COBIT hedef kaskadı ile kurumsal hedefleri BT hedeflerine bağlamak

Hedef kaskadı neyi çözer?

BT yönetişiminin klasik sorunu, bilgi teknolojileri çalışmalarının işin gerçek önceliklerinden kopmasıdır. Bir kurum yüzlerce BT faaliyeti yürütür ama hangisinin işe değer kattığını söylemekte zorlanır. COBIT 2019'daki hedef kaskadı (goals cascade), bu bağı sistematik hale getirir: paydaş ihtiyaçlarından kurumsal hedeflere, oradan BT ile ilgili hizalama hedeflerine, en sonunda hangi yönetişim ve yönetim hedeflerine öncelik verilmesi gerektiğine uzanan bir zincir kurar.

ISACA'nın anlatımına göre COBIT 2019'da kaskad, kurumsal hedeflerin önceliğine göre yönetim hedeflerini önceliklendirmeye hizmet eder. Yani amaç tüm hedefleri uygulamak değil, kurumun gerçekten ihtiyaç duyduğu odağı seçmektir.

Kaskadın katmanları

Zincir şu mantıkla ilerler:

• Paydaş sürücüleri ve ihtiyaçları: Müşteri memnuniyeti, daha hızlı hizmet veya ürün sunumu, daha iyi hizmet kalitesi, gelir artışı gibi beklentiler.
• Kurumsal hedefler (enterprise goals): Kurumun ulaşmak istediği sonuçlar; iş riskini yönetmek ya da operasyonel mükemmelliğe ulaşmak gibi. Bunları yönetişim organı belirler.
• Hizalama hedefleri (alignment goals): Kurumsal hedefleri bilgi ve teknoloji diline çevirir. BT çabalarının işle hizalanmasını sağlar.
• Yönetişim ve yönetim hedefleri (governance and management objectives): Hizalama hedeflerine dayanarak seçilir; bunlar için ilgili rehberlik ve iyi uygulamalar alınıp süreç ve uygulamalar kurulur ya da iyileştirilir.

Bu yapıda her katman bir sonrakini besler. Yönetişim organı kurumsal hedefleri belirler, yönetim ekibi bunlara göre hizalama hedeflerini seçer ve ardından ilgili COBIT hedefleri çıkarılır.

Eşleme tabloları nasıl kullanılır?

COBIT 2019 çerçeve yayını, kaskadı pratik hale getiren eşleme tabloları içerir. ISACA'nın aktardığına göre bir tablo kurumsal hedefleri hizalama hedeflerine, bir diğeri hizalama hedeflerini yönetişim ve yönetim hedeflerine bağlar. Tablolarda birincil (primary) ve ikincil (secondary) ilişkiler işaretlenir.

Tabloyu kullanmak için şu sıra izlenir: önce kurumunuz için önemli kurumsal hedefleri belirleyin, tabloda bu hedeflerin hangi hizalama hedeflerini desteklediğine bakın, sonra o hizalama hedeflerinin hangi yönetişim ve yönetim hedeflerini öne çıkardığını bulun. Birden fazla hedef aynı yönetim hedefine işaret ettiğinde o hedefin önceliği artar.

Önemli uyarı: tablolar bir başlangıç noktasıdır, hesap makinesi değildir. ISACA, COBIT'in birebir uygulanacak bir adım listesi olmadığını, kuruma uygun şekilde uyarlanması gerektiğini vurgular.

Adım adım: kurumsal hedeften hedef listesine

Uygulamada şu akış işe yarar:

• Paydaşları ve beklentilerini toplayın: Yönetim kurulu, iş birimleri, müşteriler, düzenleyiciler.
• Beklentileri kurumsal hedeflere eşleyin ve önem sırasına koyun. Her hedefin birincil mi ikincil mi olduğunu yazılı hale getirin.
• Kurumsal hedefleri hizalama hedeflerine çevirin: tabloyu kullanın ama kuruma özgü gerekçeyi de not edin.
• Hizalama hedeflerinden yönetişim ve yönetim hedeflerini seçin.
• Tasarım faktörleriyle doğrulayın: Kurumun risk profili, BT ile ilgili sorunları, bilgi güvenliği ihtiyacı gibi unsurlar seçimi değiştirebilir.
• Önceliklendirilmiş hedef listesini yönetişim organına sunun ve onaylatın.
• Seçilen hedefler için kapasite ve olgunluk ölçümü planlayın.

Bu süreç tek seferlik bir proje değil, kurum hedefleri değiştikçe yinelenen bir döngüdür.

Örnek senaryo: hizmet sürekliliği öncelikli bir kurum

Örneğin bir finansal hizmetler kuruluşunda yönetim kurulu, müşterilere kesintisiz hizmet sunmayı birincil beklenti olarak belirliyor. Bu beklenti, hizmet sürekliliği ve erişilebilirlik gibi bir kurumsal hedefe dönüşüyor. Eşleme tablosunda bu hedef, bilgi, işleme altyapısı ve uygulamaların güvenliği ve gizlilik ile ilgili hizalama hedefleriyle öne çıkıyor.

Bu hizalama hedefleri de hizmet sunumu, destek ve güvenlik ile ilgili yönetim hedeflerini önceliklendiriyor. Ekip, olay yönetimi, süreklilik ve güvenlik yönetimi gibi alanlara öncelik verip diğer alanları bu dönem için ikincil bırakıyor. Sonuçta BT yatırımları ve olgunluk çalışması "neden bu alan?" sorusuna iş hedefi üzerinden cevap veriyor.

Sık yapılan hatalar

• Tüm hedefleri seçmek: Kaskadın amacı önceliklendirmedir. Her şeyi birincil yapmak sonuçsuz bir liste üretir.
• Kurumsal hedefleri BT ekibinin belirlemesi: Hedefler iş ve yönetişim organından gelmelidir; BT yalnızca bunları çevirir.
• Tabloyu mekanik uygulamak: Kurumun özel koşulları ve tasarım faktörleri ihmal edilirse seçim gerçekle örtüşmez.
• Bir kez yapıp bırakmak: Strateji değiştiğinde kaskad güncellenmelidir. ISACA bile olağanüstü durumlarda kurumsal hedeflerin yönetişim organınca gözden geçirilmesini önerir.
• Çıktıyı ölçümle bağlamamak: Seçilen hedefler için metrik ve olgunluk hedefi yoksa kaskad kâğıt üzerinde kalır.
• Önceki sürümle karıştırmak: Önceki sürümde kaskad kurumsal, BT ile ilgili ve etkinleştirici hedeflere iniyordu. COBIT 2019 bu yapıyı sadeleştirmiş ve vurguyu yönetim hedeflerinin önceliklendirilmesine kaydırmıştır.

Bu beceri hangi rollerde işe yarar?

Hedef kaskadını en çok BT yönetişimi, kurumsal mimari, bilgi güvenliği, risk ve uyum ile iç denetim alanlarında çalışanlar kullanır. BT direktörleri bunu bütçe ve portföy önceliklerini yönetim kuruluna anlatmak için, danışmanlar ise yönetişim sistemi tasarımının ilk aşamasında kullanır.

Beceri, sunum ve tartışma yeteneği de ister. Kaskad, tek başına bir hesaplama değil, iş birimleriyle konuşarak hedefleri açıklığa kavuşturma sürecidir. İyi uygulayıcı, çerçevenin dilini iş birimlerinin diline çevirebilen kişidir.

Mindset programlarında nerede çalışılır?

COBIT 2019 ile BT Yönetişim Sisteminin Tasarımı ve Uygulanması eğitiminin modülleri COBIT 2019 mimarisini, hedef şelalesi ile kurumsal hedeflerden BT hedeflerine inmeyi, tasarım faktörleri ve kapsam belirleme atölyesini, yönetişim bileşenlerinin tasarımını, kapasite seviyelerini ve olgunluk ölçümünü, performans yönetimi ve raporlamayı ve uygulama yol haritasını kapsar. Kurumsal Bilgi Güvenliği Yönetişimi (COBIT) eğitimi ise hedef dizisi ve değer üretimi, tasarım faktörleri ile güvenlik ve risk hedeflerinin uygulanmasını içerir.

Bu içerikler BT yöneticileri, bilgi güvenliği ve risk ekipleri ile iç denetim ve kurumsal mimari çalışanları için uygundur. Kurumsal ekiplerde yönetişim önceliklerinin ortak bir yöntemle belirlenmesi için kullanılabilir.