Корпоративное управление ИТ

Корпоративное управление ИТ (или корпоративное руководство) является очень важной и одновременно достаточно новой областью знаний. Важность обусловлена тем, что корпоративное управление в значительной степени определяет законы и правила, по которым далее работает управленческая команда. 

Корпоративное управление ИТ определяет ту среду, в которой далее действует руководитель ИТ. Более того, эта среда выходит за рамки только лишь законов и правил и включает стиль руководства и принятия решений, порядок контроля исполнения, способы поощрения и принуждения к исполнению решений, в случае необходимости, и т.д. Корпоративное управление смыкается с внутренней культурой и стилем лидерства, который использует руководитель ИТ в своей работе.

В то же время, корпоративное управление имеет свои подходы и практики. Мы рассмотрим наиболее важные аспекты корпоративного управления ИТ, используемые в современных организациях, а читатель имеет полную свободу применить их в сочетании с тем стилем лидерства, который он считает наиболее подходящим для своей работы. Эта глава Учебника будет полезна, как в случае, если в компании корпоративное управление ИТ находится на самом начальном уровне, так и в случае, если корпоративное управление в компании уже начинает складываться как система.

В английском языке используется термин IT Governance, перевод которого на русский язык не устоялся. 

Наиболее часто встречающиеся варианты: «корпоративное управление ИТ», «стратегическое управление ИТ», «руководство ИТ» и «корпоративное руководство ИТ». В любом случае, перевод должен отделять понятие «governance» от «management» (управление). 

В Учебнике будет использоваться перевод «корпоративное управление ИТ».

Определения и подходы

Корпоративное управление ИТ является одной из новых областей знаний. Безусловно, ряд входящих в него направлений (управление рисками, управление финансами) известны уже давно, и для них разработаны уже достаточно эффективные подходы. Однако, объединение всех этих направлений в единую систему даёт новое качество управления, что и позволяет говорить об этом как о новой области знания.

Приведём несколько определений корпоративного управления (стратегического управления, руководства).

Стратегическое управление ИТ (governance of IT) — система, при помощи которой осуществляется управление и контроль настоящим и будущим использованием ИТ.

ISO 38500:2017, https://www.iso.org

Другими словами, корпоративное управление позволяет развивать ИТ максимально полезным для компании образом. Корпоративное управление ИТ определяет нормы, по которым происходит постановка целей и задач для ИТ подразделений, принятие решений относительно ИТ, выделение ресурсов и контроль получаемых результатов. Важно отметить, что под информационными технологиями в мире понимаются не только информационно-технологические средства (оборудование и ПО), но и работа ИТ-персонала, а также управление со стороны руководства ИТ-службы, позволяющее максимальным образом реализовать потенциал информационных технологий.

Кратко корпоративное управление ИТ можно определить, как ответ на вопрос: «Кто принимает решения в области ИТ и как?» Этот вопрос можно разделить на три части:

• Какие решения должны приниматься относительно ИТ?
• Кем должны приниматься эти решения?
• Каким образом они должны приниматься?

Приведём ещё одно определение корпоративного управления ИТ:

Руководство ИТ на предприятии — точка зрения на руководство, при которой обеспечивается использование информационных и связанных с информацией технологий для поддержки и реализации стратегии предприятия и достижение задач, стоящих перед предприятием. Также руководство включает в себя функциональное руководство ИТ, например, обеспечение эффективного и рационального использования возможностей ИТ. Предприятия, которые достигли успеха, смогли признать, что совет директоров и исполнительные директора обязаны относиться к ИТ, как к любой другой значимой части бизнеса. Совет директоров и управленцы — как в бизнесе, так и в ИТ — должны совместно работать над тем, чтобы ИТ были частью общего подхода к руководству и управлению предприятием.

COBIT 5, https://www.isaca.org

Определение подчёркивает, что область корпоративного управления ИТ шире, чем ответственность ИТ-руководителя, но в очень большой степени зависит от него и от его способностей организовать взаимоотношения с руководством компании. Заметьте, что вопрос лидерства поставлен на одно из первых мест в определении корпоративного управления COBIT и CIO — это тот руководитель, от которого руководство компании ожидает лидерства в вопросах ИТ.

Однако, надо понимать, что лидерство — это двунаправленный процесс. С одной стороны, это умение сформировать видение, получить поддержку руководства и вести коллектив к поставленным целям. С другой стороны — это инициативы в области ИТ, которые во многих случаях являются важными и ресурсоёмкими для компании и должны быть скоординированы внутри организации. Можно без преувеличения сказать, что во всех российских компаниях, которые успешно используют возможности ИТ, есть ясное и чёткое лидерство в вопросах ИТ, должным образом согласованное с руководством компании.

И ещё одно определение:

Корпоративное управление ИТ — это набор процессов, которые обеспечивают результативное (effective) и эффективное (efficient) использование ИТ и позволяют организации достигать своих бизнес-целей.

Gartner Group, https://www.gartner.com

Необходимо обратить внимание, что результатом корпоративного управления является скорее именно «использование ИТ», нежели менеджмент ИТ. То есть, корпоративное управление является той системой, принятой в организации, которая обеспечивает постановку целей и задач для ИТ и контроль их исполнения. В этом — главное отличие корпоративного управления (governance) от управления (management). На Рис. 1 показаны три уровня управления компанией и место корпоративного управления.

Рис. 1. Три уровня управления компанией и место корпоративного управления. 

Корпоративное управление находится над оперативным управлением бизнесом, его осуществляют другие субъекты и преследует иные цели. В то же время, корпоративное управление определяет и взаимоотношения внутри ИТ-службы, так как определённые механизмы принятия решений, утверждённые высшим руководством компании, должны реализовываться внутри ИТ-департамента.

Это важный вопрос, поэтому остановимся на нём подробнее. Контроль — это слишком ёмкое понятие, и для его конкретизации имеет смысл разделять постановку целей и их исполнение. Когда мы используем понятие «контроль» по отношению к исполнению поставленных целей (чем занимается коллектив менеджеров), то «контроль» подразумевает мониторинг ситуации, сравнение её с желаемым состоянием и применение по результатам корректирующих воздействий. Когда же мы говорим о корпоративном управлении, то есть о постановке целей и задач для ИТ, то на этом уровне вмешательство в оперативную работу ИТ обычно уже меньше — ставится цель и контролируется её достижение, а также оценивается общая способность коллектива осуществлять достижение целей.Такое разделение горизонтов целеуказания и целеисполнения, как и уровней управления компанией (акционеры — совет директоров — менеджмент) является принципиально важным для понимания того, что же такое корпоративное управление.

При этом, не нужно уменьшать роль менеджмента ИТ-подразделений компании, который выполняет функции оперативного управления, подконтрольные корпоративному управлению. Ответственностью менеджмента является непосредственное управление ИТ-подразделениями компании, направленное на достижение поставленных ИТ-целей и, в конечном итоге, — на достижение совместной итоговой цели — обеспечение результативного и эффективного использования ИТ в компании.

Практика построения корпоративного управления

На практике становление корпоративного управления компанией в целом, и корпоративного управления ИТ в частности, происходит постепенно и зависит от:

• бизнес-целей компании;
• корпоративного стиля руководства;
• бизнес-среды компании;
• других факторов.

Со временем руководство компании и руководство ИТ-подразделения приходят к желанию совершенствования наиболее общих методов управления, которыми являются методы постановки целей и осуществления контроля выполнения задач. Появляются коллективные органы управления, которыми в части ИТ являются Комитет по управлению ИТ (IT Steering Committee), Комитет по управлению ИТ-проектами (IT Project Committee) и т.д. Так складывается новая система управления.

Разная скорость роста и разная зрелость компаний привела к тому, что существующая практика корпоративного управления ИТ в российских компаниях существенно отличается. Есть компании, в которых высшее руководство продолжает сохранять за собой право принятия значительного количества решений относительно ИТ. Есть компании, в которых руководитель ИТ-службы фактически единолично принимает все необходимые решения. Есть компании, в которых решения принимаются коллегиально в рамках специальных органов управления. Во многих случаях выбор схемы связан с уровнем доверия к менеджменту ИТ-службы со стороны высшего руководства компании. При этом, правильная система корпоративного управления ИТ значительно способствует росту доверия со стороны высшего руководства.

Существуют структурированные подходы к созданию систем принятия решений в области ИТ. Однако, на практике становление корпоративного управления ИТ начинается с формирования правил и распределения функций по принятию ИТ-решений и организации ключевых комитетов, связанных с ИТ. В целом количество и задачи комитетов, связанных с ИТ, определяются практикой управления конкретных организаций и уже существующими в компании коллегиальными органами управления (например, наличием «Комитета по инвестициям»).

Однако, создание Комитета по ИТ — это только первый шаг. В определении Gartner Group, которое мы приводили выше, делается акцент на том, что корпоративное управление ИТ — это именно набор процессов, а не только ряд комитетов по управлению ИТ. Процессы, организующие подготовку, обсуждение, принятие решений в области ИТ и контроль их исполнения, которые используют специализированные ИТ комитеты и корпоративные органы управления, составляют корпоративное управление.

Согласно ITIL, такой комитет несёт ответственность за выбор направлений развития, политик и стратегий развития ИТ и оказания ИТ-услуг. Функции управляющего комитета по ИТ—поддерживать партнёрство между ИТ и бизнесом. Комитет должен собираться на встречи регулярно и постоянно проводить обзор бизнес- и ИТ-стратегий, рассматривать вопросы проектирования, планирования, портфеля услуг, архитектуры и политик, чтобы убедиться в том, что все они соответствуют друг другу. Это должно обеспечить единое и комплексное видение развития ИТ в компании. Темы обсуждений на Комитете по ИТ могут включать:

• обзор планов бизнеса и ИТ, определение изменений в процессах создания, улучшения и совершенствования ИТ-обслуживания;
• оценка стратегий бизнеса и ИТ, обсуждение изменений в бизнес-стратегии и предполагаемых изменений в ИТ-стратегии;
• планирование потребления ИТ-услуг, определение изменений потребностей в краткосрочной и долгосрочной перспективе;
• приоритизация и утверждение проектов;
• оценка хода проектов для достижения уверенности, что ожидаемые бизнес-выгоды будут реализованы в соответствии заданиями на проект, и для контроля графика проектов;
• аутсорсинг, определение потребностей и возможных сценариев сорсинговых стратегий;
• непрерывность бизнеса и ИТ-услуг, обеспечение соответствия стратегий непрерывности бизнеса и непрерывности ИТ-услуг;
• политики и стандарты, обеспечение соответствия политик и стандартов в области ИТ корпоративным целям и финансовой стратегии.

Подходы и методы

Далее мы кратко опишем два наиболее известных свода знаний по построению системы корпоративного управления ИТ: стандарт ISO 38500:2017 и COBIT.

Стандарт ISO 38500:2107

Международный стандарт ISO 38500:2017 даёт общую высокоуровневую модель корпоративного управления ИТ (Рис. 2).

Рис. 2. Модель корпоративного управления (ISO 38500:2017). 

Стандарт ISO 38500:2017 определяет, что высшему руководящему органу компании следует осуществлять корпоративное управление ИТ через решение трёх основных задач:

• Оценка. Оценка текущего и будущего использования ИТ;
• Направление. Направление подготовки и внедрения стратегий и политик, чтобы гарантировать соответствие ИТ целям бизнеса;
• Отслеживание. Мониторинг результативности (performance) использования ИТ и соответствия принятым политикам в области ИТ.

В рамках первой задачи — оценки использования ИТ — стандарт обращает внимание на необходимость непрерывного выполнения данной задачи в соответствии с изменяющимися рыночными условиями.

При решении второй задачи — руководства направлениями подготовки и реализации планов и политик использования ИТ — высшему руководящему органу компании следует распределить ответственность, осуществлять общее руководство разработкой и реализацией планов и политик компании в области ИТ. При этом, высшему руководящему органу компании следует поддерживать культуру должного корпоративного управления ИТ через требования к менеджменту о своевременном предоставлении информации, соответствии принятым направлениям использования ИТ. Кроме того, планы и политики ИТ должны соответствовать шести принципам корпоративного управления ИТ:

• принцип ответственности — сотрудники и коллективы компании понимают и принимают на себя ответственность, связанную с вопросами ИТ;
• принцип стратегии — бизнес-стратегия компании принимает во внимание текущие и будущие возможности ИТ, стратегические планы в части ИТ удовлетворяют потребностям бизнес-стратегии компании;
• принцип приобретения (закупок) — закупки в области ИТ производятся, исходя из реально необходимых потребностей, на основе соответствующего анализа с ясной и понятной схемой принятия решений; при этом, должен осуществляться баланс между полезностью, возможностями, стоимостью и рисками в краткосрочной и долгосрочной перспективах;
• принцип эффективности — корпоративные ИТ отвечают целям организации, предоставляя ИТ-сервисы должного качества для удовлетворения текущих и будущих бизнес-потребностей;
• принцип соответствия требованиям — корпоративные ИТ соответствует всем нормам требований и законов, политики и правила четко определены и введены в действие;
• принцип норм человеческого поведения — корпоративные политики и нормы в области ИТ демонстрируют уважение к общечеловеческим нормам, включая потребности всех участников производственных и бизнес-процессов компании.

При решении третьей задачи — отслеживания — высшему руководящему органу компании следует осуществлять мониторинг результативности использования ИТ средств с целью постоянной уверенности в том, что ИТ используется в соответствии с бизнес-целями компании.

Стандарт ISO 38500:2017 отмечает, что, хотя определённые полномочия на выполнение непосредственных действий в области корпоративного управления ИТ могут быть делегированы ИТ-менеджменту компании, общая ответственность за эффективное использование ИТ в организации должна оставаться за высшим руководящим органом.Кроме того, ценность стандарта ISO 38500:2017 заключается в выделении двух уровней — уровня постановки и уровня исполнения задач. В рамках стандарта не делается каких-либо замечаний о совмещении или разделении этих уровней. На практике, в компаниях происходит постепенное разделение этих уровней с ростом значимости ИТ-организации.

COBIT 5

В то время как стандарт ISO 38500:2017 определяет общие принципы организации корпоративного управления ИТ для практического использования, также интерес представляет подход, получивший название COBIT (Control Objectives for Information and related Technology, «Цели контроля для информационных и смежных технологий»), на момент написания этой книги выпущенный в версии 5.

Он был создан Международной ассоциацией аудита и контроля за информационными системами (ISACA) в 1996 году именно как средство аудита информационных систем. Но поскольку контролировать проще то, что стандартизировано, со временем методология аудита превратилась в рекомендованный ассоциацией набор лучших практик. COBIT предлагает общий взгляд на вопросы ценности ИТ для компании, определяет целевую модель процессов и де-факто является стандартом аудита ИТ-деятельности. В итоге, на сегодняшний день COBIT позволяет организовать системный мониторинг работы ИТ службы, соотнесённый с целями и задачами бизнеса. Этот стандарт используется ведущими мировыми аудиторскими и консалтинговыми компаниями в части вопросов, касающихся ИТ.

Структура материалов COBIT 5

В настоящее время COBIT 5 представляет собой набор из ряда публикаций, созданный организациями ISACA и ITGI (Рис. 3).

Рис. 3. Состав COBIT 5. 

Семейство COBIT 5 включает следующие публикации:

1. COBIT 5 (бизнес-модель).

2. Своды рекомендаций по факторам влияния, которые детально описывают каждый из них, а именно:

• COBIT 5: Процессная модель;
• COBIT 5: Enabling Information;
• Прочие своды знаний по факторам влияния (см. на сайте isaca.org/cobit).

3. Рекомендации COBIT 5 для профессионалов, а именно:

• COBIT 5: Внедрение;
• COBIT 5 for Information Security;
• COBIT 5 for Assurance;
• COBIT 5 for Risk;
• Прочие рекомендации для профессионалов (см. isaca.org/cobit).

4. Онлайн-среда для совместной работы, которая призвана способствовать наиболее эффективному использованию COBIT 5.

COBIT 5, так же, как и ISO 38500:2017, чётко разделяет руководство и управление ИТ (Рис. 4).

Рис. 4. Ключевые области руководства и управления (COBIT 5).

COBIT 5 не предписывает, но рекомендует внедрение процессов руководства и управления на предприятии в представленных на рисунке 3 областях охвата. Предприятие может организовывать процессы так, как считает нужным, с единственным условием: должны быть охвачены все задачи руководства и управления. На малых предприятиях процессов может быть немного, а в крупных и сложных организациях может существовать несколько процессов, выполняющих одну задачу.

В методологию COBIT 5 входит эталонная модель процессов (Рис. 5), в которой подробно описаны процессы руководства и управления. 

Рис. 5. Эталонная модель процессов COBIT 5.

В модель включены все связанные с ИТ процессы, обычно существующие на предприятии, что создаёт единый понятийный аппарат, общий для ИТ- и бизнес-менеджеров. Предложенная модель является полной и подробной, однако она не единственно возможная. Каждое предприятие определяет свой набор процессов, принимая во внимание контекст, в котором работает.

COBIT 5 также предоставляет рекомендации по внедрению, модели каскада целей бизнеса и ИТ, факторы влияния и множество других материалов, которые могут быть полезны при практическом внедрении подхода.

Организация контроля ИТ-деятельности

В этом разделе мы поговорим об одном из важнейших, и в то же время сложном элементе корпоративного управления — контроле ИТ-деятельности. По мере роста своего подразделения, CIO становится всё в большей степени постановщиком задачи, нежели непосредственным управляющим тех или иных процессов. В таких случаях, если ИТ-руководитель делегирует кому-либо из своих подчинённых или во внешнюю компанию задачи по управлению соответствующими процессами, организация контроля становится особо важной задачей. Одним из таких случаев является наличие филиалов, когда, даже имея технические средства удалённого мониторинга ИТ-инфраструктуры, необходимо обладать определённой уверенностью, что ИТ-персонал в филиалах действует согласно принятым нормам и правилам.

Поэтому ниже мы кратко опишем практическую методику постановки системы контроля ИТ-деятельности компании. Система контроля ИТ-деятельности может и должна дать CIO уверенность в надёжной и качественной работе ИТ- подразделения.

Перед этим необходимо сделать важное замечание. Приведём пример целей контроля по организации управления службой технической поддержки и инцидентами.

• Служба технической поддержки. Наличие службы технической поддержки, являющейся зоной взаимодействия пользователей и ИТ, призванной регистрировать, распределять и анализировать все обращения, докладывать об инцидентах, требованиях оказания услуг и запросах на информацию. Налаженный мониторинг и процедуры разрешения инцидентов, основанные на принятых уровнях обслуживания в соответствии с соглашением об уровне обслуживания (SLA), которые дают возможность классифицировать и расставлять приоритеты в отношении всех инцидентов, запросов о поддержке или об информации.
• Регистрация запросов. Наличие функции и системы, позволяющих учитывать и отслеживать обращения, инциденты, запросы о поддержке или об информации. Наличие тесной связи с процессами управления инцидентами, управления проблемами, управления изменениями, управления мощностями и управления доступностью. Классификация инцидентов в соответствии с корпоративными и сервисными приоритетами. Информирование пользователей о текущем статусе своих запросов.
• Разрешение инцидентов. Наличие процедур службы поддержки, предусматривающих управляемое разрешение инцидентов, которые не могут быть ликвидированы незамедлительно. Разрешение инцидентов в пределах, установленных SLA.
• Закрытие инцидента. Наличие процедур оперативного мониторинга по окончательному разрешению запросов пользователей. Фиксация механизма решения инцидента и подтверждение отсутствие претензий пользователя после разрешения инцидента.
• Отчётность и анализ тенденций. Наличие учёта работы службы поддержки и времени ответа службы поддержки на запросы, чтобы руководство имело возможность оценить её эффективность.

Контроль, конечно, не может осуществляться только «по событиям», когда каждое задание (поручение) подчинённому фиксируется, и затем проверяется его исполнение. Такое возможно только по важным проектам и перечню особо критически важных заданий. Современные подходы к организации системы контроля позволяют осуществлять контроль непрямыми методами:

• периодический анализ нормативно-методического обеспечения деятельности ИТ-подразделения;
• анализ знаний сотрудниками этой документации;
• автоматизированная система организации ИТ-деятельности;
• сбор документальных доказательств о действиях сотрудников согласно нормативно-методическим документам и т.д.

На базе такого подхода в компании создаётся система контроля ИТ. На практике данную систему можно формировать в четыре этапа.

Этап 1. Где мы осуществляем контроль?

На этом этапе определяются области контроля и те группы процессов, которые мы собираемся контролировать. Очевидно, что отражённые в модели COBIT 37 процессов в разные моменты времени имеют разную актуальность для компании. Поэтому, в первую очередь, необходимо определить перечень наиболее важных областей (групп процессов).Во многих случаях компании начинают внедрение структурированного процессного управления и контроль с области «эксплуатации и сопровождения», с последующим постепенным распространением на другие области. Хотя, во всех без исключения компаниях ведётся в той или иной степени деятельность во всех четырёх областях, но именно эксплуатация и сопровождение в первую очередь требуют чёткой процессной организации работ для минимизации рисков, связанных с отказами в работе ИТ-систем.

Этап 2. Что контролируем?

На этом этапе определяются цели ИТ-контроля для выбранных на предыдущем этапе ИТ-процессов. Цели контроля должны быть чётко зафиксированы; причём, именно по степени их достижения, а точнее, по степени отклонения от их достижения, будут определяться итоговые ИТ-риски в компании. Необходимая основа для формулирования целей контроля содержится в COBIT — там приведены цели контроля для каждого из ИТ-процессов. В качестве примера ниже приведены цели контроля для процесса «Управление запросами на обслуживание и инцидентами» (Manage Service Requests and Incidents, DSS02) из COBIT. По результатам разработки первых двух уровней методики должна сложиться картина, связывающая цели контроля и конечные бизнес-цели компании.

Этап 3. Как контролируем?

На этом этапе определяются критерии и показатели, по которым происходит контроль, то есть условия, которые должны быть выполнены, чтобы можно было сделать вывод о достижении определённой цели контроля. Значительное количество критериев также содержится в COBIT. Например, для процесса «Управление запросами на обслуживание и инцидентами» COBIT предлагает оценивать результаты с помощью следующих показателей:

• доля пользователей, удовлетворённых службой поддержки «первой линии»;
• доля инцидентов, разрешённых в течение согласованного/приемлемого срока;
• доля запросов, оставшихся без ответа.

На этом же уровне определяются и эталоны для оценки степени продвижения к заданной цели. Здесь можно опираться на модели зрелости процессов, приведённые в COBIT.

Этап 4. Как собираем данные? 

Этот этап завершает формирование методики контроля созданием списка контрольных вопросов, позволяющих выполнить наблюдения, произвести опросы и собрать необходимые свидетельства выполнения заданных критериев.

В итоге, двигаясь по данным уровням «сверху — вниз», CIO определяет необходимую методику проверки. После этого движением «снизу — вверх» производится контроль ИТ-деятельности через получение ответов на обозначенные вопросы и сбор свидетельств, выяснение степени выполнения критериев и, соответственно, достижения целей контроля. Результатом работы становится выяснение уровня зрелости процессов в ИТ-подразделении компании.

Отдельным этапом контроля может стать интерпретация результатов. Несмотря на общеизвестность модели зрелости процессов, изложение результатов в этих терминах для бизнес-руководителей может оказаться недостаточно понятным. В то же время, прямое следствие уровня зрелости ИТ-процессов — уровень существующих рисков, связанных с ИТ-деятельностью — является категорией, гораздо более ясной руководству компании. В итоге, сложившаяся по результатам проведения контрольной проверки картина состояния ИТ-деятельности и уровня существующих ИТ-рисков может стать основным контрольным инструментом программы улучшения, разработанной по результатам проведения проверки.

Авторы: Михаил Потоцкий, Павел Алфёров

Источник: Учебник 4CIO. Настольная книга ИТ-директора

© Клуб Топ-менеджеров России 4CIO