Что такое система управления ИТ и чем руководство отличается от управления

Зачем система управления ИТ

ПрактикаПрактикаНабор ресурсов организации для выполнения работы определённого типа.ITIL 4 отвечает на вопрос, кто и на каком основании принимает решения об ИТ — и как проверяется, что принятые решения выполняются. Международный стандарт руководства ИТ ставит себе такую задачу: дать руководящим органам ориентиры, как пользоваться ИТ, данными и цифровыми возможностями — ответственно, с новшествами, надолго и по стратегии. Чтобы организация делала своё дело так, как этого ждут от неё заинтересованные стороны 1.

Ключевое различение, ради которого практика существует, — между руководством и управлениемРуководство и управлениеДва разных занятия: руководство оценивает, направляет и следит, управление планирует, строит, выполняет и контролирует.COBIT 2019, книга Governance and Management Objectives. Руководство задаёт направление и границы, управление действует внутри них. Стандарт держит это различение явным. Адресован он прежде всего руководящему органу, но признаёт: руководят по всей организации. Поэтому он описывает практику на всех уровнях — вплоть до того, как договариваются между собой сотрудники любых должностей 1.

Руководство ИТ — это область руководства организацией, а не отдельная от неё технологическая тема 1.

COBIT говорит о том же своими словами: нужен последовательный подход, согласованный с тем, как руководят всем предприятием. Чтобы решения об ИТ шли в русле стратегий и целей, надзор за процессами работал и был виден со стороны, соответствие законам подтверждалось, а требования к членам совета выполнялись 2.

Когда практика работает

Три вопроса, ответы на которые видны по протоколам решений, а не по схеме оргструктуры.

Полномочия названы. Как проверить: распределены и доведены до людей функции, ответственность и полномочия по системе управления сервисами 3.

ИТ попадает в повестку заранее. Как проверить: вопросы ИТ выносятся на совет по инициативе, а не после происшествия — предлагается считать, сколько раз это случилось 2.

Надзор возвращается обратно. Как проверить: есть регулярные обзоры со стороны руководства, и по их итогам меняются политики и планы 4.

Что входит и что рядом

Разделительная черта проходит по глаголам. Руководство оценивает, направляет, наблюдает и вовлекает — стандарт называет эти четыре задачи практикой руководства ИТ 1. Всё, что делается внутри заданных рамок, относится к управлению.

Что на входе и что на выходе

Практика получает картину положения дел: предложения по стратегии, отчёты о результатах, оценки рисков, требования регуляторов и ожидания сторон. Отдаёт принципы, политики, распределённые полномочия и решения, обязательные для остальных.

Одиннадцать принципов руководства ИТ

Третье издание международного стандарта, вышедшее в феврале 2024 года, привело принципы руководства ИТ в соответствие со стандартом руководства организациями. Их одиннадцать, и каждый развёрнут в стандарте в трёх частях: сам принцип, что он означает для использования ИТ и какие результаты даёт 1.

Принцип	О чём он
Предназначение	ИТ служат предназначению организации
Создание ценности	Использование ИТ создаёт ценность для сторон
Стратегия	ИТ следуют стратегическому направлению
Надзор	За использованием ИТ есть наблюдение
Подотчётность	Отвечающие за решения названы
Вовлечение сторон	Заинтересованные стороны участвуют
Лидерство	Руководители задают образец поведения
Данные и решения	Решения опираются на данные
Руководство рисками	Риски встроены в решения
Социальная ответственность	Учитываются общество и среда
Жизнеспособность и результаты во времени	Организация сохраняет способность работать дальше

Прежние издания стандарта, 2008 и 2015 годов, давали шесть принципов: ответственность, стратегия, приобретение, производительность, соответствие и человеческое поведение. В обзорах и учебных материалах они встречаются до сих пор — при чтении стоит смотреть на год источника 1.

Здесь же стоит запомнить и то, чего в этом стандарте нет: сертификации по нему не бывает. Это принципиальное руководство, а не требования системы менеджмента, и предложения «сертифицироваться по стандарту руководства ИТ» стоит читать как курсы или оценку зрелости 1.

Как это работает

Стандарт описывает практику руководства ИТ четырьмя задачами, а не последовательными шагами: они идут постоянно и питают друг друга 1.

Цвет шага: техническая работа решение и полномочия проверка, разбор, улучшение работа с людьми и сторонами

Само слово «направлять» стандарт определяет так: сообщать желаемые предназначение и результаты. Задание целей, стратегий и политик может выполнять и управление, если руководящий орган делегировал ему соответствующие полномочия 1.

Работают эти задачи через шесть элементов, которые стандарт называет структурой руководства ИТ: направление, возможности, политика, делегирование, результативность и подотчётность 1. Практический смысл элементов в том, что каждый из них — место, где руководство обычно ломается: направление устарело, возможностей нет, политика написана так, что мешает, делегирование сделано без надзора, ожидания по результатам не заданы, ответственность размыта.

COBIT раскладывает то же самое по процессам домена «оценка, задание направления и мониторинг» и требует ясности ответственности и полномочий для достижения миссии и целей предприятия 2. ГОСТ Р ИСО/МЭК 20000-1 задаёт минимум для аудита. Высшее руководство 3:

• обеспечивает разработку политики и целей, согласованных со стратегическим направлением;
• присваивает уровни полномочий для решений;
• распределяет функции, ответственность и полномочия и доводит их до работников;
• обеспечивает отчётность о результатах системы и сервисов. FitSM добавляет назначение владельца системы из числа высшего руководства и обзоры со стороны руководства в заранее назначенные сроки 4.

Что с чем путают

Руководство и управление. Руководство оценивает, направляет и наблюдает; управление действует внутри заданных рамок. Стандарт разводит их отдельными разделами 1.

Руководство ИТ и ИТ-директор. Руководящий орган — совет директоров, правление, собственники; ИТ-директор чаще относится к управлению. Стандарт адресован прежде всего руководящему органу 1.

Руководство и стратегия. Стратегия — один из принципов руководства и предмет для оценки, а не синоним практики 1.

Руководство и соответствие требованиям. Соответствие входит в надзор, но им не исчерпывается: стандарт говорит и о ценности, и о социальной ответственности, и о жизнеспособности во времени 1.

Руководство и бюрократия. COBIT прямо ставит целью прозрачность и последовательность решений, а не рост числа согласований 2.

Кто участвует

Отдельно стоит заметить сдвиг третьего издания стандарта: руководят по всей организации, а не только на верхнем её этаже, и стандарт говорит о совместной работе сотрудников любых должностей 1.

Как измерять

Скорость ключевых решений — метрика с двумя числами. COBIT ставит её первой среди показателей руководства ИТ и формулирует как «фактическое время цикла ключевых решений против целевого» 2. Это редкий для сводов случай, когда показатель изначально задан парой: не «сколько дней», а «сколько дней против скольких». Само целевое значение COBIT не называет — его устанавливает организация. Но требование держать оба числа рядом полезнее любой отраслевой нормы: медленное руководство узнаёт о своей медлительности только в сравнении с тем, что само себе обещало.

Прослеживаемость до принципов считается в процентах. Второй фактор — встроено ли руководство ИТ в организацию. COBIT меряет его тремя числами 2:

• сколько ролей, обязанностей и полномочий определены, назначены и приняты бизнесом и ИТ;
• какая доля процессов и практик прослеживается до принципов;
• сколько было случаев нарушения норм этичного и профессионального поведения. Средний из них самый неудобный: принципы обычно написаны, а вот показать, какой процесс из какого принципа следует, удаётся далеко не по всем.

Третий фактор — не работа, а уверенность в ней. «Получена уверенность, что система руководства ИТ работает эффективно» 2 меряется частотой независимых обзоров, частотой отчётности перед исполнительным комитетом и советом и числом заявленных проблемПроблемаПричина одного или нескольких инцидентов.ITIL руководства ИТ. Последний показатель растёт от честности и падает от замалчивания. В одиночку он вводит в заблуждение, а вместе с частотой обзоров работает. Нулевое число проблем при регулярных независимых обзорах и нулевое при их отсутствии — это два очень разных нуля.

Зрелость системы управления ИТ

✕

Где ломается чаще всего

Шесть мест, в порядке частоты.

Полномочия не распределены. Кто принимает решение о крупной трате или об исключении из политики, выясняется в момент, когда решение нужно; стандарт требует распределить и довести полномочия заранее 3.

Руководство подменяется управлением. Совет обсуждает выбор поставщика вместо направления и рамок, а рамок при этом нет 1.

ИТ вспоминают после происшествия. Тема появляется в повестке как разбор аварии, а не как вопрос развития 2.

Делегировали и забыли. Полномочия переданы, надзор не выстроен — стандарт называет делегирование отдельным элементом именно потому, что оно требует сопровождения 1.

Политики мешают работать. Написанные под прошлую обстановку, они не оставляют места для приспособления, и их начинают обходить 1.

Стороны не спрошены. Вовлечение сторон в третьем издании стандарта стало отдельной задачей руководства — и обычно это самая слабая из четырёх 1.

Что говорят своды

69Своды знаний и стандарты — разобраны отдельноЧем ITIL отличается от COBIT и ISO, что из этого обязательно, а что на выбор, и где брать первоисточник. У каждого свода отмечено, развивается он или давно заморожен, и есть ли действующий ГОСТ. По 51 практикам из 62 проставлено соответствие COBIT.Открыть →

ISO/IEC 38500 даёт одиннадцать принципов, модель из четырёх задач и структуру из шести элементов; сертификации по нему не предусмотрено 1.

COBIT отводит руководству отдельный домен «оценка, задание направления и мониторинг» и требует ясности ответственности и полномочий 2.

ГОСТ Р ИСО/МЭК 20000-1 описывает обязанности высшего руководства: политика и цели, полномочия, ресурсы, отчётность, распределённые функции 3.

FitSM сводит это к владельцу системы из числа высшего руководства, общей политике и регулярным обзорам со стороны руководства 4.

Все четыре сходятся в одном: руководство отвечает за рамки и надзор, а не за исполнение. Расходятся в объёме — международный стандарт говорит о ценности, обществе и жизнеспособности, стандарты систем менеджмента требуют проверяемого минимума.

Где описано

Что почитать дальше

Три соседние практики, которые начинаются там, где заканчивается руководство: STRСтратегия ИТ — куда идём, FRMПодход к управлению ИТ — по каким правилам работаем, RSKУправление рисками — на какой риск согласны.