COBIT 2019 چارچوبی برای حاکمیت و مدیریت اطلاعات و فناوری سازمانی است. نقطه قوت آن این است که به مدیران کمک می‌کند رابطه بین اهداف کسب‌وکار، فناوری، ریسک، منابع، عملکرد و کنترل را به زبان قابل سنجش تبدیل کنند.
سناریو: هیئت‌مدیره از IT فقط «هزینه» می‌بیند
در یک هلدینگ، بودجه فناوری اطلاعات هر سال افزایش یافته اما مدیریت ارشد نمی‌داند این هزینه چه ارزشی ایجاد کرده است. سرویس‌ها قطع می‌شوند، پروژه‌ها دیر تمام می‌شوند، امنیت گزارش جداگانه دارد و واحد مالی هم تصویر دیگری ارائه می‌دهد. مشکل اصلی الزاماً نبود ابزار نیست؛ مشکل، نبود مدل حاکمیت مشترک است.
Governance و Management یکی نیستند
| موضوع | حاکمیت | مدیریت |
|---|---|---|
| تمرکز | ارزیابی، هدایت و نظارت | برنامه‌ریزی، ساخت، اجرا و پایش |
| سطح | هیئت‌مدیره و مدیریت ارشد | مدیران و تیم‌های اجرایی |
| سؤال | آیا مسیر درست را انتخاب کرده‌ایم؟ | چطور مسیر انتخاب‌شده را اجرا کنیم؟ |
پنج حوزه اصلی COBIT 2019
| حوزه | معنا | مثال سازمانی |
|---|---|---|
| EDM | Evaluate, Direct, Monitor | تصمیم درباره اولویت‌های کلان فناوری |
| APO | Align, Plan, Organize | استراتژی، معماری، منابع و ریسک |
| BAI | Build, Acquire, Implement | پروژه، تغییر، توسعه و استقرار |
| DSS | Deliver, Service, Support | عملیات، رخداد، تداوم و امنیت |
| MEA | Monitor, Evaluate, Assess | پایش عملکرد، کنترل داخلی و انطباق |
سناریوی اجرایی
هیئت‌مدیره هدف «کاهش قطعی سرویس‌های حیاتی و افزایش شفافیت سرمایه‌گذاری IT» را تصویب می‌کند. با COBIT می‌توان این هدف را به اهداف حاکمیتی و مدیریتی مرتبط کرد، سپس برای هرکدام شاخص، مالک، کنترل و شواهد تعیین نمود.
| نیاز کسب‌وکار | ترجمه حاکمیتی | کنترل/اقدام | شاهد |
|---|---|---|---|
| کاهش قطعی سرویس | بهبود تداوم و عملیات | BCP، مانیتورینگ، مدیریت تغییر | گزارش Availability و تست بازیابی |
| شفافیت هزینه | بهینه‌سازی منابع | بودجه‌بندی و Value Tracking | گزارش هزینه/ارزش |
| کاهش ریسک سایبری | مدیریت ریسک I&T | کنترل دسترسی، Patch، SIEM | گزارش کنترل و یافته ممیزی |
Design Factors چرا مهم‌اند؟
COBIT 2019 تأکید می‌کند که یک سیستم حاکمیت برای همه سازمان‌ها یکسان نیست. اندازه سازمان، استراتژی، تهدیدات، الزامات انطباق، نقش فناوری، مدل تأمین و سایر شرایط باید در طراحی سیستم حاکمیت اثر بگذارند. بنابراین اجرای COBIT به معنی «اجرای همه چیز» نیست؛ بلکه انتخاب و اولویت‌بندی متناسب با شرایط سازمان است.
COBIT 2019 در MedaGRC
در MedaGRC می‌توان اهداف و کنترل‌های منتخب COBIT را به واحدها و مالکان مربوط کرد، برای آن‌ها شواهد جمع‌آوری نمود، ممیزی انجام داد، Gap و Finding ثبت کرد و اقدامات اصلاحی را تا بسته‌شدن پیگیری کرد. اینجا COBIT از یک کتاب مرجع به یک چرخه قابل اجرا تبدیل می‌شود.
چیستان GRC
من تصمیم نمی‌گیرم که سرور را چگونه Patch کنید، اما می‌پرسم آیا Patch Management در جهت ریسک و هدف سازمان هست یا نه. من عملیات نیستم؛ بالاتر از عملیات ایستاده‌ام. من چه هستم؟
پاسخ
حاکمیت (Governance)؛ در COBIT حاکمیت مسیر را ارزیابی، هدایت و نظارت می‌کند و مدیریت آن را اجرا می‌کند.
جمع‌بندی
COBIT 2019 زمانی مفید است که مدیران بخواهند بدانند «فناوری دقیقاً چگونه به هدف سازمان، ریسک قابل قبول و ارزش قابل سنجش وصل می‌شود». اگر فقط Objectiveها فهرست شوند اما مالک، شواهد، شاخص و اقدام وجود نداشته باشد، COBIT به مستندات تبدیل می‌شود نه حاکمیت.
