Назначение и состав COBIT 5

Записаться

Введение

COBIT 5 — уже знакомая и достаточно старая модель. Основные документы переведены на русский язык. С этого года её заменяет COBIT 2019, который не переведён и ещё не освоен в русскоязычном ИТ-сообществе. Поэтому имеет смысл совместить оба подхода: рассказать о COBIT 5 и осветить основные идеи COBIT 2019, чтобы увидеть эволюцию, сильные и слабые стороны версий.

COBIT 5: общая характеристика

Название документа — «бизнес-модель по руководству и управлению». Грамматически точнее было бы «модель деятельности по руководству и управлению». Качество перевода COBIT 5 на русский язык низкое, хотя улучшается от версии к версии. По сравнению с COBIT 3 и COBIT 4 улучшение заметно, но текст переведён косноязычно, читать трудно. Это усложняет восприятие и без того непростой идеи COBIT.

COBIT 5 — это совокупность документов, или фреймворк (framework). Хорошего русского перевода слова «framework» нет. Это набор концептуальных документов, практических инструментов и моделей, работающих на общую цель и одну область знаний. Это не чисто теоретическое исследование и не стандарт. Это набор моделей, рекомендаций, инструментов, включая процессы, которые помогают правильно управлять ИТ в организации. Контекст COBIT шире, чем только процессы.

Разработчик: ISACA

Фреймворк разрабатывается и постоянно улучшается организацией ISACA (ИСАКА). Это международная организация, объединяющая ИТ-аудиторов. Это не консалтинговая структура, а скорее просветительско-образовательная. Её деятельность направлена на пропаганду и предоставление знаний в области обеспечения качества, а также на сертификацию соответствия уровню знаний.

ISACA основана в 1969 году. При создании ставилась глобальная цель: разработать международные стандарты аудита информационных систем.

Контекст аудита информационных систем

Финансовый или налоговый аудит — проверка деятельности организации на соответствие требованиям законодательства, налоговым указаниям, правилам бухучёта и другим финансовым ограничениям. Был большой соблазн оценивать информационные системы предприятия аналогично: делать выводы, насколько они устроены разумно и правильно.

Но если налоговое законодательство написано и доступно, то понятие «правильная информационная система» не определено. Существует много подходов и соображений. Люди сходятся, пожалуй, только в требованиях к информационной безопасности. Здесь есть стандарты, по которым можно проверять соответствие. Когда же речь идёт о соответствии здравому смыслу, непонятно, что именно проверять. Тем не менее такая задача была поставлена перед создателями организации.

Версии и назначение COBIT

Со временем задача сильно трансформировалась. Версии COBIT сильно отличаются друг от друга из-за изменения точки зрения на то, что это такое. Сейчас COBIT — набор рекомендаций и полезных сведений, простыми словами. Он предназначен, с одной стороны, для ИТ-руководителей, которые управляют информационными технологиями на предприятии. С другой стороны, и это подчёркивается, — для высшего руководства организаций. Оно должно задавать правильные ориентиры и направления для корпоративных ИТ, чтобы обеспечить оптимальное развитие с точки зрения основного бизнеса.

Публикации COBIT 5

COBIT 5 включает ряд публикаций. Есть вводная часть — бизнес-модель COBIT. Затем идут рекомендации по конкретным факторам влияния. Далее — рекомендации для профессионалов, прежде всего в области аудита и проверки соответствия.

Принципиально важное в COBIT 5 — онлайн-среда для совместной работы. Это ценная онлайн-база знаний, где собрана и упорядочена информация, которую аудиторы по всему миру собирают в соответствии с COBIT 5. Для специалистов-практиков эта среда особенно интересна.

Доступ к публикациям

Политика доступа к публикациям сложная. Часть публикаций открыта для всех, но ограничивается общим концептуальным уровнем. Часть доступна за плату; как правило, это материалы для подготовки к сертификации. Некоторые публикации доступны только на особых условиях, например по годовой подписке на COBIT. Онлайн-среда относится к последней категории.

Набор публикаций постоянно меняется: они уточняются, детализируются, меняется и их состав. Например, COBIT 5 for Risk находится в разработке, COBIT 5 for Analyzing Information тоже разрабатывается. Есть и другие документы на начальной стадии разработки и понимания.

Живой характер COBIT

COBIT 5 — очень живая среда, и это задумано. Это не раз и навсегда сложившийся стандарт, которому нужно следовать. Скорее это направление деятельности или направление мысли, живой набор рекомендаций, который всё время мутирует и трансформируется. Так к нему и нужно относиться.

Краткие итоги

Управление ИТ в организации не сводится к набору технологических решений. Оно требует согласования целей бизнеса и возможностей информационных систем, а также понятных ориентиров для руководителей разного уровня. COBIT в этой логике выступает не как жёсткий стандарт, а как развивающаяся система знаний, моделей и практических рекомендаций. Это принципиально меняет способ применения: вместо механической проверки на соответствие требуется интерпретация, выбор релевантных практик и адаптация к контексту.

Практическая ценность такого подхода проявляется в двух направлениях. Для ИТ-руководителей он даёт язык описания управленческих задач, позволяет выстраивать процессы, оценивать риски и обосновывать решения. Для высшего руководства он служит инструментом задания направлений развития корпоративных ИТ и контроля их вклада в основной бизнес. Однако отсутствие единого определения «правильной» информационной системы создаёт методологическую трудность: оценка неизбежно опирается на экспертные суждения, а не только на формальные критерии. Наиболее определённой областью остаётся информационная безопасность, где существуют признанные стандарты и измеримые требования.

Эволюция версий показывает, что зрелость управления ИТ связана не с фиксацией единственно верной модели, а со способностью организации работать с изменяющимся знанием. Публикации, онлайн-среда, сертификация и разные режимы доступа формируют экосистему, где практика аудита и управления обогащает теоретические модели. Поэтому ключевой навык — не запоминание конкретной версии, а понимание логики: как выбирать применимые рекомендации, как учитывать факторы влияния, как сочетать аудит, управление рисками и стратегическое планирование. В прикладном смысле это означает, что внедрение COBIT не должно превращаться в самоцель. Оно оправдано там, где помогает связать ИТ с целями организации, повысить прозрачность решений и создать механизмы постоянного улучшения. Ограничения перевода, сменяемость версий и неполнота русскоязычных материалов требуют критического отношения к источникам и опоры на первоисточники. Таким образом, ценность подхода заключается в формировании управленческой рамки, которая поддерживает диалог между бизнесом и ИТ, а не в наборе неизменных предписаний.