it治理的核心模型cobit的解讀與應用

1、COBIT的四個領域關注的是組織信息化建設的整個生命周期，因此對于我國的企業(yè)的信息化建設也具有指導意義。一、COBIT的背景介紹從現有的控制框架來看，以COSO為代表的業(yè)務控制框架，主要是從受托責任方面來考慮一般控制的價值，缺少對IT控制的闡述和說明；以CICA的IT控制指南為代表的IT控制框架，側重于對技術進行控制。因此。這兩類模型都沒有全面照顧到業(yè)務和IT。COBIT的出現就是為了填補這個空白，它基于COSO，同時整合了全球所有主要

2、的信息技術標準。因此既能關注IT，又能與業(yè)務日標緊密聯(lián)系，其任務就是研究、開發(fā)、出版和推動一個權威的、最新的、被國際上的企業(yè)，業(yè)務經理的日常使用、IT專業(yè)人上和鑒證專業(yè)認識所廣泛接受的IT治理框架。COBIT由ISACA開發(fā)與推廣。1976年，ISACA專門設立ISACF。從事IT的管理、控制和安全保證領域的研究。同年。ISACF發(fā)布COBIT1.0版本。試圖將它作為一種審計工具。為了響應對IT進行控制的需要，1998年發(fā)布的COBIT

3、2.0，在1.0版本的基礎上增加了資源文件的數據，改進了高層控制目標和具體控制目標，增加了實施工具包。1998年，ISACA與ISACF合并設立了旨在促進IT治理原則推廣和應用的ITGI，COBIT的后續(xù)的研究和更新就是由ITGI來完成的。ITGI在2000年發(fā)布的COBIT3.0版本中增加了管理指南，還將ISACA原始的“控制目標”修改為管理目標，同時還擴充和加強了對IT治理的關注。使得COBIT演變?yōu)橐粋€管理工具。IT的日益廣泛應用

4、，增加了對IT治理的需求，ITCI于2005年在廣泛調查和研究的基礎上，推出了COBIT4.0版本，它站在IT治理的角度，從更高的層面上來指導管理層進行IT控制和信息系統(tǒng)管理，使之成為一個真正意義上的IT治理框架。2007年5月，ITGI推出的COBIT4.1在40的基礎上進行了微調，并無本質更新。整個演進過程可用圖1來表示。二、COBIT4.1框架解讀為了實現有效治理，需要業(yè)務管理者在既定的控制框架內對所有IT過程實施控制。COBIT

5、通過IT過程來組織IT控制目標，控制框架提供了IT治理要求、IT過程和IT控制之間清晰的關系。關注業(yè)務、面向過程、基于控制和度量驅動是其主要特性。(一)關注業(yè)務關注業(yè)務是COBIT的主要宗旨。它設計不僅僅用來為IT服務提供商、用戶和審計師使用，更重要的是給管理者和業(yè)務流程所有者提供一個完整的指南。COBIT框架基于這樣一個原則：要提供企業(yè)達到其目標所需的信息，企業(yè)需要使用一組結構化的過程來投資、管理和控制IT資源，以提供服務來交付企業(yè)所

6、需的信息。COBIT對34個過程都定義了控制目標，每個控制目標又具體分為若干的詳細控制目標，除此之外，COBIT還確定了每個過程所需的一般性控制要求，包括過程的目的和目標，過程所有權過程的可重復性，角色和責任。政策、計劃和程序。在實踐中，應將他們與詳細的過程控制目標共同考慮以形成一個完整的控制要求。COBIT為每個過程提供了一個范例：一般性的輸入和輸出；以RACI圖表示的關于角色和職責的活動和指南；關鍵的活動目標；標準。(四)度量驅動為

7、了對企業(yè)自身IT過程的績效進行客觀度量，COBIT開發(fā)了成熟度模型進行標桿管理，從IT、IT過程和活動三個層次來定義控制的目標和標準。根據平衡計分卡來對過程績效進行度量。COBIT的成熟度模型是IT過程的定義框架，企業(yè)可借助它來認識到他們現在的狀態(tài)并確定他們將來的狀態(tài)。成熟度模型提供了對企業(yè)管理和IT過程控制演進每個階段的一般性描述，它們是：在不同成熟度水平的一系列需求和能力方面；可以實現用較為容易的方法來對不同點進行測度的標準；一個可

8、以使它進行實際比較的標準；設定當前狀態(tài)和未來狀態(tài)的基礎；支持差距分析來決定還需要做什么以達到某個選定的水平。日標是采用從上到下的方法來定義控制的目標和標準的，因為業(yè)務目標將決定一些來支持它的IT目標。一個IT目標是通過一個過程來實現或者用數個過程相互結合來實現。因此，IT目標幫助定義不同的過程目標。反過來，每個過程目標需要一些活動，由此建立活動目標。在事后要判斷目標是否被達到，可以用“結果標準”進行度量；要在結果明朗事前確定這些目標是否

9、能夠被達到，則需要借助于“績效指標”。需要注意的是，COBIT僅僅提供IT目標結果的度量標準，而不提供業(yè)務目標的度量標準。結果標準提供了業(yè)務平衡記分卡中財務與客戶方面的評估標準。它能夠在事后告知管理層，IT功能、程序或者活動已經達到了它的目標。對IT功能的結果度量通常按照信息準則來表達：信息的有效性要求支持業(yè)務需求；遠離完整性和保密性的風險；程序和操作符合成本效益原則；確認可靠性、有效性和符合性。績效指標強調了平衡記分卡中的另外兩個方面

10、，即內部處理與創(chuàng)新。它用于決定業(yè)務的現狀，IT功能或者IT程序的運行能確保目標的達成。它們是關于目標是否能夠達到的“領先指標”，由此來驅動更高層級的目標。它們通常度量適當能力、慣例和技能的可用性，以及潛在活動的結果。例如，一項IT所交付的服務是IT的一種目標，但是績效指標和一項能力是用于業(yè)務的。這就是為什么績效指標有時候被稱為績效驅動因素，尤其是在平衡記分卡中。三、COBIT在我國的應用由于我國信息化水平相對滯后，COBIT目前還只在一