IT治理与软件产品线工程：目标驱动的方法

### IT治理与软件产品线工程：目标驱动的方法 #### 1. IT治理的核心意图与模型 IT治理的需求主要集中在安全、成本和风险管理、法律法规合规性以及变更定义等方面。首席信息官（CIO）需要同时将IT与业务战略对齐，管理风险，并确保信息系统符合业务领域的法律法规，这些意图的达成旨在创造价值。 ##### 1.1 研究方法与构建过程 采用描述性研究方法，旨在将IT治理目标和执行方式形式化。使用基于MAP模型的建模符号来展示与IT治理相关文本文件的内容分析结果。MAP模型基于Prat的目标分类法构建，一个MAP片段是对一个目标的提取。 ##### 1.2 模型风险 IT治理的一个主要目标是引导信息系统项目和运营。CIO需要在不断变化且充满风险的环境中，在多个相互依赖的约束下做出决策。风险被定义为对组织资产和/或利益相关者目标的完成产生负面影响的事件。处理已识别风险的方法有三种： - 采用预防策略限制事件的发生； - 接受风险并加以控制； - 坚决拒绝风险并取消可能产生该风险的项目。 在风险管理中，第一步是定义风险及其相关背景。在IT治理图中，“模型风险”被表示为一个意图，可以通过“定义风险”策略来实现。例如，主要风险包括信息资产的安全故障、项目属性（如延迟或成本）的风险等。ISO 27001标准为信息完整性和安全管理系统提供了框架，该标准基于戴明循环（计划、执行、检查、行动）采用质量方法（ISO 9001）进行持续改进。 ##### 1.3 使信息系统与业务战略对齐 “定义风险”的意图促使CIO重视项目，评估的风险成为成本、延迟或资源等标准。在业务层面，风险涉及提供的价值或服务水平。项目调度是多标准分析的结果，并导致调度对齐活动。因此，可以确定“定义风险”和“使IT与业务流程对齐”之间的“项目规划”策略。 战略对齐对CIO来说是一个“硬目标”，即设计一个与业务战略和目标一致的信息系统。在信息系统、业务结构及其支持的方向共同演进的背景下，这项活动变得越来越重要。Anne Etien提出了在“现状”和“目标”状态的模型层之间传播变更的各种方法，从而得出“开始”和“使IT与业务流程对齐”之间的“建模”策略。此外，还有基于COSO或COBIT的“评估”策略来改进对齐。 ##### 1.4 遵守法律法规 CIO需要确保信息系统符合法律法规。像安然或世通等丑闻促使政府出台相关法案，如美国的《萨班斯 - 奥克斯利法案》（SOX）或法国的金融监管法。这些法律为公共组织提供了指导，以限制因信息可访问性、质量或聚合困难而导致的信息操纵风险。例如，如果正确应用SOX，CEO必须亲自签署组织的资产负债表和损益表进行核实。要满足合规性，IT所有者需要及时审查法律声明。可以确定“审查相关法律”从“开始”到“使IT合规”的策略，以及“法律应用”从“使IT合规”到“定义风险”的策略。 ##### 1.5 创造价值 价值创造是公司治理的主要目标，可分为外部价值（满足投资者和股东的期望）和内部价值（发展协同效应并提高组织的内部绩效）。价值创造的目标会传递到公司治理的子系统，如IT治理、业务流程治理或生产治理。 遵守法律法规有时是进入市场的必要条件，例如与美国进行国际交易时，合作公司必须遵守SOX。因此，可以引入“竞争优势”策略，从“使IT合规”到“创造价值”。当IT为业务参与者提供足够且有用的服务包时，IT与业务流程的成功对齐有助于创造合作价值。可以确定“创造价值”的意图可以通过“IT服务提案”策略从“使IT与业务流程对齐”来实现。当价值创造完成时，IT治理过程可能停止，同时也考虑到价值创造目标无法实现的情况，如CIO将过程限制在法律的强制应用上，或IT与业务流程的对齐过程失败。 下面是IT治理的主要意图和策略的关系表格： | 源意图 | 目标意图 | 策略 | | --- | --- | --- | | 开始 | 使IT合规 | 审查相关法律 | | 使IT合规 | 定义风险 | 法律应用 | | 定义风险 | 使IT与业务流程对齐 | 项目规划 | | 开始 | 使IT与业务流程对齐 | 建模 | | 使IT与业务流程对齐 | 创造价值 | IT服务提案 | | 使IT合规 | 创造价值 | 竞争优势 | | 创造价值 | 停止 | 完整性 | 以下是IT治理过程的mermaid流程图： ```mermaid graph LR classDef startend fill:#F5EBFF,stroke:#BE8FED,stroke-width:2px; classDef process fill:#E5F6FF,stroke:#73A6FF,s ```