IT治理的利器之一——COBIT（AMT 宋亮）

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

從經(jīng)濟(jì)學(xué)意義上來說，客戶愿意為任何滿足自己需求的產(chǎn)品和服務(wù)付費(fèi)，這個(gè)無須懷疑。需要懷疑的倒應(yīng)該是這個(gè)問題：廠商以“自己的標(biāo)準(zhǔn)”為用戶提供的所謂“服務(wù)”，能否讓用戶認(rèn)為“物有所值”？

是否“物有所值”，買家和賣家各自的感受會(huì)有差異，因此一個(gè)標(biāo)準(zhǔn)作為度量的尺度就成了人們關(guān)注的焦點(diǎn)。

為了建立這個(gè)公正的尺度，美國信息系統(tǒng)審計(jì)與控制協(xié)會(huì)(ISACA)從1967年成立伊始，就開始研究這個(gè)問題，提出了“信息系統(tǒng)和技術(shù)控制目標(biāo)”（COBIT）。COBIT，直譯為信息及相關(guān)技術(shù)的控制目標(biāo)，是IT治理的一個(gè)開放性標(biāo)準(zhǔn)，目前已成為國際上公認(rèn)的最先進(jìn)、最權(quán)威的安全與信息技術(shù)管理和控制的標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)為IT的治理、安全與控制提供了一個(gè)一般適用的公認(rèn)的標(biāo)準(zhǔn)，以輔助管理層進(jìn)行IT治理。該標(biāo)準(zhǔn)體系已在世界一百多個(gè)國家的重要組織與企業(yè)中運(yùn)用，指導(dǎo)這些組織有效利用信息資源，有效地管理與信息相關(guān)的風(fēng)險(xiǎn)。

以下是PWC的COBIT原理圖：

 從上圖中可以看出，COBIT完全基于IT，其IT準(zhǔn)則反映了企業(yè)的戰(zhàn)略目標(biāo)，IT資源包括人、系統(tǒng)、數(shù)據(jù)等相關(guān)資源，IT管理則是在IT準(zhǔn)則指導(dǎo)下對(duì)IT資源進(jìn)行規(guī)劃處理。COBIT在PO、AI、DS、M四個(gè)方面確定了34個(gè)處理過程以及318個(gè)詳細(xì)控制目標(biāo)。此外對(duì)每個(gè)過程還有評(píng)審工具。下表是COBIT的34個(gè)處理過程：

盡管COBIT非常復(fù)雜，但是它也不是憑空想象出來的，COBIT基于已有的許多架構(gòu),如SEI的能力成熟度模型（CMM）對(duì)軟件企業(yè)成熟度5級(jí)的劃分，以及ISO9000等標(biāo)準(zhǔn)，而ITIL是基于企業(yè)的最佳實(shí)務(wù)（Best Practice），OGC收集和分析各種組織解決服務(wù)管理問題方面的信息，找出那些對(duì)本部門和對(duì)英國政府其它部門有益的做法，最后形成了ITIL。它列出了各個(gè)服務(wù)管理流程“最佳”的目標(biāo)、活動(dòng)、輸入和輸出以及各個(gè)流程之間的關(guān)系，但沒定義范圍廣泛的控制架構(gòu)。另外，與ITIL關(guān)注方法和實(shí)施過程COBIT在總結(jié)這些標(biāo)準(zhǔn)的基礎(chǔ)上重點(diǎn)關(guān)注企業(yè)需要什么，而不是企業(yè)需要如何做，它不包括具體的實(shí)施指南和實(shí)施步驟，它是一個(gè)控制架構(gòu)（Control Framework）而非具體如何做的過程架構(gòu)（Process Framework）。

盡管兩個(gè)標(biāo)準(zhǔn)有著許多的不同之處，但在COBIT和ITIL背后卻有著非常一致的指導(dǎo)原則。信息系統(tǒng)審計(jì)師通常綜合使用COBIT和ITIL的自評(píng)估方法，去評(píng)估企業(yè)IT服務(wù)管理環(huán)境。COBIT為每一個(gè)過程提供了關(guān)鍵目標(biāo)指標(biāo)（KGIs）、關(guān)鍵績(jī)效指標(biāo)(KPIs)、關(guān)鍵成功要素(CSFs)，這些指標(biāo)與ITIL過程相結(jié)合，可以建立ITIL過程管理的基準(zhǔn)。在實(shí)際應(yīng)用中，某些企業(yè)綜合兩個(gè)標(biāo)準(zhǔn)提出了更易理解的適用于本企業(yè)環(huán)境的IT治理和運(yùn)行架構(gòu)。

而且，與ITIL一樣，作為IT治理中最重要的標(biāo)準(zhǔn)，COBIT也集中反映了IT控制的目標(biāo)和思想。COBIT中關(guān)于控制的含義是：“控制是一系列策略、程序、實(shí)踐和組織結(jié)構(gòu)的設(shè)計(jì)，以便對(duì)業(yè)務(wù)目標(biāo)提供有效的確證（Assurance），對(duì)意外事件進(jìn)行防護(hù)、監(jiān)控和糾正?！倍鳬T控制目標(biāo)的定義是：通過在特定的IT活動(dòng)中實(shí)施控制程序，以便獲得期望的結(jié)果和目標(biāo)所給出的陳述。

目前，COBIT已經(jīng)在100多個(gè)國家的超過10000家企業(yè)獲得應(yīng)用，全球有160余個(gè)機(jī)構(gòu)在推廣COBIT的知識(shí)體系和方法論。有識(shí)之士指出，COBIT從體系化、標(biāo)準(zhǔn)化的高度，構(gòu)建關(guān)于信息系統(tǒng)投資、建設(shè)、評(píng)估、風(fēng)險(xiǎn)控制的知識(shí)框架，超越了傳統(tǒng)的產(chǎn)品與服務(wù)的概念，是IT行業(yè)乃至信息化事業(yè)的新的發(fā)展思路。

信息系統(tǒng)的質(zhì)量問題是一個(gè)由來已久的問題。這個(gè)問題困擾美國人30多年，也困擾中國的客戶多年了。COBIT簡(jiǎn)單的說是一套標(biāo)準(zhǔn)，它基于以前的一些成熟的標(biāo)準(zhǔn)，可以客觀的衡量信息系統(tǒng)的質(zhì)量，但是不可否認(rèn)的是它是美國人開發(fā)的標(biāo)準(zhǔn)，而且某些方面并不適合中國的國情和現(xiàn)狀，所以COBIT并不是信息系統(tǒng)建設(shè)的救世主，它只是我們信息化建設(shè)的“鋪路石”。

和ITIL、ISO/IEC17799和PRINCE2一樣，COBIT是IT治理領(lǐng)域全球公認(rèn)的輔助工具。采納何種標(biāo)準(zhǔn)的關(guān)鍵在于：發(fā)掘你的真正需求，對(duì)標(biāo)準(zhǔn)進(jìn)行剪裁制定最適合的實(shí)施方案，然后持續(xù)改善。這將給組織帶來諸多益處，這其中就包括當(dāng)前業(yè)界普遍關(guān)心的提高IT投資回報(bào)率難題。

作者聯(lián)系方式：liang.song@AMTeam.org