COBIT (Control Objectives for Information and Related Technologies)

COBIT (Control Objectives for Information and Related Technologies) — международная система управления и контроля информационных технологий, которую разрабатывает ассоциация ISACA. Она отвечает на вопрос, который рано или поздно встаёт перед руководством любой компании, зависящей от ИТ: как связать ИТ-цели с бизнес-целями, разделить «управление» (governance) и «менеджмент», распределить ответственность и измерять результат. В отличие от практик, описывающих работу ИТ-сервисов, COBIT работает на уровне руководства и аудита: он говорит, какие вопросы должны быть решены и кем, а не как настраивать конкретные процессы. В этой статье COBIT разобран по описаниям ISACA: история версий, устройство COBIT 2019 (пять доменов, 40 целей управления, принципы, факторы проектирования, уровни возможностей), сравнение с COBIT 5, критика, ошибки, метрики, план внедрения и фрейм в OrgDevTools.

Что такое COBIT и чем он отличается от ITIL и ISO 27001

Эта рамка — широкая и всеобъемлющая, созданная, чтобы помочь понимать, проектировать и внедрять управление и governance корпоративных информационных технологий (EGIT). Он определяет компоненты и факторы проектирования, чтобы построить и поддерживать наиболее подходящую организации систему управления. Смысл рамки — прозрачность: кто принимает решения об ИТ, как они связаны со стратегией, как контролируются риски и как оценивается эффект.

Соседние стандарты решают другие задачи. ITIL описывает управление ИТ-сервисами и операционными процессами; ISO 27001 — систему менеджмента информационной безопасности; COSO ERM — управление рисками предприятия в целом. Стандарт стоит выше по уровню абстракции: он связывает эти практики с целями бизнеса и помогает выстроить общую систему governance, в которой ITIL, ISO 27001 и другие стандарты занимают своё место. Для проверки ИТ-инфраструктуры и архитектуры применяются аудит ИТ-инфраструктуры и аудит ИТ-архитектуры (TOGAF).

Происхождение и исследовательская база COBIT

Стандарт впервые выпущен в 1996 году как набор контрольных целей для ИТ-процессов и создавался в связке с ИТ-аудитом; развитие ведёт ISACA (Information Systems Audit and Control Association) совместно со связанными институтами. По описанию ISACA, в дальнейшем рамка расширилась от контрольных целей к практикам governance и менеджмента: версии 4 и 4.1 (середина 2000-х) добавили управленческие практики, COBIT 5 опубликован в 2012 году, а COBIT 2019 выпущен в 2018 году — обновление, которое учитывает новые технологические и бизнес-тенденции в области информации и технологий, такие как цифровизация, а также опыт экспертов по ИТ и управлению. Таким образом, это не разовая методика автора, а развивающийся стандарт, который эволюционировал от аудита контролей к комплексной системе управления.

Исследовательская база у стандарта — это консенсус практиков и опыт применения в крупных организациях; ISACA не публикует его как результат отдельного эксперимента. Поэтому при чтении материалов о COBIT важно различать: что описывает сам стандарт (структуры, цели, принципы), а что — популярные пересказы и учебные курсы.

COBIT отвечает не на вопрос «как настроить ИТ», а на вопрос «как убедиться, что ИТ служит бизнесу и что за это кто-то отвечает».

Академическая теория: устройство COBIT 2019

Принципы системы governance и принципы рамки

COBIT 2019 опирается на шесть принципов системы governance (в COBIT 5 их было пять). Они должны обеспечивать, чтобы потребности заинтересованных сторон оценивались и согласовывались на основе целей предприятия, чтобы направление задавалось приоритизацией и принятием решений, а результативность и соответствие отслеживались относительно заданных направления и целей. В открытых описаниях перечень принципов такой: обеспечение ценности для заинтересованных сторон; целостный подход; динамичная система governance; отделение governance от менеджмента; адаптация под потребности предприятия; сквозная система governance. Кроме того, сама рамка строится на трёх принципах: она основана на концептуальной модели, открыта и гибка, согласована с основными стандартами.

Пять доменов и 40 целей управления

Система целей COBIT 2019 состоит из 40 целей governance и менеджмента, сгруппированных в пять доменов. EDM (Evaluate, Direct and Monitor — оценка, направление и мониторинг) — домен governance: он обеспечивает соответствие ИТ-стратегии целям бизнеса и надзор за ней. Четыре домена менеджмента: APO (Align, Plan and Organise — согласование, планирование и организация) — планирование и организация ИТ-инициатив и ресурсов в соответствии с бизнес-стратегией; BAI (Build, Acquire and Implement — создание, приобретение и внедрение) — разработка, приобретение и внедрение ИТ-решений; DSS (Deliver, Service and Support — предоставление, обслуживание и поддержка) — повседневная эксплуатация и сервис; MEA (Monitor, Evaluate and Assess — мониторинг, оценка и аудит) — мониторинг результативности ИТ и соответствия внутренним и внешним требованиям. Ключевое различие: governance (EDM) — это то, чем занимается высшее руководство и совет, а менеджмент (APO, BAI, DSS, MEA) — то, что делают исполнительные руководители.

Факторы проектирования: адаптация под конкретную организацию

Главная новизна версии 2019 — одиннадцать факторов проектирования (design factors), которые влияют на настройку системы governance: стратегия предприятия, цели предприятия, профиль рисков, вопросы, связанные с информацией и технологиями, ландшафт угроз, требования соответствия, роль ИТ (поддерживающая или стратегическая), модель привлечения ИТ (аутсорсинг и др.), методы внедрения ИТ, стратегия принятия технологий и размер предприятия. Набор инструментов ISACA позволяет взвесить 40 целей по этим факторам и получить приоритеты: начальная область определяется стратегией, целями, профилем рисков и ИТ-проблемами; уточнённая — угрозами, требованиями соответствия, ролью ИТ, моделью привлечения, методами внедрения и стратегией принятия технологий; итоговая — разрешением конфликтов и завершением проектирования. Практический вывод: рамку не нужно внедрять «целиком» — она настраивается, и самое ценное — выбрать те цели, которые важны именно вашей организации.

Управление результативностью и уровни возможностей

В COBIT 2019 управление результативностью основано на схеме CMMI Performance Management, где уровни возможностей и зрелости измеряются по шкале от 0 до 5; в COBIT 5 использовалась шкала на основе ISO/IEC 33000 (SPICE). Смысл: для каждой цели можно оценить, на каком уровне возможностей находится соответствующий процесс, и поставить целевой уровень. Родственная модель для процессов вообще — BPMM.

Что изменилось по сравнению с COBIT 5

По сравнению с COBIT 5 в COBIT 2019 шесть принципов системы governance вместо пяти; число процессов, поддерживающих цели governance и менеджмента, выросло с 37 до 40, а формулировки слегка изменились (глагол «manage» в COBIT 5 заменён определением «managed» в COBIT 2019); управление результативностью основано на CMMI вместо ISO/IEC 33000; введены одиннадцать факторов проектирования, а «факторы-проводники» (enablers) убраны ради упрощения — вместо них используются компоненты системы. Важно понимать эти различия при переходе: материалы о версии 5 описывают другую структуру.

Критика и ограничения теории

Стандарт описывает «что» и «кто», но не «как»: для конкретных процессов нужны другие практики (ITIL, ISO 27001, Agile и т.д.). Рамка объёмна и сложна для освоения; без адаптации через факторы проектирования есть риск получить «бумажный» governance. Доказательная база пользы стандарта — в основном практика и кейсы, а не контролируемые исследования, и эффект зависит от зрелости организации. Наконец, стандарт и материалы распространяются ISACA на коммерческой основе, а сертификация и обучение платные.

Чем больше целей управления вы включили в проект, тем меньше шансов, что хоть одна из них будет реально влиять на решения: приоритеты важнее охвата.

Ключевые идеи и принципы COBIT

1. Принцип: ИТ существует ради ценности для заинтересованных сторон

   Цели ИТ выводятся из целей предприятия, а не из технологий. Сначала — «какие цели бизнеса и чьи ожидания», затем — «какие ИТ-цели и цели управления это поддерживают».

2. Принцип: governance и менеджмент — разные вещи

   Governance задаёт направление и надзор (оценить, направить, проконтролировать), менеджмент планирует, строит, запускает и контролирует. Смешение ролей приводит к ситуации, когда руководство «управляет» деталями, а надзор отсутствует.

3. Принцип: система настраивается под организацию

   Факторы проектирования показывают, что для небольшой организации и для крупного банка приоритеты разные. Внедрение «всех 40 целей» — типичная ошибка; выбирайте важные и наращивайте.

4. Принцип: результативность измеряется

   Для целей и процессов задаются целевые уровни возможностей и показатели; без измерений governance остаётся декларацией.

5. Принцип: сквозная и целостная система

   Governance охватывает не только ИТ-подразделение: процессы, структуры, информационные потоки, навыки людей, политики и культура работают вместе.

Как применять COBIT в организации

Практическая последовательность выглядит так. Определите цели предприятия и ожидания заинтересованных сторон, затем выведите из них ИТ-цели. С помощью факторов проектирования (стратегия, профиль рисков, требования соответствия, роль ИТ, модель привлечения, размер и др.) определите приоритетные цели управления из 40 — обычно это не более десятка. Для каждой цели назначьте владельца и определите текущий и целевой уровень возможностей по шкале 0–5. Составьте план улучшений и показатели. Разделите ответственность: что решает совет и высшее руководство (EDM), а что исполнительное управление (APO, BAI, DSS, MEA). Регулярно проводите оценку и обновляйте приоритеты; связывайте выводы с аудитом, рисками и бюджетом.

Важно: это не проект «внедрить стандарт», а способ упорядочить решения об ИТ; начинайте с малого (несколько целей с наибольшим рисковым и бизнес-значением) и не пытайтесь описать всё сразу.

Ограничения, слепые зоны и критика COBIT

Типовые ошибки при внедрении COBIT

1. Ошибка 1: внедряют «весь стандарт» сразу.

   Пытаются реализовать все 40 целей без адаптации; проект тонет в документах, польза не видна.

   Как избежать

   использовать факторы проектирования, выбрать приоритетные цели управления и наращивать внедрение поэтапно.

2. Ошибка 2: не связывают ИТ-цели с бизнес-целями.

   ИТ-показатели формулируются в отрыве от стратегии; руководство не видит ценности.

   Как избежать

   начинать с целей предприятия и ожиданий заинтересованных сторон и выводить из них ИТ-цели.

3. Ошибка 3: смешивают governance и менеджмент.

   Совет занимается операционными деталями или, наоборот, у ИТ нет надзора со стороны руководства.

   Как избежать

   разделить домены: EDM — оценка, направление, мониторинг руководством; APO, BAI, DSS, MEA — управление исполнителями.

4. Ошибка 4: считают стандарт инструкцией по настройке процессов.

   Ищут в стандарте пошаговые технические инструкции и разочаровываются.

   Как избежать

   использовать его как рамку решений и ответственности, а методы (ITIL, ISO 27001 и др.) брать из специализированных практик.

5. Ошибка 5: не задают целевые уровни и показатели.

   Оценка уровней возможностей делается один раз «для отчёта» и не связана с планом улучшений.

   Как избежать

   для приоритетных целей задать текущий и целевой уровни (0–5), показатели и сроки, регулярно пересматривать.

6. Ошибка 6: путают версии стандарта.

   Используют материалы по версии 5 для проекта на версии 2019 и наоборот: разные принципы, число процессов и шкалы.

   Как избежать

   зафиксировать версию и сверять терминологию и структуру с актуальными документами ISACA.

7. Ошибка 7: оставляют governance «в презентации».

   Политики и роли описаны, но решения об ИТ по-прежнему принимаются вне процесса.

   Как избежать

   проверять, что ключевые решения об ИТ проходят через определённые роли и процедуры, и вести журнал таких решений.

Метрики: как измерять зрелость governance ИТ

Универсальных нормативов нет; сначала снимите базовые значения:

• Связь с бизнесом: доля ИТ-целей и проектов, привязанных к целям предприятия.

• Охват целей управления: число приоритетных целей из 40 с владельцем, целевым уровнем и планом.

• Уровни возможностей: текущий и целевой уровни по шкале 0–5 для приоритетных целей и динамика.

• Риски: доля ИТ-рисков с владельцем и мерами; число и серьёзность инцидентов.

• Решения об ИТ: доля значимых решений, принятых по установленной процедуре и задокументированных.

• Результат для бизнеса: выгоды от ИТ-инвестиций по заранее заданным показателям.

Governance ИТ проверяется не наличием документа, а тем, кто и по какой процедуре в вашей компании принимает решение об ИТ-проекте на миллион.

План внедрения COBIT по неделям

1. Неделя 1: бизнес-цели и заинтересованные стороны

   Определите цели предприятия и ожидания заинтересованных сторон, выведите из них ИТ-цели и зафиксируйте связь ИТ с бизнесом.

2. Неделя 2: приоритетные цели управления

   Оцените факторы проектирования и выберите приоритетные цели из 40; определите, что относится к governance (EDM), а что к менеджменту.

3. Неделя 3: уровни возможностей и риски

   Оцените текущие уровни возможностей по шкале 0–5, определите целевые и приоритетные риски.

4. Неделя 4: практическое применение

   Составьте план улучшений с владельцами, сроками и показателями, встройте решения об ИТ в процедуры и назначьте регулярный пересмотр.

   Далее: ежеквартально пересматривайте приоритеты и уровни, добавляйте новые цели по мере зрелости и проверяйте, что решения об ИТ принимаются по процедуре.

Как реализовать план COBIT с помощью фрейма «COBIT — управление ИТ» в OrgDevTools

Фрейм ведёт по каскаду COBIT: бизнес-цель → ИТ-цель → процессы. Вы оцениваете уровень способности процессов, а фрейм сам выстраивает очередь улучшений и доводит её до практических мер. Это бесплатный тренажёр: он помогает навести порядок в рассуждениях, но не заменяет формальное проектирование системы governance. Фрейм открывается пустым, готовых примеров в нём нет.

Книги и материалы по теме COBIT

ISACA — «COBIT 2019 Framework: Introduction and Methodology» и «COBIT 2019 Framework: Governance and Management Objectives» (2018). Первоисточники: принципы, компоненты, 40 целей, факторы проектирования.

ISACA — «COBIT 5: A Business Framework for the Governance and Management of Enterprise IT» (2012). Предыдущая версия рамки.

ISACA — «COBIT 2019 and COBIT 5 Comparison» (2020). Ключевые различия версий.