IT治理：中國信息化的必由之道（一）

申請免費試用、咨詢電話：400-8352-114

IT治理：中國信息化的必由之道（一）

孫強 郝亞斌 郝曉玲 孟秀轉

信息化已經成為中國經濟與社會發(fā)展最重要的推動力，大力推動全社會的信息化，以信息化帶動工業(yè)化，這一戰(zhàn)略已經取得了可喜的成果。當前，在加入WTO后的中國經濟環(huán)境中，信息的重要性已被廣為認同，信息系統(tǒng)也已逐步滲透到商業(yè)和政府組織中，IT系統(tǒng)開始從傳統(tǒng)的后臺支持轉變?yōu)樾聵I(yè)務開展的直接驅動力，IT也日益成為企業(yè)的直接利潤中心。各種組織對信息系統(tǒng)的依賴程度在不斷增加，更有一些組織甚至若沒有IT將不復存在，但同時對于很多組織由于信息和信息技術意味著最重要的資產，這導致IT本身已經或潛在成為一個巨大的威脅，隨IT而來的風險、利益和機會使得IT治理成為公司和政府治理中很關鍵的一個方面。管理層需要確保IT與公司戰(zhàn)略一致而且公司戰(zhàn)略也很好地利用了IT的優(yōu)勢，政府需要發(fā)展電子政務來促動、實現(xiàn)轉變政府職能的轉變。因此，隨著對信息系統(tǒng)依賴性的增加，IT治理對于組織的成功是至關重要的。這篇文章將探究當前關于IT治理的思想，為什么IT治理框架對于組織的持續(xù)成功是至關重要的，然后描述它與公司治理之間的關系，最后簡單介紹了一個IT治理的自動化工具COBIT。后續(xù)文章將主要集中在IT治理機制的實現(xiàn)上，IT治理應該采用國際上最好的實踐標準，包括COBIT和ISO/IEC 17799，討論如何實施它以改善整個組織的運作。

IT治理缺失的九大癥狀

首先，各自為政。缺乏統(tǒng)一、全局的IT戰(zhàn)略規(guī)劃，由于沒有統(tǒng)籌規(guī)劃，目標不明確，標準不統(tǒng)一，一些地方處在混亂無序的狀態(tài)，形成了很多信息孤島，缺乏共享的、網(wǎng)絡化的信息資源，中關村科技軟件公司總裁朱希鐸曾對媒體呼吁，我國要警惕形成世界上規(guī)模最大的信息孤島。如目前國內已建成的眾多CA中心，除了在采用X.509證書標準上一致外，其它的共同標準規(guī)范很少，中國各CA中心發(fā)放的證書基本不能相互兼容，CFCA作為中國金融業(yè)的統(tǒng)一認證中心，其證書甚至不能與國際權威的CA認證接軌。對于企業(yè)而言，面對業(yè)務重組、裁員、外包、充分授權、扁平化組織和分布式處理等如此復雜多變的商業(yè)環(huán)境，在IT戰(zhàn)略規(guī)劃修訂時，如何精確保證IT戰(zhàn)略規(guī)劃和企業(yè)戰(zhàn)略目標的一致，普遍缺少科學方法論的指導。

其次，信息化建設領導者錯位，IT應用方案和企業(yè)業(yè)務需求之間邏輯錯位。過去的信息化工程是技術專家或技術廠商主導下進行的，而不是經濟專家或管理專家主導，技術專家或技術廠商從技術的視角去關注信息技術和設備的先進性等，較少聚焦在IT戰(zhàn)略和組織戰(zhàn)略目標的互動上，較少考慮信息技術如何形成企業(yè)核心競爭力，如何避免風險，如何創(chuàng)造新的業(yè)務和市場，和管理層溝通缺少通用的語言（非IT專業(yè)術語），因而不可避免地和企業(yè)的經營環(huán)境、經營目的脫節(jié)，而隨著設備更新的加快，許多早期的工程只剩下一推擺設，管理層看不到在IT上的投資回報，這又導致信息技術得不到應有的重視，形成惡性循環(huán)。目前，總結經驗和教訓，各方普遍認識到中國的信息化建設問題從總體上來說不是技術問題。以熱火朝天的ERP為例，ERP的實施不僅僅是軟件的事，更重要的是一場管理革命。從這個意義上講，ERP只是一張皮，深層次的是企業(yè)內部變革，所以管理變革若以ERP為助推器，則ERP的實施將水到渠成；若以ERP項目為導火線，試圖在公司內部發(fā)動管理變革，則往往會面臨重重障礙而擱淺，最終不了了之，甚至還可能導致公司被IT拖垮。

第三，決策的技術經濟論證不足。信息化建設項目具有投資大、風險大的特點。英國Kalido于英國時間2001年12月12日公布了有關企業(yè)信息管理的調查結果。調查顯示，96％的企業(yè)對于本公司的信息管理系統(tǒng)感到不滿。關于目前正在使用的信息系統(tǒng)，認為"所制作的報告缺乏一貫性"或者是"核對信息花費了太多時間"的企業(yè)約占70％?；卮鹉壳暗男畔⑾到y(tǒng)不能靈活因應變化的企業(yè)約占60％，對于數(shù)據(jù)的精度表示擔心的企業(yè)約占60％，60％以上的企業(yè)正在策劃有關數(shù)據(jù)及信息的整合計劃。特別引人深思的是該調查是由美國Harte-Hanks以全球500強企業(yè)以及財富1000企業(yè)中的171家公司為對象通過問卷方式實施的。事實告訴我們，系統(tǒng)規(guī)模越大、與管理聯(lián)系越密切、集成度越高的系統(tǒng)，風險也越大，失敗概率越高，其中最明顯的例子就是ERP，信息化建設項目的高風險和高失敗率就要求企業(yè)在信息化建設決策之前，要進行充分的技術經濟論證，綜合論證項目技術上的先進性和可行性，財務上的實施可能性，經濟上的合理性和有效性。朱镕基總理在國家信息化領導小組第二次會議中特別強調：加快信息化建設，必須以規(guī)劃為指導，加強統(tǒng)籌協(xié)調，突出發(fā)展重點，務必注重實效。由于我國信息化建設項目開展時間不長，缺乏項目決策論證經驗，同時，信息化建設項目除直接效益外還產生大量外部效益，對外部效益的量化也是一個難點。因此，許多企業(yè)和政府在進行信息化建設時缺乏科學的定性、定量相結合的技術經濟論證。 另據(jù)分析，2002年，中央政府預計對電子政務建設的投資規(guī)模將達到350億元，如此巨大的投資，一旦由于技術經濟論證不足而導致決策失誤的話，將給國家造成多么巨大的損失！
第四，信息資源的合理應用一直是我國信息化的薄弱環(huán)節(jié)。信息資源的開發(fā)和利用是國家信息化建設的核心任務，是國家信息化取得實效的關鍵。信息資源的開發(fā)和利用是衡量國家信息化水平的一個重要標志，將信息資源開發(fā)和利用放在核心地位是我國推進信息化的一大特點。在信息化建設中，我們普遍存在著信息處理環(huán)境建設滯后于物理環(huán)境建設，許多單位的數(shù)據(jù)庫混亂狀況與其先進的計算機環(huán)境和網(wǎng)絡環(huán)境極不相稱，使信息化建設無法取得實效，造成極大浪費。以電子政務為例，美國電子政務提出的口號是讓人們點擊3次鼠標就能辦完事。而我國一個電子政務系統(tǒng)往往有工商、稅務、計委、環(huán)保、社保等幾十個甚至是上百個系統(tǒng)，要跨部門辦一個申報審批的事情，不知道要點擊多少次。與此同時，我們認為這也將給中國IT企業(yè)帶來極大的商機。

第五，利益沖突和信息的不透明。由于任何企業(yè)的任務環(huán)境要考慮和關系的利益非常廣泛，在任何一個IT戰(zhàn)略決策中，都會不可避免發(fā)生利益相關者包括部門利益之間的利益沖突。所以，即使管理層要努力承擔責任，企業(yè)任何時候的任何決策都會招致某個或多個群體的不滿。一些管理層在做出IT戰(zhàn)略決策之前，沒有仔細考慮每一個方案會影響到哪些重要的利益相關者。那些開始看起來能為公司帶來最大利益的最佳方案，也許會為公司帶來最嚴重的后果。因此管理者必須懂得信息系統(tǒng)給組織所帶來的各種影響。相關領導需要仔細地考慮，當引進信息系統(tǒng)并產生效益的同時，還可能給企業(yè)帶來什么新的問題？信息系統(tǒng)是否能夠給組織各級領導的工作帶來影響？組織的工作流程是否需要變化？會不會引起新的人員下崗？等等。

信息的不透明表現(xiàn)在諸多方面，如政府信息化專項貼息貸款，那些貸款果真?？顚Ｓ昧藛幔可鲜泄踞槍T項目的配股增發(fā)，又有幾例不是沖著圈錢去的？！某些廠商利用信息不對稱，極力鼓吹客戶要采購先進的技術和設備，致使這些客戶的信息系統(tǒng)甚至比發(fā)達國家的同行還要先進，但在營運績效方面卻落后很多。還有某些廠商和咨詢公司在合同簽訂前故弄玄虛，以及在多方利益博弈后的項目驗收，這些缺少量化模型的項目驗收和績效評估，在各方利益得到均衡滿足后，一路綠燈通行。

第六，IT安全治理和風險管理缺位。目前大多數(shù)組織的最高管理層都已樹立不同程度的安全和風險意識，但對信息資產所面臨的嚴重性認識不足僅局限于IT方面的安全，突出表現(xiàn)為重視安全技術，輕視安全管理，沒有形成合理的信息安全方針來指導組織的信息安全管理工作，在安全規(guī)劃、風險管理、應急計劃、安全教育培訓、安全系統(tǒng)的評估等多方面總是出現(xiàn)了問題才去想補救的辦法，是一種就事論事、靜態(tài)的管理，不是建立在安全治理基礎上的動態(tài)的全局管理方法。國內的信息化“就應用系統(tǒng)而言，幾乎所有企業(yè)的信息系統(tǒng)都存在隱患”。

第七，非技術性的障礙。IT技術的快速發(fā)展使得許多人產生了一種錯誤的思維定勢：如果采用了最新的技術，就能夠（或容易）取得信息系統(tǒng)的成功。換言之，如果信息系統(tǒng)建設不成功，多半是因為沒有采用最新的技術。但是，我們不斷地看到這樣的案例：一些企業(yè)盡管不斷地試圖采用最新開發(fā)技術，然而它們的信息系統(tǒng)仍然沒有逃脫失敗的命運。

很多人在推崇信息技術的同時忘記了一個基本的前提：信息技術僅僅是一種工具。雖然信息技術對于信息系統(tǒng)的開發(fā)效率產生重要的影響，但工具本身卻不是信息系統(tǒng)成敗的根本原因。通常在信息系統(tǒng)開發(fā)時，開發(fā)商采用的往往是比較成熟的技術，因為這些成熟技術的有效性是已經被實踐所證明了的。但是，采用成熟的技術并不能保證信息系統(tǒng)開發(fā)的成功。這說明，一些非技術性的問題往往是導致企業(yè)信息化不成功的根源。這些問題——我們姑且統(tǒng)稱為企業(yè)信息化的非技術性的障礙——目前十分缺乏理論上的研究。有許多文章都在談論這些因素，有人說是中國的管理水平低，有人認為是員工的觀念跟不上。但是，大多數(shù)文章都僅僅議論了一些現(xiàn)象，而缺乏深入全面的研究。更可怕的是這些問題并未引起一些主管人員重視，他們認為對非技術性問題的探討是空談，只有掌握某種開發(fā)技術才能有真正的應用前景。這種錯誤的認識導致了許多單位和部門的信息系統(tǒng)的失敗，而這些失敗又常常被嶄新的計算機設備和許多忙碌而不產生價值的工作所掩蓋，像冰山潛藏在水面下一樣無人知曉。

第八，重硬件購買，輕軟件和咨詢服務。目前，我國信息化建設缺少專業(yè)分工，基本是自建、自用、自我服務，不愿花錢買專業(yè)化咨詢、專業(yè)化軟件開發(fā)、專業(yè)化服務，從而造成信息化建設效率低下。而發(fā)達國家的大型應用系統(tǒng)不但花錢買這三項專業(yè)化的建設服務，而且還買運營服務。相關統(tǒng)計顯示：我國在信息化投入中，軟硬比例失調，軟件加服務的投入與硬件投入的比例為二八開，其中集成與安裝的比例約8—10%；軟件開發(fā)的投入約10—12%；80%的資金是用于硬件購買。而據(jù)世界銀行的統(tǒng)計，發(fā)達城市信息化投入一般為七三開，70%用于軟件和服務，購買硬件為30%。

第九，信息化建設找不到重心。一些信息化工程和ERP項目的失敗，致使許多人認為，我國的企業(yè)尚不匹配國際上那些先進的管理模式，搞信息化為時尚早。那么，信息化到底是什么？我們究竟應該走多遠？有沒有一個測量標準用于判斷何時肯定會出現(xiàn)錯誤？企業(yè)在最普通而又最關鍵的部分進行計算機管理就不是信息化嗎？IT成本與利潤比例多少算是合適？關鍵成功要素是什么？不能達到我們目標的風險是什么？有沒有可以貫通業(yè)務風險、控制需要和技術問題這三者之間的橋梁？其他的組織在做什么？我們應該怎樣進行測量與比較？

這些問題歸根結底是公司治理的失靈和IT治理的缺位。目前公司治理已成為政策重點，我國80%的企業(yè)已完成股份制改造，初步建立起符合現(xiàn)代企業(yè)制度的公司治理機制，但是我們的治理機制還很不完善。一個治理機制不完善的企業(yè)很難對外部競爭有積極的反應，從而很難有十分高的經營效率；相反，市場競爭的效率也來自于企業(yè)治理機制的完善，如果市場中的企業(yè)治理機制普遍不完善，企業(yè)之間就不可能進行充分有效的市場競爭。市場競爭最終要通過企業(yè)自身治理機制的改善才能使企業(yè)經營效率提高，如果一個企業(yè)自身的治理機制并不完善，而且面對市場競爭并不能持續(xù)有效地改善治理機制，最終可能在市場競爭中被淘汰。因此要實現(xiàn)“優(yōu)勝劣汰”的市場競爭，引入與市場競爭相適應的治理機制，我們依然有許多工作要做。在IT治理方面，目前我國的政府和企業(yè)在這方面基本上處于初始階段。據(jù)了解，在一些大企業(yè)中，已出現(xiàn)CIO的權利范圍不只是領導其信息部門，還負責事業(yè)部門的人、財、物的資源配置和利益均衡，我們認為這是具有中國特色的IT治理機制的嘗試。

IT治理的定義

IT治理是信息系統(tǒng)審計和控制領域中一個相當新的概念，IBM首次將此理念引入我們的視線，在其2002年度論壇中推出了給中國銀行業(yè)的“匯聚了全球金融行業(yè)的智慧與經驗”的白皮書，該白皮書在其“推動業(yè)務管理與IT的全面集成整合”部分給銀行業(yè)務與管理的建議是：大力推動銀行流程化與流程標準化的管理，建立全行級的跨部門的IT治理決策機構來決定IT項目實施的順序，加強全行的管理與流程執(zhí)行的紀律，與IT行業(yè)的供應商結成戰(zhàn)略聯(lián)盟,將戰(zhàn)略伙伴的價值并入到價值鏈。作為全球IT行業(yè)領跑者的IBM，其一舉一動往往預示著整個行業(yè)的發(fā)展方向。

我們在對IT治理廣泛研究和分析的基礎上，關于其定義匯集了以下三種主要觀點：

Robert s. Roussey （美國南加州大學教授）認為：IT治理用于描述被委托治理實體的人員在監(jiān)督、檢查、控制和指導實體的過程中如何看待信息技術。IT的應用對于組織能否達到它的遠景、使命、戰(zhàn)略目標至關重要。

德勤定義如下: IT治理是一個含義廣泛的術語，包括信息系統(tǒng)、技術、通訊、商業(yè)、所有利益相關者、合法性和其他問題。其主要任務是：保持IT與業(yè)務目標一致，推動業(yè)務發(fā)展，促使收益最大化，合理利用IT資源，IT相關風險的適當管理。

國際信息系統(tǒng)審計與控制協(xié)會 (ISACA)定義如下：IT治理是一個由關系和過程所構成的體制，用于指導和控制企業(yè)，通過平衡信息技術與過程的風險、增加價值來確保實現(xiàn)企業(yè)的目標。

通過上述定義可以總結出以下共同點：

IT治理必須與企業(yè)戰(zhàn)略目標一致，IT對于企業(yè)非常關鍵，也是戰(zhàn)略規(guī)劃的組成，影響戰(zhàn)略競爭。

IT治理和其它治理主體一樣，是管理執(zhí)行人員和利益相關者的責任（以董事會為代表）。

IT治理保護利益相關者的權益，使風險透明化，指導和控制IT投資、機遇、利益、風險。

信息技術治理包括管理層、組織結構、過程，以確保IT維持和拓展組織戰(zhàn)略目標。

應該合理利用企業(yè)的信息資源，有效地集成與協(xié)調。

確保IT及時按照目標交付，有合適的功能和期望的收益，是一個一致性和價值傳遞的基本構建模塊，有明確的期望值和衡量手段。

引導IT戰(zhàn)略平衡系統(tǒng)的投資，支持企業(yè)， 變革企業(yè)，或者創(chuàng)建一個信息基礎架構，保證業(yè)務增長，并在一個新的領域競爭。

對于核心IT資源做出合理的決策，進入新的市場，驅動競爭策略，創(chuàng)造總的收入增長，改善客戶滿意度，維系客戶關系。