信息系統(tǒng)治理已成為目前公司治理的重要部分，COBIT管理框架由執(zhí)行概要、控制目標(biāo)、審計(jì)指南、工具集和管理指南幾個(gè)部分組成，并通過(guò)成熟度模型、關(guān)鍵成功因素、關(guān)鍵目標(biāo)指標(biāo)(KGI)和關(guān)鍵績(jī)效指標(biāo)等工具為公司信息系統(tǒng)治理提供可行的治理流程，為組織提供集成的IT管理。2002年，美國(guó)政府出臺(tái)了SOX(sarbanes-Oxley Act)法案，其核心條款SOX-404對(duì)上市公司內(nèi)部控制制度體系做出明確要求，以應(yīng)對(duì)因失衡的公司治理給企業(yè)帶來(lái)的巨大風(fēng)險(xiǎn)。在全球信息化背景下，組織對(duì)信息系統(tǒng)的依存度達(dá)到前所未有的高度，信息系統(tǒng)在提高工作效率的同時(shí)也帶來(lái)了許多風(fēng)險(xiǎn)。IT治理即信息系統(tǒng)治理因此應(yīng)運(yùn)而生，并且迅速成為公司治理中重要一環(huán)。IT治理關(guān)注信息資源管理、風(fēng)險(xiǎn)管理、IT策略以及IT控制目標(biāo)，通過(guò)平衡IT過(guò)程的風(fēng)險(xiǎn)和回報(bào)以增加企業(yè)價(jià)值，實(shí)現(xiàn)企業(yè)目標(biāo)。
一、COBIT模型及其優(yōu)勢(shì)
(一)COBIT模型簡(jiǎn)述COBIT(Control Objectives for InformationandRelatedTechnology)是美國(guó)IT治理研究院(rrGovernancelnstitu-te)開(kāi)發(fā)與推廣的一個(gè)信息系統(tǒng)治理的開(kāi)放性標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)為IT的治理、安全與控制提供了一個(gè)普遍適用的標(biāo)準(zhǔn)，以輔助管理層進(jìn)行信息系統(tǒng)治理。COBIT管理框架包括執(zhí)行概要、控制目標(biāo)、審計(jì)指南、工具集和管理指南幾個(gè)部分組成，它將IT流程、IT資源及信息與企業(yè)的策略目標(biāo)聯(lián)系起來(lái)，為企業(yè)管理的成功提供了集成的IT管理。COBIT已在世界多個(gè)國(guó)家的重要組織與企業(yè)中成功運(yùn)用，指導(dǎo)這些組織充分利用信息資源，并有效管理信息相關(guān)的風(fēng)險(xiǎn)。
(二)COBIT模型優(yōu)勢(shì)與其他IT治理模型比較，COBIT的優(yōu)勢(shì)主要體現(xiàn)在IT控制和IT的度量評(píng)價(jià)上。首先，該模型提供一個(gè)共同的標(biāo)準(zhǔn)，易于理解和實(shí)施，可以幫助管理層、IT工程師及審計(jì)人員之間交流，提供了彼此之間溝通的共同語(yǔ)言。其次，通過(guò)實(shí)施COBIT，增加了管理層對(duì)控制的感知和支持，即使組織的管理層即使不精通信息系統(tǒng)，也能理解信息系統(tǒng)帶來(lái)的利益和花費(fèi)的成本，明確其中存在的風(fēng)險(xiǎn)，了解問(wèn)題所在，從而做出正確的決策。另外，COBIT使信息系統(tǒng)管理和控制工作簡(jiǎn)易并量化，減輕對(duì)復(fù)雜信息系統(tǒng)管理工作的難度。通過(guò)采用該框架作為對(duì)一個(gè)責(zé)任矩陣分析的基礎(chǔ)，可以對(duì)基于角色的信息系統(tǒng)管理和控制，定義過(guò)程措施，確保組織利益。該模型還有助于提高信息系統(tǒng)審計(jì)師的影響力，依據(jù)COBIT出具的信息系統(tǒng)審計(jì)報(bào)告更容易得到管理層的肯定。
二、COBIT信息系統(tǒng)治理流程
(一)識(shí)別IT資源，確定IT控制目標(biāo)與過(guò)程目標(biāo)COBTT過(guò)IT過(guò)程來(lái)管理IT資源以實(shí)現(xiàn)目標(biāo)，從而滿足業(yè)務(wù)需求。COBIT模型定義信息技術(shù)資源共有四項(xiàng)：應(yīng)用系統(tǒng)(Applications)：涵蓋所有人工及自動(dòng)化的作業(yè)程序；資料(Information)：數(shù)字、文字、圖形及聲音等廣義的數(shù)據(jù)；設(shè)施((Infrastructure)：硬件、操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)以及存放及支持信息系統(tǒng)運(yùn)作的所有資源；人員(People)：具有規(guī)劃、組織、取得、提供、支持及監(jiān)督信息系統(tǒng)和服務(wù)所需的技術(shù)和能力。根據(jù)信息資源的管理和信息技術(shù)作業(yè)的生命周期，COBIT定義了IT過(guò)程來(lái)管理信息技術(shù)資源實(shí)現(xiàn)控制目標(biāo)。IT過(guò)程共分為三個(gè)層次，即為四個(gè)域(mains)、34個(gè)處理過(guò)程(Piocesses)及318個(gè)任務(wù)活動(dòng)(ActivitiesTasks)。在COBll模型控制目標(biāo)體系中，信息技術(shù)資源和信息技術(shù)流程目標(biāo)是為了滿足業(yè)務(wù)需求。組織管理者期望信息系統(tǒng)的服務(wù)質(zhì)量能不斷提高，功能逐漸強(qiáng)大，而同時(shí)維持較低的服務(wù)成本。這就需要信息滿足有效性(Effectiveness)、高效性(Efficiency)、保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)、遵循性(compliance)、可靠性(Reliabihw OfInformation)的準(zhǔn)則要求。IT資源、IT控制目標(biāo)及業(yè)務(wù)目標(biāo)關(guān)系如圖1所示。
(二)運(yùn)用軟件成熟度模型(CMM)，確定IT過(guò)程的治理級(jí)別成熟度模型(cMM)為每一個(gè)IT過(guò)程定義了六種成熟度級(jí)別，用于判斷當(dāng)前企業(yè)的信息化水平。成熟度模型定義了0～5六個(gè)級(jí)別，0～5等級(jí)是基于一個(gè)簡(jiǎn)單的成熟性量度，體現(xiàn)出處理如何從不存在發(fā)展到優(yōu)化級(jí)的管理過(guò)程，增加成熟度意味著增加管理風(fēng)險(xiǎn)與提高管理效率。管理者可以評(píng)價(jià)本組織在該過(guò)程控制上所處的級(jí)別，然后通過(guò)與同行業(yè)標(biāo)桿企業(yè)相比較，判斷自身所處的先進(jìn)程度、競(jìng)爭(zhēng)優(yōu)勢(shì)和改進(jìn)方向。軟件成熟度模型制定了一個(gè)基準(zhǔn)，企業(yè)可能根據(jù)上面的指標(biāo)確定自己的等級(jí)，從而了解自身目前的處境。管理部門(mén)相對(duì)容易地依據(jù)等級(jí)制對(duì)自己定位，認(rèn)清當(dāng)前企業(yè)所處的形勢(shì)，并找出需要改善管理的地方。成熟度模型能以簡(jiǎn)單方式測(cè)定差異，有助于確定有關(guān)信息技術(shù)管理、安全性。企業(yè)對(duì)自身進(jìn)行差距分析以確定需要做哪些工作來(lái)達(dá)到所選級(jí)別。具體如圖2所示。
(三)根據(jù)IT治理級(jí)別，確定關(guān)鍵成功因素(CSF)關(guān)鍵成功因素(csF)著眼于“管理者應(yīng)當(dāng)做什么”這個(gè)問(wèn)題，是每一個(gè)IT過(guò)程中最重要的因素或控制活動(dòng)，如最佳方案所要求的必備事項(xiàng)或條件、為提高成功的概率所必須完成的重要事項(xiàng)等。關(guān)鍵成功因素為管理部門(mén)控制信息技術(shù)及其處理過(guò)程提供了實(shí)施指南，它們是信息技術(shù)處理過(guò)程中的關(guān)鍵的要素，是戰(zhàn)略性的、技術(shù)性的過(guò)程或活動(dòng)，勾畫(huà)出了IT的控制輪廓。關(guān)鍵成功因素應(yīng)與組織的目標(biāo)保持一致，是組織和處理過(guò)程的可觀察可測(cè)量的特征，分布于企業(yè)的戰(zhàn)略層、戰(zhàn)術(shù)層、應(yīng)用層及組織的各個(gè)方面，可以通過(guò)目標(biāo)分解與識(shí)別的方法選擇關(guān)鍵成功因素。關(guān)鍵成功因素所用的工具包括樹(shù)枝因果圖、標(biāo)準(zhǔn)控制模型和信息技術(shù)管理框架的目標(biāo)與方針。
(四)實(shí)施績(jī)效管理，確定關(guān)鍵目標(biāo)指標(biāo)(KGI)與關(guān)鍵績(jī)效指標(biāo)(KPI)確保組織能達(dá)到關(guān)鍵目標(biāo)指標(biāo)中所設(shè)定的治理目標(biāo)，需要對(duì)關(guān)鍵績(jī)效指標(biāo)進(jìn)行監(jiān)控。IT治理的績(jī)效指標(biāo)包括關(guān)鍵目標(biāo)指標(biāo)(KGI)和關(guān)鍵績(jī)效指標(biāo)(KPI)。關(guān)鍵目標(biāo)指標(biāo)(KGI)著眼于IT過(guò)程“執(zhí)行后的結(jié)果應(yīng)該作到怎樣”。關(guān)鍵目標(biāo)指標(biāo)是處理目標(biāo)的一種表達(dá)，明確要取得什么目標(biāo)，并描繪處理的結(jié)果，進(jìn)行事后評(píng)判即時(shí)體現(xiàn)處理過(guò)程的完成成功與否，間接體現(xiàn)處理帶給經(jīng)營(yíng)活動(dòng)的價(jià)值。它關(guān)注平衡計(jì)分卡的客戶與財(cái)務(wù)方面，面向信息技術(shù)，但驅(qū)動(dòng)企業(yè)經(jīng)營(yíng)活動(dòng)。關(guān)鍵執(zhí)行指標(biāo)或關(guān)鍵性能指標(biāo)(KPI)著眼于怎樣判斷正在執(zhí)行的過(guò)程當(dāng)前的狀態(tài)是否良好、是否需要調(diào)整。關(guān)鍵性能指標(biāo)通過(guò)監(jiān)測(cè)某IT處理過(guò)程的執(zhí)行情況，告訴管理者該處理是否滿足其經(jīng)營(yíng)需求。關(guān)鍵性能指標(biāo)主要通過(guò)信息系統(tǒng)與信息服務(wù)的有效性，信息的機(jī)密與完整性，處理過(guò)程和操作的成本，信息的可信度、可靠性等來(lái)評(píng)價(jià)信息技術(shù)的績(jī)效，測(cè)定其是否真正達(dá)到預(yù)期處理目標(biāo)，是否有助于管理者改進(jìn)處理。
(五)定期評(píng)估。衡量組織達(dá)到目標(biāo)與否定期對(duì)信息系統(tǒng)進(jìn)行內(nèi)部的IT審計(jì)或獨(dú)立的第三方IT審計(jì)和評(píng)估，以衡量組織是否達(dá)到設(shè)定的業(yè)務(wù)活動(dòng)目標(biāo)。IT審計(jì)是指根據(jù)公認(rèn)的標(biāo)準(zhǔn)和指導(dǎo)規(guī)范對(duì)信息系統(tǒng)及其業(yè)務(wù)應(yīng)用的效能、效率、安全性進(jìn)行監(jiān)測(cè)、評(píng)估和控制的過(guò)程，以確認(rèn)預(yù)定的業(yè)務(wù)目標(biāo)得以實(shí)現(xiàn)。Ⅱ?qū)徲?jì)內(nèi)容包括了解該過(guò)程相關(guān)內(nèi)控，包括應(yīng)面詢的對(duì)象、問(wèn)題，應(yīng)查閱的文檔，評(píng)價(jià)該過(guò)程的控制以及具體要核查的項(xiàng)目，執(zhí)行過(guò)程中常規(guī)的符合性測(cè)試項(xiàng)目及常規(guī)的實(shí)質(zhì)性測(cè)試項(xiàng)目等審計(jì)內(nèi)容。它從資產(chǎn)安全性(Asset Security)、有效性(Effeetively)、效率(Efliciency)、數(shù)據(jù)完整性(DataIntegrity)等方面出發(fā)，對(duì)其是否能夠有效可靠的達(dá)到組織的戰(zhàn)略目標(biāo)進(jìn)行全面的監(jiān)測(cè)和評(píng)估，并為改善和健全組織對(duì)信息系統(tǒng)的控制提出詳細(xì)的建議。
