INFOCHIEF ACADEMY · COBIT 5 KNOWLEDGE SERIES
Quy trình đã đầy đủ mà quản trị vẫn kém: Bảy yếu tố hỗ trợ COBIT 5 nói gì?
Quy trình chỉ hoạt động khi quyền, thông tin, công cụ, năng lực và hành vi cùng hỗ trợ. Bảy enabler của COBIT 5 giúp tìm điều kiện đang thiếu giữa quy định và thực hiện, để chọn biện pháp có thể kiểm chứng.
Biên soạn: Infochief Academy · Chuyên đề: Quản trị IT theo COBIT 5
Một doanh nghiệp có đủ quy trình phê duyệt, quản lý thay đổi và báo cáo rủi ro, nhưng quyết định vẫn chậm và sai lệch vẫn tái diễn. Mỗi lần có vấn đề, tổ chức lại bổ sung biểu mẫu. Tài liệu ngày càng nhiều, còn công việc thực tế tiếp tục dựa vào kinh nghiệm của vài người.
Nghịch lý này đặt ra một câu hỏi khác: điều kiện để quy trình hoạt động có thực sự tồn tại? Bảy enabler của COBIT 5, có thể hiểu là các yếu tố hỗ trợ, giúp nhìn những điều kiện ấy cùng nhau. Quy trình chỉ là một phần trong hệ thống cần tạo ra kết quả có kiểm soát.
Theo một quy trình từ trang giấy tới công việc
Tình huống giả định xuyên suốt bài: doanh nghiệp yêu cầu mọi thay đổi hệ thống phải được đánh giá tác động trước triển khai. Quy trình được duyệt, công cụ có trường thông tin và người phụ trách đã được chỉ định. Nhưng khi một thay đổi gây gián đoạn, hồ sơ chỉ ghi “không ảnh hưởng” mà không có căn cứ.
Nếu chỉ nhìn quy trình, biện pháp dễ chọn là thêm một ô hoặc thêm người ký. Cách làm đó chưa giải thích vì sao người thực hiện không nhận ra phụ thuộc, người duyệt không yêu cầu bằng chứng và nhóm vận hành không tham gia. Những vấn đề này nằm ở dữ liệu, quyền, năng lực và hành vi, bên cạnh cách mô tả công việc.
COBIT 5 nhìn bảy nhóm enabler có quan hệ với nhau: nguyên tắc, chính sách và khung; quy trình; cơ cấu tổ chức; văn hóa, đạo đức và hành vi; thông tin; dịch vụ, hạ tầng và ứng dụng; con người, kỹ năng và năng lực. Mục tiêu thực hiện quyết định điều cần cải thiện trong các nhóm, thay vì đầu tư giống nhau vào mọi yếu tố.
Người quản lý có thể tham khảo chương trình COBIT 5 Foundation để hệ thống hóa cách nhìn này. Khi áp dụng, nên chọn một mục tiêu hoặc luồng công việc cụ thể; rà toàn doanh nghiệp bằng những câu hỏi quá rộng thường tạo danh sách thiếu hụt khó chuyển thành hành động.
Chính sách và quy trình phải có cùng một định hướng
Nguyên tắc, chính sách và khung tạo định hướng cho cách làm. Chúng cần giải thích điều gì phải được bảo vệ, ai có quyền chấp nhận ngoại lệ và bằng chứng nào cần có. Một chính sách chỉ nói “kiểm soát thay đổi chặt chẽ” sẽ khó hướng dẫn lựa chọn giữa tốc độ triển khai và mức rủi ro.
Quy trình chuyển định hướng thành công việc nối nhau, có đầu vào, người thực hiện và đầu ra. Trong tình huống thay đổi, bước đánh giá tác động phải xác định thông tin cần xem và người cần tham vấn. Nếu chỉ yêu cầu đánh dấu mức rủi ro, người thực hiện có thể hoàn thành biểu mẫu mà không thực hiện phân tích.
Hai yếu tố cần được kiểm tra cùng nhau. Nếu chính sách yêu cầu kiểm tra độc lập nhưng quy trình giao cùng một nhóm tự xây, tự đánh giá và tự cho phép triển khai, thiết kế đang mâu thuẫn. Nếu quy trình yêu cầu nhiều bước vượt mức cần thiết, nó có thể tạo động lực đi vòng mà không tăng chất lượng kiểm soát.
Điểm kiểm tra hữu ích là lấy một hồ sơ thật và truy điều kiện ở từng bước. Người thực hiện đã nhận đủ đầu vào chưa? Người tiếp theo có sử dụng đầu ra hay chỉ xác nhận đã nhận? Một bước không tạo thông tin hoặc quyết định cần thiết nên được xem lại trước khi tổ chức thêm bước mới.
Cơ cấu và hành vi quyết định quyền có được sử dụng
Cơ cấu tổ chức bao gồm các chủ thể và mối quan hệ cần để ra quyết định. Một người được giao rà tác động nhưng không có quyền yêu cầu nhóm ứng dụng cung cấp thông tin sẽ khó làm tròn nhiệm vụ. Sơ đồ tổ chức có tên vai trò chưa chứng minh quyền và cơ chế phối hợp đã tồn tại.
Cần xác định ai quyết định, ai thực hiện, ai tham vấn và ai nhận thông tin. Với ngoại lệ, phải có đường chuyển cấp và điều kiện xử lý khi người có quyền vắng mặt. Nếu trách nhiệm chỉ được hiểu qua quan hệ cá nhân, quy trình sẽ yếu khi nhân sự đổi hoặc công việc diễn ra ngoài giờ thông thường.
Văn hóa, đạo đức và hành vi ảnh hưởng cách quyền được sử dụng. Nếu người báo cáo rủi ro bị coi là cản tiến độ, họ có thể giảm mức cảnh báo. Nếu đội triển khai chỉ được khen vì đưa thay đổi vào nhanh, việc ghi đầy đủ thiếu hụt có thể bị xem là bất lợi cho thành tích.
Sửa hành vi cần nhìn cả tín hiệu từ lãnh đạo và cơ chế đánh giá. Tổ chức nên ghi nhận việc phát hiện sớm, trình lựa chọn và xử lý trung thực, đồng thời phân biệt sai sót với hành vi cố ý che giấu. Không thể yêu cầu nhân viên báo cáo minh bạch trong khi chính các cuộc họp chỉ chấp nhận thông tin thuận lợi.
Năng lực giao quyền và tổ chức trách nhiệm có thể được củng cố qua chương trình Trưởng Phòng IT – IT Manager. Khi áp dụng, cần kiểm tra người nhận việc có đủ quyền và thời gian, thay vì mặc định một chức danh quản lý có thể yêu cầu mọi bộ phận phối hợp.
Thông tin và công nghệ phải hỗ trợ đúng quyết định
Thông tin là điều kiện để đánh giá có căn cứ. Trong tình huống thay đổi, nhóm cần biết dịch vụ phụ thuộc, phiên bản đang chạy, tác động dự kiến và kết quả kiểm thử. Nếu thông tin cấu hình thiếu hoặc không được cập nhật, người thực hiện sẽ phải đoán ngay cả khi họ hiểu quy trình.
Dữ liệu cần có người sở hữu, nguồn và cách xác nhận chất lượng. Thu thập nhiều trường thông tin không đồng nghĩa quyết định tốt hơn. Hãy bắt đầu từ câu hỏi cần trả lời, rồi xác định dữ liệu tối thiểu để trả lời đáng tin. Một kho lớn nhưng không biết dữ liệu nào còn đúng có thể làm tăng sự tự tin sai lệch.
Dịch vụ, hạ tầng và ứng dụng phải tạo khả năng thực hiện cách làm đã thống nhất. Công cụ quản lý thay đổi cần hỗ trợ giao nhận, giữ bằng chứng và quyền phù hợp. Môi trường kiểm thử cần đủ để kiểm tra các điều kiện quan trọng. Nếu chỉ có công cụ nhập phiếu mà không có khả năng thử, quy trình sẽ thiếu một điều kiện thiết yếu.
Tuy nhiên, mua công cụ không giải quyết được mọi thiếu hụt. Tự động chuyển phiếu không làm rõ ai phải đánh giá, còn bổ sung dashboard không làm dữ liệu nguồn chính xác hơn. Năng lực tổ chức dịch vụ có thể được phát triển qua chương trình Quản lý Dịch vụ IT – ITSM, rồi kết nối với công cụ và thông tin phù hợp.
Năng lực con người phải khớp yêu cầu công việc
Con người, kỹ năng và năng lực là nhóm enabler còn lại, nhưng không phải phần bổ sung cuối cùng sau khi mọi thứ đã thiết kế xong. Cần xác định người thực hiện phải hiểu gì, làm được gì và cần hỗ trợ nào để xử lý các tình huống thực tế. Một khóa hướng dẫn biểu mẫu không thay được khả năng phân tích tác động.
Có thể kiểm tra bằng một tình huống phù hợp: yêu cầu người thực hiện chỉ ra phụ thuộc, căn cứ chọn mức rủi ro và điều kiện trình lại. Quan sát cách họ dùng thông tin giúp phân biệt thiếu kiến thức với thiếu dữ liệu hoặc thiếu quyền. Biện pháp phát triển năng lực phải bám thiếu hụt đã xác định.
| Nhóm yếu tố | Câu hỏi chẩn đoán đề xuất | Dấu hiệu cần xử lý |
|---|---|---|
| Nguyên tắc, chính sách và khung | Định hướng và ngoại lệ có rõ? | Quy định chung nhưng không giúp lựa chọn |
| Quy trình | Các bước có giao nhận được? | Hoàn thành biểu mẫu mà thiếu phân tích |
| Cơ cấu tổ chức | Người nhận việc có đủ quyền? | Trách nhiệm không kèm khả năng yêu cầu |
| Văn hóa, đạo đức và hành vi | Báo cáo trung thực có được khuyến khích? | Giảm cảnh báo để giữ hình ảnh tiến độ |
| Thông tin | Căn cứ có đúng và dùng được? | Quyết định dựa trên dữ liệu lỗi thời |
| Dịch vụ, hạ tầng và ứng dụng | Công cụ hỗ trợ cách làm cần thiết? | Có phiếu nhưng thiếu khả năng kiểm thử |
| Con người, kỹ năng và năng lực | Người thực hiện làm được việc? | Biết thủ tục nhưng không phân tích được |
Bảng là công cụ chẩn đoán đề xuất, không phải thang đánh giá chính thức của COBIT 5. Với từng dấu hiệu, cần tìm bằng chứng trước khi kết luận nguyên nhân. Cùng một vấn đề có thể do nhiều yếu tố tương tác, nên việc chọn biện pháp cần tránh quy hết cho con người hoặc công nghệ.
Chọn một nhóm thay đổi có thể kiểm chứng
Trở lại tình huống giả định, nhóm rà soát có thể phát hiện ba điểm nghẽn: thông tin phụ thuộc thiếu, quyền tham vấn không rõ và cơ chế đánh giá quá coi trọng tốc độ. Phương án cần nối ba nội dung, chẳng hạn cập nhật phạm vi cấu hình cần dùng, trao quyền yêu cầu tham vấn và bổ sung cách nhìn chất lượng thay đổi.
Sau một chu kỳ, kiểm tra hồ sơ và kết quả thực hiện trong phạm vi đã chọn. Người đánh giá có sử dụng thông tin tốt hơn không? Những thay đổi có rủi ro đã được trình đúng cấp chưa? Sai lệch sau triển khai có được phản hồi về cách làm không? Các câu hỏi này giúp xác nhận tác dụng thay vì chỉ đếm số tài liệu mới.
Ở tầng lãnh đạo, cần bảo đảm các biện pháp không tạo yêu cầu mâu thuẫn với ưu tiên hoặc nguồn lực. Chương trình Lãnh đạo IT – CIO là hướng tham khảo để phát triển khả năng nhìn hệ thống và điều chỉnh những lựa chọn tổ chức có tác động tới cách làm của đội ngũ.
Một quy trình đầy đủ có thể là điểm khởi đầu tốt, nhưng kết quả chỉ xuất hiện khi các điều kiện thực hiện cùng hoạt động. Bảy enabler giúp doanh nghiệp tìm điều đang thiếu giữa quy định và hành động. Khi khoảng trống ấy được sửa bằng bằng chứng, tổ chức có cơ sở cải thiện quản trị mà không phải tiếp tục tăng số trang tài liệu.