بزرگ‌ترین اشتباه در پروژه COBIT این است که سازمان از همان روز اول سراغ ده‌ها Objective، RACI و Assessment برود. پیاده‌سازی حاکمیت فناوری اطلاعات با پرکردن ماتریس شروع نمی‌شود؛ با یک سؤال مدیریتی شروع می‌شود: چه مسئله‌ای آن‌قدر مهم است که سازمان حاضر باشد برای تغییر آن سرمایه و انرژی بگذارد؟
چرخه پیاده‌سازی COBIT این مسیر را مرحله‌ای می‌کند. در منابع ISACA، Implementation Lifecycle به هفت فاز تقسیم می‌شود؛ از شناسایی Driver تا تثبیت Improvement.
هفت فاز در یک نگاه
| فاز | پرسش کلیدی | خروجی |
|---|---|---|
| ۱ | محرک چیست؟ | Business Driver و Case for Change |
| ۲ | الان کجا هستیم؟ | Current State و Scope |
| ۳ | کجا می‌خواهیم باشیم؟ | Target State و Gap |
| ۴ | چه کاری لازم است؟ | Roadmap و Initiativeها |
| ۵ | چطور می‌رسیم؟ | Implementation و Change Enablement |
| ۶ | آیا رسیدیم؟ | Benefit و Performance Review |
| ۷ | چطور ادامه دهیم؟ | Continuous Improvement |
فاز ۱: محرک تغییر را واقعی کنید
Driver می‌تواند Audit Finding، Cyber Risk، هزینه بالا، شکست پروژه، نارضایتی کسب‌وکار یا الزام رگولاتوری باشد. اگر Driver مبهم باشد، پروژه COBIT خیلی زود به «پروژه مستندسازی» تبدیل می‌شود.
فاز ۲: وضعیت فعلی را بدون آرایش ببینید
Current State باید نشان دهد چه Governance Practiceهایی وجود دارند، چه کسی Owner است، چه Evidenceای داریم و کجا Capability پایین‌تر از نیاز است. برای طراحی Scope می‌توانید از Design Factors در COBIT استفاده کنید تا همه Objectiveها را یکسان وارد پروژه نکنید.
فاز ۳: Target را قابل اندازه‌گیری کنید
عبارت «می‌خواهیم حاکمیت بهتر شود» Target نیست. Target باید با Capability، KPI، Risk یا Business Outcome بیان شود. مثلاً «کاهش Changeهای بدون Approval» یا «رسیدن Objective مشخص به Capability Level موردنیاز» قابل سنجش‌تر است.
برای ارزیابی Capability می‌توانید مقاله COBIT Performance Management را ببینید.
فاز ۴: Roadmap بسازید، نه فهرست آرزو
Gapها باید به Initiative تبدیل شوند و Initiativeها Owner، Budget، Dependency و Benefit داشته باشند. Quick Winها می‌توانند اعتماد ایجاد کنند، اما نباید جای اصلاح ساختاری را بگیرند.
فاز ۵: Governance را وارد عملیات کنید
اینجا Policy، Committee، Process، Tool و رفتار افراد باید تغییر کنند. اگر Approval Matrix فقط در سند نوشته شود ولی Workflow سیستم تغییری نکند، پیاده‌سازی اتفاق نیفتاده است. Change Enablement و Communication در این مرحله حیاتی‌اند.
فاز ۶: آیا Benefit محقق شد؟
صرفاً Done شدن Taskها کافی نیست. باید ببینید هدف مدیریتی اولیه بهتر شده یا نه. اگر پروژه برای کاهش Risk شروع شده، آیا Residual Risk واقعاً پایین آمده؟ اگر هدف بهبود Delivery بوده، آیا Time-to-Market یا Failure Rate تغییر کرده است؟
فاز ۷: Improvement را دائمی کنید
Governance یک پروژه یک‌باره نیست. Strategy، Technology، Risk و Regulation تغییر می‌کنند. بنابراین Design Factor، Target و Priority باید دوره‌ای بازبینی شوند.
سناریوی ساده: Change Management پرریسک
- Driver: چند Outage ناشی از Change ناموفق.
- Current: Approval وجود دارد اما Risk Assessment ضعیف است.
- Target: کاهش Failed Change و افزایش Evidence.
- Roadmap: Risk Scoring، CAB Rule، PIR و Dashboard.
- Execute: تغییر Workflow و آموزش Ownerها.
- Measure: Change Success Rate و Incident After Change.
- Improve: بازبینی Thresholdها و Scope CAB.
Goals Cascade را در فازهای ۲ و ۳ استفاده کنید
وقتی سازمان می‌خواهد Business Priority را به Objectiveهای حاکمیتی مرتبط کند، Goals Cascade در COBIT کمک می‌کند رابطه Strategy، Enterprise Goal و Governance/Management Objective روشن‌تر شود.
منابع رسمی
سخن پایانی
COBIT را با Assessment شروع نکنید؛ با Driver شروع کنید. چرخه هفت‌مرحله‌ای کمک می‌کند حاکمیت از «چارچوب روی کاغذ» به برنامه تغییر تبدیل شود: مسئله را پیدا کنید، وضعیت فعلی را بسنجید، Target بسازید، Roadmap بدهید، اجرا کنید، Benefit را اندازه بگیرید و دوباره بهبود دهید.
مدانت خدمات مشاوره COBIT، Assessment، طراحی Governance System، Roadmap، آموزش و پیاده‌سازی ارائه می‌کند. برای مطالعه بیشتر به مرکز COBIT مدانت مراجعه کنید.
