(zie ook het eindrapport vande werkgroep CobiT)

1. Inleiding
CobiT staat voor Control Objectives for Information and Related Technology en isontwikkeld door de Information Systems Audit and Control Foundation (ISACF), het researchinstituut van de Information Systems Audit and Control Association (ISACA). De eersteversie van CobiT stamt uit 1996; de tweede versie bestaat sinds 1998 en de derde versie isuitgebracht in 2000; verdere ontwikkelingen zullen aanvullingen op versie 3 zijn.

CobiT is het de facto IT Governance instrument dat het werk van IT-professionalsbeïnvloedt. In CobiT worden de relaties gelegd tussen de informatie technologie en debeheersingsvraagstukken. CobiT consolideert en harmoniseert wereldwijde 41 IT-standaardenin een integraal IT-model voor gebruik door management, adviseurs, auditors en andere IT-en business professionals, die zich bezighouden met aan de IT gerelateerdebeheersingsvraagstukken van organisaties. CobiT is gebaseerd op de gedachte dat deIT-resources moeten worden beheerst en beheerd op basis van een set van op een natuurlijkewijze gegroepeerde processen. Hierdoor krijgt een organisatie de beschikking over meetbareen betrouwbare informatie voor het realiseren van haar doelstellingen en de ondersteunendeen meetbare IT-dienstverlening.

2. Het doel
Het doel van CobiT is om het management en de proceseigenaren middels een InformationTechnology (IT) Governance model te ondersteunen bij het begrijpen en beheersen van de aanIT gerelateerde risico’s. CobiT helpt bij het overbruggen van de verschillen tussenbusiness risico’s, de daaruit voortvloeiende behoefte aan de beheersing van debedrijfsprocessen en de ondersteunende IT-dienstverlening en - infrastructuur. Hetvoorziet in een behoefte om te komen tot IT Governance en het waarborgen vanbetrouwbaarheid van informatie en de gegevensverwerking door de informatiesystemen.

3. Het model
Het CobiT Framework is gebaseerd op het principe dat organisaties worden voorzien van deinformatie die noodzakelijk is voor het realiseren van hun doelstellingen. De informatiewordt op haar beurt voortgebracht door IT-processen en het samenstel van IT-resources:data, applicatiesystemen, technologie, faciliteiten en mensen. De IT-resources wordenbeheerst middels de 34 IT-processen, die zijn ingedeeld in 4 domeinen:

1. Planning & Organisation;
2. Acquisition & Implementation;
3. Delivery & Support;
4. Monitoring.

Voor de realisatie van de bedrijfs- / organisatiedoelstellingen dient de informatievoor het aansturen van de organisatie en haar bedrijfsprocessen te voldoen aan eenzevental kwaliteitscriteria: effectiveness, efficiency, confidentiality, integrity,availability, compliance en reliability. Het IT Governance framework is er op gericht deorganisatie een redelijke zekerheid te bieden dat de ondersteunende IT-processen eenbijdrage leveren aan de realisatie van de overkoepelende bedrijfs- /organisatie-doelstellingen. Onderstaande figuur geeft inzicht in de onderlinge samenhangtussen de bedrijfs- / organisatie-doelstellingen en de informatievoorziening vanuit de deCobiT-domeinen en de bijbehorende IT-processen, kwaliteitscriteria en IT-resources.

Bij elk van de 34 IT-processen kent CobiT een aantal managementinstrumenten zoals:

• Control objectives, in feite de beheerdoelstelling per IT-proces. Bij elk van de 34 processen horen meerdere, in totaal 318, detailed control objectives.
• Key Goal Indicators (KGI’s), Key Performance Indicators (KPI’s) en Critical Success Factors (CSF’s).
• Volwassenheidsniveaus op een schaal van 0 tot en met 5, waarbij 0 staat voor ‘non-existence’ en 5 staat voor ‘best practices’.
• Audit guidelines; richtlijnen voor interviews, informatie en tests die kunnen worden uitgevoerd.

Het gebruik van CobiT wordt ondersteund door een aantal handleidingen, een diskette eneen CD-ROM met daarop een drietal presentaties en de handleidingen. Er is een ExecutiveSummary beschikbaar waarin de basis concepten voor het senior management wordentoegelicht. In het Framework worden de relaties toegelicht tussen de IT-processen, dekwaliteitscriteria en de IT-resources. In de Control Objectives worden de relatiesbeschreven tussen de 34 high-level control objectives en de 318 gedetailleerde controlobjectives. De handleiding voor de Audit objectives ondersteunt bij het opstellen vanauditplannen op basis van de control objectives. In de Implementation Tool Set wordenverschillende aanpakken gepresenteerd die tot een snelle en adequate implementatie vanCobiT kunnen leiden. In de ‘Management Guidelines’ worden de richtlijnen voorhet bepalen van de mate van volwassenheid van de organisatie in het beheersen van de IT-processen beschreven. Ook worden hierin de mogelijk te gebruiken Key Goal Indicators,Critical Success Factors en Key Performance Indicators beschreven. Inmiddels is deCobiT-set uitgebreid met de volgende producten:

• Board Briefing on IT Governance (2001)
• Information Security Governance: Guidance for Board of Directors and Executive Management (2001)
• IT Governance Executive Summary (2002)
• IT Strategy Committee (2002)

Naast deze specifieke CobiT-producten wordt binnen ISACA hard gewerkt aan detotstandkoming van IT Control Practices Statements (alleen vrij te downloaden voor leden).De volgende processen zijn beschreven:

4. Fasering
De opzet van CobiT is gebaseerd op de toepassing van het waterval principe:

• The control of IT-processes;
• Which satisfy Business Requirements;
• Is enabled by Control Statements;
• And considers Control Practices.

In onderstaande figuur wordt dit principe schematisch weergegeven, aangevuld met desamenhang tussen de IT-processen, de kwaliteitscriteria en de IT-resources.

5. Toepassingsmogelijkheden
CobiT kan op verschillende manieren worden toegepast. CobiT kan het management behulpzaamzijn bij het afstemmen van de beheersing van de IT-processen op een voor hen aanvaardbaargeacht risiconiveau. CobiT kan door gebruikers als referentiekader worden gebruikt bij hetmaken van afspraken, zoals veelal vastgelegd in de zogenaamde Service Level Agreements,over de gewenste kwaliteit van IT-diensten. Auditors kunnen CobiT gebruiken voor hetopstellen van het audit plan, de onderbouwing van hun oordeel en bij het formuleren vanhun aanbevelingen.

6. Gebruik binnen de rijksoverheid
CobiT kan zowel door profit als not for profit organisaties worden toegepast.Vermeldingwaard is dat Philips op basis van CobiT een tool heeft ontwikkeld voor het metenvan de maturity van de IT-processen binnen het kwaliteitsverbeteringsprogramma BusinessExcellence through Speed and Teamwork ( BEST). Daarnaast wordt CobiT toegepast binnen deauditafdelingen van o.a. het UWV, Fortis Bank en de Gasunie. Voor verdere informatie overandere bedrijven die CobiT actief gebruiken verwijzen wij naar de web-site van ISACA (www.isaca.org). Hier zijn ook meerderecase studies beschreven.

7. Overige opmerkingen
CobiT is een open de facto standaard, hetgeen betekent dat de informatie met uitzonderingvan de Audit Guidelines publiekelijk toegankelijk is. Op de website van ISACA (www.isaca.org) en het IT GovernanceInstitute (www.itgi.org) is veelinformatie aanwezig over CobiT. Als onderdeel van de onderhanden projecten zal binnenCobiT-project 4 in de nabije toekomst zal een verkorte versie van CobiT verschijnen voorkleine IT-omgevingen het zogenaamde ‘CobiT-lite’. Verdere ontwikkelingen omtrentCobiT zullen te volgen zijn via de bovenvermelde web-sites en via ISACA-research.
Jaarlijks presenteert ISACA op de ISACA International Conference een dag als IT GovernanceForum. De presentaties van die dag zijn beschikbaar op de web-site van het IT GovernanceInstitute.

-Terug-