Модели зрелости процессов домена Мониторинг и оценка

ME 1. Мониторинг и оценка эффективности ИТ

Управление процессом "Мониторинг и оценка эффективности ИТ" удовлетворяет следующим бизнес требованиям к ИТ прозрачность и понимание затрат на ИТ, преимуществ, стратегии, политик и уровней услуг в соответствии с требованиями корпоративного управления и соответствует характеристикам:

0. Несуществующий

В организации отсутствует процесс мониторинга эффективности деятельности. Служба ИТ не проводит независимый контроль хода проектов или процессов. Не подготавливаются содержательные, актуальные и точные отчеты. Не осознана потребность в ясном понимании целей процесса.

1. Начальный/Повторяющийся эпизодически и бессистемно

Руководство осознает необходимость процесса мониторинга. Стандартные процессы сбора и оценки информации еще не установлены. Мониторинг и система показателей используются от случая к случаю, применительно к нуждам конкретных ИТ проектов или процессов. Мониторинг внедряется, в основном, как реакция на инцидент, который привел к потерям или создал проблему для организации. Бухгалтерская служба отслеживает основные финансовые показатели, относящиеся к ИТ.

2. Повторяющийся, но интуитивный

Определены основные показатели, подлежащие мониторингу. Существуют методы и способы сбора и оценки информации, однако, они не внедрены в целом по всей организации. Интерпретация результатов мониторинга основана на личном опыте ключевых сотрудников. Выбраны и применяются отдельные, ограниченные по своим возможностям, инструментальные средства для сбора информации, однако эта работа ведется без планового подхода.

3. Определенный

Руководством утверждены документально оформленные стандартные процессы мониторинга, которые доведены до сведения сотрудников. Реализуются программы обучения и подготовки персонала по вопросам проведения мониторинга. Создана формализованная база знаний по показателям работы за прошедшие периоды. Оценка все еще выполняется на уровне отдельных ИТ процессов и проектов и не интегрирована со всеми процессами. Определены инструментальные средства для проведения мониторинга ИТ процессов и уровней обслуживания. Установлены показатели для определения вклада службы ИТ в общую работу организации с использованием традиционных финансовых и операционных критериев. Определены показатели эффективности, характерные для ИТ, а также нефинансовые, стратегические и показатели удовлетворенности пользователей и уровни обслуживания. Определена методология оценки эффективности.

4. Управляемый и измеряемый

Руководством определены допустимые отклонения для всех процессов. Установлены стандарты и нормы для отчетности по результатам мониторинга. Существует единая система показателей для всех ИТ проектов и процессов. Формализованы системы управленческой отчетности службы ИТ. Автоматизированные инструментальные средства интегрированы и используются в масштабах всей организации для сбора и мониторинга информации по приложениям, системам и процессам. Руководство может оценивать эффективность ИТ, основываясь на критериях, утвержденных заинтересованными сторонами. Показатели работы службы ИТ согласованы с общекорпоративными целями.

5. Оптимизированный

Разработан процесс непрерывного повышения качества для обновления методик и стандартов мониторинга в масштабе всей организации с учетом лучших отраслевых практик. Все процессы мониторинга оптимизированы и поддерживают цели всей организации. Соответствующие целям бизнеса показатели постоянно используются для оценки эффективности и взаимосвязаны с системой стратегических оценок, например, с системой сбалансированных показателей. Мониторинг процессов и их пересмотр согласуются с планами совершенствования бизнес процессов в масштабах всей организации. Формализован сравнительный анализ показателей организации с показателями отрасли и основных конкурентов на основе четких критериев.

ME 2. Мониторинг и оценка системы внутреннего контроля

Управление процессом "Мониторинг и оценка системы внутреннего контроля" удовлетворяет следующим бизнес требованиям к ИТ подтверждение достигнутых целей ИТ и соответствие ИТ законодательству, регулирующим нормам и контрактам и соответствует характеристикам:

0. Несуществующий

В организации отсутствуют процедуры отслеживания действенности мер внутреннего контроля. Отсутствуют методы информирования руководства по вопросам внутреннего контроля. Имеет место общая неосведомленность по мерам контроля ИТ безопасности и внутреннего контроля. Как руководители, так и сотрудники проявляют общую неосведомленность в вопросах внутреннего контроля.

1. Начальный/Повторяющийся эпизодически и бессистемно

Руководство осознает необходимость в регулярных проверках в области управления средой контроля ИТ. Опыт отдельных сотрудников по оценке адекватности мер внутреннего контроля применяется от случая к случаю. Руководители службы ИТ официально не назначили лиц, ответственных за осуществление мониторинга эффективности системы внутреннего контроля. Оценка системы внутреннего контроля ИТ является частью обычного финансового аудита, при этом используемые технологии и квалификация персонала не отражают потребностей службы ИТ.

2. Повторяющийся, но интуитивный

Организация использует неформальную отчетность по вопросам контроля для инициирования корректирующих мер. Оценка внутреннего контроля зависит от уровня квалификации ведущих сотрудников. Организация повысила уровень своего понимания важности мониторинга внутреннего контроля. Руководство службы ИТ выполняет регулярный мониторинг эффективности того, что им понимается как наиболее важные меры внутреннего контроля. Начинается применение, хотя и бессистемное, методологий и инструментов мониторинга системы внутреннего контроля. На основе опыта ведущих сотрудников выявляются факторы риска, характерные для ИТ среды.

3. Определенный

Руководство поддерживает и официально внедряет в практику организации мониторинг системы внутреннего контроля. Разработаны политика и процедуры оценки и отчетности по результатам мониторинга адекватности системы внутреннего контроля. Создана программа обучения мониторингу внутреннего контроля. Предусмотрены процедуры самооценки и независимого анализа состояния внутреннего контроля, которые определяют обязанности бизнес и ИТ менеджеров. Используются инструментальные средства, которые, однако, не всегда интегрированы во всех процессах. Методики оценки рисков ИТ процессов, используемые в рамках системы контроля, разработаны специально для службы ИТ. Определены риски, характерные для конкретных процессов и политика их минимизации.

4. Управляемый и измеряемый

Руководство внедряет методологию мониторинга внутреннего контроля. В организации принимаются допустимые отклонения для процесса мониторинга внутреннего контроля. Для стандартизации оценок и автоматического выявления исключительных случаев внедрены инструментальные средства. Официально создано подразделение внутреннего контроля информационных технологий, обеспечиваемое работой сертифицированных профессионалов, которые применяют методологию, утвержденную высшим руководством. Опытные сотрудники персонала ИТ постоянно участвуют в процессе оценки внутреннего контроля. Создана база знаний, включающая в себя архив полученных в прошлом показателей внутреннего контроля. Введен обмен опытом по вопросам мониторинга внутреннего контроля.

5. Оптимизированный

Руководство вводит программу постоянного совершенствования в масштабах всей организации с использованием как собственных, так и отраслевых лучших практик для мониторинга внутреннего контроля. Организация использует современные интегрированные инструментальные средства, которые позволяют эффективно оценивать важнейшие меры ИТ контроля и быстро выявлять инциденты при мониторинге. Официально организован процесс обмена опытом. Формализован сравнительный анализ отраслевых стандартов и лучших практик.

ME 3. Обеспечение соответствия внешним требованиям

Управление процессом "Обеспечение соответствия внешним требованиям" удовлетворяет следующим бизнес требованиям к ИТ обеспечение соблюдения законодательства, регулирующих норм и условий контрактов и соответствует характеристикам:

0. Несуществующий

Имеется незначительное осознание того, что внешние требования влияют на ИТ, при этом отсутствует процесс, касающийся соблюдения требований законодательства, регулирующих норм и контрактных обязательств.

1. Начальный/Повторяющийся эпизодически и бессистемно

Осознается необходимость соблюдения требований законодательства, регулирующих норм и контрактных обязательств, влияющих на организацию. Неформальные процессы обеспечения их соблюдения осуществляются только когда возникает необходимость в новых проектах, либо в результате аудиторских проверок или рассмотрений этих вопросов руководством.

2. Повторяющийся, но интуитивный

Есть понимание необходимости соблюдения внешних требований и это доведено до сведения персонала. В тех случаях, где подтверждение соблюдения требований носит регулярный характер, например, в области регулирования финансовой деятельности или конфиденциальности персональных данных, разработаны и ежегодно соблюдаются отдельные процедуры обеспечения соответствия. Тем не менее, отсутствует общий подход. Организация во многом полагается на знания и ответственность сотрудников, вследствие чего возможны ошибки. Осуществляется неформальное обучение вопросам, касающимся внешних требований и вопросам их соблюдения.

3. Определенный

Разработаны, документально оформлены и доведены до сведения персонала политика, процедуры и процессы обеспечения соблюдения требований законодательства, регулирующих норм и контрактных обязательств. Требования, однако, не всегда соблюдаются, и в ряде случаях могут оказаться устаревшими или невыполнимыми. Мало используется мониторинг и есть не исполненные требования. Осуществляется обучение вопросам, касающимся внешних законодательных и нормативных требований, влияющих на организацию, а также определенным процессам обеспечения соответствия. Имеются стандартные типовые договора и юридические процессы для минимизации рисков, связанных с договорными обязательствами.

4. Управляемый и измеряемый

Существует полное понимание вопросов и рисков, связанных с внешними требованиями, и необходимости обеспечения соответствия на всех уровнях. Имеется официально утвержденная система обучения, которая гарантирует информирование всех сотрудников об их обязанностях соблюдать эти требования. Определена ответственность должностных лиц и владельцы процесса. Данный процесс предусматривает анализ среды с целью выявления внешних требований и продолжающихся изменений. Реализован механизм мониторинга несоблюдения внешних требований, внедрения внутренних практик и реализации корректирующих мер. Вопросы несоответствия внешним требованиям анализируются с помощью стандартной процедуры для выявления первопричин с тем, чтобы найти эффективные решения. В конкретных случаях, таких как устоявшиеся регулятивные требования и повторяющиеся договора на обслуживание, используются стандартизованные лучшие отраслевые практики.

5. Оптимизированный

Имеется хорошо организованный, эффективный и регламентированный процесс обеспечения соответствия внешним требованиям, предусматривающий создание единого централизованного органа, который обеспечивает руководство и координацию в рамках всей организации. Имеется глубокая осведомленность о потенциальных внешних требованиях, включая тенденции их развития и ожидаемые изменения, и существует потребность в новых решениях. Организация принимает участие в работе нормативных и отраслевых ассоциаций и групп с целью понимания и влияния на соответствующие внешние требования, в результате чего несоответствия сведены к минимуму. Существует централизованная система контроля в масштабе организации, позволяющая руководству документально оформлять процедуры рабочего процесса, измерять и повышать качество и эффективность мониторинга соответствия. Реализован процесс внутренней оценки соответствия внешним требованиям, который доведен до уровня лучших практик. Стиль руководства и корпоративная культура в отношении вопросов соответствия являются достаточно требовательными, процессы обучения достаточно хорошо разработаны и применяются только к новым сотрудникам и в случаях, когда происходят значительные перемены.

ME 4. Обеспечение корпоративного управления ИТ

Управление процессом "Обеспечение управления ИТ" удовлетворяет следующим бизнес требованиям к ИТ интеграция целей управления ИТ и корпоративного управления, обеспечение соответствия с требованиями законодательства, регулирующих норм и условий контрактов и соответствует характеристикам:

0. Несуществующий

Полное отсутствие какого-либо процесса корпоративного управления ИТ. Организация не осознает существование такой проблемы, данный вопрос не обсуждается.

1. Начальный/Повторяющийся эпизодически и бессистемно

Есть признаки того, что организация признает существование проблем в корпоративном управлении ИТ и необходимость их решения. Возникающие проблемы решаются на индивидуальной основе от случая к случаю. Управление осуществляется в виде реакции на произошедшие события, способы информирования о наличии и подходы к решению проблем случайны и непоследовательны. Руководство имеет самые общие представления о вкладе ИТ в эффективность организации. Управление осуществляется только как реакция на инциденты, повлекшие за собой определенные убытки либо проблемы для организации.

2. Повторяющийся, но интуитивный

Существует общее понимание проблем корпоративного управления ИТ. Виды деятельности в области корпоративного управления ИТ, которые включают в себя процессы планирования, эксплуатации и контроля, а также система показателей эффективности деятельности находятся в стадии развития. Ведется совершенствование некоторых ИТ процессов по инициативе отдельных сотрудников. Руководство выбрало основные показатели и методы оценки корпоративного управления ИТ, хотя сам процесс не внедрен во всей организации. Ответственность за процессы обучения и информирования персонала о стандартах в области корпоративного управления ИТ возложена на отдельных сотрудников. Указанные сотрудники осуществляют процесс управления ИТ в рамках различных проектов и ИТ процессов. Процессы, инструменты и показатели оценки управления ИТ ограничены и могут используются не в полной мере в силу отсутствия знаний об их функциональных возможностях.

3. Определенный

Важность и необходимость корпоративного управления ИТ осознана и принята руководством и доведена до сведения персонала организации. Разработан базовый набор показателей корпоративного управления ИТ, с определенными и документально зафиксированными взаимосвязями между показателями эффективности. Процедуры стандартизированы, документально оформлены и внедрены. Определены инструментальные средства, применяемые при надзоре за управлением ИТ. В качестве компонента системы сбалансированных показателей образованы инструментальные панели. Тем не менее, ответственность за обучение, соблюдение и применение стандартов возложена на сотрудников. Процессов могут подвергаться мониторингу, однако отклонения от стандартов часто остаются незамеченными руководством, поскольку многие действия выполняются по личной инициативе.

4. Управляемый и измеряемый

Существует полное понимание проблем корпоративного управления ИТ на всех уровнях. Есть четкое представление о том, кто является потребителем ИТ услуг, обязанности определены и их исполнение контролируется, исходя из соглашений об уровне обслуживания. Установлены владельцы процессов и определены их обязанности. ИТ процессы увязаны с бизнесом и ИТ стратегией. Совершенствование ИТ процессов базируется на количественном анализе, что позволяет контролировать и оценивать соответствие показателям процессов и процедур. Все заинтересованные стороны процессов осознают риски, важность и возможности ИТ. Руководством определены допустимые отклонения от стандартов, в рамках которых должно происходить исполнение процессов. Существует ограниченное, преимущественно тактическое, применение технологии управления, основанной на развитых методиках и стандартизованных инструментальных средствах. Управление ИТ интегрировано с процессами стратегического и операционного планирования и мониторинга. Показатели эффективности всех видов ИТ деятельности фиксируются и отслеживаются в целях общекорпоративных усовершенствований. Налажена отчетность по основным процессам, менеджмент поощряется по результатам основных показателей эффективности.

5. Оптимизированный

Существует продвинутое понимание корпоративного управления ИТ, проблем ИТ и соответствующих решений, а также их перспектив. Обучение и информирование персонала обеспечивается самыми передовыми методами и концепциями. Благодаря постоянному совершенствованию, процессы соответствуют моделям зрелости, построенным на основе лучших практик. Внедрение ИТ политик привело к появлению сотрудников и процессов, которые способны быстро адаптироваться к изменяющимся условиям при полной поддержке требований корпоративного управления ИТ. Первопричины всех возникающих проблем и отклонений тщательно анализируются, затем определяются и принимаются соответствующие эффективные меры. Информационные технологии широко распространены, интегрированы, оптимизированы и применяются для автоматизации рабочего процесса и повышения качества и эффективности. Риски и отдача от ИТ определены и донесены до всех заинтересованных сотрудников организации. Внешние эксперты проводят сравнительный анализ. Контроль, внутренняя оценка, информирование об ожиданиях корпоративного управления ИТ являются нормальной практикой в организации и обеспечивают оптимальное использование технологий для поддержки проведения оценки, анализа, информирования и обучения. Корпоративное управление ИТ и корпоративное управление организацией стратегически взаимосвязаны и служат средством усиления эффективности технологических, человеческих и финансовых ресурсов с целью повышения конкурентоспособности организации. Деятельность по управлению ИТ интегрирована с общекорпоративным процессом управления.