несколько эффективнее. Сейчас нахожусь в системе координат, когда для системы ERP есть внутренние разработчики и за ними "присматривает" Vanessa, а тикеты зарывает другой отдел через HelpDesk. 

Какое решение лучше - наверное то, которое стоит на пересечении кривых ROI vs risk assessment. Понимаю, что для каждой компании эта точка определеяется индивидально и может быть "плавающей" :)

Вчера на упомянутом предприятии при запредельной концентрации владельцев крупного бизнеса (в т.ч. и прежде всего транснационального) этот вопрос стал в полный рост, оттеняя теоретическую академичность :)

P.S.: для 90 % игроков фармрынка бывшего СССР это вообще абстракция, причем регуляторно допустимая - нет в GMP упоминания о code review. Ну а кто дорос до SAP, кодить кому попало ему не доверит. Если доверит - то недолго (потому что или утонет сам, или погонит "бракоделов" на ранней фазе проекта, в идеале на аудите). Скажем так - имел опыт общения (в режиме телеконференций), примерно представляю какие требования есть у вышеупомянутых представителей бигфарма. Без определенного набора регалий и компетенций вы даже не сядете за стол переговоров с ними. До кода речь вообще не дойдёт :) А если дойдёт, то в вас будут 10 раз уверены до того, чтобы не ходить за вами с "веником и совком" на 10 000 транзакций. По перечиcленным категориям от Михаила Хазанчука и той же Vanessa собственно  GAMP 5 (2008 г.р.) уже устарел безнадежно, хотя методологически он выверен, на верхнем уровне. Но хочется верить, что будут современные дополнения GAMP 5 хотя бы в виде GPG, отражающие современны реалии - всё к тому идёт (AI etc.). Но пока даже GAMP GPG RDI 2020 предлагает business process mapping делать ... в MS Visio :) В современном мире BI это всё равно, что предложить документ набирать на печатной машинке, а чертежи рисовать на кульмане. Обсудим это на другом мероприятии с не менее мощным составом участников: https://conference.ispe.ru/

Касательно права собственности, все также от контракта зависит, как договорились уже: или код после разработки переходит в интеллектуальную собственность компании, или же ми завязываемся на одном поставщика. Но данные в системе при любом контракте принадлежат нам и должны иметь возможность экспорта в определённом формате. 

Как по мне странное решение. Тут как раз с поддержкой и будет потом проблема, если разработчик исчезнет или прекратит разработку по той или иной причине. В любом случае решение, за вами. Если решили так делать, значит посчитали, что вам так выгодно. Запретов то никаких нет в этом плане.

В оценке кода есть два аспекта:

1. Компетентность оценщика.

2. Если разработка уникальная, то код вам может никто не предоставить. Поскольку никакие соглашения о конфиденциальности не спасут от утечки.

В некоторых случаях, такая оценка помогала самим поставщикам сделать их продукт лучше. Не все конечно, есть и плохие примеры где система едва жива. К счастью, такие системы долго не живут. 

Догадываюсь, что содержать такую команду не дёшево, но если она есть значит в этом есть некий смысл.

Я о том что такие практики уже есть, и это не уникальный случай.