信息技術管理涉及影響企業管理方式的各項程序、慣例、政策、法規、管理措施及制度等，因此它應當從屬于公司治理的組織策略體系。加拿大審計長公署專家的這篇文章介紹了什么是信息技術管理、為什么需要信息技術管理以及如何才能更好地實現信息技術管理，還介紹了信息技術審計中審計計劃、審計策略及績效評價指標的應用等。這對于我們認識信息技術管理以及開展信息技術審計工作很有幫助。?????編者
人們通常認為信息技術管理是一個獨立的研究領域，但實際上，它應當從屬于公司治理的組織策略體系。該體系包括影響企業（泛指包括商業公司在內的所有組織）管理方式的各項程序、慣例、政策、法規、管理措施及制度等。針對企業相關利益者之間的各種復雜關系而設立的這些策略，其目的在于促使企業盡可能地以最為有效和便捷的方式實現各項既定目標。這些策略覆蓋了公司治理的方方面面，既包括了所有利益相關者在企業決策方面的參與形式、如何平衡風險與回報，也包括了引入諸如績效指標等先進方法、開展信息技術審計及如何克服困境等。
公司治理的范圍
問責制度及受托責任：實施多種機制以確保企業管理層誠信經營并保護公共部門組織免受欺詐或其他不道德行為的影響。
經濟效益管理：公司治理體系如何實現最優結果并達成既定目標。
戰略效益管理：公共部門機構往往致力于實現諸如減少貧困、市場準入、穩定收入、醫療保險及創造就業等公共政策目標，但這些目標往往難以用經濟效益來衡量。
利益相關者原則：加強對諸如公民、雇員、企業及各級政府等利益相關者的問責制度。
我們不應將信息技術管理看作一門獨立的學科，而是將其作為信息技術系統整合進入公司治理戰略的一種手段。有效的公司治理戰略能夠協助企業全方位管理為實現企業目標而實施的相關行動。作為這種戰略的一部分，所有利益相關者都應當參與決策過程。而這種參與使得評價體系的作用為大眾所接受，同時又確保了信息技術相關決策由企業制定并執行，反之則不行。
信息技術管理
什么是“信息技術管理”？雖然許多人對于“信息技術管理”的定義多有不同，但他們都有一點共識，那就是“信息技術管理”應當包括：監管、執行各項活動的程序及規則、狀態及質量的評價及報告機制。
為什么需要“信息技術管理”？信息技術管理的目的在于確保對信息技術的投資：1.產出了價值回報；2.降低了信息技術綜合風險，避免了系統故障。信息技術對于期望實現高效率服務與產品供給的企業，尤其是那些使用信息技術以期改變原有經營模式的企業，顯得尤為重要。這一改變過程已經成為當前私有和公共部門引入新型經營模式的主要途徑，通常被稱作“商業轉型”。雖然商業轉型可以為企業帶來很多回報，但是它仍存在許多潛在的風險，極有可能擾亂企業的正常運轉并帶來一些難以預料的后果。這就需要我們在利用信息技術實現組織變革的過程中學會如何平衡風險與回報。
如何才能更好地實現“信息技術管理”？盡管軟件行業在信息技術系統優化的過程中做了多方面的努力，但是，信息技術系統在穩定性及滿足客戶需求方面仍然不盡如人意。信息技術系統優化的關鍵在于為信息技術、相關程序及信息技術審計人員設定好角色及職責，建立組織結構及高效的治理模式，并確定組織目標。同時，有效管理的缺失，也極有可能導致信息技術系統項目的最終失敗。要想獲得成功，企業必須綜合考慮下列各個因素，以使項目實現最優化：
?????高層框架（包括定義領導體系、行事程序、角色及責任、信息需求及組織架構）確保了信息技術投資能夠根據企業總體目標有序規劃，從而最大限度地發揮信息技術的功效。
?????獨立擔保：采取內部審計或外部審計的形式，及時反饋信息技術與企業政策、規則、程序及總體目標契合程度的相關信息。
?????資源管理：通過例行測評，確保信息技術項目擁有充足且高效的資源以滿足企業的需求。
?????風險管理有效地確保了企業及信息技術系統能夠定期測評并報告信息技術相關風險及其對企業的影響（重點關注其對于實現企業總體目標可能造成的不利影響）。一旦暴露出任何問題，相關措施將迅速跟上。
?????戰略規劃：1.促使董事會及高層管理人員了解信息技術的戰略價值，形成技術視角及相關能力；2.確保信息技術投資能夠根據企業總體目標有序規劃，最大限度地發揮信息技術的功效。
?????價值實現最大限度地優化了每一筆信息技術投資所帶來的效益。這類投資均是以投資人的需求為目標，為企業帶來價值。
?????績效管理報告（準確、及時、全面地報送高管層相關文件、檔案及信息技術項目報告）對信息技術項目目標的完成程度做出了全面而詳盡的考核。通過這種考核，企業能夠充分評價信息技術的績效情況：哪些預定的目標已經實現？哪些項目模塊已經交付使用？還有哪些問題亟待解決？績效評價指標是獲取績效情況相關信息的一種有效方法
績效評價指標對于信息技術管理的重要性
績效評價指標是建立一個嚴格高效的信息技術管理體系的基礎。企業首先需要了解自身的信息技術系統究竟在哪一方面實現了價值增長，這就需要一套設計完善的績效評價指標體系來為管理層衡量信息技術系統的成功與否，并確定哪一方面還有待加強，從而進一步提升該系統的效率。這些評價指標的應用使得企業定量計算信息技術投資的產出效益成為可能。
績效評價指標的優點在于：逐步提高信息技術服務的質量；逐步降低信息技術風險；進一步促進信息技術的產出；逐步減少提供信息技術服務的成本。
目前，績效評價指標根據功能的不同分為兩種類型：用于評價信息技術系統在開發過程中效益情況的指標；用于評價信息技術服務應用成功與否的指標。對于第一類指標，業界有一套通用的評測標準用于跟蹤項目開發情況，并使得企業能夠在項目生命周期的各個階段都能夠評估項目的進展情況。而 第二種指標則因企業的不同及企業所采用的信息技術服務的不同而千差萬別。
雖然我們無法羅列出用于衡量信息技術有效性的所有不同指標，但是無論是在系統開發階段還是使用階段，下列幾個指標對于大部分企業都是適用的，當然，這還需取決于數據采集的時間和地點：
?????分類別分項目記錄信息技術成本。企業可以根據這一指標了解每一具體項目的投資總額并確定財務投資的增值情況。
?????分項目分析信息技術員工人數及成本。這一指標可用于對比每一具體項目的產出與所投入的資源總量情況。
?????項目外包比例。這一指標可用于確定企業員工的工作成效，并衡量企業對外部資源的依賴程度。
?????信息技術相關操作風險事故數量及造成的損失。企業可以通過風險識別，實施降低風險措施，分析未能有效降低風險而導致的損失等，來衡量企業的風險應對能力。評測結果應當遞交管理層。
類似的評價指標還有很多，例如：信息技術部門員工中全職與兼職的比例、工作站成本、信息技術安全事故的數量和損失等。
信息技術審計的審計計劃、審計策略及績效評價指標的應用
為了實現有效的信息技術管理，信息技術審計人員可以利用績效評價指標開展審計，并在審計中注意審計計劃和審計策略。
績效評價指標。信息技術審計人員可以采取下列手段進一步完善績效評價指標：1.分析，包括理解指標的含義、形成原因、確定指標所反映的情況、分析企業擬采取應對措施的有效程度，并提供相關可靠信息；2.通過對報送企業管理機構的指標情況進行定期評估，為績效評價指標的準確性、完整性和可靠程度提供獨立擔保；3.利用個人的工作技能制定項目績效評測中指標的使用標準。審計人員可以通過協助企業準確地采集、匯報并分析指標，從而更為真實地反映企業的治理情況。
審計計劃。信息技術審計人員應當利用歷史研究材料及其他最高審計機關所完成的審計項目，向最高審計機關展示企業信息技術管理審計所能達到的審計范圍和審計目標，并向企業審計委員會闡述信息技術的效能及風險，介紹獨立信息技術管理審計的重要性，以確保信息技術管理列入最高審計機關及企業審計委員會的審計計劃。
審計策略。信息技術審計人員能夠進一步促進信息技術管理戰略的完善：1.通過詢問以確保管理層已經充分認識到了應用信息技術可能產生的問題、風險及回報；2.作為企業與信息技術部門之間的溝通橋梁，促使開發者和使用者能夠對所面臨的風險、困難及如何協同行動達成共識。
信息技術管理中存在的困難
對于不同的企業來說，其所面臨的環境、政治、地理、經濟和社會情況均各不相同，相應的，在建立有效治理結構的過程中就會遇到不同的困難。我們無法羅列信息技術管理中可能面臨的所有困難，但是下面所述的這些情況在大多數企業中都是普遍存在的：
項目控制不力：過去，許多信息技術項目均由信息技術部門獨立完成，管理層往往并不參與項目控制，這就使得信息技術部門無法準確了解項目需求，從而導致項目面臨信息技術目標難以契合企業總體目標的風險，造成大范圍的效率低下。同時，管理層的項目控制缺失，也使得信息技術部門難以對該項目形成重視。
管理層協作不力：雖然管理層在考慮重大信息技術投資時，需要與信息技術部門加強協作，以獲得足夠的信息與反饋從而作出正確的決定，但是在決策過程中，管理層往往并不愿意與信息技術部門進行通力合作。
資源管理不力：用最少的投入得到最大的產出，企業必須高效率地管理自身的信息技術資源,為信息技術服務提供足夠的技術、軟硬件支持，尤其是人力資源支持。
風險管理不力：這是影響信息技術項目成功的主要因素。評價各種管理層未能充分認識到的信息技術風險并采取應對措施是風險管理的主要工作。一旦未能有效地處理這些風險因素，將極有可能導致項目失敗。
戰略規劃不力：信息技術投資如果未能根據企業目標和資源情況有規劃地投入，極有可能導致收益低下甚至無收益。這種戰略規劃上的失誤將導致信息技術無法為企業目標的實現做出必要的貢獻。
（姚明偉 編譯，本文為世界審計組織IT審計委員會第16次年會及研討會論文，作者理查德?布里森博依斯和茲阿德?沙迪德，為加拿大審計長公署IT審計專家。資料來源：2009年2月18日《中國審計報》）
|
