OPPILAITOSPORTAALI.

Esitys aiheesta: "OPPILAITOSPORTAALI."— Esityksen transkriptio:

1 OPPILAITOSPORTAALI

2 Informaatioteknologia. Corporate Governance of Information Technology
ISO/IEC 38500:2008 standardi”perhe” Kalvosarja oppilaitoksille Suomen Standardisoimisliitto SFS ry 2012

3 Tervetuloa luentoaineiston käyttäjäksi!
Tämän luentoaineiston on laatinut Tomi Dahlberg Turun yliopistosta. Kalvosarja on tuotettu SFS:n projektirahoituksella. Aineisto on tarkoitettu yliopistojen ja ammattikorkea-koulujen tutkijoille, opettajille ja opiskelijoille. Kalvosarja esittelee organisaatioiden IT:n hallintatavan – Corporate Governance of IT - ISO/IEC 38500:2008 -standardin käymällä läpi standardin taustan, standardin keskeisen sisällön, sen todennäköisen kehityksen sekä esimerkkejä standardin soveltamisesta. Tavoitteena on tukea ISO/IEC standardi”perheen” käyttöä IT:n johtamista koskevassa opetuksen suunnittelussa ja kursseilla sekä IT:n johtamisessa organisaatioissa. Standardi”perheessä” on vuoden 2012 alussa yksi englannin- kielinen standardi, jolla arvioidaan kuitenkin olevan poikkeuksellisen suuri merkitys, koska useissa muissa standardeissa on governance-osio.

4 Aineiston käyttö ja tekijänoikeudet (SFS)
Tämän luentoaineiston tekijänoikeudet omistaa Suomen Standardisoimisliitto SFS ry. Esitystä saa vapaasti käyttää opetustarkoituksiin ja sitä saa tarvittaessa muokata. Aineistoa lainattaessa lähde tulee mainita. Aineiston käyttö kaupallisiin tarkoituksiin on kielletty. Tämä materiaali on päivitetty viimeksi

5 Luentoaineiston sisällysluettelo ja kieli
IT Governance ISO/IEC 38500:2008 standardin taustana ISO/IEC 38500:2008 -standardin sisältö ISO/IEC 38500:2008 -standardista standardiperheeseen – IT Governance -standardien todennäköinen tulevaisuus  Esimerkkejä ISO/IEC standardin soveltamisesta ISO/IEC standardi on englanninkielinen eikä sen suomentamista ole harkittu. Luentoaineistossa on vältetty käsitteiden kääntämistä suomeksi – osin myös siksi, että etenkin yliopistoissa tutkimusraportit ja myös osa opetusta on englanninkielistä

6 1. IT Governance ISO/IEC 38500:2008 standardin taustana
Käsitteenä IT Governance ilmaantui luvulla aluksi muodossa Governance of IT (muun muassa Robert Zmudin lukuisat artikkelit) ja vasta myöhemmin se kääntyi muotoon IT Governance IT Governance -käsitteen käyttö levisi nopeasti 2000-luvulla, etenkin ISACA:n ja IT Governance Instituten (ITGI) kehittämän CobiT-menetelmän (Control Objectives of Information and Related Technologies) ja sen CobiTin Board Briefing (2003) -dokumentin myötä Australiassa standardiksi tammikuussa 2005 hyväksytty AS-8015:2005 -standardi hyväksyttiin ISO/IEC-standardisoinnin pikamenettelyssä lähes sellaisenaan ISO/IEC standardiksi vuonna 2008.

7 Minkä IT:n johtamisen ongelmien / kysymysten ratkaisua IT Governance tavoittelee?
Miten aikaansaada enemmän mitattua tuottavuutta ja arvoa IT:n käytöstä ? Miten ylin johto ja (liike)toimintojen ja/tai yksiköiden johto saadaan ottamaan sille kuuluva vastuu IT:n johtamisesta IT-johdon rinnalla? Miten liiketoiminta ja IT yhdistetään organisaation strategian toteuttamiseksi ja (liike)toiminnan tavoitteiden saavuttamiseksi?

8 Miksi nämä kysymykset on koettu tärkeiksi ja miten IT Governancen on ajateltu ratkaisevan ne?
Vaikka IT:tä on käytetty jo pitkään organisaatioiden erilaisten toimintojen tehostamiseen ja laajemmin tuottavuuden lisäämiseen, on kykymme osoittaa mittaustiedolla hyötyä IT:n käytöstä edelleen puutteellista. Lisäksi vain pieni osa IT:tä voimakkaasti hyödyntävistä (liike)toiminnan kehityshankkeista (arkikielessä IT-projekteista) onnistuu suunnitellusti. IT:n käytön jatkuvasti laajentuessa, muun muassa, osaksi organisaatioiden tuotteita ja palveluita sekä erilaisten prosessien ja toimintojen mahdollistajaksi kysymys (liike)toiminnalle tuotetusta arvosta on tullut yhä tärkeämmäksi. IT:n johtamisen puutteita, erityisesti muun kuin IT-johdon vähäistä osallistumista IT:n käytön johtamiseen, on pidetty keskeisenä haasteena. IT Governance -ajattelussa haasteiden ratkaisuksi nähdään (liike)toimintajohdolle tuttujen johtamismenetelmien (Corporate Governance, tuloskortti eli Balanced Scorecard) soveltamista IT:n johtamiseen. Näihin menetelmiin sisältyy myös ajatus (liike)toiminnan tavoitteiden saavuttamista uhkaavien riskien hallinnasta.

9 Corporate ja IT Governance
Corporate governance pyrkii turvaamaan organisaation arvon kasvun siten, että organisaatiolla on arvon tuottoon pohjautuva selkeä strategia ja tavoitteet johtamis- ja vastuumalli, joka tukee strategian ja tavoitteiden saavuttamista toimintatavat, jotka auttavat toteuttamaan strategiaa ja saavuttamaan tavoitteet keskeisimpien organisaation toimintaan vaikuttavien strategian ja tavoitteiden saavuttamista uhkaavien riskien hallinta raportointikäytännöt, jotka tuottavat omistajille ja muille sidosryhmille luotettavaa tietoa organisaation tavoitteista, kyvystä saavuttaa tavoitteensa ja hallita riskejä sekä organisaation johtamiskäytännöistä ja vastuista IT Governance tarkoittaa siis samojen ajatusten soveltamista IT:n johtamiseen

10 Mitä IT Governance tarkoittaa?
Suomessa IT Governancen suomenkielisenä käännöksenä on käytetty hyvää tietohallintatapaa, jolla tarkoitetaan organisaation ylimmän johdon, liiketoimintajohdon ja IT- johdon yhdessä käyttämiä riittäviä ja muun johtamisen kanssa yhteensopivia IT:n ohjaus-, riskienhallinta-, valvonta- ja raportointimenettelyjä, jotka varmistavat IT-toiminnan kehittämisen, IT-palvelujen tuottamisen ja hallinnan liiketoiminnan tavoitteiden ja vaatimusten mukaisesti. IT Governance -toiminnan onnistumista arvioidaan IT:n (liike)toiminnalle tuottaman arvon ja hyödyn perusteella (Lähde: ITG Audit -hanke; 2005)

11 IT Governancen keskeiset piirteet
IT tuottaa arvoa (liike)toiminnalle (Liike)toiminta ja IT linjataan yhteen kaksi- suuntaisesti – IT (liike)toiminnan toteuttajana Noudattamalla parhaita käytäntöjä Raportoimalla tuotettua arvoa mittaustuloksilla Määrittelemällä IT ja sen rooli (liike)toiminnassa IT:n vastuut ovat selkeät, sovitut ja kaikkien ymmärtämät IT:n kehittämistä, tuotantoa ja riskejä hallitaan (liike)toiminnalle arvoa tuottavasti

12 IT Governance on siis käsitteenä ollut käytössä jo paljon ennen ISO/IEC 38500:2008:aa
Edellä esitetty suomalainen määritelmä hyvälle tietohallinta-tavalle on samansuuntainen ISO/IEC 38500:2008:n määritelmän kanssa Corporate Governance of IT is: ”The system by which the current and future use of IT is directed and controlled. Corporate governance of IT involves evaluating and directing the use of IT to support the organization and monitoring this use to achieve plans. It includes the strategy and policies for using IT within an organization.” CobiTia edistävä ISACA ja ITILiä (information Technology Infrastrucure Library) edistävä ITsmf (IT Services Management Forum) ovat liitännäisjäseninä (liasion) mukana ISO/IEC standardiperheen kehittämisessä.

13 Mitä hyötyä IT Governancesta on?
IT Governancen noudattaminen tuottaa parempaa taloudellista tulosta Korkeampi liikevoitto Nopeampi liikevaihdon kasvu Parempi kannattavuus Korkeampi IT-investointien tuotto

14 Ajattelumallit IT Governancen taustalla
Corporate governance -ajattelu Organisaatioteoriat ja koetellut johtamiskäytännöt Liiketoiminnan ja IT:n yhteen linjaus (business-IT alignment) IT:n johtamisen keskittämis-hajauttamismallit Balanced Scorecard -ajattelu IT:n riskien hallinta osana IT:n ja liiketoiminnan johtamista Regulaatio – Cadbury ja OECD (corporate governance), Basel II ja III (rahoituslaitokset), Solvency II (vakuutusyhtiöt), Sarbannes-Oxley eli SOX (USA), EU:n regulaatio, pörssien raportointiohjeet

15 2. ISO/IEC 38500:2008 standardin sisältö
ISO/IEC 38500:2008 -standardi on tekstiltään varsin lyhyt Standardissa määritellään 18 käytettyä käsitettä, joista Corporate Governance of Information Technology esitettiin aiemmin. Muita määriteltyjä käsitteitä ovat mm. Corporate Governance, IT, Use of IT ja Risk Management Standardissa kuvataan kolme IT governanceen liittyvää tehtävää (tasks) ja kuusi periaatetta (principles) sekä näiden liittyminen toisiinsa (code of practices) Lisäksi standardissa on kuvattu Corporate Governance of IT:n malli, jota standardointityössä kutsutaan viitemalliksi (reference model)

16 ISO/IEC 38500 standardin liitännäisdokumentit
AS standardissa mainitaan sen taustana Good Governance Principles (AS ), Fraud and Corruption Control (AS ), Organizational Codes of Conduct (AS ), Corporate Social Responsibility (AS ) ja Whistle Blower protection programs (AS ). ISO/IEC 38500:2008:ssa mainitaan viitedokumentteina Report of the Committee on the Financial Aspects of Corporate Governance, Sir Adrian Cadbury, London, 1992, OECD Principles of Corporate Governance, OECD, 1999 ja 2004 ISO Guide Risk management — Vocabulary — Guidelines for use in standards. ISO standardiperheen kehittämisessä viitedokumentteina on käytetty lisäksi ISO/IEC :2005, Information technology - Service management - Part 1: Specification ISO/IEC Risk management ISO/IEC IT performance benchmarking

17 ISO/IEC 38500 Corporate Governance of IT -viitemalli (kehitystyössä käytetty)

18 Keskeistä viitemallissa
Viitemallissa IT:n johtaminen – laajasti ymmärrettynä – jaetaan kahteen funktioon Governance-funktio, jonka tehtävät pohjautuvat EDM -malliin /-prosessiin Johtamisfunktio, jonka tehtävät pohjautuvat PDCA-malliin /-prosessiin Standardin kehittämistyössä on päädytty governance- ja johtamis-funktioiden erotteluun ilman sidosta organisaatiorakenteisiin, koska eri maissa, erityyppisissä ja erikokoisissa organisaatioissa EDM- ja PDCA-tehtävät voivat jakaantua eri tavoin ISO/IEC 38500:2008 -standardi on tarkoitettu kaikentyyppisille organisaatioille olivatpa ne yrityksiä, julkisen hallinnon organisaatioita tai kolmannen sektorin toimijoita. Jako governance- ja johtamisfunktioihin on käytännön – etenkin ylimmän ja (liike)toimintojen johdon IT:n johtamiseen osallistumisen – näkökulmasta tärkeä. Useimmiten näiden ryhmien tehtävänä on osoittaa mihin IT:tä tulisi käyttää ja mitä sillä tulisi saada aikaan (evaluate), valita henkilö(t) joiden vastuulle toteuttaminen annetaan (direct), ja seurata, että tavoitellut hyödyt saavutetaan (monitor).

19 Governance- ja johtamisfunktioiden tehtävät

20 Governance-tehtävät - evaluate
Directors should examine and make judgement on the current and future use of IT, including strategies, proposals and supply arrangements (whether internal, external, or both). In evaluating the use of IT, directors should consider the external or internal pressures acting upon the business, such as technological change, economic and social trends, and political influences. Directors should undertake evaluation continually, as pressures change. Directors should also take account of both current and future business needs — the current and future organizational objectives that they must achieve, such as maintaining competitive advantage, as well as the specific objectives of the strategies and proposals they are evaluating.

21 Governance-tehtävät - direct
Directors should assign responsibility for, and direct preparation and implementation of plans and policies. Plans should set the direction for investments in IT projects and IT operations. Policies should establish sound behaviour in the use of IT. Directors should ensure that the transition of projects to operational status is properly planned and managed, taking into account impacts on business and operational practices as well as existing IT systems and infrastructure. Directors should encourage a culture of good governance of IT in their organization by requiring managers to provide timely information, to comply with direction and to conform with the six principles of good governance. If necessary, directors should direct the submission of proposals for approval to address identified needs.

22 Governance-tehtävät - monitor
Directors should monitor, through appropriate measurement systems, the performance of IT. They should reassure themselves that performance is in accordance with plans, particularly with regard to business objectives. Directors should also make sure that IT conforms with external obligations (regulatory, legislation, common law, contractual) and internal work practices.

23 Governance-periaatteet Principles for good Corporate Governance of IT
Responsibility Strategy Acquisition Performance Conformance Human Behaviour

24 Governance-tehtävien ja -periaatteiden vuorovaikutusmalli
Huomautus: Tässä on hyödynnetty ISO/IEC standardiperheen kehitystyötä. On mahdollista, ettei tämä vuorovaikutusmalli päädy koskaan standardin osaksi.

25 Governance-tehtävät, -periaatteet ja -käytännöt (1) Tasks, Principles and Code of Practices
Huomautus: Tässä on hyödynnetty ISO/IEC standardiperheen kehitys- työtä. On mahdollista, ettei yllä kuvattu päädy koskaan standardin osaksi.

26 Governance-tehtävät, -periaatteet ja -käytännöt (2) Tasks, Principles and Code of Practices
Huomautus: Tässä on hyödynnetty ISO/IEC standardiperheen kehitys- työtä. On mahdollista, ettei yllä kuvattu päädy koskaan standardin osaksi.

27 Governance-tehtävät, -periaatteet ja -käytännöt (3) Tasks, Principles and Code of Practices
Huomautus: Tässä on hyödynnetty ISO/IEC standardiperheen kehitys- työtä. On mahdollista, ettei yllä kuvattu päädy koskaan standardin osaksi.

28 3. ISO/IEC 38500:2008 standardista standardiperheeseen – IT Governance -standardien todennäköinen tulevaisuus ISO/IEC 38500:2008 hyväksyttiin pikaisella menettelyllä Tämän jälkeen käynnistettiin standardin seuraavan version kehitys ja tämä synnytti myös Suomeen SFS:n alaisuuteen seurantaryhmän SR 308:n. Kehitystyössä on ollut kolme kohdetta ISO/IEC standardin uusiminen ISO/IEC käyttöönotto-ohjeen laatiminen (implementation guide) ISO/IEC viitemallin ja kehikon laatiminen (Reference Model and Framework) Kehitystyö ei tuottanut vuoden 2011 puoliväliin mennessä toivottuja tuloksia, jolloin se keskeytettiin uudelleen-organisointia varten. ISO/IEC 38500:2008 on siten ainoa standardi”perheen” standardi

29 Yhteinen, yleinen Governance-malli vai monta erillistä mallia?
Toinen keskeinen syy työn uudelleen organisoinnille on ollut se, että useissa muissa standardeissa governancen tarve on noussut voimakkaasti esille Tämä on synnyttänyt keskustelun siitä, pyritäänkö saamaan aikaan yksi governance-malli, jota sitten sovelletaan kuhunkin tilanteeseen sen erityispiirteiden mukaan, vai syntyykö standardoinnin tuloksena useita governance-malleja. Vaikka usean governance-mallin tilannetta pidetään ei-toivottavana, vain aika näyttää lopputuloksen Samalla on ilmeistä, että ISO/IEC 38500:2008 -standardi muodostaa pohjan sitä täydentävälle governance-perheelle, joka kuitenkin saanee 38500:sta poikkeavan numeroinnin.

30 4. Esimerkkejä ISO/IEC 38500 -standardin soveltamisesta
Governance- ja johtamisfunktioiden jako selkeyttää RACI-malliin perustuvaa vastuujakoa IT:n johtamisessa RACI-mallia (Responsible – Accountable – Communicated – Informed) käytetään varsin yleisesti IT:tä koskevien vastuiden osoittamiseen. Etenkin suomen kieli tuottaa vaikeuksia käsitteiden accountable ja responsible kääntämiselle, sillä kumpikin kääntyvät vastuulliseksi. Eron tekemiseksi accountable ymmärretään usein ”omistajaksi” ja responsible ”toteuttamisesta/tekemisestä vastuulliseksi” Nämä käännökset vastaavat varsin hyvin ISO/IEC-standardin mukaisia governance- ja management- funktioiden eroja

31 Toiminnanohjauksen kehittäminen, jolla voimakas IT-riippuvuus (ERP-järjestelmä)
Suuria ja pitkäaikaisia toiminnanohjauksen kehittämisprojekteja lähestytään hyvin usein IT:n näkökulmasta eli niitä tarkastellaan IT-projekteina toiminnan kehittämisen näkökulman sijasta Merkittävä syy tähän lienee IT:n käytön tarpeen ja käyttöönoton koettu vaikeus Ylimmällä ja (llike)toimintojen johdolla lienee monesti vaikeuksia hahmottaa omaa rooliaan toiminnanohjauksen kehittämisen IT -läheisissä osissa, kuten ERP-järjestelmäprojekteissa ISO/IEC standardin governance-tehtävien ja -periaatteiden soveltaminen antaa ylimmälle ja (liike)toimintojen johdolle selkeän roolin governance-funktion toteuttajina Heidän keskeinen tehtävänsä on kertoa, mitä (liike)toiminnallisia tavoitteita toiminnanohjauksen kehittämisellä on sekä miten kehitystä ja sen tuloksia halutaan arvioida Lisäksi heidän tehtävänsä on osoittaa henkilöt, jotka vastaavat toiminnan ohjauksen kehittämisestä ja tukea heitä tässä Lopuksi heille kuuluu arvioida ja seurata, saavutetaanko tavoitteet, ja käynnistää tarvittaessa korvaavat toimenpiteet

32 Corporate Governance of IT ja COBIT versio 5
ISACA julkaisi vuonna 2010 dokumentin nimeltä ”COBIT® 5 Design Paper Exposure Draft” Siinä viitataan useasti ISO/IEC 38500:2008:aan ja todetaan, että COBITia uudistetaan muun muassa siten, että se noudattaa tätä standardia Esimerkiksi: ”Enterprise Governance of IT. COBIT 5 will align with ISACA’s TGF (=Taking Governance Forward) initiative as well as recent global governmental and market-driven enterprise and IT governance initiatives.” COBIT 5 versio julkaistiin huhtikuussa Corporate Governance of IT:stä käytetään nimitystä ”Governance of Enterprise IT” (GEIT)

33 COBIT versio 5:n keskeisenä uutena näkökulmana on IT Governance
Tomi Dahlberg

34 Tämä näkyy sekä COBITin periaatteissa ...
Separating Governance from Management COBIT 5 is not prescriptive, but it advocates that organisations implement governance and management processes such that the key areas are covered, as shown.

35 …että COBIT 5:n prosessimallissa

36 Governance- ja johtamisfunktioiden soveltaminen master datan johtamiseen
Viime aikoina tiedolla johtaminen, tiedon hallinta ja niiden osana master datan johtaminen (MDM) ovat olleet runsaan huomion kohteena Master datan johtamisen yksi suurimmista haasteista on ollut tiedon omistajuuden puuttuminen ja/tai sen sopimisen vaikeus tuote-, asiakas- ja toimittajatiedoille sekä muille master data -tiedoille Asian on tehnyt osaltaan hankalaksi se, että näitä tietoja käyttävät useimmat organisaatioissa työskentelevät henkilöt päivittäisen työnsä suorittamiseen, päivittäiseen toiminnan johtamiseen. Lisäksi niitä käytetään johdon raportoinnissa ja erilaisissa analyyseissä Governance- ja johtamisfunktioiden erottaminen auttaa myös master datan johtamisessa merkittävästi Governance-funktiossa asetetaan tavoitteet master datan laadulle, sisällölle ja muille (liike)toiminnallisesti tärkeille ominaisuuksille, sovitaan vastuut sekä arvioidaan mittaustulosten avulla tavoitteen mukaisen toiminnan toteutumista Johtamisfunktiossa puolestaan huolehditaan tiedon luonnista, käytöstä, päivittämisestä ja poistamisesta

37 Lisätietoa Standardista vastaa kansainvälinen ISO/IEC JTC 1 -komitea, erityisesti sen työryhmä 6 (WG 6). Suomen osalta SFS:n seurantaryhmä SR 308 seuraa WG 6:n työtä ja laatii kansallisia kannanottoja.