IT治理解析

隨著信息技術(IT)的進步及其廣泛應用，將IT有效地集成到業務和信息過程中是必然趨勢。國外發達國家的公司高層經理們的越來越多地意識到:信息技術關系企業成敗，因此他們希望增強對IT運營方式以及IT創造競爭優勢的可能性的理解。另一方面，如今的利益相關者教育程度普遍提高，且直言不諱，他們十分關注自身利益是否實現，這也促使公司治理原則和標準的制定。此外，政府規章制度也確立了董事會的責任，要求董事們恪盡職守。投資者也已經意識到公司治理的重要性，為此他們愿意為建立良好治理的公司股票支付20%以上的溢價。但是IT的復雜性和信息價值的無形性使得IT成為一個不易治理的領域。本文試圖幫助大家理解IT治理的概念、目標、重要性以及關鍵內容等。

一、IT治理的概念與目標

公司治理主要關注利益相關者權益和管理，包括一系列責任和條例，由最高管理層(董事會)和執行管理層實施，目的是提供戰略方向，保證企業目標實現，風險適當管理，企業的資源合理使用。公司治理的發展源于對公司風險透明化以及保護股東價值的需要，但科技的普及使得公司高度依賴信息技術(IT)，催生了IT治理。

IT是管理交易時必須的技術，信息與知識也是開展和維護經濟和社會活動所必須的要素。在大多數企業中，IT已經成為企業不可分割的組成部分，是支持、維護和促進企業發展的基礎。成功的企業能夠理解和管理IT風險和缺陷。因此，董事會理解IT的戰略重要性，并堅定地將IT治理納入議程。

美國IT治理協會認為“IT治理是一種引導和控制企業各種關系和流程的結構，這種結構安排，旨在通過平衡信息技術及其流程中的風險和收益，增加價值，以實現企業目標。”

國內有一種觀點認為，IT治理是描述企業或政府是否采用有效的機制，使得IT的應用能夠完成組織賦予它的使命，同時平衡信息化過程中的風險，確保實現組織的戰略目標的過程。它的使命是:保持IT與業務目標一致，推動業務發展，促使收益最大化，合理利用IT資源，適當管理與IT相關的風險。

綜合這些定義，可以得出，IT治理就是要明確有關IT決策權的歸屬機制和有關IT責任的承擔機制，以鼓勵IT應用的期望行為的產生，以聯接戰略目標、業務目標和IT目標，從而使企業從IT中獲得最大的價值。

由此可見，IT治理的總目標是理解IT的戰略重要性及其相關問題，實施那些能夠引領企業走進未來的戰略，讓企業得到可持續的發展。IT治理意在確保實現對IT的期望并規避IT風險。

IT治理的目的是集中IT方面的努力以確保IT實現績效，即:

1.調整IT目標并與企業目標保持一致，實現預定的利益;2.企業運用IT發掘機會，最大化收益;3.合理使用IT資源;4.適當管理IT相關的風險。

通常，董事和執行經理們期望他們公司的IT能夠傳遞公司的價值，如提供快捷、安全、高質量的解決方案和服務;創造合理的投資回報，并從注重效率和生產率轉向價值創造和效果方面。當然，IT治理的循環置身于企業環境之中，勢必受到利益相關者價值、企業愿景和價值、企業道德與文化、相關法律、法規、政策、行業慣例等的影響。

二、IT治理的重要性及與公司治理的關系

至今，己有許多文件和報告強調公司治理的重要性。治理責任的核心在于制定戰略、管理風險、為利益相關者創造并傳遞價值、衡量績效等。完善的公司治理才能夠確保公司健康發展，這其中也包括對IT的治理。企業根據利益相關者的期望，在IT的幫助下衍生出新的經營模式，企業在競爭中謀求生存、發展和壯大，只能借助于對IT框架結構進行合理的治理。

IT治理責任屬于董事會對公司治理責任框架的一部分，應該成為董事會戰略議程的事項。簡言之，在高度依賴IT系統的情況下，治理應該是有效的、透明的和履行受托責任的。這意味著董事會應該清楚自身和經理的責任，并創建履行責任的制度。這些責任包括他們對IT的責任、對科技相關風險的管理以及全企業運用IT實現價值等。

公司治理側重于企業整體規劃，IT治理則側重于企業信息資源的有效利用和管理。IT治理有助于董事會和管理者們理解IT的戰略重要性和相關的IT問題，幫助企業實施面向未來的戰略并實現持續經營，同時，它亦能確保對IT的期望得以實現，而且解決風險問題。

如同其他治理活動一樣，IT治理的有效性更有賴于建立與董事會和執行經理的合作關系。全球IT治理研究中心(ITGI)指出“IT治理是董事會和執行層的責任，通過領導，組織和過程來保證IT實現和推動企業戰略目標。價值，風險與控制是IT治理的核心。”因此，有必要將IT治理納入整個公司的治理。良好的IT治理需要在整個企業推行，尤其是在IT職能和企業部門之間實施。企業各部門有責任與IT治理部門合作以確保企業目標的實現。為此，董事們應該在制定IT戰略過程中發揮積極作用;首席執行官們應該設置支持IT戰略實施的組織結構;首席信息官們必須確立以企業目標為導向，架起IT與企業目標之間的橋梁。可見，IT治理貫穿于企業的各個層次，由領導、組織結構以及確保IT維護并連接組織戰略和目標的過程組成，如團隊領導報告并接收其經理的指揮，經理們繼續向上級的執行經理報告，執行經理向董事會報告。若報告顯示結果與既定目標發生偏離時，該報告同時要提供糾正措施并得到治理層的批準。

IT治理，同企業治理話題一樣，是董事會和執行經理的責任，但它不是一個孤立的范疇，而是整個企業公司治理框架中不可分割的組成部分，共同關注股東的權利和平等對待，信息披露和透明以及董事的責任等。董事會通過建立各種委員會來解脫他們的治理責任，如審計委員會、薪酬委員會等。把IT考慮在內，董事會也應該下設一個IT委員會，如IT戰略委員會，IT指導委員會等。IT委員會由執行董事與非執行董事共同組成，幫助董事會管理和監督IT相關的事務。此舉可以確保IT治理以結構化的方式得以實施，而董事會也能得到他們所需的信息以實現IT治理的最終目標。因此，執行經理應給IT委員會更多授權。

鑒于IT治理的復雜性和專業性，董事會和執行經理必須為此指明方向，堅持進行控制，但同時又依賴于企業的基層管理人員提供決策和評估信息。要使IT治理有效，基層管理人員需要運用同樣的IT治理原則來確定目標，提供或取得相應的指導，提供績效標準并進行評價等。很顯然，只有將IT治理目標在戰略層和其他層面分解時它才可能取得成效。

三、IT治理的關鍵領域與內容

成功的企業能夠理解IT風險，發掘并利用IT的優勢，如始終保持IT戰略與企業戰略協同一致;把IT戰略分解到企業的各個層面;為企業提供便于實施戰略、實現目標的組織結構;在企業與IT之間，企業與外部合伙人之間建立建設性的關系并進行有效溝通;堅持采納并實施IT控制框架;衡量IT績效等。

從根本上說，IT治理關注兩個方面:IT的價值傳遞和IT風險的規避。IT的價值傳遞主要取決于IT的目標與企業目標是否在戰略上保持協同一致。IT風險的規避則需要將受托責任分解于企業各個層面。這兩個方面的實現都有賴于充分的資源保障。IT治理應該體現“以組織戰略目標為中心”的思想，通過合理配置IT資源創造價值。

IT治理包括五個關鍵領域，即價值傳遞、風險管理、戰略協同、資源管理和績效評估，他們都受利益相關者價值的驅動。其中，價值傳遞和風險管理是結果，戰略協同、資源管理和績效評估是過程。

IT戰略協同專注于使IT的戰略目標與整個企業的戰略目標始終保持一致，并支持企業戰略目標，構筑企業的核心競爭力。協調能力的建設是保證IT治理實現治理目標和企業目標的重要手段。它的實現程度代表了企業的IT決策和業務的融合程度以及IT戰略技資和公司戰略目標的結合程度;價值傳遞關注在一定的預算約束條件下創造IT的價值，如創造競爭優勢、提高顧客滿意度、降低顧客等待時間、提高員工生產力、提高盈利能力等;風險管理并不局限于財務風險，它主要關注保護IT資產、災難恢復以及IT系統的連續運作，意在向股東和顧客展示良好的公司治理;資源管理能優化知識和IT基礎結構，因為IT的成功表現有賴于在服務企業目的的過程取得IT資源投資和使用的優化。以上四個領域又都需要適當的績效評估，如使用平衡計分卡追蹤項目的交付情況并從財務、顧客、內部流程和學習四個角度監控IT提供的服務狀況。

由此可見，IT治理是一個連續的循環，可以從任何一個點切入。通常，IT治理開始于制定戰略并與企業戰略保持協同一致，然后推進至戰略所期望的價值的傳遞并規避風險。治理層需要連續監控戰略，定期(如每年)評估、報告監控結果，并采取糾正措施。同時，IT治理也是一個IT戰略驅動IT過程的循環，即獲取必要資源，履行責任的過程。為了衡量這些責任的完成結果、績效、風險規避和接受風險情況以及資源的消耗情況，可以出具IT過程報告。此報告也可以證明戰略是否得到正確實施或者為戰略調整提供信息。

總之，IT治理必須置于整個公司治理的框架內予以考慮，涉及公司經理層、治理層、所有者以及其他的利益相關者。它能為公司目標的設置和實現為相應的績效評估提供結構化的解決方案。IT治理可以確保IT目標的實現，IT風險的規避，支持企業可持續發展。為了確保IT治理在正確的軌道上運行和發展，公司有必要根據環境和需求制定有效的行動計劃。正如美國麻省理工學院的學者彼得·維爾和珍妮·羅斯在其所撰寫的《IT治理》一書中所說的那樣，IT治理就是為鼓勵IT應用的期望行為，和明確的決策權歸屬和責任擔當框架，是行為而不是戰略創造價值，因此，任何戰略的實施都要落實到具體的行為上。

(作者單位:南京審計學院)