COBIT i jego wykorzystanie dla zwiększania efektywności działania funkcji IT

Przesłanką dla rozwoju metodyki COBIT jest przeświadczenie o rosnącym znaczeniu informacji jako kluczowego zasobu organizacji oraz roli jaką pełni technologia w cyklu życia informacji. Metodyka COBIT ma być odpowiedzią na potrzebę osiągania korzyści biznesowych oraz sprawności operacyjnej, w tym optymalizacji kosztów usług IT, dzięki efektywnemu i innowacyjnemu wykorzystaniu technologii.

Metodyka COBIT kładzie duży nacisk na kwestie utrzymania ryzyka związanego z IT na akceptowalnym poziomie przy równoczesnym zapewnieniu zgodności z obowiązującymi przepisami, regulacjami, zobowiązaniami umownymi oraz politykami. Osią przewodnią COBIT jest kaskada celów od potrzeb interesariuszy poprzez cele organizacji, cele związane z IT aż do poziomu definiowanych metodyką czynników umożliwiających. Koncepcja czynników umożliwiających ma na celu skonkretyzowanie działań związanych z nadzorem nad technologiami informatycznymi w organizacji i zarządzania nimi tak, aby były one skuteczne i wpisywały się w zdefiniowane cele wyższego rzędu.

Procesy IT – obiektywna ocena ich dojrzałości

Dzięki COBIT możliwe jest przeprowadzenie obiektywnej oceny dojrzałości procesów IT każdej organizacji bez względu na jej specyfikę i branżę. Ramy metodyki definiują 37 procesów IT przypisanych do pięciu domen obejmujących kompletny katalog działań związanych z nadzorem i zarządzaniem technologiami informatycznymi w przedsiębiorstwie, w tym procesy zarządzania IT w zakresie dopasowania, planowania i organizacji (APO), budowania, nabywania i wdrażania technologii IT (BAI), a także dostarczania, obsługi i wsparcia dla tych technologii (DSS) oraz procesy monitorowania i oceny (MEA).

Wykorzystanie modelu potencjału procesu opartego na normie ISO/ IEC 15504 Software Engineering pozwala na skategoryzowanie każdego z procesów organizacji na poziomie od 0 – proces niekompletny do 5 – proces optymalizujący oraz skuteczną identyfikację obszarów wymagających usprawnień. Dla ułatwienia kategoryzacji każdy proces opisany jest zestawem pytań, określających podprocesy, które powinny zostać zdefiniowane, aby móc zakwalifikować dany proces na odpowiedni poziom dojrzałości.

Należy podkreślić, że w przyjętym schemacie oceny już osiągnięcie poziomu 1 stanowi ważny sukces dla organizacji. Jest to o tyle istotne, że pułapką przyjętego podejścia może być chęć organizacji do osiągnięcia możliwie wysokiego poziomu dojrzałości, podczas gdy każdy podmiot powinien wybrać pożądany poziom na bazie rachunku kosztów i korzyści takiego działania oraz analizy jego wykonalności, a doświadczenie wskazuje, że bardzo rzadko uzasadnione jest celowanie w poziomy najwyższe.

W praktyce wykorzystanie standardu COBIT jako składowej audytu informatycznego odsuwa z głównej osi widzenia aspekty oceny technologii i infrastruktury na korzyść oceny obszaru IT w kontekście celów biznesowych organizacji oraz zapewnienia informacji o odpowiedniej jakości i użyteczności z punktu widzenia zastosowań biznesowych. COBIT kładzie akcenty na kwestie związane z integralnością danych, efektywnością działania organizacji oraz zapewnia mechanizmy kontroli wewnętrznej niezbędne do dostarczenia wiarygodnych informacji o osiąganiu celów operacyjnych i kontrolnych.

Architektura IT – tworzenie wiarygodnych rekomendacji dotyczącej jej rozwoju

Dzięki dekompozycji celów interesariuszy i organizacji na cele IT oraz zobiektywizowaniu procesu oceny dojrzałości procesów IT możliwe jest tworzenie wiarygodnych rekomendacji w obszarze rozwoju docelowej architektury środowiska IT w organizacji, jak również modelu funkcjonowania organizacji IT. Realizacja tak zdefiniowanych inicjatyw rozwojowych znajduje jednoznaczne odzwierciedlenie i uargumentowanie w kontekście wytycznych metodyki COBIT. Co istotne zakres inicjatyw i ich charakter bazuje na przesłance uzyskania optymalnej wartości z IT przy założeniu zachowania niezbędnej równowagi między osiąganiem zamierzonych korzyści, a optymalizacją poziomu ryzyka oraz wykorzystania zasobów.

Fakt, że COBIT – w przeciwieństwie do biblioteki ITIL – jest postrzegany jako mniej praktyczny, wskazuje tylko na zasadność dalszych działań na rzecz jego upowszechnienia. Takie przekonanie może mieć podstawy w utartym postrzeganiu COBIT jako ram dostarczających odpowiedzi na pytanie „dlaczego”, podczas gdy ITIL odpowiada na pytanie „jak”, co rzekomo miałoby wskazywać na bardziej praktyczny wydźwięk zaleceń ITIL. Należy podkreślić, iż w dalszym ciągu przekonanie o zasadności adaptacji standardów w obszarze ładu korporacyjnego IT utożsamiane jest bowiem z obszarem eksploatacji usług IT, w którym zdecydowanie bardziej zakorzeniony jest ITIL.

Nawet jeśli dzisiaj ITIL stanowi kompleksowe podejście do zarządzania usługami obejmujące obszary strategii usług oraz ustawicznego doskonalenia procesów, to COBIT lepiej wyraża ideę ład korporacyjnego IT jako zasad i norm niezbędnych do realizacji skutecznego nadzoru właścicielskiego, założonych celów strategicznych organizacji oraz zapewnienia zgodności z obowiązującymi organizację regulacjami. Taki stan rzeczy prowadzi do konkluzji, że dobrym pomysłem na zaadresowanie potrzeb biznesowych z wykorzystaniem IT może być połączenie wytycznych COBIT i ITIL. Zwłaszcza że jednym z podstawowych założeń COBIT 5 jest jego wykorzystanie jako nadrzędnego integratora ram ładu i zarządzania oraz otwartość na dopasowanie do standardów i innych ram stosowanych przez organizacje w obszarach ładu organizacyjnego i technologii informatycznych.

Jak w przypadku każdego z istniejących na rynku standardów, należy pamiętać o konieczności ich dostosowania do indywidualnych potrzeb i skutecznym podejściu do ich zaaplikowania w organizacji. COBIT niesie ze sobą konkretne ryzyka. O jednym z nich – nadmiernej chęci pięcia się po szczeblach poziomów dojrzałości – wspominano już wcześniej. W publikacjach wspomina się również o zjawisku wyuczonej bezradności, która może uniemożliwiać przejście organizacji na kolejne wyższe poziomy dojrzałości. O ile bowiem COBIT sprawdza się na etapie przejścia przez pierwsze poziomy, to w przypadku kolejnych szczebli zakorzenione w tożsamości organizacji procesy zamiast stać się przyczynkiem do dalszym zmian mogą wywoływać efekt zgoła odmienny. Nie da się również ukryć, iż COBIT stanowi ramy ambitne i obszerne, wymagające dużego doświadczenia i wiedzy na etapie ich implementacji. Nie zmienia to faktu, że to właśnie kompleksowość stanowi o sile metodyki, która zawiera przykłady i wzorce, a także model 7 faz cyklu życia wdrożenia ułatwiający sprostanie typowym wyzwaniom w implementacji COBIT.

Michał Wiatr, prezes zarządu firmy Softtutor Consulting
Softtutor Consulting realizuje usługi w zakresie audytu IT z wykorzystaniem metodyki COBIT.