Аудит информационных технологий

• определение бизнес-целей на основе Концептуального ядра COBIT;
• выбор ИТ-процессов и механизмов управления с использованием высокоуровневых и детальных задач управления;
• согласование программы внедрения с бизнес-планом;
• оценка существующих процедур и результатов внедрения механизмов управления при помощи «Руководства по аудиту»;
• оценка текущего статуса организации, идентификация критичных действий, ведущих к успеху, и измерение производительности в достижении целей организации при помощи «Руководства по менеджменту».

ПРИНЦИПЫ УПРАВЛЕНИЯ ИТ

«Принципы управления» — книга стандарта COBIT, описывающая управление ИТ — одна из последних разработок Института Управления ИТ (IT Governance Institute, ITGI), пополнившая перечень книг COBIT в третьем издании стандарта.

Управление ИТ — составная часть успеха в управлении предприятием, которая гарантирует рациональное и эффективное совершенствование всех взаимосвязанных процессов предприятия. Управление ИТ предоставляет основу, которая связывает ИТ-процессы, ИТ-ресурсы и информацию со стратегией и целями организации, что позволяет максимально эффективно использовать информацию, повышая капитализацию и получая конкурентоспособные преимущества.

Принципы управления должны помочь руководителю ИТ ответить на три стратегических вопроса:

• Существуют ли в настоящее время в организации информационные технологии, при управлении которыми «удовлетворяются» все информационные потребности организации?
• Как организация обеспечивает инфраструктуру и управляет рисками, насколько организация зависит от этого?
• С какими проблемами организация сталкивается при управлении ИТ?

Чтобы получить ответы на эти стратегические вопросы, необходимо непрерывно отвечать на «тактические» вопросы:

• Что является результатом ИТ-процессов?
• Что является решением проблем в ИТ?
• Из чего состоят эти решения?
• Будут ли работать эти решения?
• Как их реализовать?

Для информационной поддержки принятия решений, в книге «Принципы управления» описаны следующие виды представления информации:

• инструментальная панель;
• карты оценки;
• эталонное тестирование.

Первой целью «Принципов управления» COBIT явилось создание индикаторов для инструментальной панели, единиц измерения для карт оценки, шкал сравнения для эталонного тестирования.

Перед руководителями в коммерческих и некоммерческих организациях часто возникают задачи оценить объемы инвестиций в ИТ и инфраструктуру, при этом далеко не все могут обосновать инвестиции, отвечая на вопрос: «Как далеко необходимо зайти, и будут ли оправданы затраты выгодой?» «Принципы управления» COBIT призваны ответить на этот вопрос и помочь в обосновании инвестиций в ИТ.

В настоящее время информационные услуги преобладают над прочими поддерживающими бизнес-услугами. Таким образом, ИТ становятся одними из первостепенных показателей бизнеса. Как следствие — отношения между бизнес-целями с их единицами измерения и ИТ с его целями и единицами измерения являются очень важными и могут быть изображены следующим образом (рис. 1).

Создание такой взаимной связи поможет руководителям в контроле над информационными технологиями организации, отвечая на следующие вопросы.

О чем беспокоится руководство организации? Необходимо удостовериться, что выполняются все потребности организации.

Где измеряется удовлетворение потребностей? Результат бизнес-процесса показан на сбалансированной карте оценок бизнеса как ключевой индикатор цели.

Затрагивают ли проблемы, возникающие в ходе реализации бизнес-процессов, информационные технологии организации? ИТ-процессы своевременно предоставляют организации правильную информацию, позволяя ее бизнес-процессам эффективно и бесперебойно функционировать. Это является критическим фактором успеха для организации.

Где это измеряется? Ключевой индикатор цели, основанный на сбалансированной карте оценки, представляет ИТ-информацию, сопоставимую с критериями информации (эффективность, продуктивность, конфиденциальность, целостность, пригодность, согласованность, надежность).

Что еще должно быть измерено? Если ответы на первые вопросы — положительные, должно быть учтено влияние множества критических факторов успеха, которые должны быть измерены как ключевые индикаторы результата для ИТ-процессов.

Обобщая, можно сказать следующее:

• модели зрелости предназначены для стратегического выбора и эталонного сравнения;
• критические факторы успеха предназначены для организации контроля ИТ-процессов;
• ключевые индикаторы цели предназначены для контроля достижения целей ИТ-процессов;
• ключевые индикаторы результата предназначены для контроля результатов каждого ИТ-процесса.

Модели зрелости рассмотрены дальше, а критические факторы успеха и ключевые индикаторы цели и результата приведены во врезке.

МОДЕЛИ ЗРЕЛОСТИ

Maturity Models (MM, «модели зрелости») в COBIT предназначены для контроля над ИТ-процессами организации. Они базируются на определении уровня развития организации — от несуществующего до оптимизированного (от 0 до 5 уровня модели зрелости). Соответствие разным уровням «модели зрелости» означает, что компания готова к плановой модернизации или обновлению.

Модель зрелости — не стандарт, для нее нет формальных описаний и жестких требований, она не привязана к конкретным информационным технологиям. Модели зрелости предназначены для организации эффективного управления. Они определяют ключевые действия, которые надо сделать для достижения требуемого качества, и содержат способы контроля над правильностью выполнения ключевых ИТ-процессов и методы их корректировки.

Ключевые действия подробно описаны в Руководстве на абстрактном уровне, а в процессе использования моделей зрелости компания может выбрать степень их формализации.

Взяв за основу шкалу моделей зрелости (рис. 2), разработанную для каждого из 34 ИТ-процессов COBIT, руководитель может выяснить следующее:

• текущий статус организации — оценить, на какой стадии организация находится сегодня;
• текущий статус лучшей практики в этой отрасли — сравнить свою организацию с лучшей организацией в этой отрасли;
• текущий статус международных стандартов — провести дополнительное сравнение текущего статуса организации с «лучшей практикой»или международными стандартами;
• статус организации после усовершенствования (реализация стратегии организации) — оценить стратегию организации, каких результатов организация хочет достичь.

Модель зрелости управления ИТдля бизнеса, предназначена для управления ИТ-процессами с целью увеличения ценности ИТ, при соблюдении равновесия между риском и прибылью.

Не существует

Полное отсутствие каких-либо процессов управления ИТ. Организация не признает существования проблем в ИТ, которые нужно решать, и, таким образом, нет никаких сведений о проблемах.

Начало (Анархия)

Организация признает существование проблем управления ИТ и необходимость их решения. При этом не существует никаких стандартизованных решений. Существуют случайные одномоментные решения, принимаемые кем-то персонально или от случая к случаю. Подход руководства к решению ИТ-проблем хаотичен, признание существования проблем случайно и непоследовательно.

Повторение (Фольклор)

Существует всеобщее осознание проблем управления информационными технологиями. Показатели деятельности и ИТ-процессов находятся в развитии, охватывая процессы планирования, функционирования и мониторинга ИТ.

Деятельность по управлению информационными технологиями описана и интегрирована в процесс управления организацией. Выбраны для улучшения и/или контроля те ИТ-процессы, которые влияют на основные бизнес-процессы предприятия. Эффективно выполняется планирование и управление инвестициями. Руководство организации регламентировало меры по управлению ИТ, а также методы управления и оценки, но процесс не был принят в организации.

Не существует формализованного обучения, набора взаимосвязанных стандартных процедур управления, ответственность возложена на сотрудников.

Сотрудники контролируют процессы управления с помощью проектов и ИТ-процессов. Ограниченные инструменты управления выбираются и внедряются для сбора метрик управления, но не используются в полном объеме из-за недостатков в оценке их функциональности.

Описание (Стандарты)

Необходимость действовать в соответствии с принципами управления ИТ понимается и принимается. Развивается базовый набор показателей управления ИТ: определена связь между результатом и показателями производительности, она зафиксирована и внедрена в стратегические процессы планирования и мониторинга. Процедуры стандартизованы и документированы, проводится обучение сотрудников по выполнению этих процедур. Показатели производительности всех видов деятельности зафиксированы и отслеживаются, что приводит к повышению эффективности работы всей организации. Процедуры не сложны, они являются формализацией существующей практики. Идеи сбалансированных карт оценки бизнеса принимаются организацией.

Ответственность за обучение, выполнение и применение стандартов возложена на сотрудников организации. Анализ первопричин применяется время от времени. Большинство процессов управляются в соответствии с некоторыми основными метриками, и, как правило, отдельными сотрудниками, поэтому ни о каких отклонениях руководители не знают. Однако всеобщая отчетность о выполнении ключевых процессов является четкой, и руководство премирует сотрудников на основе измерения ключевых результатов.

Управление (Измеряемый)

Существует полное понимание проблем управления ИТ на всех уровнях организации, постоянно происходит обучение сотрудников. Определены и поддерживаются в актуальном состоянии соглашения об уровне обслуживания. Четко распределена ответственность, установлен уровень владения процессами. Процессы ИТ соответствуют бизнесу и стратегии ИТ.

В первую очередь улучшения в процессах ИТ основываются на измеряемых количественных показателях. Существует возможность управлять процедурами и метриками процессов, измерять их соответствие. Все совладельцы процесса осознают риски, важность ИТ и возможности, которые они предоставляют.

Руководство организации определило допустимые отклонения, при которых процессы должны работать, если они не работают эффективно и продуктивно, то предпринимаются необходимые действия (во многих, но не всех случаях). Процессы постоянно совершенствуются, а их результаты соответствуют «лучшим практикам». Формализован порядок анализа первопричин. Присутствует понимание необходимости постоянного совершенствования.

Ограниченно применяются передовые технологии, основанные на современной инфраструктуре и модифицированных стандартных инструментах. Все необходимые ИТ-специалисты вовлечены в бизнес-процессы. Управление ИТ превращается в процесс уровня всей организации. Деятельность управления ИТ интегрируется в процесс управления организацией.

Оптимизация (Оптимизируемый)

В организации существует углубленное понимание управления ИТ, проблем и решений ИТ, а также перспектив. Обучение и коммуникация поддерживаются на должном уровне самыми современными средствами. В результате непрерывного улучшения процессы соответствуют моделям зрелости, построенным на основании «лучшей практики». Внедрение этих процедур привело к появлению организаций, людей и процессов, максимально адаптируемых к изменяющимся условиям, а также полностью соответствующих требованиям управления ИТ. Первопричины всех проблем и отклонений тщательно анализируются, по результатам анализа выполняются результативные действия. Информационные технологии интегрированы в бизнес-процессы, полностью их автоматизируют, предоставляя возможность повышать качество и эффективность работы организации.

Об авторе:

Эдуард Савушкин — руководитель консалтинг-группы, Инком.

¹ Будем придерживаться такого написания ("официального"), хотя даже сама ITGI часто использует CobiT, СОBIT и т. п. — Прим. ред.