system: [SYSTEM]

user: 3. COBIT2019及特点分析 3.1. COBIT2019框架 信息技术在企业发展中的地位越来越重要，林斌等(2016)认为，随着“互联网+”国家战略的逐步推行，IT成为现代企业关键战略要素之一，未来企业经营必将处于高度信息化环境之下 [ 7 ]。企业的发展极大程度依赖于信息系统，信息系统内部控制的风险管理也越发凸显。从企业治理层面，过去企业可能忽略了与信息系统相关的决策，但如今企业必须考虑信息系统在企业风险管理和价值创造中起到的核心作用，COBIT2019框架应运而生。COBIT2019框架包括四个部分：简介与方法、治理与管理目标、设计指南及实施指南 [ 8 ]。COBIT2019框架以风险优化为基本目标，将信息系统相关风险，以及信息系统可能对业务产生的风险，整合到企业风险管理之中，以确保企业对信息系统及内部控制的关注。同时提出通过资源优化确保企业有适当的能力执行战略规划，数据和信息是企业重要的资源，根据业务需要引入新技术、更新过时的系统，高效综合的基础设施，确保企业战略规划的执行，利用数据和信息为企业创造价值。例如，某大型国际化企业，通过增加数字资产投资，持续提高信息系统创新能力与企业战略目标的一致性，加深经营活动与信息系统的关联，成功实现数字资产创造价值的转型。相反，如果企业信息系统治理未能与企业战略及业务流程一致，则难以实现预期的价值创造。COBIT2019框架立足于审计领域，已发展为一种更广泛、更全面的信息系统治理与管理框架。 3.2. COBIT2019框架特点分析 3.2.1. COBIT2019治理原则 COBIT2019治理原则包括：为利益相关方创造价值、整体的方法、动态的治理系统、治理有别于管理、根据企业需求量身定制以及端对端的治理系统等六项 [ 9 ]。与COBIT5.0相比，COBIT 2019治理原则，把满足利益相关方的价值需求放在第一位，即企业价值创造应反映整个供应链的效益、风险与资源之间的平衡，需要可行的战略和治理系统的基础上，应通过使用信息系统为企业创造价值，并突出企业信息系统治理应该是动态的，每当变更一个或多个设计因素，如战略或技术变更时，必须考虑这些变化对信息系统的影响，根据企业需求量身定制。 3.2.2. COBIT2019治理框架 COBIT2019新增治理框架，即基于概念模型，强调开放性、灵活性、规范性和相关性，并符合主要标准。治理框架应当基于概念模型，再对治理框架的关键组件以及组件之间的关系进行确定，在与概念模型一致性的前提下实现自动化。同时，治理框架允许在保持完整的框架结构基础上增加新的内容，使得治理框架在遵守相关的法律法规、其他框架标准的基础上具有开放性和灵活性。COBIT2019治理框架中阐述了信息系统治理与管理目标、治理体系组件、焦点领域、目标级联等。 控制目标分为治理和管理目标，分别与治理流程和管理流程有关。COBIT中的治理目标包括评估、指导和监督，治理机构将评估战略方案、指导高级管理层执行所选的战略方案并监督战略的实施；管理目标分为四个领域：调整、计划和组织阶段；构建、购置和实施阶段；交付、服务和支持阶段；监控、评价和评估阶段，共40个治理和管理目标。为满足治理和管理目标，每个企业都需要建立和维护由多个组件构成的内部控制体系，组件是单独或共同促进企业的信息系统良好运营的因素。信息系统内部控制组件包括设计流程、组织结构、政策和程序、信息、文化、道德行为、技能和能力以及服务、基础设施和应用程序等。 3.2.3. COBIT2019设计因素与焦点领域 COBIT2019遵循灵活性和开放性原则，新增设计因素与焦点领域的内容，为企业基于自身条件及需求对治理系统进行量身定制的设计提供基础。影响信息系统内部控制设计的因素包括企业战略、企业目标、风险概况、信息系统相关问题、威胁环境、合规性要求、信息系统定位、采购模式、信息系统实施方法、以及企业规模等。每个企业在信息系统使用过程中都有不同的期望，需要针对不同企业的特点，结合COBIT的设计因素，以确定不同企业信息系统内部控制的要求。焦点领域描述某个特定的治理主体或领域，可以通过一系列治理和管理目标及其组件来实现。COBIT对于焦点领域的内容和数量并没有限制，企业可根据需要进行设置，通常设为焦点领域的如：网络安全、数字化转型、云计算等。 企业对于利益相关方需要的考虑应转换为可执行的战略，目标级联(见图2)是信息系统内部控制设计的关键因素之一，它是基于企业目标的优先级来确定管理目标的优先级，一致性强调信息系统目标与企业业务活动目标保持一致。 图2. COBIT目标级联 焦点领域和设计因素会影响管理目标优先级和目标能力级别，在COBIT框架中包含的治理与管理控制目标本质上没有先后顺序，但设计因素可以影响这些目标的管理，突出一些目标的重要性，治理和管理目标的重要性越高，为其设定的目标能力级别越高。设计因素可以要求特定的组件变化，影响组件的重要性，如中小企业不需要COBIT框架中的全套角色和组织结构，可以使用简化版本作为代替。对特定焦点领域的指导，特定的设计因素，如存在威胁的环境、特定风险等会推动COBIT模型的内容随着具体环境变化。 3.2.4. COBIT2019治理流程设计 在COBIT2019实施指南强调，企业治理层应从企业的战略角度考虑信息系统内部控制。由于信息系统已经渗透到企业的每个角落，已成为企业的重要组成部分，如果不能把信息系统与业务活动相互结合，那么信息系统将无法发挥应有的作用。因此，企业应将信息系统内部控制作为公司治理的重要组成，嵌入持续经营的业务活动之中，履行全面覆盖端到端的业务和信息处理的职责。信息系统治理流程见图3。 图3. 信息系统治理流程 3.2.5. COBIT2019绩效管理 绩效管理是企业治理与管理系统中不可或缺的重要内容，COBIT2019新增绩效管理的相关内容。COBIT绩效管理强调企业治理与管理系统所涉及的组件的运作状况及存在的问题。COBIT绩效管理采用对系统流程能力分级的方式，将每个治理与管理目标的流程能力划分0到5的不同级别，构建流程能力级别模型，对流程的实施和执行情况进行评价。根据流程能力级别模型，对焦点领域的单个流程能力采用成熟度级别评级，同样划分0到5的成熟度级别，即评价焦点领域的全部流程是否达到一定能力级别，如果达到，那么焦点领域也就达到对应的成熟度级别(见表1)。另外，COBIT2019也对其他治理系统组件的绩效进行说明，例如组织中对应的责任人与执行人的相关责任与职责进行评价。 Table 1 Process capability level model and focus hierarchical performance evaluatio 级别 流程能力 焦点领域成熟度 0 缺乏基本能力；以不完整的方法达成治理和管理目标；可能无法达成流程的目的。 不完整，可能无法完成工作，以实现焦点领域的治理和管理目标。 1 具有初始、直观的特征；条理不够清晰；大体达成其目的。 初始，工作已完成，但尚未实现焦点领域的所有目标和意图。 2 视为“已执行”，基本达成其目的。 已管理，执行规划和绩效管理，但不是以标准化方式进行。 3 流程定义明确，以更有条理的方式达成其目的。 明确定义，以企业范围的标准为整个企业提供指导。 4 流程定义明确，达成其目的，并且流程绩效得到定量方式的评价。 量化，企业以数据为导向，采用量化的绩效管理。 5 流程定义明确，达成其目的，流程绩效得到定量方式的评价以实现改进，并寻求持续改进。 持续优化，企业专注于持续的改进。 表1. 流程能力级别模型与焦点领域分级绩效评价 资料来源：根据ISACA网站整理。