Структура описания отдельного процесса в COBIT состоит из следующих четырех разделов:

· краткое описание процесса;

· цели управления процессом;

· входы-выходы процесса, таблица ролей, цели и метрики процесса и его активностей;

· модель зрелости процесса.

Краткое описание дается в виде следующей каскадной схемы:

<назначение процесса>

Управление ИТ-процессом

<имя процесса>

которое удовлетворяет следующим бизнес-требованиям к ИТ:

<наиболее важные ИТ-цели>

за счет того, что

<наиболее важные цели процесса>

и реализуется посредством

<цели активностей>

и измеряется

<ключевые метрики>

Пример краткого описания процесса "Разработка стратегического плана развития ИТ":

Стратегическое планирование ИТ необходимо для того, чтобы ИТ-ресурсы управлялись и выделялись в соответствии со стратегией и приоритетами бизнеса. ИТ-организация и заинтересованные лица со стороны бизнеса ответственны за то, чтобы проекты и портфели услуг приносили наибольшую отдачу. Стратегический план улучшает понимание ключевыми заинтересованными лицами возможностей и ограничений ИТ, дает оценку текущей эффективности, определяет требования к человеческим и другим ресурсам, уточняет объем необходимых инвестиций. Стратегия и приоритеты бизнеса должны отражаться в портфелях услуг и реализовываться путем выполнения тактических планов ИТ, где определяются точные цели, а также планы мероприятий и задач, понятные и разделяемые как бизнесом, так и ИТ.

Управление ИТ-процессом

<Разработка стратегического плана развития ИТ>

которое удовлетворяет следующим бизнес-требованиям к ИТ:

<поддержать или расширить стратегию бизнеса и корпоративные требования и при этом обеспечить необходимую прозрачность в части ожидаемых преимуществ, затрат и рисков>

за счет того, что

<руководство со стороны бизнеса и ИТ включается в процесс перевода бизнес требований в описания предлагаемых услуг и разработку стратегии оказания услуг эффективным и прозрачным способом>

и реализуется посредством

· тесного сотрудничества с менеджерами и высшими руководителями в процессе согласования стратегических ИТ-планов с существующими и будущими потребностями бизнеса;

· понимания текущих возможностей ИТ;

· разработки схемы приоритетов целей бизнеса, которая количественно характеризует требования бизнеса

и измеряется

· процентом целей ИТ в стратегическом плане ИТ, которые поддерживают стратегический бизнес-план;

· процентом ИТ-проектов в портфеле ИТ-проектов, которые непосредственно обусловлены тактическими ИТ-планами;

· задержкой между обновлением стратегических и тактических ИТ-планов.

По мнению ряда отечественных специалистов, такое высокоуровневое описание не позволяет ставить задачу практической реализации или внедрения процесса. Слишком многое оставлено на усмотрение специалистов-практиков. Приведенное описание представляет собой скорее перечень управленческих проблем и их взаимосвязей, чем описание процесса.

Та часть описания, где определяется "управление процессом", служит скорее неформальным комментарием, где на понятийном уровне формулируются связи процесса с корпоративными требованиями к ИТ, необходимыми управленческими практиками и метриками.

Цели управления процессом для каждого процесса свои и даются просто в виде списка. Вот несколько целей управления процессом "Разработка стратегического плана развития ИТ" (нумерация сохранена):

PO1.1 Управление ценностью ИТ

Работать с бизнесом, добиваясь того, чтобы корпоративный портфель инвестиций в ИТ содержал программы, имеющие серьезное обоснование. Разделять обязательные, поддерживающие и необязательные инвестиции, различающиеся по сложности и допустимости распоряжения средствами. ИТ-процессы должны обеспечить результативное и эффективное создание ИТ-компонентов программ и раннее оповещение об отклонениях от планов, включая отклонения по затратам, срокам или функциональности, которые могут повлиять на результаты программ. ИТ-услуги должны оказываться в соответствии с взаимовыгодными и осуществимыми соглашениями об уровне услуг (SLA). Необходимо распределить ответственность за достижение результатов и управление затратами и контролировать ситуацию. Разработать справедливую, прозрачную и воспроизводимую систему обоснований, которая бы обеспечивала возможность сравнений и включала в себя финансовую составляющую, риск неполучения ИТ-компонента, риск неполучения ожидаемых выгод.

PO1.4 Стратегический ИТ-план

Разработать, взаимодействуя с заинтересованными лицами, стратегический план, который определил бы, каким образом цели ИТ способствуют достижению стратегических целей предприятия и снижают сопутствующие затраты и риски. План должен продемонстрировать, как со стороны ИТ будут поддерживаться инвестиционные программы, связанные с ИТ, ИТ-услуги и ИТ-активы. Со стороны ИТ должно быть определено, как предполагается достичь целей, какие методы измерения будут использованы и каковы процедуры формального согласования с заинтересованными лицами. Стратегический ИТ-план должен определять инвестиционный/операционный бюджет, источники финансирования, стратегию сорсинга, стратегию закупок, юридические требования и требования со стороны регуляторов. Стратегический план должен быть детализирован настолько, чтобы из него можно было получить тактические планы.

PO1.6. Управление ИТ-портфелем

Активно управлять вместе с бизнесом портфелем инвестиционных ИТ-программ, необходимых для достижения стратегических целей бизнеса. Управление состоит в идентификации, определении, оценке, назначении приоритетов, выборе, запуске программ, управлении их исполнением и контроллинге. Кроме этого, проясняются желаемые результаты для бизнеса, гарантируется, что цели программы обеспечивают достижение этих результатов, достигается понимание всей совокупности усилий, необходимых для достижения результата, устанавливается ответственность и сопутствующие методы измерения, определяются составляющие программу проекты, распределяются ресурсы и средства, делегируются полномочия, запускаются проекты начальной стадии программы.

Декларативность приведенных целей очевидна. Строго говоря, их вообще нельзя считать целями, поскольку ни для одной из них не выполняются свойства конкретности, измеримости, достижимости, реалистичности и привязанности ко времени. В сочетании с неконкретностью формулировок в описании процесса определенные таким образом цели не позволяют выстроить никакой конкретной системы управления процессом.

Следующий раздел называется "Указания для менеджмента" и содержит три атрибута процесса:

· таблицу входов и таблицу выходов;

· ролевую таблицу (RACI-таблицу);

· диаграмму целей и метрик (т.е. местоположение процесса в иерархии целей).

Таблицы входов и выходов процесса представлены на рис.4. В таблице входов звездочками обозначены входы извне процессов COBIT. Обозначения процессов состоят из первых букв английского названия процессной области и порядкового номера процесса. Таким образом, ME4 обозначает четвертый процесс в области "Мониторинг и оценка" (а именно процесс "Обеспечение корпоративного управления ИТ"). В сочетании с ролевой таблицей, показанной на рис.5, таблицы входов и выходов определяют на концептуальном уровне фрагмент схемы ИТ-документооборота.

Рис.4. Входы и выходы процесса "Разработка стратегического плана развития ИТ"

Рис.5. Ролевая таблица процесса "Разработка стратегического плана развития ИТ"

Диаграмма целей и метрик процесса показана на рис.6.

Рис.6. Цели и метрики процесса "Разработка стратегического плана развития ИТ"

О выборе набора метрик в COBIT говорится следующее:

"Метрики разрабатывались исходя из следующих соображений:

· высокая полезность (например, полезность метрик при оценке эффективности или степени достижения цели должна значительно превышать сложность их расчета);

· внутренняя сравнимость (например, процент от некоторого базового значения или величина, привязанная к моментам времени);

· внешняя сравнимость, не зависящая от конкретной индустрии или размера предприятия;

· лучше иметь несколько хороших метрик (может быть, даже одну-единственную очень хорошую, зависящую от множества факторов), чем длинный перечень метрик низкого качества;

· простые в измерении, в отличие от целей".

Несмотря на то, что приведенный на рис.6 перечень метрик процесса и его активностей является только иллюстративным (как и все перечни метрик в COBIT), он, безусловно, может оказаться полезным и на практике. Тем не менее, принципы его построения остаются не вполне понятными. Например, у процесса есть два выхода - стратегия ИТ-сорсинга и стратегия ИТ-закупок, для которых, во-первых, нет активностей, а во-вторых, отсутствуют метрики, характеризующие соответствие этих выходов требованиям бизнеса. Более того, рис.6 демонстрирует, что существуют две параллельные системы целей: цели управления процессом (control objectives) и цели процесса (process goals), причем метрики определены только для целей процесса. Для целей управления процессом никаких метрик не вводится, что еще раз подтверждает тезис о декларативности этих целей. Если сюда добавить еще и набор требований к процессам, приведенный в предыдущем разделе, получится довольно громоздкая и разнородная система утверждений разной степени общности с непрозрачными взаимосвязями, и, главное, имеющая непонятное назначение, потому что никаких рекомендаций по практическому использованию этих утверждений (за исключением целей процессов) COBIT не предлагает.

Последний раздел описания ИТ-процесса называется "Модель зрелости". Она опирается на расширенную модель CMM, которая устроена в COBIT следующим образом.

Прежде всего, определяется так называемая шаблонная модель зрелости. Она похожа на лесенку уровней CMM и выглядит так:

0. Несуществующий. Полное отсутствие каких-либо сформировавшихся процессов. Организация даже не подозревает, что здесь существует проблема, которую надо решать.

1. Начальный/Подходящий к случаю. Есть уверенность, что организация осознает наличие проблемы. Стандартных процессов тем не менее не существует; вместо этого применяются подходящие к случаю приемы, которые могут и повторяться. Общий подход к управлению не организован.

2. Повторяемый, но интуитивный. Процессы проработаны до такой степени, что разные люди используют похожие процедуры для решения одинаковых задач. Никакого обучения стандартным процедурам или обмена информацией не происходит, и ответственность за результат лежит на индивидууме. Зависимость от уровня знаний конкретного индивидуума велика, поэтому вероятны ошибки.

3. Определенный процесс. Процедуры стандартизованы, документированы, и информация о них распространяется через обучение. Применение процедур строго обязательно, однако маловероятно, что отклонения от этого порядка будут замечены. Процедуры сами по себе несложны и представляют собой формализацию существующих практик.

4. Управляемый и измеримый. Менеджмент следит и замеряет, насколько строго управление следует установленным процедурам и предпринимает определенные действия, если процессы работают с низкой результативностью. Процессы постоянно улучшаются, воплощая в себе признанные практики. Автоматизированные средства управления используются ограниченно или фрагментарно.

5. Оптимизируемый. Процессы закончены и отражают признанные практики, полученные в результате непрерывного улучшения и сравнения с моделями зрелости других организаций. ИТ используются как интегрированный инструмент автоматизации потока работ и предоставляют средства повышения качества и результативности, что повышает гибкость организации в целом".

COBIT использует шаблонную модель не для описания зрелости организации, как это делается в СММ, а для характеристики отдельного процесса. При построении модели зрелости процесса рекомендуется добавить к шаблонной модели следующие дополнительные свойства, характеризующие процесс:

· ознакомленность и коммуникации;

· политики, планы, процедуры;

· инструменты и средства автоматизации;

· навыки и экспертиза;

· ответственность и подотчетность;

· постановка целей и измерения.

То, насколько полно реализовано каждое свойство, определяет уровень зрелости процесса.

Этот подход радикально отличается от подходов СММ/CMMI и методологии. Использование "лесенки уровней" для отдельного процесса делает принципиально невозможным переход от оценки процесса к оценке организации: единственным объектом оценки является изолированный процесс.

COBIT рассматривает зрелость процесса (здесь не используется термин "развитость" применительно к процессу) в трех аспектах, показанных на рис.7. Смысл этого рисунка в том, что при построении модели зрелости конкретного процесса (т.е. при наполнении конкретным содержанием описаний уровней шаблона) нужно явно учитывать три характеристики процесса. Во-первых, это потенциальные возможности системы управления процессом, которые обеспечивают соответствие поставленным целям ИТ. Во-вторых, это то, до какой степени желательно развивать процесс, если ожидаемый возврат инвестиций может быть обеспечен еще до достижения высокого уровня зрелости (а начиная с этого уровня возврат инвестиций падает). И наконец, в-третьих, это специальные средства управления, которые могут понадобиться для минимизации рисков и обеспечения соответствия внешним требованиям.

Рис.7. Три измерения зрелости процесса

Взгляд на зрелость процесса, когда рассматриваются не просто управленческие характеристики процесса ("общие практики" в терминологии CMMI), а разные содержательные аспекты этих характеристик, является оригинальным и перспективным, хотя никаких конструктивных способов построения модели зрелости процесса COBIT не дает. Модель зрелости процесса "Разработка стратегического плана развития ИТ" выглядит так.

PO1. Разработать стратегический ИТ-план

Управление процессом Разработать стратегический ИТ-план, которое удовлетворяет требованиям к ИТ со стороны бизнеса, состоящим в том, что ИТ должны поддерживать или расширять стратегию бизнеса и требования со стороны корпоративного управления и быть прозрачными в том, что касается выгод, затрат и рисков, характеризуется как находящееся на уровне:

0. Несуществующий, когда

стратегическое планирование ИТ не выполняется. Менеджмент не осознает того, что стратегическое планирование ИТ необходимо для поддержки целей бизнеса.

1. Начальный/Подходящий к случаю, когда

необходимость стратегического планирования ИТ осознается руководством ИТ. Планирование выполняется по мере необходимости в ответ на конкретное требование со стороны бизнеса. Проблема стратегического планирования ИТ время от времени обсуждается на совещаниях руководства ИТ.

2. Повторяемый, но интуитивный, когда

руководство бизнеса участвует в стратегическом планировании ИТ только по необходимости. Обновление ИТ-планов выполняется по запросу менеджмента. Стратегические решения принимаются по итогам отдельных проектов вне зависимости от стратегии организации в целом. Риски и выгоды, связанные с основными стратегическими решениями, осознаются на интуитивном уровне.

3. Определенный, когда

существует политика, определяющая, когда и как выполняется стратегическое планирование ИТ. Стратегическое планирование ИТ использует документированный структурированный подход, известный всему персоналу. Процесс планирования ИТ достаточно рационален и обеспечивает приемлемый уровень планирования. При выполнении процесса, однако, решающее слово остается за конкретным менеджером; процедуры контроля за ходом процесса отсутствуют. Корпоративная стратегия ИТ содержит последовательное описание рисков, которые возникают при инновационном или консервативном поведении организации. Финансовый, технический и кадровый аспекты стратегии ИТ все больше влияют на приобретение новых продуктов и технологий. Проблема стратегического планирования ИТ обсуждается на совещаниях руководства организации.

4. Управляемый и измеримый, когда