INFOCHIEF ACADEMY · COBIT 5 KNOWLEDGE SERIES
Đánh giá năng lực quy trình theo COBIT 5 Process Assessment Model.
Đánh giá năng lực theo PAM cần phạm vi, tiêu chí và bằng chứng cho từng thuộc tính. Giữ đúng quy tắc xác định mức giúp doanh nghiệp nhìn điều kiện còn thiếu và chọn cải tiến, thay vì chỉ tạo điểm số báo cáo.
Biên soạn: Infochief Academy · Chuyên đề: Quản trị IT theo COBIT 5
Một nhóm tự chấm quy trình ở mức cao vì có tài liệu, biểu mẫu và báo cáo định kỳ. Nhóm khác chấm thấp vì công việc còn phụ thuộc vào kinh nghiệm cá nhân. Cả hai nhận định có thể chứa thông tin đúng, nhưng chưa đủ để so sánh nếu không cùng phạm vi, tiêu chí và cách kiểm chứng.
COBIT 5 Process Assessment Model, gọi tắt là PAM, giúp đánh giá năng lực quy trình bằng những thuộc tính và bằng chứng có cấu trúc. Mục đích hữu ích nhất là hiểu quy trình đang làm được gì và thiếu điều kiện nào để đáp ứng nhu cầu, thay vì tạo một điểm số đẹp cho báo cáo.
Xác định đánh giá để phục vụ quyết định nào
Trước khi chọn mức, cần làm rõ lý do đánh giá. Doanh nghiệp có thể muốn xác định khoảng trống, chọn việc cải tiến hoặc kiểm tra khả năng đáp ứng một nhu cầu. Mỗi mục đích ảnh hưởng phạm vi, độ sâu và mức tin cậy cần có. Một cuộc tự rà nhanh không nên được trình như một đánh giá đầy đủ với cùng độ chắc chắn.
Phạm vi cần ghi quy trình, đơn vị, dịch vụ, thời kỳ và những trường hợp thực hiện được xem xét. Một quy trình có thể hoạt động tốt ở trung tâm nhưng không nhất quán tại các chi nhánh. Nếu chỉ lấy hồ sơ trung tâm, kết luận phải giữ giới hạn đó thay vì mặc định phản ánh toàn bộ doanh nghiệp.
Cũng cần xác định tài liệu mô hình được sử dụng. PAM gốc của COBIT 5 dựa trên ISO/IEC 15504; hệ tiêu chuẩn này về sau được thay thế và mở rộng bởi họ ISO/IEC 330xx. Khi đánh giá theo PAM gốc, phải giữ đúng tiêu chí của mô hình đã chọn, không tự trộn với các đề xuất cập nhật hoặc cách đánh giá của COBIT 2019.
Người đánh giá cần đủ hiểu biết về mô hình và quy trình thực tế. Chủ quy trình cung cấp thông tin và tham gia làm rõ, nhưng kết luận không nên chỉ dựa vào cảm nhận của họ. Chương trình COBIT 5 Foundation là hướng tham khảo để xây nền tảng khái niệm; nó không tự thay thế năng lực chuyên môn cần cho một cuộc đánh giá PAM.
Đọc mức năng lực theo điều quy trình làm được
PAM của COBIT 5 có sáu mức từ 0 đến 5: Incomplete, Performed, Managed, Established, Predictable và Optimizing. Cách diễn giải phải gắn với thuộc tính quy trình. Không nên coi các tên mức là nhãn cảm tính như yếu, trung bình hoặc xuất sắc rồi tự chọn một nhãn cho tổ chức.
Ở mức 1, trọng tâm là quy trình thực hiện được mục đích. Muốn đánh giá quản lý sự cố, cần xem khả năng khôi phục theo mục đích và các kết quả liên quan, không chỉ xem có quy trình được viết hay chưa. Tài liệu giúp hiểu cách làm dự kiến, còn hồ sơ thực hiện cho biết điều gì đã xảy ra.
Ở các mức cao hơn, mô hình xem những thuộc tính chung liên quan quản lý việc thực hiện và sản phẩm công việc, thiết lập cách làm, đo lường và kiểm soát, rồi cải tiến. Các thuộc tính tạo điều kiện để năng lực được giữ và phát triển. Chúng không thay thế yêu cầu quy trình phải tạo ra kết quả thực.
Doanh nghiệp không cần mặc định mọi quy trình phải đạt mức 5. Mức mục tiêu phải xuất phát từ vai trò, rủi ro và nhu cầu của quy trình. Cố đạt một mức cao mà không có nhu cầu có thể tiêu thụ nguồn lực, trong khi những khoảng trống ở quy trình quan trọng hơn vẫn chưa được xử lý.
Thu thập bằng chứng theo thuộc tính
Đánh giá có hai chiều cần giữ: quy trình đang thực hiện điều gì và năng lực thực hiện được tổ chức thế nào. Các chỉ báo hỗ trợ thu thập bằng chứng, nhưng không nên dùng như danh sách tài liệu có hay không. Một sản phẩm công việc có thể tồn tại mà không được sử dụng hoặc không phản ánh hoạt động thực tế.
Nguồn bằng chứng có thể gồm hồ sơ, phỏng vấn, quan sát và đối chiếu dữ liệu. Chẳng hạn, muốn xem việc thực hiện được quản lý, cần hiểu mục tiêu, trách nhiệm, theo dõi và cách xử lý sai lệch. Người đánh giá nên chọn các trường hợp phù hợp, gồm cả ngoại lệ, để tránh chỉ nhìn những hồ sơ được chuẩn bị tốt nhất.
| Nội dung đánh giá đề xuất | Bằng chứng nên đối chiếu | Câu hỏi kiểm chứng |
|---|---|---|
| Kết quả quy trình | Hồ sơ thực hiện và xác nhận đầu ra | Mục đích có được đáp ứng trong phạm vi? |
| Quản lý công việc | Phân công, kế hoạch và xử lý sai lệch | Việc thực hiện có được điều hành? |
| Sản phẩm công việc | Yêu cầu, phiên bản và kiểm tra chất lượng | Đầu ra có được giữ và kiểm soát? |
| Cách làm được áp dụng | Hướng dẫn cùng các trường hợp thực hiện | Có dùng nhất quán trong phạm vi? |
| Đo và cải tiến | Dữ liệu, phân tích và kết quả hành động | Thông tin có dẫn tới điều chỉnh hiệu lực? |
Bảng là công cụ chuẩn bị bằng chứng đề xuất, không thay thế tập thuộc tính và chỉ báo đầy đủ của PAM. Người thực hiện cuộc đánh giá cần dùng tài liệu mô hình và phương pháp phù hợp để xác định kết luận. Không nên lấy vài dòng bảng làm một thang điểm tự tạo rồi gọi đó là kết quả PAM.
Năng lực tổ chức hồ sơ, phân công và theo dõi có thể được phát triển qua chương trình Trưởng Phòng IT – IT Manager. Trong đánh giá, cần phân biệt khả năng trình bày hồ sơ với bằng chứng cho thấy công việc đã được quản lý trong thời kỳ được xem xét.
Xác định mức bằng quy tắc, không lấy trung bình
PAM sử dụng các mức đạt thuộc tính như Not achieved, Partially achieved, Largely achieved và Fully achieved, thường viết N, P, L, F. Chúng phản ánh mức đạt có căn cứ của từng thuộc tính. Cách xếp cần bám tiêu chí và bằng chứng được xác nhận, không đơn giản quy đổi số tài liệu thành tỷ lệ.
Việc xác định mức năng lực phải giữ quan hệ giữa các mức. Theo quy tắc PAM, các thuộc tính ở mức đang xét cần đạt L hoặc F, còn những thuộc tính của mức thấp hơn phải đạt F. Vì vậy, không thể lấy điểm trung bình các phần để bỏ qua một điều kiện ở mức nền chưa đủ.
Đây là khác biệt quan trọng với cách tự chấm thường gặp. Một quy trình có hướng dẫn chi tiết và nhiều chỉ số vẫn có thể chưa đạt điều kiện cho mức cao nếu mục đích chưa được thực hiện hoặc sản phẩm công việc chưa được quản lý đúng yêu cầu. Phần mạnh ở trên không tự bù phần thiếu ở dưới.
Báo cáo nên thể hiện mức được xác định, kết quả các thuộc tính liên quan và giới hạn của đánh giá. Nếu dữ liệu không đủ cho một phần, cần nêu khoảng trống ấy. Sự rõ ràng về giới hạn giúp người ra quyết định biết cần cải thiện quy trình hay cần đánh giá bổ sung.
Một quy trình có tài liệu nhưng phụ thuộc người giỏi
Tình huống giả định: quy trình xử lý sự cố có hướng dẫn và một nhóm chuyên gia thường khôi phục dịch vụ hiệu quả. Nhưng các quyết định xử lý ít được ghi, phân công không nhất quán và thông tin kết quả không được xác nhận theo cùng cách. Khi chuyên gia chính vắng mặt, nhóm khác không biết ưu tiên hoặc đường phối hợp.
Cuộc đánh giá cần xem các kết quả đã đạt trong phạm vi trước khi xem các thuộc tính quản lý. Không nên kết luận mức cao vì một số sự cố được xử lý nhanh, cũng không nên kết luận quy trình hoàn toàn không có năng lực chỉ vì hồ sơ chưa đẹp. Hai nhận định đều bỏ qua cấu trúc tiêu chí.
Bằng chứng có thể cho thấy mục đích được thực hiện trong một số điều kiện, nhưng các thuộc tính quản lý và sản phẩm công việc còn thiếu. Phương án cải tiến nên bám các thiếu hụt đã xác nhận: phân công, ghi quyết định, giữ thông tin và kiểm tra đầu ra. Không cần bắt đầu bằng việc mua công cụ mới nếu vấn đề nằm ở cách tổ chức thực hiện.
Nhóm có thể tham khảo chương trình Quản lý Dịch vụ IT – ITSM để phát triển cách nối xử lý, giao nhận và xác nhận kết quả. Sau cải tiến, cần đánh giá lại bằng bằng chứng trong phạm vi tương thích, thay vì tự tăng mức ngay khi tài liệu được ban hành.
Chuyển kết quả đánh giá thành kế hoạch cải tiến
Mỗi khoảng trống quan trọng cần được nối với tác động và mục tiêu quy trình. Nếu không, báo cáo sẽ tạo danh sách việc phải làm nhưng không giúp chọn thứ tự. Người quản lý nên hỏi thiếu hụt nào đang làm kết quả không đáng tin và thiếu hụt nào là điều kiện để những cải tiến khác hoạt động.
Kế hoạch cần người sở hữu, nguồn lực, sản phẩm và cách kiểm chứng. Ban hành hướng dẫn là một sản phẩm, nhưng mục tiêu có thể là nhóm thực hiện dùng được hướng dẫn trong tình huống cần thiết. Cần giữ cả hai để việc cải tiến không dừng khi tài liệu đã hoàn tất.
Ở tầng lãnh đạo, mức năng lực nên được trình cùng ý nghĩa kinh doanh, không như bảng xếp hạng giữa các nhóm. Chương trình Lãnh đạo IT – CIO là hướng tham khảo để phát triển cách chuyển kết quả đánh giá thành lựa chọn nguồn lực và trách nhiệm phù hợp.
Một cuộc đánh giá hữu ích không kết thúc ở con số. Nó làm rõ kết quả đang có, điều kiện còn thiếu và giới hạn của bằng chứng, rồi dẫn tới việc cải thiện có thể kiểm tra. Khi doanh nghiệp dùng PAM theo cách đó, mức năng lực trở thành căn cứ hành động thay vì mục tiêu hình thức cần đạt trên báo cáo.