IT治理
出自 MBA智库百科(https://wiki.mbalib.com/)
IT治理(IT Governance)
目錄 |
IT治理是公司治理在信息時代的重要發展，用於描述企業或政府是否採用有效的機制，使得IT的應用能夠完成組織賦予它的使命，同時平衡信息技術與過程的風險、確保實現組織的戰略目標。
IT治理是公司治理的一部分，對於公司治理，1999年出版的《公司治理的基本原則》一書所下的定義為：為確定組織目標和確保目標實現的績效監控所提供的治理結構。
IT治理是信息系統審計和控制領域中的一個相當新的理念，IBM最早將此理念引入我國。
關於IT治理，中外學者給出了很多的定義，美國IT治理協會給IT治理的定義是：“IT治理是一種引導和控制企業各種關係和流程的結構，這種結構安排，旨在通過平衡信息技術及其流程中的風險和收益，增加價值，以實現企業目標。”
國內有一種觀點認為，IT治理是描述企業或政府是否採用有效的機制，使得IT的應用能夠完成組織賦予它的使命，同時平衡信息化過程中的風險，確保實現組織的戰略目標的過程。它的使命是：保持IT與業務目標一致，推動業務發展，促使收益最大化，合理利用IT資源，適當管理與IT相關的風險。
美國麻省理工學院的學者彼得·維爾和珍妮·羅斯在其所撰寫的《IT治理》一書中指出，IT治理就是為鼓勵IT應用的期望行為，而明確的決策權歸屬和責任擔當框架。他們認為是行為而不是戰略創造價值，任何戰略的實施都要落實到具體的行為上。
從IT中獲得最大的價值，取決於在IT應用上產生我們期望的行為。期望行為是組織信念和文化的具體體現，它們的確定和頒佈不僅基於戰略，而且基於公司的價值綱要、使命綱要、業務規則、約定的行為習慣以及結構等。在每一家公司里，期望行為都各不相同。
綜合這些定義，可以得出，IT治理就是要明確有關IT決策權的歸屬機制和有關IT責任的承擔機制，以鼓勵IT應用的期望行為的產生，以聯接戰略目標、業務目標和IT目標，從而使企業從IT中獲得最大的價值。
治理和管理是兩個不同的概念，它們之間的區別就在於，治理是決定由誰來進行決策，管理則是制定和執行這些決策。
簡單地講，IT治理關註兩個方面的問題，即IT治理的“什麼”和“誰”。IT治理的“什麼”是指IT治理應該作出哪些決策，IT治理的“誰”則是指這些決策分別應該由誰來作出。
那麼，IT治理到底應該作出哪些決策呢?要找到這個問題的答案，必須先搞清楚一個問題，那就是組織到底需要IT發揮什麼樣的作用。不要想當然地以為這是一個可以簡單回答的問題。實際上，不同的組織對於IT的需要是不一樣的。組織到底需要IT做什麼，在很大程度上取決於它處於一個什麼樣的商業環境。
走向IT治理的第一步就是，要對組織處於什麼樣的商業環境進行正確的分析。
埃森哲公司的IT治理模式通過兩個指標來對組織的商業環境進行分析:變化的速度和競爭的基礎。
變化的速度。某些企業處在一個變化較快的行業，如半導體企業和電信企業。在這樣的行業，消費者的需求和偏好經常改變，產業政策也時常推陳出新，時不時出現的新技術會一下子改變整個產業價值鏈;而另外一些行業的發展狀態則相對穩定，不會有那麼快的變化，如航空業。在這樣的行業，消費者的需求、競爭格局、政府管制、技術及供應商等方面的變化都是緩慢發生的。
競爭的基礎。從競爭的基礎來看，企業可以分為兩類。一類企業以運營效率為基礎進行競爭。對於這類組織來說，重點在於降低成本，以及優化現有的商業模式以應對競爭;另一類企業以產品和服務的差異性為競爭的基礎。這類企業力求先於競爭對手提供新的商業能力，或者是開創新的商業模式，以此獲得競爭優勢。
根據以上兩個指標，可以將組織分為四類。
A類組織處於變化不快的行業，以運營效率為競爭基礎;
B類組織處於變化不快的行業，以產品服務的差異化為競爭基礎;
C類組織處於變化快的行業，以運營效率為競爭基礎;
D類組織處於變化快的行業，以產品服務的差異化為競爭基礎。
這四類不同的組織因其業務特點的不同而對IT產生不同的需求。
A類組織發展的關鍵在於嚴格控製成本，因此這類企業希望利用IT來保持低成本，通過如外包這類節省成本的方法來提供成熟的能力。
B類組織的管理層期望利用信息來提高決策能力，並開發新的產品和服務，以高收入來抵消不斷增長的IT支出。
C類組織按優先次序制定IT投資計劃以及長期能力的路線圖，它們在對成本進行有效管理的同時，根據路線圖，運用IT來實現計劃中的新能力，以滿足市場不斷變化的需求。
D類組織期望IT具有高度的靈活性，以滿足迅速變化的商業策略和要求。這類企業傾向於提供創新的IT解決方案，以獲得先發優勢，因此它們的IT投資重點在於創造新的能力。
一旦組織明確了自己對於IT的需求，那下一步就要解決IT治理作哪些決策的問題，也就是前文所說的IT治理的“什麼”。IT治理的決策範圍一般包括以下五個方面。
組織模式:組織是採取集權、分權還是混合的模式?
投資:組織將投資於什麼?投多少?
架構:組織是著重於穩定性還是靈活性?這兩者各到什麼程度?應用系統是向外購買還是內部開發?是建立一個綜合性的ERP系統還是多種系統?
標準:組織需要將什麼技術標準化，採用什麼標準?
資源:IT組織將利用什麼類型的資源?這些資源的來源是什麼?
對於A類組織，其首選的組織模式應該是集權式治理，IT對於預算和決策負有責任。加拿大郵政公司就採用這種方法，該公司堅持一種簡單化的組織模式，有一個集權部門來對公司行為進行優先排序，並通過單一的IT資源來完成。
在標準的決策方面，A類組織謀求在全組織範圍內加強架構、技術和供應商的標準化，只是在一些被證明是正當的例外的情況下才允許有所背離。一家大型的法國保險公司就是這方面的一個例子。該公司在集團範圍內對IT架構實行了標準化，因此它可以優化其核心的IT流程，整合系統支持其非壽險業務，移植數據，配置新的系統以支持其健康險業務。
在資源決策方面，A類組織善於利用內外部資源的組合，通常會與少量的幾家優選的服務提供商達成服務協議。當某個全球性的化學品公司認為IT並非其核心業務時其，便將整個IT運作外包出去，包括其ERP系統全球範圍內的實施和支持。
公司治理主要關註利益相關者權益和管理，包括一系列責任和條例，由最高管理層（董事會）和執行管理層實施，目的是提供戰略方向，保證目標能夠實現，風險適當管理，企業的資源合理使用。
公司治理，驅動和調整IT治理。同時，IT能夠提供關鍵的輸入，形成戰略計劃的一個重要組成部分，這被認為是公司治理的一個重要功能——IT影響企業的戰略競爭機遇。
IT治理的一個關鍵性問題是：公司的IT投資是否與戰略目標相一致，從而構築必要的核心競爭力。因為企業目標變化太快，很難保證IT與商業目標始終保持一致，因此需要多方面的協調，保證IT治理繼續沿著正確的方向走，這也是IT投資者真正關心的問題。對IT治理而言，要能體現未來信息技術與未來企業組織的戰略集成。既要儘可能地保持開放性和長遠性，以確保系統的穩定性和延續性；同時又因為規劃趕不上變化，再長遠的規劃也難以保證能跟上企業環境的變化。IT 治理中一個相對有效的做法是，在信息化規劃時，認真分析企業的戰略與IT支撐之間的影響度，併合理預測環境變化可能給企業戰略帶來的偏移，在規劃時留有適當的餘地，從業務戰略到信息戰略，做務實的牽引，不要追求大而全。
IT治理有助於建立一個靈活的、具有適應性的企業。IT治理能夠影響信息和指示：企業能夠感知市場正在發生的事，使用知識資產並從中學習，創新新產品、服務、渠道、過程；迅速變化，將革新帶入市場，衡量業績。IT治理應該體現“以組織戰略目標為中心”的思想，通過合理配置IT資源創造價值。企業治理側重於企業整體規劃，IT治理側重於企業中信息資源的有效利用和管理。
企業目標與IT目標之間的關係如下圖所示：
IT治理主要涉及兩個方面：IT要為企業交付價值，IT風險要降低。前者受IT與企業的戰略一致性驅動，後者由責任義務落實到企業驅動。這兩者都需要衡量，如使用平衡計分卡。這就可以看出IT治理的四個核心領域，都是由利益相關者價值驅動的，其中兩個是成果：價值交付和風險降低，另外兩個是驅動力：戰略一致性和業績衡量。
概括地說，公司治理和IT治理都是市場（含政府）他律的機制，是如何“管好管理者”的機制，其目標也是一致的：達到業務永續運營，並增加組織的長期獲利機會。無論大環境是好是壞，最高管理層（董事會）均應以達成其目標為責任，而且管理階層需有能力協助其達成目標，因此最高管理層（董事會）必須常常監督管理部門對決策判斷與政策實施的績效。
“斯達模式”這一被譽為國企擺脫困境、改革發展的創新模式，正說明瞭公司治理和IT治理的重要性和互動關係。“黑紙”利用合資契機，對產權體制進行了改革，並按照現代企業制度要求，建立與市場競爭相適應的公司治理機制，明晰了企業產權，優化了生產要素配置，轉變了職工觀念，為斯達大力進行信息化改造創造了有力條件。反過來，信息化也促進了公司的現代化管理。
IT管理是公司的信息及信息系統的運營，確定IT目標以及實現此目標所採取的行動；而IT治理是指最高管理層（董事會）利用它來監督管理層在IT戰略上的過程、結構和聯繫，以確保這種運營處於正確的軌道之上。這是一個硬幣的兩面，誰也不能脫離誰而存在。可見，IT管理就是在既定的IT治理模式下，管理層為實現公司的目標而採取的行動。
IT治理規定了整個企業IT運作的基本框架，IT管理則是在這個既定的框架下駕馭企業奔向目標。缺乏良好IT治理模式的公司，即使有“很好”的IT管理體系（而這實際上是不可能的），就像一座地基不牢固的大廈；同樣，沒有公司IT管理體系的暢通，單純的治理模式也只能是一個美好的藍圖，而缺乏實際的內容。就我國信息化建設目前的現狀而言，無論是IT治理，還是IT管理都是我們所迫切需要解決的。
一旦IT領導理解了IT治理框架的三個支柱，他們對於IT治理為什麼如此重要，以及哪一種方法可以最好地幫助他們達成治理目標，就會有更好的理解。
IT治理是目前很多人都在談論的一個話題。確實，一些技術供應商和咨詢顧問已經將IT治理納入一個最新的熱門的銷售範疇。然而，以他們所銷售的產品和服務的範圍為基礎，已經出現了IT治理的種種定義，這在一定程度上給市場帶來了混亂。
那麼，對於如今這個最熱門的企業治理方面的概念，業務和IT領導從哪裡可以獲得一個單一而又全面的定義呢？
基於ITGI、正在形成的產業標準、客戶最佳實踐及思想領導者的工作，第一流的分析師現在都在強調IT治理框架的三個支柱的模式。這一框架強調確保IT在支持業務目標、優化商業技術投資及合理管理IT相關風險和機會中的重要性。
在CIO和IT領導看來，由於可以為組織走出煩惱多時的沒完沒了的支出、擴展、補丁、再支出的迴圈提供一個清楚的路徑，這三個支柱的模式和與之相應的IT治理成熟度模型正在迅速地獲得動力。
有了IT治理這一框架，IT投資所帶來的價值可以獲得理解，實現技術投資和業務目標需求之間的聯結也有了明確的方法。在來自管理層和董事會的壓力越來越大的情況下，IT組織不能僅依靠理論—他們需要能發揮作用的治理。
對於任何想抓住這種前瞻性的IT方法所帶來的利益的組織而言，這一成形的IT治理框架都是適用的。這個框架包括三個主要的組成部分，具體表現為“計劃/構造/管理”三個生命周期，通過一個不斷進行的連結這三個要素的反饋環，使得IT變革成為可能。這三個支柱是：
一、企業架構計劃包括：
1、企業架構造型和管理
2、戰略性的IT計劃和路線圖
3、標準管理
二、投資組合合理化,包括:
1、應用系統和基礎設施的合理化
2、項目－投資分析
3、合併和收購運營整合
三、服務融合，包括：
1、服務提供管理
2、業務關係管理
3、供應商和外包商管理
4、IT財務管理
5、塞班斯－奧克斯萊法案（Sarbanes-Oxley）和其他法規遵從的問題
6、業務連續性計劃
一旦IT領導理解了這三個支柱，他們對於IT治理為什麼如此重要，以及哪一種方法可以最好地幫助他們達成治理目標，就會有更好的理解。例如，在項目投資管理和系統管理領域，一般的供應商只會致力於整個框架的一部分。對IT治理問題需要有一個全面的解決方案，這一需求已經越來越表現出來了。
Troux是惟一能提供有效的IT治理系統的企業，同時，它還能提供全面的可以連結業務和自動工作流，及自動化的策略管理系統。為瞭解決CIO們今天面臨的最具挑戰性的IT治理問題，Troux的解決方案提供了基礎，並且橫跨IT治理框架的三個領域。
企業架構：使得企業建造師可以完全模仿符合未來需要的架構，並且提供創造和管理與架構相協調的標準和路線圖的能力。
投資合理化:為IT執行人員提供確保應用、基礎設施、服務和項目投資與業務和成本優化相協調的可視度和工具。
服務管理:使IT組織可以實現對業務服務的自動化定義和管理，並確保關鍵業務、遵從和業務連續性目標的一致。
有了以上各種解決辦法，Troux帶來了幫助CIO和IT執行人員實現IT治理所需要的深入的專業知識、最佳實踐和成熟的模式。
正如IT治理已經位居CIO日程表的前列，經理人員們也已經發現，最佳實踐和方法的標準還沒有準確的定義—到現在這一狀況才有所改變。
Troux的技術為CIO和IT經理有效計劃、構建和管理他們的IT運作，提供了所需要的最佳實踐和方法。
“對於CIO來說，IT治理意味著組織結構、決定過程和一種在企業內加強控制的信息基礎。”位於斯坦福的Meta集團的分析師Val Sribar說。
走向IT治理最重要的一步是“發展一種可以自信地進行關鍵資產、財務和遵從的決策的信息基礎。”Sribar又說，“業務和技術架構的可見度對於企業管理和成長是關鍵性的。”
幸運的是，IT經理為了達成治理目標可以獲得幫助。“像Troux這樣的供應商已經出現，並填補了治理流程和IT運營之間的空白。”Sribar說.
目前國際上通行的IT治理標準主要有四個：ITIL 、COBIT、ISO/IEC17799和PRINCE2。
（1）ITIL
ITIL（Information Technology Infrastructure Library）：即信息技術基礎構架庫，一套被廣泛承認的用於有效IT服務管理的實踐準則。1980年以來，英國政府商務辦公室（GOC，原稱政府電腦與通信中心）為解決“IT服務質量不佳”的問題，逐步提出和完善了一整套對IT服務的質量進行評估的方法體系，叫做ITIL。2001年，英國標準協會在國際IT服務管理論壇（itSMF）上正式發佈了以ITIL為核心的英國國家標準BS15000。這成為IT服務管理領域具有歷史意義的重大事件。
（2）COBIT
COBIT（Control Objectives for Information and related Technology）：即信息系統和技術控制目標。成立於1969年的美國信息系統審計與控制協會ISACA，於1996推出了用於“IT審計”的知識體系COBIT。“IT審計”已經成為眾多國家的政府部門、企業對IT的計劃與組織、採購與實施、服務提供與服務支持、監督與控制等進行全面考核與認可的業界標準。相應地，“註冊信息系統審計師”（CISA）日益成為世界各國發展信息化過程中，爭相發展的新興職業和領域。作為IT治理的核心模型， COBIT包含34個信息技術過程式控制制，並歸集為四個控制域：IT規劃和組織（Planning and Organization）、系統獲得和實施（Acquisition and Implementation）、交付與支持（Delivery and Support）以及信息系統運行性能監控（Monitoring）。 COBIT 目前已成為國際上公認的IT管理與控制標準。
（3）BS 7799
BS 7799(ISO/IEC17799)：即國際信息安全管理標準體系，2000年12月，國際標準化組織ISO正式發佈了有關信息安全的國際標準ISO17799，這個標準包括信息系統安全管理和安全認證兩大部分，是參照英國國家標準BS7799而來的。它是一個詳細的安全標準，包括安全內容的所有準則，由十個獨立的部分組成，每一節都覆蓋了不同的主題和區域。
由英國標準協會（BSI）編寫的信息安全管理體系標準BS 7799-Part 1 (ISO 17799) 及BS 7799-Part 2為各種機構、企業進行信息安全管理提供了一個完整的管理框架。這一套‘姊妹對’標準引導機構、企業建立一個完整的信息安全管理體系，對信息安全進行動態的、以分析機構及企業面臨的安全風險為起點對企業的信息安全風險進行動態的、全面的、有效的、不斷改進的管理，並強調信息安全管理的目的是保持機構及企業業務的連續性不受信息安全事件的破壞，要從機構或企業現有的資源和管理基礎為出發點，建立信息安全管理體系（ISMS），不斷改進信息安全管理的水平，使機構或企業的信息安全以最小代價達到需要的水準。保護信息安全，建立信息安全管理體系是機構或企業營運的重要工作之一，尤其是BS 7799-2: 2002是目前最完整的參考依據，它以“計劃（Plan）、實施（Do）、檢查（Check）、行動（Action）”模式，將管理體系規範導入機構或企業內，以達到“持續改進”的目的。
（4）PRINCE2
PRINCE2（Projects In Controlled Environments）是一種對項目管理的某些特定方面提供支持的方法。PRINCE2描述了一個項目如何被切分成一些可供管理的階段，以便高效地控制資源的使用和在整個項目周期執行常規的監督流程。PRINCE2的視野並不僅僅限於對具體項目的管理，還蓋了在組織範圍對項目的管理。
有個案例就好了