第3章信息系统治理-IT治理基础

信息系统治理 (IT治理)是组织开展信息技术及其应用活动的重要管控手段，也是组织治理的重要组成部分，尤其在以数字化发展为重要关注点的新时代，组织的数字化转型和组织建设过程中，IT治理起到重要的统筹、评估、指导和监督作用。信息技术审计(IT审计)作为与IT治理配套的组织管控手段，是IT治理不可或缺的评估和监督工具，重点承担着组织信息系统发展的合规性检测以及信息技术风险的管控等职能。

3.1 IT治理

新时代的信息技术与各领域发展进入到了深度融合的发展新阶段，成为各类组织实现治理体系与能力现代化，构建敏捷运行管理体系，打造高质量的生产与服务系统，洞察社会与市场变化等高质量发展的必要过程。组织如何从其信息系统投资中获得真正的价值:如何将信息技术战略与组织战略相融合:如何从组织治理的高度，对组织数字化能力做出制度安排:如何从战略投资、组织管理变革的角度，降低IT 的风险:如何利用国内外信息技术开发利用的最佳实践和重要成果，加快组织的信息化、数字化工作推进等。这些都是IT 治理所关注的问题。

3.1.1 IT治理基础

IT治理是描述组织采用有效的机制对信息技术和数据资源开发利用，平衡信息化发展和数字化转型过程中的风险，确保实现组织的战略目标的过程。

1.IT治理的驱动因素

组织信息系统建设和运行需要制订总体规划，但制订IT资源统一规划存在很多问题：①信息系统应用已有相当的基础，但多年来分散开发或引进的信息系统，形成了许多“信息孤岛”缺乏共享的、网络化的信息资源，系统集成难题一直无法解决；②信息资源整合目标空泛，没有整合“信息孤岛”的措施，数据中心建设和数据集中管理等规划缺乏可操作性，尤其是缺少数据标准化建设方面的建设规划。这些问题的出现，表明组织在IT 资源方面没有做到有效统一规划，如何解决这些问题成为了组织发展的一个重要课题。

IT 资产作为组织资产的重要组成部分，IT 治理自然就是组织治理结构中不可分割的一部分IT治理是指组织在开发利用信息技术过程中，为鼓励组织所期望的组织行为而明确决策权归属和责任担当的框架，其目标是通过IT 治理的决策权和责任影响组织所期望的组织行为。随着新时代的发展，数字特征成为组织发展的一项关键特征，组织的高质量发展对IT 的依赖越来越强，IT治理对组织愈发重要，为确保IT 治理的有效，组织高层管理者需要投入越来越多的时间和精力。

随着组织在IT方面的投资越来越大，组织的IT 战略要与组织战略相一致，才能确保组织核心竞争力的建设与保持:要尽可能地保持开放性和长远性，以确保系统的稳定性和延续性；要认真分析组织的战略与IT 支撑之间的影响度，并合理预测环境变化可能给组织战略带来的偏移，在规划时留有适当的余地。组织目标变化太快，很难保证IT 与组织目标始终保持一致，因此需要多方面的协调，保证 IT 治理继续沿着正确的方向走，这也是IT 投资者真正关心的问题IT治理要从组织目标和数字战略中抽取信息需求和功能需求，形成总体的IT 治理框架和系统整体模型，为进一步系统设计和实施奠定基础，保证信息技术开发应用符合持续变化的业务目标。

高质量的IT 治理能够使组织的IT 管理和应用决策与组织期望的行为和业务目标相一致，这就需要组织IT 治理机构对组织IT 发展进行科学规划并确保其有效实施。驱动组织开展高质量IT 治理因素包括：①良好的IT 治理能够确保组织IT 资有效性；②IT 属于知识高度密集型领域，其价值发挥的弹性较大；③IT 已经融入组织管理、运行、生产和交付等各领域中，成为各领域高质量发展的重要基础；④信息技术的发展演进以及新兴信息技术的引入，可为组织提供大量新的发展空间和业务机会等；⑤IT治理能够推动组织充分理解IT价值，从而促进IT价值挖掘和融合利用；⑥IT价值不仅仅取决于好的技术，也需要良好的价值管理，场景化的业务融合应用；⑦高级管理层的管理幅度有限，无法深入到IT 每项管理当中，需要采用明确责权利和清晰管理去确保IT 价值；⑧成熟度较高的组织以不同的方式治理IT，获得了领域或行业领先的业务发展效果。

IT 治理的内涵主要体现在5个方面：①IT 治理作为组织上层管理的一个有机组成部分，由组织治理层或高级管理层负责，从组织全局的高度上对组织信息化与数字化转型做出制度安排，体现了治理层和最高管理层对信息相关活动的关注；②IT 治理强调数字目标与组织战略目标保持一致，通过对IT 的综合开发利用，为组织战略规划提供技术或控制方面的支持，以保证相关建设能够真正落实并贯彻组织业务战略和目标；③IT 治理保护利益相关者的权益，对风险进行有效管理，合理利用IT 资源，平衡成本和收益，确保信息系统应用有效、及时地满足需求，并获得期望的收益，增强组织的核心竞争力；④IT 治理是一种制度和机制，主要涉及管理和制衡信息系统与业务战略匹配、信息系统建设投资、信息系统安全和信息系统绩效评价等方面的内容；⑤IT 治理的组成部分包括管理层、组织结构、制度、流程、人员、技术等多个方面，共同构建完善的IT治理架构，达到数字战略和支持组织的目标。

2.IT治理的目标价值

组织治理驱动和调整IT 治理。同时，IT 治理能够提供关键的输入，成为战略计划的一个重要组成部分，是组织治理的一个重要功能。IT治理将帮助组织建立以组织战略为导向、以实现IT 与业务匹配为重心、以价值交付为成果、以绩效管理为控制手段的IT 管理体制，正确定位IT 团队在整个组织的作用，最终能够针对不同业务发展要求，统一规划IT 资源、整合信息资源、有效规避风险、制定并执行组织发展战略。IT 治理就是要明确有关IT 决策权的归属机制和有关IT 责任的承担机制，以鼓励IT 应用的期望行为的产生，以联接战略目标、业务目标和IT目标，从而使组织从IT 中获得最大的价值。组织实施IT 治理的使命通常包括:保持IT 与业务目标一致，推动业务发展，促使收益最大化，合理利用IT 资源，恰当理清与IT 相关的风险等。

IT 治理主要目标包括：与业务目标一致、有效利用信息与数据资源、风险管理。

（1）与业务目标一致。IT 治理要从组织目标和数字战略中抽取信息与数据需求和功能需求，形成总体的IT 治理框架和系统整体模型，为进一步系统设计和实施奠定基础，保证信息技术开发利用跟上持续变化的业务目标。

（2）有效利用信息与数据资源。目前信息系统工程超期、IT 客户的需求没有满足、IT 平台不支持业务应用、数据开发利用效能与价值不高、信息技术与业务发展融合深度不够等问题突出，通过IT 治理对信息与数据资源的管理职责进行有效管理，保证投资的回收，并支持决策。

（3）风险管理。由于组织越来越依赖于信息网络、信息系统和数据资源等，新的风险不断涌现，例如，新出现的技术没有管理，不符合现有法律和规章制度，没有识别对IT 服务的威胁等。IT 治理重视风险管理，通过制定信息与数据资源的保护级别，强调对关键的信息与数据资源，实施有效监控和事件处理。

3.IT治理的管理层次

IT 治理要保证总体战略目标能够从上而下贯彻执行，治理层主要集中在最高管理层(如董事会)和管理执行层。然而，由于IT 治理的复杂性和专业性，治理层必须依赖组织的基层来提供决策和评估所需要的信息。基层依据组织总体目标采用相关的原则，提供评估业绩的衡量方法。因此，好的IT 治理实践需要在组织全部范围内推行。管理层次大致可分为三层:最高管理层、执行管理层、业务与服务执行层。

最高管理层的主要职责包括：证实IT 战略与业务战略是否一致:证实通过明确的期望和衡量手段交付IT 价值:指导T 战略、平衡支持组织当前和未来发展的投资:指导信息和数据资源的分配。执行管理层的主要职责包括：制定IT 的目标；分析新技术的机遇和风险；建设关键过程与核心竞争力；分配责任、定义规程、衡量业绩:管理风险和获得可靠保证等。业务及服务执行层的主要职责包括：信息和数据服务的提供和支持；IT 基础设施的建设和维护:IT 需求的提出和响应。