標準IT治理架構(gòu)對企業(yè)戰(zhàn)略實現(xiàn)有何影響？（by AMT 劉宇編譯）

二．三個主要的IT治理標準

為了清楚起見，“事后”架構(gòu)指企業(yè)內(nèi)部基于自身最佳實踐經(jīng)驗所開發(fā)的架構(gòu)。相反，存在一些先進的國際標準，這些標準反映了大量企業(yè)的經(jīng)驗結(jié)晶，并有專業(yè)監(jiān)管實體維護。如果仔細研究這些監(jiān)管標準，存在三個比較顯著的標準：

（1）COBIT

The Control Objectives for Information and related Technology (COBIT)。該標準現(xiàn)在是第三修訂版，由Information Systems Audit and Control Association (ISACA)出版，最早在1996年發(fā)布。COBIT架構(gòu)由34個高層控制目標和318個細節(jié)控制目標組成，通過定義這些目標，可以幫助維護企業(yè)業(yè)務對IT的有效控制。該標準比較完善，所有的COBIT文檔集合可以在線獲得，包括executive summary、架構(gòu)、控制目標、審計指引、管理指引和實現(xiàn)指引。

現(xiàn)在，ISACA正在實現(xiàn)COBIT的特殊版本，稱為“QuickStart”，為中小型企業(yè)準備。其中將包括COBIT的子集，并且特別關注對于那些缺少實現(xiàn)完全標準所需資源的那些組織的需求，提供這些組織所需的必備元素。

（2）ISO 17799

International Organization for Standardization國際標準組織的ISO 17799，全稱為“信息技術——信息安全管理實踐代碼”，該標準首先于2000年12月由ISO發(fā)布。然而，該基于英國標準7799，英國標準曾有很多版本，開始于1995年，于1999年中介。ISO 17799的目的是關注于安全，并且輔助企業(yè)創(chuàng)造有效的IT安全計劃。

該標準有以下的高層次內(nèi)容：安全政策、組織安全、資產(chǎn)分散和控制、個人安全、物理和環(huán)境安全、通訊和操作管理、進入控制、系統(tǒng)開發(fā)和維護、業(yè)務持續(xù)性管理和適應性。該標準比較完善，以精簡的方法覆蓋了大量材料。

（3）ITIL

Information Technology Infrastructure Library (ITIL)由United Kingdom's Office of Government Commerce (OGC)維護，二十世紀八十年代末根據(jù)很多組織的輸入開發(fā)。有趣的是，雖然該標準在各國知名度不高，卻絕對擁有越來越多的加入者。

該標準有以下七部分：服務支持、服務遞交、安全管理、應用管理、ICT基礎架構(gòu)管理、業(yè)務遠景、實現(xiàn)服務管理的計劃。ITIL主要關注鑒別最佳實踐，這些實踐與管理IT服務水平和很多組織相關。這些組織包括：美國海軍、寶潔，他們都采用了ITIL，并且得到了現(xiàn)實的顯著收益。

三．標準的好處

采用已定義標準的原因包括：

存在性：在當今世界，時間是最寶貴的商品。在國際開發(fā)標準已經(jīng)存在時，何必要花費大量的時間和金錢基于有限的經(jīng)驗來開發(fā)IT治理架構(gòu)。

結(jié)構(gòu)性：模型的架構(gòu)提供了組織可以跟從的完美結(jié)構(gòu)。另外，結(jié)構(gòu)化幫助共同需求的每個人，他們可以看到他們所期望的內(nèi)容。

最佳實踐：這些標準的建立花費大量的時間，由全世界成百上千的專家和組織進行評估。模型中所反映的經(jīng)年的經(jīng)驗累積不是單個組織可以負擔的。

知識分享：通過跟從標準，人們可以在組織間分享思想，通過用戶群、網(wǎng)站、雜志、書本等來分享利潤。公司特定事后方法的推動者就不可能達到這一點。

可審計性：沒有標準，審計者（尤其是第三方審計者）很難有效衡量控制。即審計者本身應該遵從一定的標準，這是事后審計實現(xiàn)不能達到的。目標是在至少一個基礎標準的基礎上評估組織，然后推薦最適合的標準。

四．什么標準最好？

有趣的是，三個標準沒有太多共同點。COBIT在IT控制和量度指標方面最強。ISO17799覆蓋IT安全，而ITIL重點在于流程，尤其是IT幫助相關的部分。

組織不應該僅僅選擇一個，而應該對三個標準進行總體瀏覽，然后計劃一個方法，通過該方法混合每種標準中最好和最適合本企業(yè)部分。

比如，客戶或者監(jiān)管實體可能需要組織采用ISO17799，結(jié)果是至少可以將該標準作為初始焦點。然而，同樣的公司最終也可以在遠景中包括其他標準。

五．總結(jié)

跨出第一步是最難的！這是很多關于IT治理的文章最關注的要點。問題實際上不是“我們是否實現(xiàn)”，而是“我們?nèi)绾螌崿F(xiàn)？”。在這一點上，存在很多的資源可以幫助組織的研究和實現(xiàn)。企業(yè)可以進入此企業(yè)自身和利益相關人非常關注的領域，并采用漸進的方法。所有的標準都是非常大的工程，企業(yè)跨期地在不同階段采用不同的元素，要遠遠優(yōu)于一下子嘗試和實現(xiàn)所有的內(nèi)容。

COBIT，ISO 17799和ITIL都是實現(xiàn)IT治理的優(yōu)秀架構(gòu)。關鍵是研究這些標準、觀察需求、采用初始最適合的標準。最后，所有三個標準都是IT組織回顧和折衷采用的最佳實踐。采用某一個標準的公司完全可以進行階段性實現(xiàn)項目，從標準的元素出發(fā)，最終得到組織最適合的標準。

參見AMTeam.org封面專題：《IT治理：中國信息化的必由之道》

作者聯(lián)系方式：arthur.liu@amteam.org