Ứng dụng MEA để thiết lập cơ chế giám sát, đánh giá và tuân thủ IT.

Ba câu hỏi cần tách trước khi chọn chỉ số

MEA là Monitor, Evaluate and Assess: theo dõi, đánh giá và xem xét. Trong COBIT 5, MEA01 liên quan hiệu suất và mức phù hợp, MEA02 liên quan hệ thống kiểm soát nội bộ, còn MEA03 liên quan tuân thủ các yêu cầu bên ngoài. Ba nội dung có thể dùng chung dữ liệu, nhưng phục vụ những kết luận khác nhau.

MEA01 giúp xem hoạt động có đạt mục tiêu và thực hiện theo những điều đã thống nhất hay không. Với dịch vụ hỗ trợ, thông tin có thể bao gồm kết quả phục vụ, mức sai lệch và phản hồi người dùng. Người quản lý cần hiểu nguyên nhân đủ để chọn biện pháp, không chỉ biết một ô đang mang màu đỏ.

MEA02 đặt câu hỏi về hiệu lực của hệ thống kiểm soát nội bộ. Việc một quy trình có bước phê duyệt chưa chứng minh bước ấy được thực hiện đúng quyền hoặc có thể phát hiện sai lệch. Cần nhìn thiết kế, việc thực hiện và bằng chứng cho thấy kiểm soát đang bảo vệ kết quả cần thiết.

MEA03 xem yêu cầu bên ngoài áp dụng cho tổ chức và cách đáp ứng. Nguồn yêu cầu có thể đến từ nghĩa vụ pháp lý, quy định hoặc cam kết bên ngoài có liên quan. Bộ phận IT cần phối hợp với người có chuyên môn và thẩm quyền xác định nghĩa vụ; một ánh xạ COBIT không tự xác nhận doanh nghiệp đã tuân thủ.

Nền tảng trong chương trình COBIT 5 Foundation là hướng tham khảo để thống nhất cách hiểu ba quy trình. Trong áp dụng, nên giữ rõ phạm vi kết luận: đạt một chỉ tiêu hiệu suất không đồng nghĩa kiểm soát hiệu lực, và kiểm soát hiệu lực trong một phạm vi chưa chứng minh mọi nghĩa vụ đều được đáp ứng.

Thiết kế bằng chứng theo kết luận cần đưa ra

Sau khi tách câu hỏi, hãy xác định kết luận người nhận cần sử dụng. Nếu muốn biết thay đổi hệ thống được kiểm soát, số phiếu thay đổi đã tạo chưa đủ. Cần xem việc đánh giá tác động, quyền phê duyệt, điều kiện triển khai và kết quả sau thay đổi, bao gồm những ngoại lệ xảy ra ngoài luồng thông thường.

Bằng chứng phải có nguồn, thời điểm và phạm vi. Một ảnh chụp cấu hình tại ngày kiểm tra chỉ phản ánh trạng thái khi chụp, không tự chứng minh kiểm soát được giữ suốt kỳ. Một tài liệu ban hành chứng minh quy định tồn tại, nhưng cần thêm hồ sơ thực hiện để kết luận quy định có được vận dụng.

Nhóm thiết kế cũng cần xác định độ tin cậy. Dữ liệu tự khai từ người thực hiện có thể là đầu vào hữu ích, song không nên là căn cứ duy nhất cho mọi kết luận quan trọng. Đối chiếu hồ sơ, quan sát công việc và kiểm tra mẫu phù hợp giúp nhìn những sai lệch mà báo cáo tổng hợp không thể hiện.

Bảng là công cụ thiết kế đề xuất, không phải danh sách bằng chứng bắt buộc của COBIT 5. Cách chọn mẫu và thời kỳ cần tương xứng với kết luận. Nếu chỉ kiểm tra phạm vi hẹp, báo cáo phải giữ giới hạn đó thay vì mở rộng kết luận cho toàn doanh nghiệp.

Nối theo dõi với quyền xử lý sai lệch

Một phát hiện cần có người đủ quyền tổ chức xử lý. Nếu báo cáo chỉ ghi bộ phận liên quan, các bên có thể cùng biết vấn đề nhưng không ai nhận trách nhiệm giải trình. Cần xác định người sở hữu hành động, thời hạn phù hợp và bằng chứng để xác nhận việc hoàn tất.

Không phải sai lệch nào cũng cần đưa lên Ban điều hành. Người quản lý có thể xử lý trong quyền đã giao. Những vấn đề làm thay đổi cam kết, cần thêm nguồn lực hoặc vượt giới hạn rủi ro phải được trình cùng phương án. Cơ chế chuyển cấp cần dựa trên tác động và thời điểm phải quyết định, không chỉ dựa vào số lần nhắc việc.

Ở tầng quản lý, MEA cung cấp thông tin để đánh giá và điều chỉnh thực hiện. Ở tầng quản trị, EDM sử dụng thông tin phù hợp để giám sát định hướng và các lựa chọn doanh nghiệp. Hai tầng không nên nhận cùng một báo cáo chi tiết chỉ vì đều có hoạt động giám sát.

Năng lực phân công, theo dõi và trình sai lệch có thể được phát triển qua chương trình Trưởng Phòng IT – IT Manager. Khi vận dụng, doanh nghiệp phải giữ quyền yêu cầu phối hợp và khả năng huy động nguồn lực cho người được giao xử lý, để trách nhiệm không dừng trên giấy.

Một kiểm soát có báo cáo đầy đủ nhưng vẫn yếu

Tình huống giả định: doanh nghiệp báo cáo việc rà quyền truy cập được hoàn thành đúng lịch. Khi kiểm tra mẫu, nhóm đánh giá phát hiện các chủ bộ phận đã xác nhận danh sách mà không hiểu một số quyền cho phép làm gì. Một tài khoản không còn nhu cầu sử dụng vẫn giữ quyền xử lý dữ liệu quan trọng.

Ở góc nhìn MEA01, hoạt động rà quyền đã hoàn thành theo kế hoạch. Nhưng với MEA02, hiệu lực kiểm soát chưa được chứng minh vì người xác nhận thiếu thông tin để đánh giá. Nếu có nghĩa vụ bên ngoài liên quan, MEA03 còn cần xác định yêu cầu cụ thể và liệu bằng chứng hiện tại đủ để đáp ứng hay không.

Nhóm không nên chỉ yêu cầu ký lại danh sách. Biện pháp có thể gồm mô tả quyền theo công việc, xác định chủ sở hữu, làm rõ điều kiện thu hồi và kiểm tra việc thực hiện. Sau đó chọn mẫu phù hợp để xem người duyệt đã hiểu và các thay đổi đã được áp dụng, thay vì chỉ đếm tỷ lệ phản hồi.

Việc bảo vệ thông tin trong tình huống này cần phối hợp giữa nghiệp vụ, IT và người quản lý an toàn thông tin. Chương trình Quản lý Bảo mật Thông tin là hướng tham khảo khi đội ngũ cần củng cố cách tổ chức trách nhiệm và kiểm soát theo nhu cầu công việc.

Kết quả đánh giá cũng phải được diễn giải thận trọng. Phát hiện trong một mẫu chỉ ra vấn đề cần xử lý và có thể dẫn tới kiểm tra rộng hơn; nó không tự cho biết mọi quyền trong tổ chức đều sai. Giữ rõ giới hạn giúp lãnh đạo lựa chọn bước tiếp theo có căn cứ.

Phân biệt tự kiểm tra với bảo đảm độc lập

Quản lý phải theo dõi và kiểm tra công việc của mình. Không nên chờ kiểm toán mới phát hiện những sai lệch mà dữ liệu vận hành đã thể hiện. Nhưng tự kiểm tra có giới hạn khi người cung cấp dịch vụ cũng là người giải thích mọi bằng chứng về chất lượng của dịch vụ ấy.

Doanh nghiệp cần tổ chức vai trò bảo đảm phù hợp với rủi ro và cơ cấu của mình. Nhóm kiểm tra độc lập cần phạm vi, tiêu chí và khả năng tiếp cận bằng chứng. Người chủ quy trình vẫn giữ trách nhiệm xử lý phát hiện; không chuyển trách nhiệm vận hành sang người đánh giá chỉ vì họ đã đưa ra khuyến nghị.

Lịch kiểm tra nên phối hợp để giảm yêu cầu dữ liệu trùng lặp. Một nguồn bằng chứng đáng tin có thể phục vụ nhiều cuộc đánh giá nếu thời kỳ, phạm vi và kết luận tương thích. Tuy nhiên, không dùng việc chia sẻ dữ liệu để bỏ qua yêu cầu độc lập hoặc những tiêu chí khác biệt của từng cuộc đánh giá.

Ở cấp lãnh đạo, thông tin nên cho thấy sai lệch trọng yếu, hành động đang chậm và vấn đề cần lựa chọn. Góc nhìn trong chương trình Lãnh đạo IT – CIO có thể được tham khảo để phát triển cách trình bằng chứng thành quyết định, thay vì đưa toàn bộ hồ sơ kiểm tra lên cuộc họp điều hành.

Thử cơ chế trên một phạm vi có thể kiểm chứng

Doanh nghiệp có thể chọn một dịch vụ hoặc một kiểm soát đang quan trọng để thiết lập MEA. Ghi mục tiêu, yêu cầu áp dụng, người sở hữu dữ liệu, cách kiểm tra và người quyết định khi có sai lệch. Sau một chu kỳ phù hợp, đối chiếu xem thông tin có đến đúng người và dẫn tới hành động hay không.

Nếu báo cáo không giải thích được nguyên nhân, sửa cách thu thập. Nếu phát hiện không có người xử lý, sửa trách nhiệm. Nếu việc được đóng mà sai lệch vẫn lặp lại, sửa tiêu chí xác nhận hiệu lực. Mỗi bước điều chỉnh nên dựa trên điểm đứt đã quan sát, không bổ sung thêm biểu mẫu chỉ để cơ chế có vẻ đầy đủ.

MEA có chất lượng khi doanh nghiệp biết điều gì đang đạt, điều gì chưa được chứng minh và điều gì cần quyết định. Khi ba loại thông tin ấy rõ, giám sát trở thành khả năng học và điều chỉnh của tổ chức, giúp hoạt động IT tiếp tục đáp ứng mục tiêu cùng những nghĩa vụ phải giữ.

Bài viết liên quan

• Đánh giá năng lực quy trình theo COBIT 5 Process Assessment Model.
• Thiết lập hệ thống chỉ số đánh giá hiệu quả quản trị IT theo mục tiêu doanh nghiệp.
• Kết hợp COBIT, ITIL và ISO/IEC 27001 trong hệ thống quản trị và quản lý IT.
• Triển khai COBIT từ đâu? Lộ trình xác lập mục tiêu, đánh giá và cải tiến quản trị

Nguồn tham khảo

1. ISACA — Establishing a Governance and Management Structure for E-commerce Using COBIT 5
2. ISACA — Internal Control Using COBIT 5
3. ISACA — Monitoring, Evaluating and Assessing Compliance