第3章 信息系统治理——3.1 IT 治理（基础与体系）

3.1 IT 治理（基础与体系）

• 新时代的信息技术与各领域发展进入到了深度融合的发展新阶段，成为各类组织实现治理体系与能力现代化，构建敏捷运行管理体系，打造高质量的生产与服务系统，洞察社会与市场变化等高质量发展的必要过程。
• 组织如何从其信息系统投资中获得真正的价值；如何将信息技术战略与组织战略相融合；如何从组织治理的高度，对组织数字化能力做出制度安排；如何从战略投资、组织管理变革的角度，降低IT 的风险；如何利用国内外信息技术开发利用的最佳实践和重要成果，加快组织的信息化、数字化工作推进等。这些都是IT 治理所关注的问题。

本期将详情展述IT 治理的基础与相关体系。

3.1.1 IT治理基础

IT 治理是描述组织采用有效的机制对信息技术和数据资源开发利用，平衡信息化发展和数字化转型过程中的风险，确保实现组织的战略目标的过程。

1. IT 治理的驱动因素

组织信息系统建设和运行需要制订总体规划，但制订IT 资源统一规划存在很多问题:

1. 信息系统应用已有相当的基础，但多年来分散开发或引进的信息系统，形成了许多“信息孤岛”缺乏共享的、网络化的信息资源，系统集成难题一直无法解决;
2. 信息资源整合目标空泛，没有整合“信息孤岛”的措施，数据中心建设和数据集中管理等规划缺乏可操作性，尤其是缺少数据标准化建设方面的建设规划。这些问题的出现，表明组织在IT 资源方面没有做到有效统一规划，如何解决这些问题成为了组织发展的一个重要课题。

IT资产作为组织资产的重要组成部分，IT 治理自然就是组织治理结构中不可分割的一部分。

1. IT治理是指组织在开发利用信息技术过程中，为鼓励组织所期望的组织行为而明确决策权归属和责任担当的框架，其目标是通过IT治理的决策权和责任影响组织所期望的组织行为。
2. 随着新时代的发展，数字特征成为组织发展的一项关键特征，组织的高质量发展对IT 的依赖越来越强，IT治理对组织愈发重要，为确保IT治理的有效，组织高层管理者需要投入越来越多的时间和精力。

随着组织在IT方面的投资越来越大，组织的IT战略要与组织战略相一致，才能确保组织核心竞争力的建设与保持；要尽可能地保持开放性和长远性，以确保系统的稳定性和延续性；要认真分析组织的战略与IT 支撑之间的影响度，并合理预测环境变化可能给组织战略带来的偏
移，在规划时留有适当的余地。

组织目标变化太快，很难保证IT 与组织目标始终保持一致，因此需要多方面的协调，保证IT 治理继续沿着正确的方向走，这也是IT 投资者真正关心的问题。IT治理要从组织目标和数字战略中抽取信息需求和功能需求，形成总体的IT治理框架和系统整体模型，为进一步系统设计和实施奠定基础，保证信息技术开发应用符合持续变化的业务目标。

高质量的IT治理能够使组织的IT 管理和应用决策与组织期望的行为和业务目标相一致这就需要组织IT治理机构对组织IT 发展进行科学规划并确保其有效实施。驱动组织开展高质量IT治理因素包括：

1. 良好的IT 治理能够确保组织IT 投资有效性；
2. IT属于知识高度密集型领域，其价值发挥的弹性较大；
3. IT 已经融入组织管理、运行、生产和交付等各领域中，成为各领域高质量发展的重要基础；
4. 信息技术的发展演进以及新兴信息技术的引入，可为组织提供大量新的发展空间和业务机会等；
5. IT治理能够推动组织充分理解T价值，从而促进IT 价值挖掘和融合利用；
6. IT 价值不仅仅取决于好的技术，也需要良好的价值管理，场景化的业务融合应用；
7. 高级管理层的管理幅度有限，无法深入到IT 每项管理当中，需要采用明确责权利和清晰管理去确保IT 价值；
8. 成熟度较高的组织以不同的方式治理IT，获得了领域或行业领先的业务发展效果。

IT治理的内涵主要体现在5个方面：

1. IT治理作为组织上层管理的一个有机组成部分，由组织治理层或高级管理层负责，从组织全局的高度上对组织信息化与数字化转型做出制度安排体现了治理层和最高管理层对信息相关活动的关注；
2. IT治理强调数字目标与组织战略目标保持一致，通过对IT的综合开发利用，为组织战略规划提供技术或控制方面的支持，以保证相关建设能够真正落实并贯彻组织业务战略和目标；
3. IT 治理保护利益相关者的权益，对风险进行有效管理，合理利用IT 资源，平衡成本和收益，确保信息系统应用有效、及时地满足需求，并获得期望的收益，增强组织的核心竞争力；
4. IT 治理是一种制度和机制，主要涉及管理和制衡信息系统与业务战略匹配、信息系统建设投资、信息系统安全和信息系统绩效评价等方面的内容；
5. IT治理的组成部分包括管理层、组织结构、制度、流程、人员、技术等多个方面，共同构建完善的IT治理架构，达到数字战略和支持组织的目标。

2. IT 治理的目标价值

组织治理驱动和调整IT治理。同时，IT 治理能够提供关键的输入，成为战略计划的一个重要组成部分，是组织治理的一个重要功能。

IT 治理将帮助组织建立以组织战略为导向、以实现IT 与业务匹配为重心、以价值交付为成果、以绩效管理为控制手段的IT 管理体制，正确定位IT团队在整个组织的作用，最终能够针对不同业务发展要求，统一规划IT 资源、整合信息资源、有效规避风险、制定并执行组织发展战略。IT 治理就是要明确有关IT 决策权的归属机制和有关IT 责任的承担机制，以鼓励IT 应用的期望行为的产生，以联接战略目标、业务目标和IT目标，从而使组织从IT 中获得最大的价值。组织实施IT 治理的使命通常包括：保持IT 与业务目标一致，推动业务发展，促使收益最大化，合理利用IT 资源，恰当理清与IT相关的风险等。

IT 治理主要目标包括：与业务目标一致、有效利用信息与数据资源、风险管理。

(1)与业务目标一致。

IT治理要从组织目标和数字战略中抽取信息与数据需求和功能需求形成总体的IT 治理框架和系统整体模型，为进一步系统设计和实施奠定基础，保证信息技术开发利用跟上持续变化的业务目标。

(2)有效利用信息与数据资源。

目前信息系统工程超期、IT客户的需求没有满足、IT平台不支持业务应用、数据开发利用效能与价值不高、信息技术与业务发展融合深度不够等问题突出，通过IT 治理对信息与数据资源的管理职责进行有效管理，保证投资的回收，并支持决策。

(3)风险管理。

由于组织越来越依赖于信息网络、信息系统和数据资源等，新的风险不断涌现，例如，新出现的技术没有管理，不符合现有法律和规章制度，没有识别对IT 服务的威胁等。IT 治理重视风险管理，通过制定信息与数据资源的保护级别，强调对关键的信息与数据资源，实施有效监控和事件处理。

3. IT 治理的管理层次

IT治理要保证总体战略目标能够从上而下贯彻执行，治理层主要集中在最高管理层(如董事会)和管理执行层。然而，由于IT 治理的复杂性和专业性，治理层必须依赖组织的基层来提供决策和评估所需要的信息。基层依据组织总体目标采用相关的原则，提供评估业绩的衡量方
法。因此，好的IT治理实践需要在组织全部范围内推行。

管理层次大致可分为三层：最高管理层、执行管理层、业务与服务执行层。

• 最高管理层的主要职责包括：证实IT 战略与业务战略是否一致；证实通过明确的期望和衡量手段交付IT 价值；指导IT 战略、平衡支持组织当前和未来发展的投资:指导信息和数据资源的分配。
• 执行管理层的主要职责包括：制定IT的目标:分析新技术的机遇和风险;建设关键过程与核心竞争力:分配责任、定义规程、衡量业绩:管理风险和获得可靠保证等。
• 业务及服务执行层的主要职责包括：信息和数据服务的提供和支持;IT 基础设施的建设和维护IT需求的提出和响应。

3.1.2 IT治理体系

• IT治理用于描述组织在信息化建设和数字化转型过程中是否采用有效的机制使得信息技术开发利用能够完成组织赋予它的使命。

• IT 治理的核心是关注IT 定位和信息化建设与数字化转型的责权利划分，如图3-1所示。
  
  IT 治理体系的具体构成包括IT 定位、IT治理架构、IT治理内容、IT治理流程、IT治理效果等。

• IT 定位：T 应用的期望行为与业务目标一致；
• IT治理架构：业务和IT在治理委员会中的构成、组织T与各分支机构的IT权责边界等;
• IT治理内容：投资、风险、绩效、标准和规范等；
• IT治理流程：统筹、评估、指导、监督；
• IT治理效果：内外评价。

1. IT 治理关键决策

有效的IT治理必须关注五项关键决策，如图3-2所示，包括IT 原则IT 架构IT基础设施业务应用需求、IT投资和优先顺序。

IT 原则驱动着IT整体架构的形成，而IT 整体架构又决定了基础设施，这种基础设施所确定的能力又决定着基于业务需求应用的构建，最后，IT 投资和优先顺序必须为IT原则、整体架构、基础设施和应用需求所驱动。

然而，这些决策中又有独特问题，即IT治理需要确定每个决策由谁来负责输入，以及由谁来负责做出决策。

IT决策过程中，需要关注各类关键问题，如图表3-1所示。

2. IT 治理体系框架

IT治理体系框架是实现组织IT 治理的有效保障，缺乏良好的IT 治理体系框架，IT治理的过程将会变得盲目和无序。IT 治理体系框架以组织的战略目标为导向，架起了组织战略与IT的桥梁，实现了IT 风险的全面管理以及IT 资源的合理利用。

IT 治理体系框架具体包括：IT 战略目标、IT治理组织、IT治理机制、IT治理域、IT治理标准和IT绩效目标等部分，形成一整套IT治理运行闭环，如图3-3所示。

(1)IT战略目标。

IT战略目标是指为实现IT价值和目标，使组织从IT 投入中获得最大收益，而针对IT与业务关系、IT 决策、IT 资源利用、IT 风险控制等方面制定的目标。

(2)IT治理组织。

IT治理组织是界定组织中各相关主体在各自方面的治理范围、责权利及其相互关系的准则，它的核心是治理机构(如IT 治理委员会等)的设置和权限的划分。各治理机构职权的分配以及各机构间的相互协调，它的强弱直接影响到治理的效率和效能，对IT 治理效率起着决定性的作用。

(3)IT 治理机制。

IT 治理机制是IT 治理决策机制、执行机制、风险控制机制、协调机制的综合体，各机制之间是相辅相成、相互促进的关系。有效的决策机制能保障I 决策与组织的业绩目标和战略目标相匹配；有效的执行机制能保证IT 治理的良好运作，有效的风险控制机制能降低IT 活动的风险，实现信息技术开发利用的价值效益；有效的协调机制能有力地发挥IT治理的协调效应。

(4)IT 治理域。

IT 治理域是在IT治理的规则之下，对组织的T资源进行整合与配置，根据 IT 目标所采取的行动。以科学、规范的做法交付面向业务的高质量IT 服务，确保信息化“高效做事情”、数字化“敏捷的决策”。IT 治理域内容包括T 信息系统的计划、构建、运维与监控等。

(5)IT治理标准。

IT 治理标准包括IT 治理基本规范IT治理实施参照IT治理评价体系和IT治理审计方法等方面，作为组织实施IT治理最佳实践和对标依据。

(6)IT绩效目标。

IT绩效目标关注IT价值的实现，评价IT规划与IT构建过程中是否满足业务需求以及构建过程中的工期、成本、质量是否达到目标。

3. IT 治理核心内容

IT 治理本质上关心：①实现IT 的业务价值；②IT风险的规避。

• 前者是通过IT与业务战略匹配来实现的，后者通过在组织内部建立相关职责来实现。
• 两者都需要相关资源的支持，并对其绩效进行有效度量。IT治理的核心内容包括六个方面：组织职责、战略匹配、资源管理、价值交付、风险管理和绩效管理，如图3-4所示。

(1)组织职责。

组织职责指组织参与IT决策与管理的所有人员的集合，明确组织信息部门和业务部门之间的关系和责任，正确划分信息系统的所有者、建设者、管理者和监控者。

(2)战略匹配。

IT 治理的一个重要内容，是使组织的IT建设与组织战略相匹配，也就是通常所说的“战略匹配”。而战略匹配是IT为组织贡献业务价值的重要驱动力。

(3)资源管理。

资源管理的主要功能是确保用户对组织的应用系统和基础设施都有良好的理解和应用，优化IT 投资、IT 资源(人、应用系统、信息、基础设施)的分配，做好人员的培训、发展计划，以满足组织的业务需求。

(4)价值交付。

通过对IT 项目全生命周期的管理，确保IT 能够按照组织战略实现预期的业务价值。重点是对整个交付周期成本的控制和IT业务价值的实现，使IT 项目能够在预算时间、成本范围内，按预定的质量要求完成。价值交付即是创造业务价值。

(5)风险管理。

风险管理是IT 治理中非常重要的内容。风险管理是确保IT 资产的安全和灾难的恢复、组织信息资源的安全以及人员的隐私安全。风险管理即是保护业务价值。

(6)绩效管理。

没有绩效管理IT治理中任何一个域都不可能有效地进行管理。绩效管理主要是追踪和监视IT 战略、IT 项目的实施、信息资源的使用、IT 服务的提供以及业务流程的绩效。绩效管理所采用的工具，如平衡积分卡，可以将组织的战略目标转化成各个职能部门或团队具体的业务活动的目标，从而保证组织战略目标的实现。

4. IT 治理机制经验

建立IT治理机制的原则包括：

简单。机制应该明确地定义特定个人和团体所承担的责任和目标。

透明。有效的机制依赖于正式的程序。对于那些被治理决策所影响或是想要挑战治理决策的人来说，机制如何工作是需要非常清晰的。

适合。机制鼓励那些处于最佳位置的个人去制定特定的决策。

影响力高且具有挑战性的IT治理机制，如表3-2所示。

IT治理可以从众多最佳实践中学习的经验主要包括：

• IT指导委员会要吸纳有才干的业务经理，使之负责组织范围的IT治理决策，并在IT原则中加入严格的成本控制;
• 谨慎管理组织的IT架构和业务架构，以降低业务成本；
• 设计严格的架构例外处理流程，使昂贵的例外最小化，并可以从中不断学习；
• 建立集中化的IT团队，用以管理基础设施、架构和共享服务；
• 应用连接IT投资和业务需求的流程，既可以增加透明度，又可以权衡中心和各运营部门或团队的需求；
• 设计需要对IT投资进行集中协作和核准的IT投资流程；
• 设计简单的费用分摊和服务水平协议机制，以明确分配IT开支等。