فرض کنید هیئت‌مدیره یک سازمان سه مطالبه روشن دارد: سرویس‌های دیجیتال باید پایدارتر شوند، ریسک فناوری کاهش پیدا کند و سرمایه‌گذاری‌های IT باید اثر قابل‌اندازه‌گیری روی کسب‌وکار داشته باشند. در جلسه بعدی، تیم فناوری اطلاعات با یک فهرست بلند از پروژه‌ها وارد می‌شود: ارتقای شبکه، SIEM، CMDB، بازطراحی Disaster Recovery، آموزش کارکنان، بهبود Service Desk و چند پروژه دیگر.

همه این پروژه‌ها می‌توانند مفید باشند، اما یک سؤال اساسی هنوز بی‌پاسخ مانده است: کدام پروژه واقعاً از هدف کسب‌وکار پشتیبانی می‌کند و اولویت آن بر چه مبنایی تعیین شده است؟

در COBIT 2019، پاسخ این سؤال با مفهوم Goals Cascade یا «آبشار اهداف» شروع می‌شود. Goals Cascade کمک می‌کند نیازهای ذی‌نفعان به Enterprise Goals، سپس Alignment Goals و در نهایت به Governance and Management Objectives ترجمه شوند؛ یعنی فاصله میان «استراتژی» و «کار اجرایی فناوری اطلاعات» کمتر شود.

اگر هنوز با ساختار کلی این چارچوب آشنا نیستید، ابتدا صفحه COBIT در مدانت را ببینید. این نوشتار روی یک بخش مشخص و بسیار کاربردی از COBIT 2019 تمرکز دارد: اینکه Goals Cascade چطور برای اولویت‌بندی واقعی حاکمیت و مدیریت I&T استفاده می‌شود.

Goals Cascade در COBIT 2019 چیست؟

Goals Cascade یک سازوکار ترجمه و اولویت‌بندی است. سازمان از یک نیاز کلی ذی‌نفع شروع می‌کند و آن را مرحله‌به‌مرحله به اهدافی تبدیل می‌کند که تیم مدیریت و فناوری بتوانند برایشان برنامه، معیار و مسئول مشخص تعریف کنند.

طبق ساختار رسمی ISACA، جریان ساده‌شده آن این‌طور است:

1. Stakeholder Drivers and Needs: چه چیزی برای ذی‌نفعان مهم است؟
2. Enterprise Goals: سازمان برای پاسخ به آن نیاز باید به چه هدفی برسد؟
3. Alignment Goals: اطلاعات و فناوری باید چگونه با آن هدف سازمانی هم‌راستا شوند؟
4. Governance and Management Objectives: کدام اهداف حاکمیتی و مدیریتی COBIT باید در اولویت قرار بگیرند؟

COBIT 2019 برای این زنجیره ۱۳ Enterprise Goal و ۱۳ Alignment Goal تعریف می‌کند و Core Model آن شامل ۴۰ Governance and Management Objective است. این ۴۰ هدف در پنج Domain اصلی EDM، APO، BAI، DSS و MEA قرار می‌گیرند.

چرا Goals Cascade برای مدیر فناوری اطلاعات مهم است؟

بدون Goals Cascade، برنامه فناوری اطلاعات خیلی راحت تبدیل به فهرست پروژه‌هایی می‌شود که هرکدام از زاویه فنی منطقی‌اند، اما ارتباطشان با اولویت واقعی سازمان شفاف نیست.

برای مثال مدیر شبکه می‌خواهد Monitoring را ارتقا دهد، تیم امنیت به SIEM نیاز دارد، Service Desk درخواست CMDB دارد و تیم زیرساخت بودجه DR می‌خواهد. اگر همه این موارد هم‌زمان وارد برنامه شوند، معمولاً بودجه و نیروی کافی وجود ندارد و اولویت‌بندی به مذاکره، نفوذ واحدها یا فشار روزمره وابسته می‌شود.

Goals Cascade یک سؤال مشترک ایجاد می‌کند: کدام اقدام بیشترین ارتباط را با Enterprise Goal اولویت‌دار دارد؟

این رویکرد باعث می‌شود تصمیم «چه چیزی را اول اجرا کنیم؟» از فضای سلیقه‌ای به فضای قابل دفاع و قابل اندازه‌گیری نزدیک شود.

تفاوت Goals Cascade در COBIT 2019 با COBIT 5

منطق اصلی آبشار اهداف در COBIT 5 هم وجود داشت، اما در COBIT 2019 ساختار ساده‌تر و روشن‌تر شده است. ISACA توضیح می‌دهد که Goals Cascade در COBIT 2019 برای ترجمه Enterprise Goals به اولویت Alignment Goals و سپس انتخاب و اولویت‌بندی Governance and Management Objectives استفاده می‌شود.

در COBIT 2019 تعداد Enterprise Goalها و Alignment Goalها هرکدام ۱۳ مورد است و مفهوم IT-related Goals نسخه قبلی با Alignment Goals بازطراحی شده است. هدف این تغییر، نزدیک‌تر کردن زبان فناوری به زبان کسب‌وکار و کاهش پیچیدگی Mapping است.

از نیاز ذی‌نفع تا هدف سازمانی؛ مرحله اول

شروع Goals Cascade با Process نیست؛ با Stakeholder Need است. این نکته بسیار مهم است.

اگر پروژه COBIT را با سؤال «کدام Process را پیاده کنیم؟» شروع کنید، احتمالاً خیلی زود وارد یک پروژه بزرگ مستندسازی می‌شوید. شروع درست سؤال‌هایی از این جنس است:

• هیئت‌مدیره از فناوری چه می‌خواهد؟
• کدام ریسک برای سازمان قابل‌تحمل نیست؟
• کدام سرویس مستقیماً روی درآمد یا اعتبار سازمان اثر دارد؟
• رگولاتور چه الزاماتی تعیین کرده است؟
• مشتری از کدام ضعف سرویس بیشترین آسیب را می‌بیند؟
• کجا هزینه فناوری زیاد است ولی ارزش آن روشن نیست؟

در یک بانک ممکن است Resilience و Security مهم‌تر باشند؛ در یک شرکت SaaS شاید Time-to-Market و Availability؛ در یک هلدینگ بزرگ شاید استانداردسازی، کنترل ریسک و شفافیت هزینه.

Enterprise Goals؛ ترجمه مطالبه به نتیجه کسب‌وکار

Enterprise Goal باید نتیجه‌ای باشد که برای مدیر کسب‌وکار معنا دارد. هدف‌هایی مثل «نصب SIEM» یا «راه‌اندازی CMDB» Enterprise Goal نیستند؛ این‌ها راه‌حل یا Capability هستند.

Enterprise Goal درباره نتیجه صحبت می‌کند: تداوم سرویس، بهینه‌سازی ریسک، رضایت مشتری، بهره‌وری، انطباق، کیفیت اطلاعات یا دستیابی به منافع سرمایه‌گذاری.

اینجا یکی از خطاهای رایج پروژه‌های فناوری مشخص می‌شود: تیم IT از راه‌حل شروع می‌کند، در حالی که COBIT می‌خواهد از Outcome شروع کنیم.

Alignment Goals؛ جایی که زبان کسب‌وکار به زبان I&T نزدیک می‌شود

Alignment Goals پل میان Enterprise Goals و عملکرد اطلاعات و فناوری هستند. این لایه می‌پرسد:

برای رسیدن به هدف سازمانی، وضعیت I&T باید چگونه باشد؟

اگر Enterprise Goal درباره Business Continuity باشد، Alignment Goalهای مرتبط می‌توانند امنیت اطلاعات، Availability، Resilience یا کیفیت سرویس را در اولویت قرار دهند. اگر هدف کسب‌وکار نوآوری باشد، Alignment Goalهای دیگری برجسته می‌شوند.

این لایه کمک می‌کند تیم فناوری از پروژه‌محوری فاصله بگیرد و Capabilityهایی را ببیند که باید تقویت شوند.

از Alignment Goal به ۴۰ هدف حاکمیت و مدیریت COBIT

Core Model در COBIT 2019 شامل ۴۰ Governance and Management Objective است. این اهداف در پنج Domain قرار می‌گیرند:

Goals Cascade قرار نیست بگوید همه ۴۰ Objective را با شدت یکسان اجرا کنید. هدف، اولویت‌بندی است. سازمان باید بداند برای مسئله فعلی‌اش کدام Objectives نقش Primary و کدام نقش Secondary دارند.

سناریوی عملی: سازمانی که از اختلال سرویس می‌ترسد

فرض کنید یک شرکت خدمات مالی بعد از چند اختلال جدی تصمیم گرفته Business Service Continuity را به اولویت مدیریتی تبدیل کند.

در یک نمونه کاربردی منتشرشده توسط ISACA، برای نیاز Resilience از Goals Cascade استفاده می‌شود و EG06 Business Service Continuity and Availability به‌عنوان Enterprise Goal انتخاب می‌شود. سپس AG07 Security of Information, Processing Infrastructure and Applications, and Privacy به‌عنوان Alignment Goal مرتبط در نظر گرفته می‌شود.

در مرحله بعد چند Governance and Management Objective کلیدی در اولویت قرار می‌گیرند:

• EDM03: Ensured Risk Optimization
• APO12: Managed Risk
• APO13: Managed Security
• BAI10: Managed Configuration
• DSS04: Managed Continuity
• DSS05: Managed Security Services

حالا پروژه فناوری دیگر «بیایید DR بخریم» نیست. سازمان یک زنجیره منطقی دارد:

نیاز ذی‌نفع → تداوم سرویس → امنیت و Resilience → Risk/Configuration/Continuity/Security Objectives → برنامه‌های اجرایی.

از این نقطه می‌توان تصمیم گرفت کدام Capability کمبود دارد: CMDB ناقص است؟ Backup تست نمی‌شود؟ DR Drill نداریم؟ امنیت Endpoint ضعیف است؟ Monitoring پوشش کافی ندارد؟ Incident Escalation شفاف نیست؟

Goals Cascade چه کمکی به بودجه IT می‌کند؟

یکی از کاربردهای مهم این مدل دفاع از بودجه است.

وقتی درخواست بودجه فقط با عبارت «این ابزار برای امنیت خوب است» ارائه شود، مدیر مالی یا هیئت‌مدیره ممکن است آن را Cost Center ببیند. اما اگر بتوانید نشان دهید یک سرمایه‌گذاری مشخص کدام Alignment Goal و Enterprise Goal را پشتیبانی می‌کند، گفتگو تغییر می‌کند.

برای نمونه، خرید یا ارتقای ابزار مانیتورینگ می‌تواند به Availability و Resilience وصل شود؛ PAM به Risk Optimization و Security؛ Service Desk به Service Quality و Customer Orientation؛ Asset Management به Cost Optimization و Compliance.

هدف Goals Cascade تبلیغ ابزار نیست؛ هدف این است که ابزار فقط زمانی وارد Roadmap شود که نقش آن در Outcome مشخص باشد.

Goals Cascade و Design Factors را با هم اشتباه نگیریم

در COBIT 2019، Goals Cascade و Design Factors مکمل هم هستند اما یک چیز نیستند.

Goals Cascade مشخص می‌کند اهداف سازمانی چطور به اولویت‌های I&T و سپس اهداف حاکمیت و مدیریت تبدیل شوند.

Design Factors کمک می‌کنند Governance System متناسب با شرایط خاص سازمان Tailor شود؛ عواملی مثل Strategy، Threat Landscape، Role of IT، Sourcing Model، Enterprise Size و Technology Adoption Strategy می‌توانند روی طراحی نهایی اثر بگذارند.

مدانت قبلاً در نوشتار فاکتورهای طراحی COBIT 2019 به این موضوع پرداخته است. برای پروژه واقعی بهتر است ابتدا اولویت اهداف را از Goals Cascade به‌دست آورید و سپس با Design Factors شدت و شکل پیاده‌سازی را متناسب کنید.

یک Workshop اجرایی Goals Cascade چطور برگزار شود؟

برای شروع لازم نیست یک پروژه چندماهه طراحی کنید. یک Workshop ساختاریافته می‌تواند تصویر اولیه بسیار خوبی ایجاد کند.

گام ۱: سه تا پنج نیاز اصلی ذی‌نفعان را بنویسید

از مدیرعامل، مدیر مالی، مدیر عملیات، مدیر ریسک، CISO و مدیر فناوری بخواهید مهم‌ترین Outcomeهای مورد انتظار را مشخص کنند.

گام ۲: Enterprise Goalها را اولویت‌بندی کنید

به‌جای انتخاب همه موارد، Goalها را به High، Medium و Low تقسیم کنید. اگر همه چیز High باشد، در عمل هیچ اولویتی وجود ندارد.

گام ۳: Alignment Goalهای مرتبط را Map کنید

از Mapping رسمی COBIT استفاده کنید و بررسی کنید کدام Alignment Goalها بیشترین ارتباط را با Enterprise Goalهای High Priority دارند.

گام ۴: Objectives اصلی را انتخاب کنید

Governance and Management Objectiveهایی را که Primary Support دارند در اولویت Assessment قرار دهید.

گام ۵: Capability Gap را بسنجید

برای هر Objective از خودتان بپرسید وضعیت فعلی چقدر با هدف فاصله دارد. این مرحله مشخص می‌کند کجا باید Process، Policy، Skill، Tool، Data یا Structure اصلاح شود.

گام ۶: Roadmap بسازید

Gapها را براساس ارزش، ریسک، هزینه و وابستگی به Initiatives کوتاه‌مدت و میان‌مدت تبدیل کنید.

چه کسانی باید در Goals Cascade حضور داشته باشند؟

COBIT یک پروژه صرفاً IT نیست. اگر Goals Cascade فقط توسط تیم فناوری انجام شود، احتمال زیادی وجود دارد که دوباره به «اولویت‌های IT» برگردیم، نه Enterprise Goals.

Goals Cascade را چطور به ITIL و ITSM وصل کنیم؟

COBIT معمولاً بیشتر روی Governance System و اولویت‌های حاکمیت/مدیریت متمرکز است، در حالی که ITIL و ITSM در طراحی و اجرای Service Management عمق بیشتری دارند. این دو رویکرد می‌توانند مکمل هم باشند.

مثلاً اگر Goals Cascade نشان دهد Service Quality، Continuity و Incident Response اولویت دارند، می‌توان در لایه اجرایی سراغ Practiceهای ITIL، طراحی SLA، Incident Management، Problem Management و Service Continuity رفت.

برای مطالعه پیوند حاکمیت و مدیریت خدمات، می‌توانید نوشتار ترکیب COBIT و ITIL را ببینید. همچنین مجموعه تخصصی ServiceDesk Plus و ITSM برای پیاده‌سازی لایه عملیاتی مدیریت خدمات قابل استفاده است.

Goals Cascade و GRC؛ از شعار حاکمیت به Evidence

Goals Cascade فقط برای Strategy نیست. در GRC هم کاربرد مهمی دارد، چون کمک می‌کند کنترل و Compliance به هدف سازمانی متصل شوند.

برای مثال اگر مدیریت ریسک هویت یک اولویت Enterprise باشد، سازمان می‌تواند اهداف Alignment و Governance مرتبط را مشخص کند و بعد Risk Metric، Control، Evidence و Review Cycle تعریف کند. مدانت در مقاله GRC با AD360 نمونه‌ای از پیوند Governance، Risk و Compliance با ابزارهای مدیریت هویت را بررسی کرده است.

این اتصال مهم است چون Compliance بدون ارتباط با Enterprise Goal خیلی زود به Checklist تبدیل می‌شود؛ اما وقتی Control به Risk و Goal متصل باشد، مدیریت می‌فهمد چرا آن کنترل اهمیت دارد.

چه KPIهایی برای Goals Cascade مناسب‌اند؟

خروجی Goals Cascade نباید فقط یک Diagram زیبا باشد. باید به شاخص قابل سنجش برسد.

بسته به Goal، KPIها می‌توانند متفاوت باشند:

• Availability سرویس‌های حیاتی
• تعداد و هزینه Major Incident
• درصد تحقق Benefit پروژه‌های فناوری
• Risk Exposure در حوزه‌های کلیدی
• درصد کنترل‌های دارای Evidence معتبر
• Time-to-Market برای سرویس‌های دیجیتال
• درصد پروژه‌های I&T هم‌راستا با Enterprise Goalهای High Priority
• درصد Objectiveهای Priority که Owner و Metric دارند
• تعداد Initiativeهایی که هیچ Goal مشخصی را پشتیبانی نمی‌کنند

یکی از KPIهای مدیریتی بسیار مفید این است: چه درصدی از بودجه فناوری را می‌توانیم به یک Enterprise Goal مشخص ربط دهیم؟

اشتباهات رایج در اجرای Goals Cascade

انتخاب همه Goalها به‌عنوان High Priority

اگر هر ۱۳ Enterprise Goal مهم‌ترین باشند، Framework به اولویت‌بندی کمکی نکرده است. سازمان باید Trade-off را بپذیرد.

شروع از Tool

«ما SIEM می‌خواهیم» یا «ما CMDB می‌خواهیم» نقطه شروع Goals Cascade نیست. اول Outcome و Risk را مشخص کنید، بعد Tool را انتخاب کنید.

بی‌توجهی به Business Owner

IT نمی‌تواند به‌تنهایی درباره ارزش، ریسک و اولویت کسب‌وکار تصمیم بگیرد.

نادیده گرفتن Mapping رسمی COBIT

هدف Goals Cascade اختراع رابطه دلخواه نیست. COBIT Mappingهای مشخص Enterprise Goal → Alignment Goal → Objective را ارائه می‌کند و باید از آن‌ها به‌عنوان مبنا استفاده شود.

توقف در مرحله Assessment

Assessment بدون Roadmap و Owner فقط یک گزارش است. هر Gap مهم باید Action، Owner، Deadline و Metric داشته باشد.

خروجی نهایی یک پروژه خوب Goals Cascade چیست؟

یک پروژه مفید حداقل باید این خروجی‌ها را تولید کند:

1. فهرست Stakeholder Needهای اولویت‌دار
2. Enterprise Goalهای High/Medium/Low
3. Alignment Goalهای منتخب
4. Governance and Management Objectiveهای Priority
5. Assessment وضعیت فعلی
6. Capability Gap
7. Roadmap اجرایی
8. Owner و KPI برای هر Initiative
9. Mapping بودجه و پروژه‌ها به Goalها

این خروجی‌ها باعث می‌شوند COBIT از یک Framework نظری به ابزار تصمیم‌گیری تبدیل شود.

چه زمانی سازمان به مشاوره یا Workshop تخصصی نیاز دارد؟

اگر یکی از شرایط زیر وجود دارد، Workshop ساختاریافته می‌تواند سرعت کار را بالا ببرد:

• پروژه‌های فناوری زیادند ولی اولویت آن‌ها مبهم است.
• هیئت‌مدیره درباره ارزش IT سؤال دارد.
• بودجه فناوری باید بر مبنای Business Value دفاع شود.
• چارچوب GRC یا Internal Control در حال بازطراحی است.
• COBIT قبلاً اجرا شده ولی به Checklist تبدیل شده است.
• بین COBIT، ITIL، ISO 27001 و معماری سازمانی هم‌پوشانی ایجاد شده است.
• سازمان می‌خواهد Roadmap حاکمیت فناوری را از Assessment به Action تبدیل کند.

برای بررسی سناریوی سازمان، می‌توانید از درخواست جلسه و پروپوزال مدانت استفاده کنید. اگر نیاز به آموزش ساختاریافته COBIT، ITIL یا سایر حوزه‌های مدیریت فناوری دارید، صفحه دوره‌های تخصصی مدانت نیز در دسترس است.

نکات کلیدی

• Goals Cascade ابزار ترجمه Stakeholder Need به Enterprise Goal، Alignment Goal و Governance/Management Objective است.
• COBIT 2019 دارای ۱۳ Enterprise Goal، ۱۳ Alignment Goal و ۴۰ Governance and Management Objective است.
• هدف اجرای همه Objectives با شدت یکسان نیست؛ هدف اولویت‌بندی است.
• Design Factors بعد از تعیین اولویت‌ها به Tailor کردن Governance System کمک می‌کنند.
• Goals Cascade باید با حضور Business، Risk، IT و Governance اجرا شود.
• خروجی نهایی باید Roadmap، Owner و KPI داشته باشد؛ نه فقط Mapping.

سخن پایانی

بزرگ‌ترین ارزش Goals Cascade این نیست که یک نمودار جدید به اسناد حاکمیت اضافه کند؛ ارزشش این است که یک زنجیره قابل دفاع میان نیاز ذی‌نفع، هدف کسب‌وکار، اولویت فناوری و اقدام اجرایی ایجاد کند.

وقتی این زنجیره روشن باشد، تصمیم‌های فناوری ساده‌تر می‌شوند: مشخص می‌شود کدام پروژه باید جلو بیفتد، کدام سرمایه‌گذاری فعلاً اولویت ندارد، چه چیزی باید اندازه‌گیری شود و مدیر فناوری چگونه ارزش I&T را برای هیئت‌مدیره توضیح دهد.

COBIT 2019 با Goals Cascade کمک می‌کند سؤال «چه فناوری‌ای بخریم؟» به سؤال مهم‌تری تبدیل شود: برای رسیدن به هدف سازمان، کدام Capability و کدام Objective باید اول تقویت شود؟

منابع

• ISACA – COBIT Resources
• ISACA – Employing COBIT 2019 for Enterprise Governance Strategy
• ISACA – Using the COBIT 2019 Goals Cascade
• COBIT 2019 Framework: Governance and Management Objectives