INFOCHIEF ACADEMY · COBIT 5 KNOWLEDGE SERIES
Tìm hiểu các nhóm quy trình EDM, APO, BAI, DSS và MEA qua ví dụ thực tế.
Năm miền quy trình trả lời những câu hỏi khác nhau nhưng cùng phục vụ kết quả doanh nghiệp. Theo một thay đổi từ định hướng đến vận hành giúp nhìn rõ đầu ra, điểm giao nhận và vòng phản hồi trong COBIT 5.
Biên soạn: Infochief Academy · Chuyên đề: Quản trị IT theo COBIT 5
Tên năm nhóm quy trình của COBIT 5 thường được trình bày như một sơ đồ dễ nhớ. Nhưng khi doanh nghiệp triển khai một hệ thống mới, công việc không diễn ra gọn trong năm ô. Định hướng đầu tư, lựa chọn giải pháp, chuyển giao vận hành và kiểm tra kết quả liên tục tác động qua lại.
Hiểu EDM, APO, BAI, DSS và MEA qua một luồng công việc giúp nhìn thấy các điểm giao nhận mà sơ đồ đơn lẻ dễ bỏ qua. Điều cần nhận ra là mỗi nhóm trả lời một loại câu hỏi, còn kết quả doanh nghiệp phụ thuộc vào việc các câu trả lời được nối với nhau như thế nào.
Theo một thay đổi từ nhu cầu đến kết quả
Tình huống giả định xuyên suốt bài: doanh nghiệp phân phối muốn kết nối hệ thống đặt hàng với kho để giảm việc nhập lại và hạn chế thông tin không nhất quán. Phòng kinh doanh cần xử lý thuận tiện, kho cần dữ liệu đáng tin, còn lãnh đạo muốn mở rộng khả năng phục vụ mà không làm tăng rủi ro vận hành.
Một cách tiếp cận thiếu liên kết sẽ lập dự án tích hợp, giao cho IT rồi chờ bàn giao. Nhóm có thể xây được kết nối kỹ thuật, nhưng không xác định ai sửa dữ liệu nguồn, ai kiểm tra thông tin nhận ở kho và ai xác nhận lợi ích sau khi hệ thống hoạt động. Các khoảng trống ấy nằm giữa các trách nhiệm.
COBIT 5 có mô hình tham chiếu gồm 37 quy trình trong năm miền. EDM thuộc khu vực quản trị; APO, BAI, DSS và MEA thuộc khu vực quản lý. Đây là cách tổ chức các thực hành và mục đích quy trình, không phải yêu cầu mọi doanh nghiệp phải lập năm phòng ban riêng hoặc triển khai đồng loạt mọi quy trình.
Nền tảng trong chương trình COBIT 5 Foundation là hướng tham khảo để thống nhất cách đọc mô hình. Khi áp dụng, nên bắt đầu từ quyết định và kết quả cần cải thiện, rồi chọn các quy trình có liên quan thay vì đi hết danh sách chỉ để đủ tên.
EDM xác lập điều doanh nghiệp muốn bảo vệ
EDM là Evaluate, Direct and Monitor: đánh giá, chỉ đạo và giám sát. Trong tình huống tích hợp đặt hàng, tầng quản trị cần xem lợi ích nào quan trọng, rủi ro nào được chấp nhận và nguồn lực nên được ưu tiên ra sao. Nếu những lựa chọn này chưa rõ, người quản lý sẽ khó giải quyết xung đột giữa tốc độ, phạm vi và độ tin cậy.
Lãnh đạo có thể xác định cần bảo đảm tính chính xác của luồng đơn hiện hữu trước khi mở rộng thêm tính năng. Khi đó, quyết định đầu tư cần nêu điều kiện, chẳng hạn phải có khả năng đối soát và khôi phục trước chuyển đổi. Đây là lựa chọn trong tình huống giả định, không phải điều kiện mẫu COBIT bắt buộc cho mọi hệ thống.
Việc giám sát của EDM nhìn vào kết quả và mức đánh đổi ở cấp doanh nghiệp. Cơ quan quản trị cần biết lợi ích còn có khả năng đạt hay không, rủi ro có vượt giới hạn và nguồn lực có đang bị phân tán. Họ không cần tự xử lý từng lỗi giao tiếp dữ liệu, nhưng phải nhận được thông tin đủ để điều chỉnh định hướng khi cần.
Đầu ra hữu ích cho tầng quản lý là ưu tiên rõ, giới hạn được giao và yêu cầu báo cáo. Một câu chỉ đạo như “triển khai nhanh nhưng an toàn” chưa giúp chọn phương án khi hai yêu cầu xung đột. Chỉ đạo cần đủ cụ thể để người thực hiện biết điều gì được phép đánh đổi và điều gì phải trình lại.
APO biến định hướng thành một kế hoạch có thể thực hiện
APO là Align, Plan and Organise, có thể hiểu là liên kết, hoạch định và tổ chức. Trong tình huống này, nhóm quản lý cần đánh giá kiến trúc hiện tại, nhu cầu nguồn lực, ngân sách, quan hệ với nghiệp vụ, cam kết dịch vụ và rủi ro. Kế hoạch không chỉ gồm lịch dự án; nó phải giải thích khả năng thực hiện của toàn tổ chức.
Nếu cùng nhóm kỹ sư đang phụ trách vận hành và nhiều dự án, APO giúp đặt yêu cầu mới trong danh mục và năng lực thực tế. Đẩy ngày triển khai lên mà không giải quyết xung đột nguồn lực chỉ làm tăng áp lực, chưa tạo thêm khả năng hoàn thành. Phương án có thể là chia phạm vi hoặc thay thứ tự ưu tiên.
Với dữ liệu đơn hàng, kế hoạch cần người sở hữu dữ liệu ở nghiệp vụ, công việc chuẩn hóa và cam kết phối hợp với kho. Nếu nhà cung cấp tham gia, phải làm rõ phạm vi dịch vụ, điểm giao nhận và điều kiện hỗ trợ. Những điều kiện này tạo nền để dự án không phải tự giải quyết toàn bộ khoảng trống tổ chức trong quá trình xây hệ thống.
Người quản lý có thể tham khảo chương trình Trưởng Phòng IT – IT Manager để củng cố năng lực lập kế hoạch và điều phối. Điều cần kiểm tra trong doanh nghiệp là kế hoạch có phản ánh việc duy trì dịch vụ hiện hữu và những nhiệm vụ nghiệp vụ ngoài phòng IT hay không.
BAI xây thay đổi và chuẩn bị việc tiếp nhận
BAI là Build, Acquire and Implement: xây dựng, mua sắm và triển khai. Trong COBIT 5, BAI01 quản lý chương trình và dự án; các quy trình khác hỗ trợ yêu cầu, giải pháp, khả năng cung cấp, thay đổi tổ chức, thay đổi hệ thống và chuyển giao. Bàn giao kỹ thuật vì thế chỉ là một phần của phạm vi cần xem xét.
Ở dự án tích hợp, yêu cầu cần thể hiện cách đối soát, xử lý dữ liệu thiếu và quyền sửa thông tin. Kiểm thử phải kiểm tra các tình huống nghiệp vụ và lỗi giao nhận, không chỉ xác nhận kết nối hoạt động. Nếu người vận hành chưa có hướng dẫn hoặc người dùng chưa biết xử lý ngoại lệ, hệ thống mới chưa đủ điều kiện được tiếp nhận hiệu quả.
Cần phân biệt thay đổi cách làm việc với thay đổi kỹ thuật. Nhân viên kho có thể cần một trách nhiệm xác nhận mới, trong khi IT phải kiểm soát cấu hình và phiên bản triển khai. Hai luồng này liên quan nhưng có người thực hiện, bằng chứng và rủi ro khác nhau. Gộp chúng thành một dòng đào tạo hoặc một phiếu thay đổi sẽ khó quản lý.
Chương trình Quản lý Dự án IT là hướng tham khảo khi cần củng cố việc tổ chức triển khai và giao nhận. Trong thực tế, người quản lý dự án nên làm rõ ai tiếp nhận dịch vụ, nhận thông tin gì và dựa vào điều kiện nào để xác nhận sẵn sàng.
DSS giữ dịch vụ dùng được, MEA kiểm tra điều đã cam kết
DSS là Deliver, Service and Support: cung cấp, phục vụ và hỗ trợ. Sau chuyển đổi, doanh nghiệp cần vận hành luồng tích hợp, xử lý yêu cầu, khôi phục khi gián đoạn, điều tra lỗi lặp, duy trì khả năng liên tục và thực hiện các kiểm soát phù hợp. Trọng tâm là người dùng có thể hoàn thành công việc trong dịch vụ đã thống nhất.
Một lỗi truyền dữ liệu cần được xử lý theo tác động. Khôi phục luồng thông tin và đối soát đơn bị ảnh hưởng là nhiệm vụ tức thời; tìm nguyên nhân và ngăn tái diễn là công việc cần được nối tiếp. Đóng ticket khi kết nối chạy trở lại mà chưa biết đơn hàng có đầy đủ sẽ bỏ sót kết quả nghiệp vụ.
MEA là Monitor, Evaluate and Assess: theo dõi, đánh giá và xem xét. Miền này hỗ trợ nhìn hiệu suất và mức phù hợp, hệ thống kiểm soát nội bộ cùng việc đáp ứng yêu cầu bên ngoài. Nó giúp người quản lý và các chủ thể liên quan kiểm chứng liệu hoạt động có thực hiện điều đã cam kết hay không.
MEA không đồng nghĩa toàn bộ công việc phải do kiểm toán nội bộ thực hiện. Quản lý cần tự theo dõi và kiểm tra, còn vai trò bảo đảm độc lập được tổ chức theo cơ chế của doanh nghiệp. Cũng cần phân biệt thông tin kiểm tra ở tầng quản lý với việc cơ quan quản trị dùng thông tin ấy để giám sát định hướng trong EDM.
| Miền quy trình | Câu hỏi trong tình huống tích hợp | Điểm giao nhận cần giữ |
|---|---|---|
| EDM | Kết quả nào được ưu tiên và đánh đổi nào được chấp nhận? | Định hướng, giới hạn và yêu cầu giám sát |
| APO | Có thể thực hiện bằng nguồn lực và phương án nào? | Kế hoạch, trách nhiệm và các phụ thuộc |
| BAI | Thay đổi được xây và tiếp nhận theo điều kiện nào? | Sản phẩm, bằng chứng sẵn sàng và tài liệu vận hành |
| DSS | Dịch vụ có giúp hoàn thành công việc hằng ngày? | Kết quả vận hành, ngoại lệ và thông tin sự cố |
| MEA | Hoạt động và kiểm soát có đúng điều đã thống nhất? | Đánh giá sai lệch và hành động khắc phục |
Bảng là công cụ minh họa đề xuất cho trường hợp này. Nó giúp nhận ra rằng một đầu ra thiếu người tiếp nhận có thể làm đứt cả chuỗi. Doanh nghiệp nên dùng bảng để kiểm tra giao nhận thực tế, thay vì coi việc có tên người ở mọi ô là bằng chứng phối hợp đã tốt.
Năm miền tạo một vòng phản hồi liên tục
Sau khi vận hành, thông tin từ DSS và MEA có thể cho thấy kế hoạch ban đầu thiếu năng lực hoặc lợi ích dự kiến chưa xuất hiện. APO cần điều chỉnh kế hoạch; BAI có thể tổ chức thay đổi bổ sung; EDM xem lại ưu tiên nếu hệ quả vượt phạm vi quản lý. Các miền vì thế không phải năm giai đoạn chỉ đi qua một lần.
Trong tình huống tích hợp, việc theo dõi có thể phát hiện lỗi không nằm ở phần mềm mà ở cách kho xác nhận trạng thái. Phương án phù hợp là điều chỉnh trách nhiệm và hướng dẫn, đồng thời kiểm tra lại kết quả. Không nên mở ngay một dự án công nghệ mới nếu chưa hiểu điều kiện đang cản hoạt động.
Năng lực tổ chức dịch vụ và phản hồi từ vận hành có thể được phát triển qua chương trình Quản lý Dịch vụ IT – ITSM. Khi kết nối với các miền khác, dữ liệu vận hành trở thành căn cứ cải thiện kế hoạch và lựa chọn đầu tư, thay vì chỉ là báo cáo của đội hỗ trợ.
Bước rà soát hữu ích nhất là lấy một thay đổi đang triển khai và đi theo chuỗi định hướng, kế hoạch, sản phẩm, dịch vụ và đánh giá. Ở mỗi điểm, xác định đầu ra, người nhận và quyết định tiếp theo. Khi chuỗi đó liền mạch, doanh nghiệp đã hiểu mô hình sâu hơn nhiều so với việc nhớ đủ năm chữ viết tắt.