INFOCHIEF ACADEMY · COBIT 5 KNOWLEDGE SERIES

Năm nguyên tắc của COBIT 5 và cách vận dụng trong quản trị IT doanh nghiệp.

Năm nguyên tắc của COBIT 5 hỗ trợ nhau trong việc xác định nhu cầu, phạm vi, cách phối hợp và trách nhiệm. Vận dụng vào một vấn đề cụ thể giúp doanh nghiệp cải thiện cơ chế quyết định thay vì chỉ bổ sung quy trình.

Biên soạn: Infochief Academy · Chuyên đề: Quản trị IT theo COBIT 5

← Trở về thư viện bài viết

Minh họa biên tập: nhóm lãnh đạo nam và nữ rà soát các nguyên tắc quản trị trong hội thảo doanh nghiệp.

Một doanh nghiệp có thể ban hành nhiều quy trình IT mà vẫn không thống nhất được vì sao cần đầu tư, ai được quyết định và thế nào là thành công. Quy trình giúp công việc có trật tự, nhưng trật tự ấy chưa chắc phục vụ đúng nhu cầu của tổ chức.

Năm nguyên tắc của COBIT 5 giúp nhìn vấn đề trước khi đi vào từng quy trình. Chúng không phải năm khẩu hiệu độc lập để treo trong phòng họp. Mỗi nguyên tắc sửa một điểm mù, và khi được đặt cùng nhau, chúng tạo cách tiếp cận giúp doanh nghiệp giữ công nghệ gắn với giá trị, trách nhiệm và năng lực thực hiện.

Bắt đầu từ nhu cầu, rồi mới bàn giải pháp

Nguyên tắc thứ nhất, Meeting Stakeholder Needs, là đáp ứng nhu cầu các bên liên quan. Điểm khó nằm ở chỗ các nhu cầu không luôn thống nhất. Khách hàng muốn giao dịch nhanh, người điều hành muốn chi phí hợp lý, người phụ trách rủi ro cần kiểm soát đáng tin cậy, còn nhân viên muốn thao tác thuận tiện.

Doanh nghiệp không thể đáp ứng mọi mong muốn ở mức cao nhất bằng cùng một nguồn lực. Vì vậy, cần làm rõ lợi ích mong đợi, rủi ro được chấp nhận và cách sử dụng nguồn lực. Giá trị được xem trong sự cân bằng này, thay vì chỉ nhìn tổng số tính năng mới hoặc số dự án đã hoàn thành.

Ví dụ giả định: khi mở kênh bán trực tuyến, doanh nghiệp phải chọn mức tự động hóa phù hợp với khả năng đối soát. Rút ngắn bước kiểm tra có thể tăng tốc xử lý, nhưng nếu dữ liệu chưa đáng tin cậy, đơn hàng sai sẽ tạo thêm công việc và ảnh hưởng khách hàng. Quyết định cần dựa trên toàn bộ hệ quả ấy.

Người chủ trì nên hỏi các bên đang bảo vệ kết quả nào, bằng chứng nào cho thấy nhu cầu đó quan trọng và điều kiện nào khiến lựa chọn cần đổi. Cách hỏi làm lộ các xung đột trước khi chúng trở thành tranh luận kỹ thuật. Khi nhu cầu đã rõ, mới có căn cứ xác định phạm vi trách nhiệm của toàn doanh nghiệp.

Bao quát đầu cuối để tránh tối ưu từng bộ phận

Nguyên tắc thứ hai, Covering the Enterprise End-to-End, yêu cầu nhìn thông tin và công nghệ trong toàn bộ doanh nghiệp. Quản trị IT không chỉ bao gồm tài sản và nhân sự nằm dưới quyền CIO. Một ứng dụng do nghiệp vụ tự mua, một dịch vụ thuê ngoài hoặc một bộ dữ liệu do chi nhánh quản lý vẫn có thể tạo tác động chung.

Phạm vi đầu cuối được xác định theo chuỗi tạo kết quả. Nếu mục tiêu là giao hàng chính xác, phải xem tiếp nhận đơn, kiểm tra dữ liệu, tồn kho, giao vận và đối soát. Việc chỉ cải thiện tốc độ của phần mềm bán hàng có thể đẩy thêm đơn sai sang kho mà không cải thiện kết quả khách hàng nhận được.

Điều này không buộc phòng IT quản lý thay mọi bộ phận. Ngược lại, nó làm rõ nơi nghiệp vụ cần sở hữu dữ liệu, nơi IT cần bảo đảm dịch vụ và nơi nhà cung cấp phải thực hiện cam kết. Sự bao quát là bao quát trách nhiệm và tác động, không phải gom mọi quyền về một đầu mối công nghệ.

Với lãnh đạo IT, nhìn đầu cuối đòi hỏi khả năng trao đổi về quy trình kinh doanh và các lựa chọn tổ chức. Chương trình Lãnh đạo IT – CIO là hướng tham khảo để phát triển góc nhìn này. Tuy nhiên, việc chia sẻ trách nhiệm vẫn cần được thống nhất trong cơ chế điều hành của doanh nghiệp.

Khi phạm vi đã mở ra toàn chuỗi, một vấn đề tiếp theo xuất hiện: các bộ phận có thể đang sử dụng những chuẩn và phương pháp khác nhau. Nếu mỗi nơi quản lý bằng một ngôn ngữ riêng, trách nhiệm vừa được xác định sẽ khó phối hợp thành hành động.

Tích hợp các khung mà vẫn giữ chiều sâu chuyên môn

Nguyên tắc thứ ba, Applying a Single Integrated Framework, là áp dụng một khung tích hợp thống nhất. COBIT 5 cung cấp cách nhìn bao quát để kết nối những chuẩn và phương pháp phù hợp. Điều đó không có nghĩa bỏ mọi phương pháp chuyên môn và thay chúng bằng một tập quy trình COBIT duy nhất.

Doanh nghiệp có thể dùng phương pháp quản lý dịch vụ để tổ chức hỗ trợ, phương pháp quản lý dự án để triển khai thay đổi và hướng dẫn an toàn thông tin để thiết kế kiểm soát. Khung quản trị giúp giải thích các hoạt động này phục vụ mục tiêu nào, ai chịu trách nhiệm và thông tin nào cần được đưa lên cấp ra quyết định.

Sự tích hợp cần thể hiện ở công việc cụ thể. Một thay đổi hệ thống phải nối kế hoạch dự án với kiểm thử, phê duyệt triển khai, hướng dẫn vận hành và trách nhiệm phục hồi. Nếu mỗi quy trình có biểu mẫu riêng nhưng không giao nhận được thông tin, doanh nghiệp mới tích lũy tài liệu chứ chưa có cơ chế tích hợp.

Có thể bắt đầu bằng một luồng liên phòng ban và thống nhất dữ liệu dùng chung. Cùng mã dịch vụ, cùng định nghĩa tác động và cùng người chịu trách nhiệm giúp giảm việc diễn giải lại ở mỗi điểm chuyển giao. Những gì cần chi tiết kỹ thuật vẫn do phương pháp chuyên môn hỗ trợ.

Đội ngũ cần củng cố khả năng tổ chức vận hành theo dịch vụ có thể tham khảo chương trình Quản lý Dịch vụ IT – ITSM. Việc sử dụng phương pháp này nên được đặt trong mục tiêu quản trị chung, để chất lượng từng quy trình góp phần cải thiện kết quả của toàn chuỗi.

Một quy trình tốt vẫn cần các điều kiện hỗ trợ

Nguyên tắc thứ tư, Enabling a Holistic Approach, là tạo điều kiện cho cách tiếp cận toàn diện. COBIT 5 sử dụng bảy nhóm enabler, có thể hiểu là các yếu tố hỗ trợ để mục tiêu được thực hiện. Quy trình là một nhóm quan trọng, nhưng không thể thay cho thông tin, con người hoặc văn hóa tổ chức.

Bảy nhóm gồm nguyên tắc, chính sách và khung; quy trình; cơ cấu tổ chức; văn hóa, đạo đức và hành vi; thông tin; dịch vụ, hạ tầng và ứng dụng; con người, kỹ năng và năng lực. Chúng tương tác với nhau. Một quy trình phê duyệt được viết rõ vẫn có thể thất bại khi người duyệt không có dữ liệu đáng tin hoặc không được trao quyền phù hợp.

Nhóm điều kiện xem xét	Dấu hiệu thiếu hụt	Việc cần làm rõ
Chính sách, quy trình, cơ cấu	Quy định có nhưng không ai quyết định	Quyền, chủ sở hữu và điểm giao nhận
Văn hóa và thông tin	Che giấu sai lệch, báo cáo thiếu căn cứ	Hành vi được khuyến khích và nguồn dữ liệu
Dịch vụ, hạ tầng, ứng dụng	Công cụ không hỗ trợ cách làm cần thiết	Năng lực cung cấp và các phụ thuộc
Con người, kỹ năng, năng lực	Người thực hiện không đủ khả năng	Vai trò, hướng dẫn và phát triển năng lực

Bảng trên nhóm các yếu tố để hỗ trợ chẩn đoán; không thay thế danh sách bảy enabler của COBIT 5. Cách dùng phù hợp là chọn một mục tiêu cụ thể rồi hỏi điều kiện nào đang cản việc thực hiện. Không cần đầu tư đồng đều vào mọi nhóm nếu bằng chứng cho thấy điểm nghẽn tập trung ở một số điều kiện.

Tình huống giả định: quy trình báo cáo sự cố yêu cầu ghi đầy đủ diễn biến, nhưng nhân viên bị đánh giá thấp khi công khai lỗi của nhóm mình. Dù công cụ có đủ trường thông tin, dữ liệu vẫn bị thiếu. Sửa mẫu ticket sẽ ít tác dụng nếu cơ chế đánh giá tiếp tục khuyến khích che giấu vấn đề.

Tách quản trị khỏi quản lý để hai bên phối hợp

Nguyên tắc thứ năm, Separating Governance From Management, là phân biệt quản trị với quản lý. Quản trị đánh giá nhu cầu và lựa chọn, chỉ đạo ưu tiên, giám sát kết quả. Quản lý tổ chức kế hoạch, triển khai, vận hành và theo dõi hoạt động trong định hướng được giao.

Sự phân biệt giúp tránh hai cực: lãnh đạo can thiệp vào mọi chi tiết khiến người quản lý không thể hành động, hoặc giao toàn bộ lựa chọn công nghệ cho IT rồi chỉ hỏi kết quả khi vấn đề đã lớn. Cần xác định quyết định nào thuộc cấp nào và bằng chứng nào phải được báo cáo khi giới hạn ủy quyền bị vượt.

Chẳng hạn, nhóm vận hành có thể được quyền xử lý sự cố trong phương án đã duyệt. Nhưng việc tiếp tục cung cấp dịch vụ với rủi ro vượt mức doanh nghiệp chấp nhận cần được đưa lên người có thẩm quyền. Khả năng sửa lỗi không tự tạo quyền chấp nhận hậu quả kinh doanh cho cả tổ chức.

Năng lực biến chỉ đạo thành kế hoạch và kiểm soát là hướng có thể tham khảo qua chương trình Trưởng Phòng IT – IT Manager. Trong doanh nghiệp, năng lực này cần đi cùng quyền sử dụng nguồn lực và cơ chế chuyển cấp, để trách nhiệm có thể được thực hiện.

Khi hai tầng được nối bằng mục tiêu, quyền và bằng chứng, năm nguyên tắc bắt đầu hỗ trợ nhau. Nhu cầu xác lập đích đến; phạm vi đầu cuối xác định người cùng chịu trách nhiệm; khung tích hợp nối cách làm; enabler tạo điều kiện thực hiện; phân biệt quản trị và quản lý giữ lựa chọn đúng thẩm quyền.

Thử năm nguyên tắc trên một vấn đề đang tồn tại

Doanh nghiệp có thể kiểm tra cách vận dụng bằng một vấn đề cụ thể, chẳng hạn quá trình triển khai thay đổi thường làm gián đoạn dịch vụ. Trước hết, xác định kết quả cần bảo vệ và nhóm bị ảnh hưởng. Sau đó xem toàn bộ chuỗi từ đề xuất, thử nghiệm, phê duyệt đến hỗ trợ sau triển khai để tìm khoảng trống trách nhiệm.

Tiếp theo, đối chiếu những phương pháp đang dùng xem chúng có giao nhận thông tin được hay không. Rà các điều kiện hỗ trợ giúp phân biệt việc thiếu quy trình với thiếu người, thiếu dữ liệu hoặc thiếu môi trường thử nghiệm. Cuối cùng, thống nhất người được quyền quyết định triển khai và ngưỡng phải xin lựa chọn ở cấp cao hơn.

Nhóm thực hiện nên ghi một thay đổi cụ thể, một người sở hữu và bằng chứng sẽ kiểm tra trong chu kỳ tiếp theo. Nếu số tài liệu tăng nhưng quyết định vẫn mơ hồ, cần xem lại cách áp dụng. Mục tiêu là cải thiện khả năng tạo kết quả có kiểm soát, không phải chứng minh đã nhắc đủ năm nguyên tắc.

Chương trình COBIT 5 Foundation là hướng tham khảo để hệ thống hóa nền tảng trước khi thực hiện bước rà soát này. Giá trị ứng dụng sẽ xuất hiện khi doanh nghiệp dùng các nguyên tắc để giải thích và sửa một vấn đề thực, rồi kiểm tra xem cách quyết định và phối hợp đã tốt hơn hay chưa.