COBIT 2019 ile kuruma özel BT yönetişim sistemi tasarlamak

Yönetişim sistemi tasarımı neden gerekir?

COBIT 2019, bir kurumun bilgi ve teknoloji yönetişimini kurmak için hazır bir kontrol listesi sunmaz; kuruma göre uyarlanacak bir çerçeve sunar. ISACA, çerçevenin birebir uygulanacak bir adım listesi olmadığını vurgular. Farklı kurumların aynı hedefleri ve aynı olgunluk seviyesini seçmesi beklenmez: bir banka ile bir üretim şirketinin risk iştahı, düzenleyici yükü ve teknolojiye bakışı farklıdır.

Yönetişim sistemi tasarımı bu uyarlama çalışmasıdır. Amaç, COBIT'in tüm hedeflerini aynı anda uygulamaya çalışmak değil, kurumun bağlamına en uygun hedefleri öncelikleyip doğru olgunluk düzeyinde odaklanmaktır. Tasarım yapılmadan başlayan COBIT çalışmaları çoğunlukla geniş bir kapsama dağılır, kaynaklar yetmez ve proje yarıda kalır.

Tasarım faktörleri nedir?

Tasarım faktörleri (design factors), kurumun yönetişim sistemini şekillendiren bağlam bilgileridir. ISACA'nın COBIT 2019 ile COBIT 5 karşılaştırmasına göre faktörler ardışık aşamalarda kullanılır. İlk aşamada kapsamı belirleyen faktörler şunlardır: kurum stratejisi, kurumsal hedefler, risk profili ve bilgi ve teknoloji ile ilgili sorunlar. İkinci aşamada kapsam şu faktörlerle rafine edilir: tehdit ortamı, uyum gereklilikleri, bilişim teknolojisinin rolü, bilişim hizmetlerinin tedarik modeli, bilişim uygulama yöntemleri ve teknoloji benimseme stratejisi.

Bu faktörlerin bir kısmı kurumun dışından gelir (tehdit ortamı, düzenleyici uyum), bir kısmı kurumun kendi tercihleridir (strateji, tedarik modeli), bir kısmı da uygulama biçimiyle ilgilidir (teknoloji benimseme, uygulama yöntemi). Her faktör COBIT hedeflerinin önem düzeyini artırır ya da azaltır.

Ayrıntılı tanımlar ve değerlendirme tabloları için COBIT 2019 Design Guide yayını esas alınmalıdır. Bu sayfa yöntemin mantığını açıklar; resmî tabloların yerine geçmez.

Adım adım: tasarım çalışması nasıl yürütülür?

Çalışma başlangıç kapsamı, rafine edilmiş kapsam ve sonuçlandırılmış kapsam aşamalarından geçer.

• Hazırlık: Çalışmaya yönetişim organından sponsor, BT yönetimi, risk, uyum ve iş birimi temsilcileri katılır. Tasarım bir BT ekibi çalışması olmamalı, iş tarafı da masada yer almalıdır.
• Başlangıç kapsamı: Kurum stratejisi, kurumsal hedefler, risk profili ve BT sorunları değerlendirilir. Her faktör için kurumun durumu tabloya işlenir; sonuçta hangi yönetişim ve yönetim hedeflerinin öne çıktığı görülür.
• Rafine kapsam: Tehdit ortamı, uyum gereklilikleri, BT'nin rolü, tedarik modeli, uygulama yöntemleri ve teknoloji benimseme stratejisi eklenir. Bazı hedeflerin önemi bu aşamada yükselir ya da düşer.
• Sonuçlandırma: Faktörlerin birbiriyle çeliştiği noktalar atölyede tartışılır. Örneğin düzenleyici baskı yüksekken tedarik modeli büyük oranda dış kaynak ise hangi hedefte hangi olgunluk gerekir?
• Çıktı: Önceliklendirilmiş hedef listesi, her hedef için hedeflenen kapasite düzeyi ve gerekçeler yönetişim organına sunulur.

ISACA'ya göre araç seti, değerlerin kurum bağlamına uyacak biçimde değiştirilmesine izin verir. Hesaplama araçları öneri üretir; son karar tartışılarak verilir.

Atölyede faktörler nasıl değerlendirilir?

Her faktör için kurumun profili yönetişim organı ve ilgili birimlerle tartışılarak belirlenir. Risk profilinde riskler önem sırasına göre değerlendirilir; diğer faktörlerde ise kurum için önem düzeyi atanır. Önemli olan puanlama değil, puanın gerekçesidir.

Atölye sırasında şu sorular işe yarar:

• Kurum stratejisi büyüme, maliyet liderliği, yenilikçilik ya da istikrar odaklı mı? Her biri farklı hedefleri öne çıkarır.
• En çok hangi risklerden endişe ediliyor ve bunların bir kısmı daha önce gerçekleşti mi?
• Bugün yaşanan BT sorunları hangi süreçlerden kaynaklanıyor?
• Hangi düzenlemelere uyum zorunlu ve denetimler hangi alanlara bakıyor?
• BT kurum için destek işlevi mi, yoksa iş modelinin ayrılmaz parçası mı?
• BT hizmetleri ne ölçüde dış kaynaktan, bulut modelinden ya da iş ortağından alınıyor?

Cevaplar kayıt altına alınır. Aynı çalışma bir yıl sonra tekrarlandığında hangi varsayımların değiştiği görülebilir.

Çıktıdan yol haritasına

Tasarım çalışmasının sonucu bir hedef listesi ve olgunluk beklentisidir. Bu çıktı doğrudan bir uygulama yol haritasına dönüştürülür. Önce mevcut kapasite seviyesi ölçülür, hedeflenen düzeyle arasındaki boşluk analiz edilir, sonra boşlukları kapatacak iyileştirme girişimleri önceliklendirilir.

Yol haritasında; sorumlu kişiler, kaynak ihtiyacı, bağımlılıklar ve ilerleme göstergeleri belirtilir. Yönetişim organı tarafından onaylanan plan, düzenli aralıklarla gözden geçirilir. Kurum stratejisi veya risk ortamı değiştiğinde tasarım yeniden çalıştırılır; yönetişim sistemi bir kez kurulup bırakılan bir yapı değil, sürekli uyarlanan bir sistemdir.

Örnek senaryo: büyüyen bir finansal hizmet kuruluşu

Örneğin bir finansal hizmet kuruluşunda strateji dijital kanalların hızla büyütülmesine dayanıyor, düzenleyici uyum yükü ağır ve BT hizmetlerinin önemli bir kısmı bulut sağlayıcılardan alınıyor. Tasarım atölyesinde risk profili siber saldırı ve hizmet kesintisi riskini öne çıkarıyor; tedarik modeli ise tedarikçi yönetimi ve hizmet düzeyi hedeflerini önemli kılıyor.

Sonuçta güvenlik yönetimi, tedarikçi ilişkileri ve hizmet sürekliliği ile ilgili hedefler yüksek önceliğe çıkıyor; kurumun görece az risk taşıdığı alanlardaki hedefler bu dönem için daha düşük olgunlukta bırakılıyor. Kaynak, her şeye dağıtılmak yerine seçilen alanlara yoğunlaşıyor.

Bu örnek kurgusaldır; gerçek bir kurumda sonuçlar tasarım faktörlerinin değerlendirilmesine ve resmî araç setine göre belirlenir.

Sık yapılan hatalar

• Tasarımı atlayıp doğrudan tüm hedefleri uygulamaya çalışmak: Kapsam dağılır, hiçbir alanda derinlik oluşmaz.
• Çalışmayı yalnızca BT ekibiyle yapmak: Strateji ve risk bilgisi iş tarafındadır.
• Araç setinin çıktısını kesin karar saymak: Hesaplama bir başlangıç noktasıdır; kurum bağlamı mutlaka tartışılmalıdır.
• Faktör değerlendirmesini gerekçesiz bırakmak: Bir yıl sonra neden bu kararın verildiği hatırlanmaz.
• Sonucu tek seferlik bir rapora dönüştürmek: Strateji değişince tasarım da değişmelidir.
• Önceki sürümün mantığıyla çalışmak: COBIT 2019 tasarım faktörleri ile hedef şelalesi birlikte çalışır; eski sürümdeki yapıyı birebir taşımak yanıltır.

Bu beceriyi Mindset programlarında nerede çalışırsınız?

COBIT 2019 ile BT Yönetişim Sisteminin Tasarımı ve Uygulanması programında hedef şelalesi, tasarım faktörleri ve kapsam belirleme atölyesi, yönetişim bileşenlerinin tasarımı, kapasite seviyeleri ve boşluk analizi ile uygulama yol haritası ayrı modüllerde işlenir. BT yönetişimi, risk, uyum ve iç denetim ekiplerinin ortak çalışması için uygundur.

COBIT 2019 Foundation Sertifikasyon Hazırlık programı ise çerçevenin yapısını ve terminolojisini, yönetişim bileşenlerini ve tasarım faktörlerini sınav odaklı çalışır. Sertifika ve sınav koşulları için sertifikayı veren kurumun resmî sitesi esas alınmalıdır.