IT治理十問(wèn)十答之四——怎樣建立動(dòng)態(tài)的IT治理機(jī)制？

 IT治理是一個(gè)系統(tǒng)的過(guò)程。IT治理是控制、指導(dǎo)、協(xié)調(diào)組織戰(zhàn)略目標(biāo)和IT目標(biāo)的系統(tǒng)，是IT治理主體、客體、IT治理結(jié)構(gòu)、IT治理機(jī)制的總稱，是內(nèi)部IT治理、外部IT治理的融合，是IT治理方法、過(guò)程、目標(biāo)與結(jié)果的統(tǒng)稱，是為了實(shí)現(xiàn)IT治理目標(biāo)所有制度安排與機(jī)制的集合。IT治理系統(tǒng)的目標(biāo)是提供IT決策機(jī)制的科學(xué)化、決策過(guò)程的協(xié)調(diào)交互性和決策結(jié)果的創(chuàng)新性。

 首先需要轉(zhuǎn)變觀念

拿著IT這樣的現(xiàn)代武器，管理者卻依舊是滿腦袋的傳統(tǒng)觀念，結(jié)果可想而知，因此首先需要轉(zhuǎn)變觀念。在最高管理層（董事會(huì)）樹(shù)立和維護(hù)IT戰(zhàn)略地位的思想認(rèn)識(shí)，建立企業(yè)戰(zhàn)略與IT戰(zhàn)略的互動(dòng)觀念，闡明IT應(yīng)擔(dān)當(dāng)?shù)慕巧?，從業(yè)務(wù)的視角創(chuàng)造信息技術(shù)指導(dǎo)原則，如信息化規(guī)劃本質(zhì)上可以定位成從業(yè)務(wù)戰(zhàn)略到信息戰(zhàn)略的實(shí)現(xiàn)。從組織的戰(zhàn)略出發(fā)而不是從系統(tǒng)的需求出發(fā)，可以避免脫離目標(biāo)而進(jìn)行建設(shè)的困境。從業(yè)務(wù)的變革出發(fā)而不是從技術(shù)的變革出發(fā)，有利于充分利用組織的現(xiàn)有資源來(lái)滿足關(guān)鍵需求，從而避免建設(shè)的信息系統(tǒng)無(wú)法有效地支持組織的決策。又如利用電子商務(wù)消除時(shí)間和空間得特性，發(fā)展與全球客戶的關(guān)系，能夠引導(dǎo)鞏固客戶數(shù)據(jù)庫(kù)和訂單處理過(guò)程。

 發(fā)展外部環(huán)境

目前我國(guó)外部市場(chǎng)監(jiān)控機(jī)制尚不健全，公司治理結(jié)構(gòu)中的監(jiān)控職能被嚴(yán)重削弱，并使董事會(huì)失去監(jiān)督。另一方面，風(fēng)險(xiǎn)管理意識(shí)淡薄，安全上采用純粹技術(shù)手段解決。缺乏優(yōu)良公司治理和IT治理機(jī)制是一些國(guó)內(nèi)企業(yè)與金融機(jī)構(gòu)無(wú)法抵御全球經(jīng)濟(jì)低靡和無(wú)法適應(yīng)市場(chǎng)環(huán)境快速變化的重要原因之一。因此，加強(qiáng)IT治理實(shí)質(zhì)上是一個(gè)政府和企業(yè)機(jī)構(gòu)必須攜手面對(duì)的問(wèn)題。政府必須扮演一個(gè)重要的推動(dòng)角色，并且尤其需要強(qiáng)調(diào)的是政府制定規(guī)則比較合理的方法是通過(guò)聽(tīng)證會(huì)或知情會(huì)上下協(xié)商、交互式地制定規(guī)則（非自上而下制定規(guī)則的方法，新制式車牌的暫停發(fā)放就是沒(méi)有善治的案例），這樣才能解決規(guī)則的充分合法性、可執(zhí)行性問(wèn)題，“治理不是一種正式的制度，而是持續(xù)的互動(dòng)”（《我們的全球伙伴關(guān)系》）；鑒于全球化和信息技術(shù)的無(wú)國(guó)界性，盡管在公司治理模式上有英美模式、德日模式、東亞和東南亞模式，但在IT治理上有更大趨同性的發(fā)展趨勢(shì)，因此，從治理（Governance）的角度企業(yè)應(yīng)該采用合乎國(guó)際標(biāo)準(zhǔn)的IT治理方法，以促進(jìn)公司治理、IT治理和經(jīng)營(yíng)管理的協(xié)調(diào)發(fā)展。 

逐步試行建立IT治理委員會(huì)

IT治理委員會(huì)與IT審計(jì)師是IT治理的最重要環(huán)節(jié)。IT治理委員會(huì)由組織的最高管理層（董事會(huì)）及管理執(zhí)行層包括IT管理和業(yè)務(wù)管理有關(guān)部門負(fù)責(zé)人、管理技術(shù)人員組成，定期召開(kāi)會(huì)議，就企業(yè)戰(zhàn)略與IT戰(zhàn)略的驅(qū)動(dòng)與設(shè)置等議題進(jìn)行討論并做出決策，為組織IT管理提供導(dǎo)向與支持，把IT治理的相關(guān)規(guī)范融入到組織的內(nèi)部控制中。

對(duì)于規(guī)模較大的組織，一項(xiàng)IT（如安全）控制活動(dòng)需要多個(gè)部門的共同參與才能得以實(shí)現(xiàn)，為能迅速解決控制過(guò)程出現(xiàn)的問(wèn)題，防止內(nèi)部互相推諉的現(xiàn)象發(fā)生，提高工作效率，需組成一個(gè)跨部門的IT治理委員會(huì)，加強(qiáng)全局的管理與流程執(zhí)行的紀(jì)律，解決諸如信息安全事故的調(diào)查與處理等一些實(shí)際的問(wèn)題，這是進(jìn)行IT管理內(nèi)部協(xié)調(diào)的很好的辦法。

 明確規(guī)定IT管理過(guò)程的責(zé)任

職責(zé)缺乏或界定不清，最終導(dǎo)致控制得不到有效得實(shí)施，形成管理風(fēng)險(xiǎn)。組織最高管理層應(yīng)確保對(duì)管理層、部門、運(yùn)維人員職責(zé)進(jìn)行規(guī)定并形成書面文件。

對(duì)信息系統(tǒng)進(jìn)行獨(dú)立審計(jì)

信息系統(tǒng)審計(jì)是一個(gè)獲取并評(píng)價(jià)證據(jù)，以判斷信息系統(tǒng)是否能夠保證資產(chǎn)的安全、數(shù)據(jù)的完整以及有效率地利用組織的資源并有效果地實(shí)現(xiàn)組織目標(biāo)的過(guò)程。它綜合運(yùn)用IT技術(shù)與審計(jì)理論及方法為信息時(shí)代信息的使用者提供合理的保證。

在信息時(shí)代，組織為預(yù)防不良事件的發(fā)生必須將其內(nèi)部控制擴(kuò)展到信息處理系統(tǒng)的各個(gè)方面，包括企業(yè)內(nèi)部網(wǎng)與因特網(wǎng)在內(nèi)的任何直接或間接影響財(cái)務(wù)報(bào)表或其他至關(guān)重要資料的數(shù)據(jù)或處理系統(tǒng)，因?yàn)樵撓到y(tǒng)與包括合作伙伴在內(nèi)的其他系統(tǒng)有著密切的聯(lián)系。此外，這些公司還必須對(duì)與其互通業(yè)務(wù)數(shù)據(jù)的合作伙伴的內(nèi)部控制系統(tǒng)有信心。在對(duì)于經(jīng)營(yíng)慣例、交易處理的完整性、信息保護(hù)和如何對(duì)信息系統(tǒng)的內(nèi)部控制實(shí)施評(píng)估和風(fēng)險(xiǎn)管理方面，組織可以通過(guò)內(nèi)部審計(jì)或外部審計(jì)達(dá)到上述目的。

信息系統(tǒng)審計(jì)的主要由以下部分組成：

1. 信息系統(tǒng)的管理、規(guī)劃與組織——評(píng)價(jià)信息系統(tǒng)的管理、計(jì)劃與組織方面的策略、政策、標(biāo)準(zhǔn)、程序和相關(guān)實(shí)務(wù)。

 2. 信息系統(tǒng)技術(shù)基礎(chǔ)設(shè)施與操作實(shí)務(wù)——評(píng)價(jià)組織在技術(shù)與操作基礎(chǔ)設(shè)施的管理和實(shí)施方面的有效性及效率，以確保其充分支持組織的商業(yè)目標(biāo)。

 3. 資產(chǎn)的保護(hù)——對(duì)邏輯、環(huán)境與信息技術(shù)基礎(chǔ)設(shè)施的安全性進(jìn)行評(píng)價(jià)，確保其能支持組織保護(hù)信息資產(chǎn)的需要,防止信息資產(chǎn)在未經(jīng)授權(quán)的情況下被使用、披露、修改、損壞或丟失。

 4. 災(zāi)難恢復(fù)與業(yè)務(wù)持續(xù)計(jì)劃——這些計(jì)劃是在發(fā)生災(zāi)難時(shí)，能夠使組織持續(xù)進(jìn)行業(yè)務(wù),對(duì)這種計(jì)劃的建立和維護(hù)流程需要進(jìn)行評(píng)價(jià)。

 5.  應(yīng)用系統(tǒng)開(kāi)發(fā)、獲得、實(shí)施與維護(hù)——對(duì)應(yīng)用系統(tǒng)的開(kāi)發(fā)、獲得、實(shí)施與維護(hù)方面所采用的方法和流程進(jìn)行評(píng)價(jià)，以確保其滿足組織的業(yè)務(wù)目標(biāo)。

 6. 業(yè)務(wù)流程評(píng)價(jià)與風(fēng)險(xiǎn)管理——評(píng)估業(yè)務(wù)系統(tǒng)與處理流程，確保根據(jù)組織的業(yè)務(wù)目標(biāo)對(duì)相應(yīng)風(fēng)險(xiǎn)實(shí)施管理。

1.什么是IT治理？