ISO/IEC 38500:2024 «Information technology - Governance of IT for the organization»

Зачем вам ISO/IEC 38500

Самый короткий документ на портале и один из самых важных: двадцать с небольшим страниц о том, что должен делать руководящий орган организации по поводу ИТ3. Не ИТ-директор, не менеджмент — совет директоров, собственники, партнёры.

Формулировка стандарта прямая: он даёт руководящие принципы для членов руководящих органов и тех, кто им помогает, по эффективному, разумному и приемлемому использованию ИТ1.

Нужен, если вы готовите вопросы для совета директоров или правления и хотите опору посерьёзнее собственного мнения.

Нужен, если в компании спорят, где кончается руководство и начинается управление: у стандарта на это есть короткий ответ.

Нужен, если работаете с COBIT: разделение руководства и управленияРуководство и управлениеДва разных занятия: руководство оценивает, направляет и следит, управление планирует, строит, выполняет и контролирует.COBIT 2019, книга Governance and Management Objectives там опирается ровно на эту рамку.

Не нужен, если вы ищете, как устроить процессы. Здесь нет ни одного процесса — только принципы и модель поведения руководящего органа.

Текста стандарта здесь нет: он платный. Ниже — о чём документ, кому адресован и что с ним в России.

Что внутри

Область примененияОбласть примененияОтвет на вопрос, на что документ или система управления распространяются, а на что нет.ГОСТ Р ИСО/МЭК 20000-1—2021, пункты 4.3 и 1.2; ГОСТ Р ИСО 9001-2015, пункт 4.3; ГОСТ Р ИСО 14001-2016, пункт 4.3 и приложение А; ГОСТ Р ИСО/МЭК 17021-1-2017, пункты 8.2.2, 8.3.4 и 9.6.5.5; ГОСТ 1.5-2001; FitSM-1 и FitSM-2, раздел GR3 намеренно широкая: все организации — государственные, частные, некоммерческие; любого размера, независимо от того, насколько активно они используют ИТ1.

Стандарт даёт руководящему органу три связанных инструмента: принципы, модель и рамку5. Принципы отвечают на вопрос «чем руководствоваться», модель — «что делать», рамка — «через что это работает».

Восемь принципов третьей редакции5: назначение, создание ценностиЦенностьПольза и выгода, которые сторона получает от услуги; величина субъективная.ITIL 4, книга ITIL Foundation, стратегия, надзор, подотчётность, вовлечение заинтересованных сторон, лидерство, данные и решения. У каждого одинаковое устройство: сам принцип, что он означает для использования ИТ и какие результаты даёт.

Модель описывает практикуПрактикаНабор ресурсов организации для выполнения работы определённого типа.ITIL 4 руководства через четыре действия: вовлекать заинтересованные стороны, оценивать, направлять, наблюдать5. Первое из них появилось только в этой редакции5.

Триада «оценивать, направлять, наблюдать» — та самая, что разошлась по другим сводам: в COBIT она стала отдельной областью целей руководства, отделённой от управления.

Что изменилось в редакции 2024 года

Это не косметическая правка, и вот почему на неё стоит посмотреть, даже если вы читали прежнюю редакцию.

Принципы переписаны заново. В редакциях 2008 и 2015 годов их было шесть, и назывались они иначе: ответственность, стратегия, приобретение, результативность, соответствие, поведение людей. В редакции 2024 года принципов восемь, и они согласованы с общим стандартом руководства организацией56. Ссылка на «шесть принципов 38500» сегодня описывает документ девятилетней давности.

В модель добавлено вовлечение заинтересованных сторон56. До этого модель была замкнута на руководящий орган: оцени, направь, наблюдай. Теперь первым шагом стоит разговор с теми, кого решение касается.

Сместился адресат. Прежние редакции обращались прежде всего к руководящему органу. Новая подчёркивает: руководят по всей организации, а менеджмент действует в границах, которые задал руководящий орган6.

Расширен охват тем. В редакцию вошли устойчивое развитие, кибербезопасность, вопросы искусственного интеллекта и облачных технологий — их в прежних редакциях не было6.

Рамка руководства обновлена на основе отдельного технического отчёта того же комитета5.

Что это даёт на практике

Стандарт отвечает на вопрос, который в компаниях обычно висит без ответа: какие решения об ИТ не имеет права принимать ИТ.

Сколько компания готова потерять при простое. Какие риски принимаются осознанно. Куда идут деньги на ИТ в следующем году. Соответствует ли использование технологий тому, что организация обещает клиентам и регулятору.

Когда эти решения принимает ИТ-служба, она отвечает за то, чем не управляет.

Что покрывает — и чего не покрывает

По каждой практике справочника задан вопрос: говорит ли о ней стандарт. Клетка закрашена по принципам и элементам модели5.

Строка короткая, и это правильно: в стандарте нет ни одного процесса. Он отвечает, какие решения принимает руководящий орган и по каким правилам, — а не как устроена работа.

Кто разработал и что в России

Стандарт ведёт тот же комитет, что и стандарт на систему управления услугами2. Действующая редакция — третья, опубликована в феврале 2024 года3.

В России действует аналог4. Это важно: ссылаться в документах можно на российский стандарт, не покупая международный.

Здесь есть ловушка, о которой стоит знать до того, как сошлётесь. Российский стандарт принят в 2017 году, то есть соответствует редакции 2015 года — с шестью прежними принципами. Международная редакция 2024 года переписала их заново56. Формально ссылка на ГОСТ корректна, но содержательно вы будете говорить о разных документах: проверьте, какая редакция нужна вашему собеседнику.

Сколько стоит

Международный текст платный3. Российский аналог доступен через реестр национальных стандартов.

Что покрывает

Где ломается применение

Ждут процессов. Их нет и не будет: документ о принципах. Тот, кто ищет здесь порядок работы, уйдёт разочарованным.

Отдают стандарт ИТ-директору. Адресат — руководящий орган. Пересказ стандарта силами ИТ обычно кончается тем, что совет по-прежнему не задаёт вопросов, а ИТ по-прежнему решает за него.

Считают его заменой COBIT. Стандарт задаёт рамку, COBIT наполняет её содержанием. Одно без другого работает плохо.

С чего начать

1. Выпишите решения об ИТ, которые сейчас принимает ИТ-служба, хотя отвечать за них должна организация: риски, деньги, соответствие требованиям.
2. Отнесите этот список руководству вместе с принципами стандарта — разговор пойдёт предметно.
3. Если нужен формальный документ, берите российский аналог: он действует и доступен.

Что читать дальше

Три свода рядом: свод, который наполняет рамку содержанием, документ о вопросах совета директоров и модель оценки зрелости.