COBIT и связанные методики

Описание процесса в COBIT

Структура описания отдельного процесса в COBIT состоит из следующих четырех разделов:

• краткое описание процесса;
• цели управления процессом;
• входы-выходы процесса, таблица ролей, цели и метрики процесса и его активностей;
• модель зрелости процесса.

Краткое описание дается в виде следующей каскадной схемы:

<назначение процесса>
Управление ИТ-процессом
   <имя процесса>
      которое удовлетворяет следующим бизнес-требованиям к ИТ:
         <наиболее важные ИТ-цели>		
            за счет того, что
               <наиболее важные цели процесса>
                  и реализуется посредством
                      <цели активностей>
                          и измеряется
                             <ключевые метрики>

Вот как выглядит, например, краткое описание процесса "Разработка стратегического плана развития ИТ":

"Стратегическое планирование ИТ необходимо для того, чтобы ИТ-ресурсы управлялись и выделялись в соответствии со стратегией и приоритетами бизнеса. ИТ-организация и заинтересованные лица со стороны бизнеса ответственны за то, чтобы проекты и портфели услуг приносили наибольшую отдачу. Стратегический план улучшает понимание ключевыми заинтересованными лицами возможностей и ограничений ИТ, дает оценку текущей эффективности, определяет требования к человеческим и другим ресурсам, уточняет объем необходимых инвестиций. Стратегия и приоритеты бизнеса должны отражаться в портфелях услуг и реализовываться путем выполнения тактических планов ИТ, где определяются точные цели, а также планы мероприятий и задач, понятные и разделяемые как бизнесом, так и ИТ.

Управление ИТ-процессом

<Разработка стратегического плана развития ИТ>

которое удовлетворяет следующим бизнес-требованиям к ИТ:

<поддержать или расширить стратегию бизнеса и корпоративные требования и

при этом обеспечить необходимую прозрачность в части ожидаемых преимуществ,

затрат и рисков>

за счет того, что

<руководство со стороны бизнеса и ИТ включается в процесс перевода бизнес

требований в описания предлагаемых услуг и разработку стратегии оказания

услуг эффективным и прозрачным способом>

и реализуется посредством

• тесного сотрудничества с менеджерами и высшими руководителями в процессе согласования стратегических ИТ-планов с существующими и будущими потребностями бизнеса;
• понимания текущих возможностей ИТ;
• разработки схемы приоритетов целей бизнеса, которая количественно характеризует требования бизнеса

и измеряется

• процентом целей ИТ в стратегическом плане ИТ, которые поддерживают стратегический бизнес-план;
• процентом ИТ-проектов в портфеле ИТ-проектов, которые непосредственно обусловлены тактическими ИТ-планами;
• задержкой между обновлением стратегических и тактических ИТ-планов".

На мой взгляд, такое высокоуровневое описание не позволяет ставить задачу практической реализации или внедрения процесса. Слишком многое оставлено на усмотрение специалистов-практиков. Приведенное описание представляет собой скорее перечень управленческих проблем и их взаимосвязей, чем описание процесса.

Та часть описания, где определяется "управление процессом", служит скорее неформальным комментарием, где на понятийном уровне формулируются связи процесса с корпоративными требованиями к ИТ, необходимыми управленческими практиками и метриками.

Цели управления процессом для каждого процесса свои и даются просто в виде списка. Вот несколько целей управления процессом "Разработка стратегического плана развития ИТ" (нумерация сохранена):

" PO1.1 Управление ценностью ИТ

Работать с бизнесом, добиваясь того, чтобы корпоративный портфель инвестиций в ИТ содержал программы, имеющие серьезное обоснование. Разделять обязательные, поддерживающие и необязательные инвестиции, различающиеся по сложности и допустимости распоряжения средствами. ИТ-процессы должны обеспечить результативное и эффективное создание ИТ-компонентов программ и раннее оповещение об отклонениях от планов, включая отклонения по затратам, срокам или функциональности, которые могут повлиять на результаты программ. ИТ-услуги должны оказываться в соответствии с взаимовыгодными и осуществимыми соглашениями об уровне услуг (SLA). Необходимо распределить ответственность за достижение результатов и управление затратами и контролировать ситуацию. Разработать справедливую, прозрачную и воспроизводимую систему обоснований, которая бы обеспечивала возможность сравнений и включала в себя финансовую составляющую, риск неполучения ИТ-компонента, риск неполучения ожидаемых выгод.

PO1.4. Стратегический ИТ-план

Разработать, взаимодействуя с заинтересованными лицами, стратегический план, который определил бы, каким образом цели ИТ способствуют достижению стратегических целей предприятия и снижают сопутствующие затраты и риски. План должен продемонстрировать, как со стороны ИТ будут поддерживаться инвестиционные программы, связанные с ИТ, ИТ-услуги и ИТ-активы. Со стороны ИТ должно быть определено, как предполагается достичь целей, какие методы измерения будут использованы и каковы процедуры формального согласования с заинтересованными лицами. Стратегический ИТ-план должен определять инвестиционный/операционный бюджет, источники финансирования, стратегию сорсинга, стратегию закупок, юридические требования и требования со стороны регуляторов. Стратегический план должен быть детализирован настолько, чтобы из него можно было получить тактические планы.

PO1.6. Управление ИТ-портфелем

Активно управлять вместе с бизнесом портфелем инвестиционных ИТ-программ, необходимых для достижения стратегических целей бизнеса. Управление состоит в идентификации, определении, оценке, назначении приоритетов, выборе, запуске программ, управлении их исполнением и контроллинге. Кроме этого, проясняются желаемые результаты для бизнеса, гарантируется, что цели программы обеспечивают достижение этих результатов, достигается понимание всей совокупности усилий, необходимых для достижения результата, устанавливается ответственность и сопутствующие методы измерения, определяются составляющие программу проекты, распределяются ресурсы и средства, делегируются полномочия, запускаются проекты начальной стадии программы".

Декларативность приведенных целей очевидна. Строго говоря, их вообще нельзя считать целями, поскольку ни для одной из них не выполняются свойства конкретности, измеримости, достижимости, реалистичности и привязанности ко времени. В сочетании с неконкретностью формулировок в описании процесса определенные таким образом цели не позволяют выстроить никакой конкретной системы управления процессом.

Следующий раздел называется "Указания для менеджмента" и содержит три атрибута процесса:

• таблицу входов и таблицу выходов;
• ролевую таблицу (т. н. RACI-таблицу, от англ. Responsible, Accountable, Consulted, Informed - Ответственный, Утверждающий, Согласующий, Извещенный);
• диаграмму целей и метрик (т. е. местоположение процесса в иерархии целей).

Таблицы входов и выходов процесса представлены на рис. 15.3.

увеличить изображение
Рис. 15.3. Входы и выходы процесса "Разработка стратегического плана развития ИТ"

На рис. 15.3 в таблице входов звездочками обозначены входы извне процессов COBIT. Обозначения процессов состоят из первых букв английского названия процессной области и порядкового номера процесса. Таким образом, ME4 обозначает четвертый процесс в области "Мониторинг и оценка" (а именно процесс "Обеспечение корпоративного управления ИТ"). В сочетании с ролевой таблицей, показанной на рис. 15.4, таблицы входов и выходов определяют на концептуальном уровне фрагмент схемы ИТ-документооборота.

увеличить изображение
Рис. 15.4. Ролевая таблица процесса "Разработка стратегического плана развития ИТ"

Наконец, диаграмма целей и метрик процесса показана на рис. 15.5.

увеличить изображение
Рис. 15.5. Цели и метрики процесса "Разработка стратегического плана развития ИТ"

О выборе набора метрик в COBIT говорится следующее.

"Метрики разрабатывались исходя из следующих соображений:

• высокая полезность (например, полезность метрик при оценке эффективности или степени достижения цели должна значительно превышать сложность их расчета);
• внутренняя сравнимость (например, процент от некоторого базового значения или величина, привязанная к моментам времени);
• внешняя сравнимость, не зависящая от конкретной индустрии или размера предприятия;
• лучше иметь несколько хороших метрик (может быть, даже одну-единственную очень хорошую, зависящую от множества факторов), чем длинный перечень метрик низкого качества;
• простые в измерении, в отличие от целей".

Несмотря на то что приведенный на рис. 15.5 перечень метрик процесса и его активностей является только иллюстративным (как и все перечни метрик в COBIT), он, безусловно, может оказаться полезным и на практике. Тем не менее принципы его построения остаются не вполне понятными. Например, у процесса есть два выхода - стратегия ИТ-сорсинга и стратегия ИТ-закупок, для которых, во-первых, нет активностей, а во-вторых, отсутствуют метрики, характеризующие соответствие этих выходов требованиям бизнеса. Более того, рис. 15.5 демонстрирует, что существуют две параллельные системы целей: цели управления процессом (control objectives) и цели процесса (process goals), причем метрики определены только для целей процесса. Для целей управления процессом никаких метрик не вводится, что еще раз подтверждает тезис о декларативности этих целей. Если сюда добавить еще и набор требований к процессам, приведенный в предыдущем разделе, получится довольно громоздкая и разнородная система утверждений разной степени общности с непрозрачными взаимосвязями, и, главное, имеющая непонятное назначение, потому что никаких рекомендаций по практическому использованию этих утверждений (за исключением целей процессов) COBIT не предлагает.

Последний раздел описания ИТ-процесса называется "Модель зрелости". Она опирается на расширенную модель CMM, которая устроена в COBIT следующим образом.