本文节选自《信息化绩效评价：框架、实施与案例分析》，孙强、郝晓玲

4.2企业信息化管理控制的四项基本思想是什么？

有关控制、信息化管控、信息化管控目标这三个概念我们定义如下：

（1）控制——政策，程序，实践和组织结构，用来提供合理保证，以确保获取业务目标，阻止或侦测意外事件的发生。

（2）信息化管控——是一个过程，管理层籍此增加达成组织目标且减少风险的可能性。

（3）信息化管控目标——是在特别的IT活动中实施控制程序的理想结果或期望目标的声明。

信息化管控体系的基本假设——第一个基本假设是管理层的责任，有效的信息化管控体系不是任何其他群体的责任，而是管理层的责任（但管控是每一个人的工作）。第二个假设是合理保证。完美的管控系统是不存在的。在正常的条件下，控制通常会受到损害，如没有计算机系统可以免于遭到攻击或恶意活动。另外，管控是有成本的，成本收益的概念必须用于管控之中。如实施一种管控需要花费100万元而风险评估显示只有损失20万元的风险，那么，这种管控就不能通过成本收益的检验。第三个基本假设是特定管控应该随着不同的技术而变化，但是，管控目标应该是独立于过程的。第四个基本假设涉及到局限性。如：管控总是有输给有决心、技术高超的黑客的可能性；管控也有被管理者凌驾于它之上的可能性；随着时间的推移也会引起条件变化，条件一变化，有效的管控可能变得过时或失效，因此需要持续的重新评估。

信息化管控的基本思想可以简单概括为：从组织目标和经营需求出发，确定相关信息准则，抽取信息需求和功能需求，形成总体管控框架；通过对IT过程涉及的信息资源进行有效管理和配置，保证投资的回收，并支持决策。

信息化管控强调风险管理，通过对关键IT过程进行有效监控，实现对业务流程中资源的有效利用，从而改善管理效率和服务质量。信息化管控体制可以作为业务需求、风险控制和技术机制之间有效沟通的桥梁，以此来满足管理的多方面需求。信息化管控的核心思想可以由下图来概括：

资料来源：ITGov中国IT治理研究中心. 网址：www.itgov.org.cn

1  面向业务目标

管控的最终目标是追求企业的业务目标。需要在IT控制目标与企业业务目标之间建立清晰而明显的联系纽带。控制目标是根据企业重组再造的原则以面向过程的方法来定义的。在已确定的领域和过程中，高层控制目标被定义为理论基础并以文档的形式说明与业务目标的联系。此外，还提供了考虑因素和指导方法来定义并实施IT控制目标。IT这个长时间来被简单视为企业战略使能器的技术，现在必须被视为企业战略不可分割的一部分。

信息化管控提供了把IT过程、IT资源和信息连接到企业战略和目标上去的结构。而成功的企业会保证其战略计划及其IT活动之间的相互依赖性。企业活动为了达到业务目标需要从IT活动中获取信息。IT必须与企业目标一致，并且使企业能充分利用其信息的优势，由此使利润最大化并抓住机遇，获得竞争优势。

为了保证IT实现其业务目标，必须指导并管理IT活动以达到管理风险（取得安全性，可靠性和一致性）和实现利益（增长的效用和效率）的有效平衡，需要一定的管控手段为IT活动，如计划和组织，获取和实施，交付和支持，监控等活动建立指导方法的基础。为了达到这个目标，管理部门需要弄清哪些是应该执行的最重要的活动及为了达到目标的度量过程，同时还应确定IT过程执行的优劣。此外，它需要有衡量不同于行业最佳行为及国际标准的组织成熟度的能力。

2  设定IT准则

业务和IT的目标和测量方法是如何联系起来的呢？通常我们可以采用IT准则来描述，即为了实现企业的经营目的，需要信息技术遵循哪些准则。这些准则通常用以下术语来表达：

（1）系统和服务的有效性

（2）缺乏完整和机密性的风险

（3）处理过程和操作的开销

（4）可信度、有效性和依存度的状况

IT的目标可以被描绘成传递符合IT准则的企业经营信息，这些经营信息用于企业的经营决策。IT准则是由企业的经营指导方针所提供的，并且显示出他们之中哪些是对处理过程至关重要的，哪些是其次重要的。信息准则将IT目标与企业目标集成起来。为了满足企业业务目标，需要制定信息准则，典型的信息准则应该满足质量要求、信用要求、安全要求。如图4-2所示：

上面所提到的每条IT准则的重要程度是经营业务和企业运作环境的一个功能。IT组织的目标是根据IT准则的描述，传递企业为实现其经营目标所需求的信息。每一个组织都必须为它的经营活动决定每一条IT准则的重要性，实际上重要性也描绘了企业的风险程度。

3  控制IT过程

信息化管控通过在相关企业过程上确保有效的、高效的且可测量的改进方法来集成到企业业务管理中，使企业充分利用其信息优势，从而使利润最大化并抓住机遇，获得竞争优势。我们知道，IT的目标取决于企业的目标，也就是为业务服务。为了履行职责和达到企业目标，管理者需要理解企业IT系统的状态并决定应该采取什么管理措施和控制手段。信息化管控中采用过程控制的方法，使计划和组织、获取和实施、交付和支持、监控IT绩效等过程以最优的方式结合在一起并使之制度化。通过这种方式保证企业内部的控制系统或者框架的适当性，从而支持企业流程。

4  利用IT资源

信息化管控的价值最后体现在对IT资源的优化和利用上，即对IT资源进行规划、预算、组织、协调、控制与开发，以实现最大效用。所谓IT资源，就是指在信息活动中积累起来的以信息为核心的各类信息活动的要素的集合，IT资源的价值实现离不开这些要素的综合作用。这些要素包括：

l  经过加工处理有序化并大量累积起来的有用数据的集合；

l  为某种目的而生产信息的信息生产者集合；

l  加工处理和传递信息的设备与技术的集合；

l  信息活动要素的应用集合。

通常将各种活动要素按照一定的原则加以配置并组成信息系统，信息要素的价值才能真正得以实现。信息资源才能谈得上开发和利用。

欢迎您与作者探讨您的观点和看法，联系电话：010-51657848

电子邮件：GOV#ITGov.org.cn(请将#替换为@) 。