هر مفهوم در کمتر از ۱۰۰ کلمه؛ برای مرور سریع و پیدا کردن مسیر مطالعه بعدی.
۲۴ مفهوم
COBIT چیست؟
چارچوبی برای حاکمیت و مدیریت اطلاعات و فناوری در سطح سازمان است. پرسش اصلی فقط «چه ابزاری داریم؟» نیست؛ باید روشن شود فناوری چگونه به هدف سازمان کمک می‌کند و چه کسی پاسخ‌گوی نتیجه است.
حاکمیت چیست؟
حاکمیت جهت، حدود اختیار و پاسخ‌گویی را مشخص می‌کند. برای نمونه، تصمیم درباره ریسک قابل پذیرش یک خدمت حیاتی باید صاحب اختیار مشخص داشته باشد.
مدیریت چیست؟
مدیریت برنامه، منابع و فعالیت‌ها را در جهت تصمیم‌های حاکمیتی هماهنگ می‌کند. طراحی برنامه اجرا و پیگیری کار روزانه به این حوزه تعلق دارد.
خلق ارزش یعنی چه؟
ارزش فناوری با نتیجه کسب‌وکار سنجیده می‌شود. ابزار بیشتر یا پروژه بیشتر الزاماً ارزش بیشتر نیست؛ باید منفعت مورد انتظار، هزینه و ریسک تصمیم روشن باشد.
ذی‌نفع کیست؟
کسی که بر تصمیم اثر می‌گذارد یا از نتیجه آن تأثیر می‌پذیرد؛ مانند مشتری، مدیر خدمت، کاربر یا ناظر. نیازهای ذی‌نفعان ممکن است متفاوت باشد و باید آشکارا بررسی شود.
Goals Cascade چیست؟
آبشار اهداف به مرتبط‌کردن انتظارات ذی‌نفعان و اهداف سازمان با جهت‌گیری اطلاعات و فناوری کمک می‌کند. این ارتباط باید قابل توضیح باشد، نه صرفاً چند خط در یک نمودار.
فاکتور طراحی چیست؟
ویژگی زمینه‌ای سازمان است که بر طراحی نظام حاکمیت اثر می‌گذارد. راهبرد، ریسک و شرایط فناوری می‌توانند باعث شوند دو سازمان اولویت‌های متفاوتی انتخاب کنند.
دامنه چیست؟
دامنه مرز بررسی و اجرا را روشن می‌کند: کدام خدمات، واحدها، سامانه‌ها و دوره زمانی داخل کار هستند؟ بدون دامنه مشخص، نتیجه ارزیابی ممکن است بیشتر از شواهد موجود ادعا کند.
مسئول و پاسخ‌گو چه فرقی دارند؟
اجراکننده کار را انجام می‌دهد؛ پاسخ‌گو باید نتیجه و تصمیم مربوط را پیگیری کند. این دو ممکن است یک نفر باشند، اما نباید به‌صورت مبهم به یک واحد کلی واگذار شوند.
RACI چیست؟
روشی برای روشن‌کردن نقش اجراکننده، پاسخ‌گو، مشورت‌دهنده و مطلع‌شونده در یک فعالیت است. جدول فقط زمانی مفید است که افراد نقش خود و حدود اختیارشان را بشناسند.
اجزای نظام حاکمیت چیست؟
حاکمیت با فرایند تنها ساخته نمی‌شود. نقش‌ها، اطلاعات، سیاست‌ها، مهارت‌ها و رفتار سازمانی نیز در اجرای تصمیم اثر دارند. یک دستورالعمل خوب بدون مسئول و مهارت کافی ممکن است اجرا نشود.
پایلوت چیست؟
اجرای محدود یک روش در دامنه مشخص است تا اشکال‌ها پیش از توسعه دیده شوند. پایلوت باید معیار موفقیت و زمان بازبینی داشته باشد؛ صرف شروع کوچک، آزمایش قابل نتیجه‌گیری نمی‌سازد.
برنامه اقدام چیست؟
فهرستی از کارهای مشخص با مسئول، موعد و معیار پذیرش است. «بهبود حاکمیت» اقدام کافی نیست؛ «تصویب مسئول و تناوب بازبینی دسترسی» خروجی روشن‌تری دارد.
مالک ریسک کیست؟
نقشی که مسئول پیگیری و تصمیم درباره ریسک در حدود اختیار تعیین‌شده است. مالک ریسک لزوماً مجری همه کنترل‌ها نیست؛ باید مسیر ارجاع تصمیم‌های خارج از اختیارش روشن باشد.
کنترل چیست؟
اقدامی برای پاسخ به ریسک یا یک انتظار مشخص است؛ مثل تصویب تغییر یا بازبینی دسترسی. نام کنترل در مستندات به‌تنهایی اجرای آن را اثبات نمی‌کند.
KPI چیست؟
شاخص عملکرد است. شاخص مفید باید هدف، مسئول و تناوب گزارش داشته باشد؛ مثلاً درصد اقدام‌های تکمیل‌شده در موعد. عدد بدون تصمیم بعدی، ممکن است فقط گزارش را شلوغ کند.
KRI چیست؟
شاخص ریسک است و به مشاهده تغییر وضعیت یک ریسک کمک می‌کند. باید مشخص باشد عبور از آستانه چه بررسی یا اقدامی ایجاد می‌کند.
شاهد یا Evidence چیست؟
اطلاعاتی که برای بررسی اجرای یک فعالیت یا نتیجه آن استفاده می‌شود. تاریخ، دامنه، مسئول و ارتباط با معیار باید روشن باشند تا مدرک قابل بررسی باشد.
تحلیل شکاف چیست؟
مقایسه وضعیت مشاهده‌شده با انتظار مشخص است. هر شکاف باید نشان دهد چه چیزی کم است و چه اثری دارد؛ سپس به اقدام و مسئول متصل شود.
سطح قابلیت چیست؟
در COBIT 2019 قابلیت فرایند در سطوح صفر تا پنج بررسی می‌شود. سطح با معیارها و شواهد مرتبط تعیین می‌شود؛ درصد تکمیل یک چک‌لیست عمومی سطح رسمی قابلیت نیست.
یافته چیست؟
نتیجه بررسی شواهد در برابر معیار است. یافته خوب انتظار، مشاهده و مدرک را روشن می‌کند تا مسئول بداند چه چیزی باید بررسی یا اصلاح شود.
معیار پذیرش چیست؟
شرطی قابل بررسی برای تأیید انجام اقدام است. «کار تمام شد» معیار نیست؛ وجود خروجی مشخص و بازبینی نتیجه، بسته‌شدن اقدام را قابل دفاع می‌کند.
MedaGRC چیست؟
محصول مدانت برای مدیریت حاکمیت، ریسک و انطباق است. معرفی امکانات در سایت محصول قرار دارد و ورود به سامانه عملیاتی از نشانی جدا انجام می‌شود.
COBIT و نرم‌افزار GRC یکی هستند؟
خیر. چارچوب به طراحی جهت و مسئولیت کمک می‌کند؛ نرم‌افزار برای ثبت و پیگیری بخشی از اجرای آن به کار می‌رود. خرید ابزار به‌تنهایی به معنی پیاده‌سازی چارچوب نیست.
مفهومی پیدا نشد؛ عبارت کوتاه‌تر یا موضوع دیگری انتخاب کنید.
تعریف‌ها توضیحات آموزشی مدانت‌اند. مطالب نسخه‌محور این صفحه به COBIT 2019 اشاره دارند.
