حوكمة تقنية المعلومات: نموذج تكاملي بين ISO/IEC 38500 وCOBIT وITIL
حوكمة تقنية المعلومات: من التوجيه إلى تحقيق القيمة
باحث في الحوكمة المؤسسية والقيادة الاستراتيجية · Baroom Institutional Systems (BIS)
نموذج تكاملي يجمع ISO/IEC 38500 وCOBIT وITIL لربط قرارات القيادة بالرقابة المؤسسية وإدارة المنتجات والخدمات الرقمية.
أصبحت المعلومات والتقنية جزءاً أصيلاً من نموذج عمل المؤسسة، وليستا مجرد وظيفة مساندة. فالقرارات المتعلقة بالاستثمارات الرقمية والبيانات والأمن السيبراني والذكاء الاصطناعي واستمرارية الخدمات تؤثر مباشرة في القيمة والمخاطر والقدرة التنافسية. ويقدم هذا المقال نموذجاً عملياً يجمع ISO/IEC 38500:2024 وCOBIT 2019 وITIL ضمن سلسلة مترابطة تبدأ بالتوجيه والمساءلة، وتمر بالتخطيط والرقابة، وتنتهي بتقديم الخدمات والتحسين المستمر.
لماذا لا يكفي إطار واحد لحوكمة تقنية المعلومات؟
تتعثر بعض مبادرات الحوكمة لأنها تبدأ من الإجراءات والأدوات قبل تحديد القرارات المطلوب حوكمتها والنتائج المراد تحقيقها. وقد يؤدي ذلك إلى كثرة اللجان والسياسات والتقارير، مع بقاء العلاقة بين الاستثمار التقني والقيمة المؤسسية غير واضحة.
وفي المقابل، قد تضع المؤسسة مبادئ جيدة دون تحويلها إلى مسؤوليات وضوابط ومؤشرات قابلة للقياس، أو قد تنجح في تشغيل خدماتها بكفاءة دون التأكد من ارتباطها بالأولويات الاستراتيجية. لذلك تحتاج المؤسسة إلى ثلاثة مستويات متكاملة:
تحديد الاتجاه والنتائج والمسؤوليات العليا وحدود المخاطر.
تحويل الاتجاه إلى خطط وضوابط وموارد ومؤشرات وأدلة.
تقديم المنتجات والخدمات ودعمها وتحسينها بصورة مستمرة.
الأدوار المتكاملة لـ ISO/IEC 38500 وCOBIT وITIL
ISO/IEC 38500: مرجعية القيادة والتوجيه
يوفر معيار ISO/IEC 38500:2024 مبادئ إرشادية للهيئات الحاكمة والقيادات المسؤولة عن الاستخدام الحالي والمستقبلي لتقنية المعلومات. ويتمثل دوره في ضمان أن يكون استخدام التقنية فعالاً وكفؤاً ومسؤولاً، ومتسقاً مع غرض المؤسسة وتوقعات أصحاب المصلحة.
ويضع المعيار الحوكمة ضمن إطار يشمل الاتجاه، والقدرات الرقمية، والسياسات، وتفويض الصلاحيات، وتوقعات الأداء، والمساءلة، وإشراك أصحاب المصلحة. ولذلك يعمل أساساً على مستوى مجلس الإدارة والإدارة العليا، ولا يستهدف تفصيل الإجراءات التشغيلية.
COBIT: نظام الحوكمة والإدارة والرقابة
يوفر COBIT 2019 إطاراً لحوكمة وإدارة المعلومات والتقنية على مستوى المؤسسة بأكملها. ويترجم توجيهات القيادة إلى أهداف ومسؤوليات وممارسات وضوابط وتدفقات معلومات ومؤشرات أداء.
وتتوزع أهدافه على خمسة مجالات: التقييم والتوجيه والمراقبة (EDM)، والمواءمة والتخطيط والتنظيم (APO)، والبناء والاقتناء والتنفيذ (BAI)، والتقديم والخدمة والدعم (DSS)، والمراقبة والتقييم والتحقق (MEA). وتكمن قيمته في تحديد ما يجب ضبطه، ومن المسؤول عنه، وما الأدلة اللازمة لإثبات فاعليته.
ITIL: إدارة المنتجات والخدمات الرقمية
يركز ITIL على إدارة المنتجات والخدمات الرقمية طوال دورة حياتها، وعلى تكوين القيمة مع المستفيدين وأصحاب المصلحة. ويغطي تخطيط الخدمات وتصميمها وبناءها وإطلاقها وتشغيلها ودعمها وتحسينها، إضافة إلى ممارسات الحوادث والمشكلات والتغييرات ومستويات الخدمة والأصول والموردين والاستمرارية.
النموذج التكاملي المقترح
| المستوى | السؤال الرئيس | الإطار المرجعي | المخرجات |
|---|---|---|---|
| الحوكمة | لماذا نستثمر، وما النتائج المطلوبة، ومن يُساءل؟ | ISO/IEC 38500 | اتجاهات وسياسات وقرارات وتوقعات أداء |
| الحوكمة والإدارة | ماذا يجب أن نحكم وندير ونراقب؟ | COBIT | أهداف وضوابط ومسؤوليات ومؤشرات وأدلة |
| الإدارة والتشغيل | كيف نقدم المنتجات والخدمات ونحسنها؟ | ITIL | خدمات مستقرة وتجربة أفضل وقيمة وتحسين مستمر |
لا يقوم التكامل على دمج الأطر الثلاثة في إطار جديد، بل على توزيع أدوارها ضمن سلسلة تبدأ بالتوجيه والمساءلة، ثم تصميم نظام الحوكمة والرقابة، وتنتهي بإدارة المنتجات والخدمات وتحسينها.
مصفوفة مواءمة الأطر الثلاثة
المصفوفة الآتية مواءمة تطبيقية مقترحة وليست مطابقة رسمية صادرة عن الجهات المالكة للأطر:
| محور الحوكمة | ISO/IEC 38500 | COBIT | التطبيق عبر ITIL |
|---|---|---|---|
| المواءمة الاستراتيجية | الاتجاه والغاية | EDM وAPO | استراتيجية المنتجات والخدمات وإدارة المحافظ |
| تحقيق القيمة | الأداء وتوقعات أصحاب المصلحة | ضمان تحقيق المنافع | إدارة القيمة والطلب ومستويات الخدمة |
| المساءلة | التفويض والمساءلة | هياكل المسؤولية وأهداف الحوكمة | ملكية المنتج والخدمة والأدوار التشغيلية |
| إدارة المخاطر | الإشراف والاستخدام المسؤول | تحسين المخاطر وإدارتها | المخاطر والاستمرارية والحوادث والمشكلات |
| إدارة الموارد | القدرات والإشراف المسؤول | تحسين الموارد | المهارات والأصول والموردون والسعة |
| التغيير والاستثمار | تقييم الاتجاه والقدرات | إدارة البرامج والمشروعات والتغيير | تمكين التغيير والإصدارات والنشر |
| جودة الخدمات | توقعات الأداء | DSS وMEA | مستويات الخدمة والتوافر والاستمرارية والدعم |
| الامتثال والضمان | السياسات والمساءلة | المراقبة والتقييم والتحقق | الضوابط التشغيلية والسجلات والأدلة |
| إشراك المستفيدين | إشراك أصحاب المصلحة | العلاقات وتدفقات المعلومات | إدارة العلاقات وتجربة المستخدم وقياس الرضا |
| التحسين المستمر | مراجعة الأداء والاتجاه | إدارة الأداء والتحسين | التحسين المستمر والتعلم من البيانات |
توزيع المسؤوليات المؤسسية
- مجلس الإدارة أو الجهة الحاكمة: اعتماد الاتجاه، ومراقبة القيمة والمخاطر والأداء، والتأكد من كفاية نظام الحوكمة.
- الإدارة التنفيذية: تحويل التوجيه إلى أولويات وخطط وميزانيات وسياسات وقرارات تخصيص موارد.
- لجنة حوكمة التقنية: مراجعة الاستثمارات والأولويات والمخاطر، ومعالجة التعارض بين القطاعات، ورفع القرارات الجوهرية.
- القيادات الرقمية والتقنية: بناء القدرات وإدارة المحافظ والخدمات والموارد والموردين وتقديم تقارير موثوقة.
- مالك المنتج أو الخدمة: تحمل مسؤولية القيمة والنتائج والأداء طوال دورة الحياة.
- التدقيق والالتزام: تقديم تأكيد مستقل حول تصميم الضوابط وفاعليتها دون الحلول محل مسؤولية الإدارة.
مؤشرات قياس نجاح حوكمة تقنية المعلومات
لا تُقاس الحوكمة بعدد السياسات والاجتماعات، بل بقدرتها على تحسين القرارات والنتائج. ويمكن بناء لوحة قيادة من خمسة أبعاد:
نسبة الاستثمارات المرتبطة بالأهداف، والمنافع المتحققة، وتكلفة الخدمة مقارنة بقيمتها.
التعرض للمخاطر الحرجة، وتجاوز شهية المخاطر، وحالات عدم الامتثال وفاعلية الضوابط.
التوافر، والالتزام بمستويات الخدمة، وزمن الاستعادة، وتكرار الحوادث، ونجاح التغييرات.
الرضا، والجهد المطلوب للحصول على الخدمة، ونسبة الحل من أول تواصل، واتجاهات الشكاوى.
مستوى النضج، وإنجاز مبادرات التحسين، وجودة البيانات، وتوفر المهارات الحرجة.
ويجب أن يمتلك كل مؤشر تعريفاً موحداً، ومالكاً، ومصدر بيانات، وخط أساس، ومستهدفاً زمنياً، وحدوداً واضحة للتصعيد.
خارطة طريق عملية للتطبيق
- تحديد الغاية والنطاق: ربط المبادرة بنتيجة مؤسسية واضحة، مثل رفع موثوقية الخدمات أو تحسين عائد الاستثمارات.
- تشخيص الوضع الراهن: مراجعة حقوق القرار والسياسات والمسؤوليات والمخاطر والمحافظ وأداء الخدمات.
- تصميم الحالة المستهدفة: تحديد اللجان والصلاحيات ومسارات التصعيد، واختيار أهداف COBIT وممارسات ITIL ذات الأولوية.
- تحديد المسؤوليات والأدلة: توثيق الأدوار والأدلة المطلوبة، مثل القرارات والتقارير وسجلات المخاطر ونتائج الاختبارات.
- التنفيذ المرحلي: البدء بالخدمات والمخاطر الأعلى أثراً عبر مبادرات قصيرة ذات نتائج قابلة للقياس.
- القياس والتحسين: تحويل نتائج القياس إلى قرارات بشأن الأولويات والموارد والمخاطر والتحسين.
مثال تطبيقي: تعطل منصة رقمية رئيسة
- وفق ISO/IEC 38500، تتحقق الجهة الحاكمة من أثر التعطل في أهداف المؤسسة وأصحاب المصلحة، وتحدد مستوى الأداء والمخاطر المقبول.
- وفق COBIT، تحدد الإدارة مسؤوليات إدارة التوافر والاستمرارية والمخاطر والموردين، وتضع الضوابط ومؤشرات المراقبة.
- وفق ITIL، تتحسن ممارسات الحوادث والمشكلات والتغيير والمراقبة والاستمرارية ومستويات الخدمة.
- ترفع النتائج إلى القيادة من خلال مؤشرات التوافر، وزمن الاستعادة، وتكرار الأعطال، وتكلفة الانقطاع، ورضا المستفيدين.
بهذا تنتقل المؤسسة من معالجة الأعطال باعتبارها مشكلة فنية منفصلة إلى إدارتها باعتبارها قضية قيمة ومخاطر ومساءلة.
أخطاء شائعة ينبغي تجنبها
- اعتبار الحوكمة مسؤولية إدارة تقنية المعلومات وحدها.
- إنشاء لجان دون تحديد حقوق القرار ومسارات التصعيد.
- تطبيق جميع أهداف COBIT وممارسات ITIL بالعمق نفسه دون تخصيص.
- قياس عدد الأنشطة بدلاً من قياس القيمة والنتائج.
- تضخيم الإجراءات بما يبطئ التغيير والابتكار.
- الاعتماد على تقارير لا تستند إلى بيانات موحدة وموثوقة.
- نقل مسؤولية الخدمة إلى المورد؛ فالتعهيد لا يلغي مساءلة المؤسسة.
- استخدام تقييم النضج بوصفه غاية بدلاً من توظيفه لتحديد التحسينات.
الخلاصة: من إدارة التقنية إلى حوكمة القيمة الرقمية
يحدد ISO/IEC 38500 الاتجاه والمبادئ التي ينبغي أن تحكم استخدام التقنية، ويترجم COBIT هذه التوجيهات إلى نظام للحوكمة والإدارة والرقابة، بينما يحول ITIL ذلك النظام إلى ممارسات لإدارة المنتجات والخدمات وتحسينها.
وعندما يطبق هذا التكامل بصورة متناسبة مع حجم المؤسسة ومخاطرها، تنتقل القيادة من سؤال «هل تعمل التقنية؟» إلى أسئلة أكثر أهمية: هل تحقق قيمة قابلة للقياس؟ هل تدار مخاطرها ضمن الحدود المعتمدة؟ هل المسؤوليات والقرارات واضحة؟ وهل تلبي الخدمات توقعات المستفيدين وتتحسن باستمرار؟
تعليقات
إرسال تعليق