IT治理

IT治理的簡單定義就是使參與信息化過程的各方利益最大化的制度措施。

關於IT治理，中外學者給出了很多的定義，美國IT治理協會給IT治理的定義是：“IT治理是一種引導和控制企業各種關係和流程的結構，這種結構安排，旨在通過平衡信息技術及其流程中的風險和收益，增加價值，以實現企業目標。”中國有一種觀點認為，IT治理是描述企業或政府是否採用有效的機制，使得IT的應用能夠完成組織賦予它的使命，同時平衡信息化過程中的風險，確保實現組織的戰略目標的過程。它的使命是：保持IT與業務目標一致，推動業務發展，促使收益最大化，合理利用IT資源，適當管理與IT相關的風險。

美國麻省理工學院的學者彼得·維爾和珍妮·羅斯在其所撰寫的《IT治理》一書中指出，IT治理就是為鼓勵IT應用的期望行為，而明確的決策權歸屬和責任擔當框架。他們認為是行為而不是戰略創造價值，任何戰略的實施都要落實到具體的行為上。

從IT中獲得最大的價值，取決於在IT應用上產生期望的行為。期望行為是組織信念和文化的具體體現，它們的確定和頒布不僅基於戰略，而且基於公司的價值綱要、使命綱要、業務規則、約定的行為習慣以及結構等。在每一家公司里，期望行為都各不相同。

綜合這些定義，可以得出，IT治理就是要明確有關IT決策權的歸屬機制和有關IT責任的承擔機制，以鼓勵IT應用的期望行為的產生，以聯接戰略目標、業務目標和IT目標，從而使企業從IT中獲得最大的價值。

當前，我國信息化建設中的最大問題，不是技術問題，也不是資金問題，而是缺乏科學的IT管理觀念；IT領導者最大的問題不是缺少經驗和能力，而是缺乏卓越的管理素質和管理方法。對於IT治理來說，國際上已有許多成熟的方法和工具，形成了最佳業務實踐，這些最佳業務實踐是全球智慧的結晶，所以，對於我們來說，不是再去從頭創新，而是需要根據國情和組織的實際情況，對最佳實踐加以理解、掌握並有效運用，從而為組織戰略目標服務。

下圖為山東省軟體評測中心總結的IT治理的總體框架，描述了IT治理的出發點、IT治理的關鍵要素、IT治理的對象、IT治理的最佳實踐。

按照IT治理的對象，我們將IT治理的服務劃分為五類，分別是：IT規劃治理、IT建設治理、IT運維治理、IT績效治理、IT風險治理。

基於ITGI、正在形成的產業標準、客戶最佳實踐及思想領導者的工作，第一流的分析師都在強調IT治理框架的三個支柱的模式。這一框架強調確保IT在支持業務目標、優化商業技術投資及合理管理IT相關風險和機會中的重要性。

在CIO和IT領導看來，由於可以為組織走出煩惱多時的沒完沒了的支出、擴展、補丁、再支出的循環提供一個清楚的路徑，這三個支柱的模式和與之相應的IT治理成熟度模型正在迅速地獲得動力。

有了IT治理這一框架，IT投資所帶來的價值可以獲得理解，實現技術投資和業務目標需求之間的聯結也有了明確的方法。在來自管理層和董事會的壓力越來越大的情況下，IT組織不能僅依靠理論—他們需要能發揮作用的治理。對於任何想抓住這種前瞻性的IT方法所帶來的利益的組織而言，這一成形的IT治理框架都是適用的。這個框架包括三個主要的組成部分，具體表現為“計劃/構造/管理”三個生命周期，通過一個不斷進行的連結這三個要素的反饋環，使得IT變革成為可能。這三個支柱是：企業架構計劃、投資組合合理化、服務融合。

一旦IT領導理解了這三個支柱，他們對於IT治理為什麼如此重要，以及哪一種方法可以最好地幫助他們達成治理目標，就會有更好的理解。例如，在項目投資管理和系統管理領域，一般的供應商只會致力於整個框架的一部分。對IT治理問題需要有一個全面的解決方案，這一需求已經越來越表現出來了。

治理和管理是兩個不同的概念，它們之間的區別就在於，治理是決定由誰來進行決策，管理則是制定和執行這些決策。簡單地講，IT治理關注兩個方面的問題，即IT治理的“什麼”和“誰”。IT治理的“什麼”是指IT治理應該作出哪些決策，IT治理的“誰”則是指這些決策分別應該由誰來作出。

那麼，IT治理到底應該作出哪些決策呢？要找到這個問題的答案，必須先搞清楚一個問題，那就是組織到底需要IT發揮什麼樣的作用。不要想當然地以為這是一個可以簡單回答的問題。實際上，不同的組織對於IT的需要是不一樣的。組織到底需要IT做什麼，在很大程度上取決於它處於一個什麼樣的商業環境。

走向IT治理的第一步就是，要對組織處於什麼樣的商業環境進行正確的分析。

埃森哲公司的IT治理模式通過兩個指標來對組織的商業環境進行分析：變化的速度和競爭的基礎。

變化的速度。某些企業處在一個變化較快的行業，如半導體企業和電信企業。在這樣的行業，消費者的需求和偏好經常改變，產業政策也時常推陳出新，時不時出現的新技術會一下子改變整個產業價值鏈;而另外一些行業的發展狀態則相對穩定，不會有那麼快的變化，如航空業。在這樣的行業，消費者的需求、競爭格局、政府管制、技術及供應商等方面的變化都是緩慢發生的。

競爭的基礎。從競爭的基礎來看，企業可以分為兩類。一類企業以運營效率為基礎進行競爭。對於這類組織來說，重點在於降低成本，以及優化商業模式以應對競爭；另一類企業以產品和服務的差異性為競爭的基礎。這類企業力求先於競爭對手提供新的商業能力，或者是開創新的商業模式，以此獲得競爭優勢。

IT治理流程模式

一旦組織明確了自己對於IT的需求，那下一步就要解決IT治理作哪些決策的問題，也就是前文所說的IT治理的“什麼”。IT治理的決策範圍一般包括以下五個方面。組織模式：組織是採取集權、分權還是混合的模式?

投資：組織將投資於什麼？投多少?

架構：組織是著重於穩定性還是靈活性？這兩者各到什麼程度？應用系統是向外購買還是內部開發?是建立一個綜合性的ERP系統還是多種系統?

標準：組織需要將什麼技術標準化，採用什麼標準?

資源:IT組織將利用什麼類型的資源？這些資源的來源是什麼?

對於A類組織，其首選的組織模式應該是集權式治理，IT對於預算和決策負有責任。加拿大郵政公司就採用這種方法，該公司堅持一種簡單化的組織模式，有一個集權部門來對公司行為進行優先排序，並通過單一的IT資源來完成。

在標準的決策方面，A類組織謀求在全組織範圍內加強架構、技術和供應商的標準化，只是在一些被證明是正當的例外的情況下才允許有所背離。一家大型的法國保險公司就是這方面的一個例子。該公司在集團範圍內對IT架構實行了標準化，因此它可以優化其核心的IT流程，整合系統支持其非壽險業務，移植數據，配置新的系統以支持其健康險業務。

在資源決策方面，A類組織善於利用內外部資源的組合，通常會與少量的幾家優選的服務提供商達成服務協議。當某個全球性的化學品公司認為IT並非其核心業務時其，便將整個IT運作外包出去，包括其ERP系統全球範圍內的實施和支持。

公司治理主要關注利益相關者權益和管理，包括一系列責任和條例，由最高管理層（董事會）和執行管理層實施，目的是提供戰略方向，保證目標能夠實現，風險適當管理，企業的資源合理使用。公司治理，驅動和調整IT治理。同時，IT能夠提供關鍵的輸入，形成戰略計劃的一個重要組成部分，這被認為是公司治理的一個重要功能——IT影響企業的戰略競爭機遇。

IT治理的一個關鍵性問題是：公司的IT投資是否與戰略目標相一致，從而構築必要的核心競爭力。因為企業目標變化太快，很難保證IT與商業目標始終保持一致，因此需要多方面的協調，保證IT治理繼續沿著正確的方向走，這也是IT投資者真正關心的問題。對IT治理而言，要能體現未來信息技術與未來企業組織的戰略集成。既要儘可能地保持開放性和長遠性，以確保系統的穩定性和延續性；同時又因為規劃趕不上變化，再長遠的規劃也難以保證能跟上企業環境的變化。IT 治理中一個相對有效的做法是，在信息化規劃時，認真分析企業的戰略與IT支撐之間的影響度，併合理預測環境變化可能給企業戰略帶來的偏移，在規劃時留有適當的餘地，從業務戰略到信息戰略，做務實的牽引，不要追求大而全。

IT治理有助於建立一個靈活的、具有適應性的企業。IT治理能夠影響信息和指示：企業能夠感知市場正在發生的事，使用知識資產並從中學習，創新新產品、服務、渠道、過程；迅速變化，將革新帶入市場，衡量業績。IT治理應該體現“以組織戰略目標為中心”的思想，通過合理配置IT資源創造價值。企業治理側重於企業整體規劃，IT治理側重於企業中信息資源的有效利用和管理。

企業目標在於遠景和商業模式，IT目標在於商業模式的實施。

企業目標與IT目標之間的關係如下圖所示：

IT治理主要涉及兩個方面：IT要為企業交付價值，IT風險要降低。前者受IT與企業的戰略一致性驅動，後者由責任義務落實到企業驅動。這兩者都需要衡量，如使用平衡計分卡。這就可以看出IT治理的四個核心領域，都是由利益相關者價值驅動的，其中兩個是成果：價值交付和風險降低，另外兩個是驅動力：戰略一致性和業績衡量。

概括地說，公司治理和IT治理都是市場（含政府）他律的機制，是如何“管好管理者”的機制，其目標也是一致的：達到業務永續運營，並增加組織的長期獲利機會。無論大環境是好是壞，最高管理層（董事會）均應以達成其目標為責任，而且管理階層需有能力協助其達成目標，因此最高管理層（董事會）必須常常監督管理部門對決策判斷與政策實施的績效。 “斯達模式”這一被譽為國企擺脫困境、改革發展的創新模式，正說明了公司治理和IT治理的重要性和互動關係。“黑紙”利用合資契機，對產權體制進行了改革，並按照現代企業制度要求，建立與市場競爭相適應的公司治理機制，明晰了企業產權，優化了生產要素配置，轉變了職工觀念，為斯達大力進行信息化改造創造了有力條件。反過來，信息化也促進了公司的現代化管理。

Troux是惟一能提供有效的IT治理系統的企業，同時，它還能提供全面的可以連結業務和自動工作流，及自動化的策略管理系統。為了解決CIO們今天面臨的最具挑戰性的IT治理問題，Troux的解決方案提供了基礎，並且橫跨IT治理框架的三個領域。企業架構：使得企業建造師可以完全模仿符合未來需要的架構，並且提供創造和管理與架構相協調的標準和路線圖的能力。投資合理化：為IT執行人員提供確保應用、基礎設施、服務和項目投資與業務和成本優化相協調的可視度和工具。

服務管理:使IT組織可以實現對業務服務的自動化定義和管理，並確保關鍵業務、遵從和業務連續性目標的一致。

有了以上各種解決辦法，Troux帶來了幫助CIO和IT執行人員實現IT治理所需要的深入的專業知識、最佳實踐和成熟的模式。

正如IT治理已經位居CIO日程表的前列，經理人員們也已經發現，最佳實踐和方法的標準還沒有準確的定義—到這一狀況才有所改變。

Troux的技術為CIO和IT經理有效計劃、構建和管理他們的IT運作，提供了所需要的最佳實踐和方法。

IT管理是公司的信息及信息系統的運營，確定IT目標以及實現此目標所採取的行動；而IT治理是指最高管理層（董事會）利用它來監督管理層在IT戰略上的過程、結構和聯繫，以確保這種運營處於正確的軌道之上。這是一個硬幣的兩面，誰也不能脫離誰而存在。可見，IT管理就是在既定的IT治理模式下，管理層為實現公司的目標而採取的行動。 IT治理規定了整個企業IT運作的基本框架，IT管理則是在這個既定的框架下駕馭企業奔向目標。缺乏良好IT治理模式的公司，即使有“很好”的IT管理體系（而這實際上是不可能的），就像一座地基不牢固的大廈；同樣，沒有公司IT管理體系的暢通，單純的治理模式也只能是一個美好的藍圖，而缺乏實際的內容。就中國信息化建設現狀而言，無論是IT治理，還是IT管理都是所迫切需要解決的。

ITGov中國IT治理研究中心認為：IT治理委員會和CIO制度的缺失，是當前我國信息化建設制度安排上的“致命性”缺陷。

治理層面對IT的關注，需要從組織保障上設立IT治理委員會，實現最高管理層（董事會）對IT的監管。ING、梅隆金融等發達國家先進企業都是在董事會設立的IT治理委員會。

當董事會和高管層需要做IT決策時，該委員會能夠提供支持，從而使投資巨大的IT項目處於可控狀態，並使企業獲得更大的競爭優勢。尤其對於轉型模式下的中國證券企業，董事會的監管至關重要。

從另外一個角度來看，當前的信息化過程已經演變成為“流程的重組和利益的再分配”，勢必觸及到一些部門和個人的利益，勢必遭到他們的反對（並且是種種冠冕堂皇的理由的反對），這種情況下的指導和協調工作，已經遠遠超出信息化部門領導的職責和權力範圍，必須在治理層面建立IT治理的體制和機制，才能有效地推進信息化工作，規避IT風險，實現業務戰略目標。

在設立IT治理委員會時，我們要考慮三個問題

IT治理委員會由組織的最高管理層（董事會）及管理執行層包括IT管理和業務管理有關部門負責人、管理技術人員組成，定期召開會議，就企業戰略與IT戰略的驅動與設置等議題進行討論並做出決策，為組織IT管理提供導向與支持，把IT治理的相關規範融入到組織的內部控制中

根據ITGov中國IT治理研究中心的研究成果，IT治理委員會的職責包括但不限於：

n 遵守並貫徹執行國家有關信息化治理（管理）的法律、法規和技術標準，落實政府監管部門相關監管要求，負責開展信息化相關的合規工作。

n 審查批准信息化戰略，確保其與業務戰略和重大策略相一致。評估信息技術及其風險管理工作的總體效果和效率。

n 分析信息技術風險成因，掌握主要的信息技術風險，確定可接受的風險級別，確保相關風險能夠合理管理。

n 規範職業道德行為和廉潔標準，增強組織文化建設。

n 統一全體人員對信息化治理的思想、認識和意識養成。

n 設立一個由來自高級管理層、信息化部門和主要業務部門的代表組成的專門信息技術管理委員會，負責監督各項職責的落實，定期向董事會和高級管理層彙報信息化戰略規劃的執行、信息化預算和實際支出、信息化管理的整體狀況。

n 在建立良好的公司治理的基礎上進行信息化治理，形成分工合理、職責明確、相互制衡、報告關係清晰的信息化治理組織結構。加強信息化專業隊伍的建設，建立人才激勵機制。

n 確保內部審計部門進行獨立有效的信息技術風險管理審計，對審計報告進行確認並落實整改。

n 每年審閱並向政府監管部門報送信息化治理的年度報告。

n 確保信息化治理工作所需資金。

n 確保所有員工充分理解和遵守經其批准的信息化治理制度和流程，並安排相關培訓。

n 確保本法人機構涉及客戶信息、賬務信息以及產品信息等核心信息資產的安全。

n 及時向政府監管部門報告本機構發生的重大信息技術事故或突發事件，按相關預案快速響應。

n 配合政府監管部門做好信息科技風險監督檢查工作，並按照監管意見進行整改。

履行信息化治理其他相關工作。

目前，比較流行的辭彙，如IT治理結構、IT治理模型、 IT治理標準等，其概念定義、內涵和外延均比較混亂，這不利於IT治理的傳播、推動與發展。

根據權威的ITGov中國IT治理研究中心界定：

IT治理=IT治理思想+IT治理模式+IT治理體制+IT治理機制（ITGov中國IT治理研究中心，2008）

IT治理思想即科學的信息化發展觀，儘管在廣義的IT治理模式中涉及IT治理思想，但考慮到IT治理思想的重要性，我們還是把它獨立出來加以強調；

IT治理模式解決有關管理思想、管理方式方法層面的問題，是具有方向性、框架性的高度概括，其涉及的內容，

第一是組織在IT治理工作中所遵循的治理思想或堅守的治理理念（治理觀念）是什麼；

第二是治理的結構問題，其中包括根據組織發展目標確定的IT治理定位（採用什麼樣的治理方式和治理途徑）、治理運行的要求、治理關係的原則等三個方面；

第三是治理的運行機制，即涉及IT治理流程及制度體系、組織的價值觀、IT文化及溝通機制、IT績效管理與激勵約束機制等。

同時，為保障治理模式行之有效，需要建立IT治理自身的績效評估、持續改進提高的良性循環機制。ITGov中國IT治理研究中心通常只把治理思想理念和治理結構及方式納入治理模式的研究範疇，而把治理流程層面的內容納入治理運行機制的範疇；

IT治理體製表達的是治理的組織架構。治理體制是界定組織中各相關主體在各自方面的治理範圍、責權利及其相互關係的準則，它的核心是治理機構（如IT治理委員會等）的設置和許可權的劃分。各治理機構職權的分配以及各機構間的相互協調，它的強弱直接影響到治理的效率和效能，對IT治理效率起著決定性的作用。一個組織選擇不同的治理體制，將決定其設置不同的組織機構和運行規則，相應地將會有不同的運行效果。確定現代化的治理體制是建立高效管理組織的基本條件。選擇符合組織發展需要的治理體制，必須是在對組織所處行業領域、行業地位、行業特點、競爭狀況、資本結構、產權結構、組織結構、人員結構、發展戰略或階段目標、政策環境和內外部資源條件等方面進行詳細調查分析，並系統歸納組織的優勢與劣勢和現有管理體制存在問題的基礎上進行。組織的治理體制，往往根據其所從事的事業來劃分為集權治理體制、分權治理體制和聯邦民主式治理體制。

治理機制的涵義，是指治理體系結構及其運行機理，治理機制又細分為運行機制、動力機制、約束機制。運行機制是指組織IT相關基本職能的活動方式和運行關係；動力機制是指推動信息化可持續發展的內生動力產生與運作的機理；約束機制是指對IT治理行為進行約束與糾正的功能與機理。通過細分的運行機制、動力機制和約束機制，就比較容易理解什麼是治理機制了。ITGov中國IT治理研究中心根據當前的國情和信息化發展所處的階段，強調把建立完善信息化全生命周期風險管理控制體系作為構建落地的運行機制的主要內容，把信息化績效評估作為信息化可持續發展的內在動力機制，把信息化風險管控體系和績效問責共同作為約束機制。

總之，在治理思想治理模式、治理體制、治理機制四個概念中，治理思想回答的是方向性問題，治理模式側重於具有代表性、穩定性治理方式、治理路徑，治理體制傾向於解決各相關主體的治理範圍、責權利及其相互關係的準則等問題；治理機制所要解決的是運行機理、動力和約束問題。IT治理思想決定IT治理模式，IT治理模式決定IT治理體制和IT治理機制，可以說有什麼樣的IT治理思想，就會有什麼樣的治理模式，有什麼樣的IT治理模式，就會有什麼樣的IT治理體制和機制。

依據上述思路，ITGov中國IT治理研究中心自主創新了符合中國國情的“中國企業IT治理框架”，該框架有七要素組成：科學的信息化發展觀、IT商業價值、IT治理方法、IT治理績效、IT治理決策模式、IT風險管理控制體系、核心IT能力。（ITGov中國IT治理研究中心，2008）

IT建設運行的管理機制。IT治理的關鍵要素涵蓋IT組織、IT戰略、IT架構、IT基礎設施、業務需求、IT投資、信息安全等，主要確定這些要素或活動中“做什麼決策？誰來決策？怎麼來決策？如何監督和評價決策？”。圍繞著IT建設全生命周期過程，構建持續的信息化建設長效機制，是IT治理的目標一致，因此，整個IT建設生命周期都是IT治理的對象，包括IT組織與規劃、IT建設與交付、IT運行與維護、IT評估與優化。IT治理的國際最佳實踐就是基於各個對象治理的成熟的方法論和工具，包括CobiT、ITIL、ISO27001、Prince2等。