Презентація О.Янковського «Питання Інформаційних Технологій на порядку денному Правління та НР" 20.0

Питання Інформаційних Технологій на порядку денному Правління та Наглядової Ради 20 червня 2017 Олексій Янковський ISACA Kyiv Chapter

Коротко про ISACA

“

з 1969 року понад 200 відділень по всьому світу більше 115 000 членів у 180 країнах світу “СТВОРЕННЯ ЦІННОСТІ ТА ДОВІРИ ДО ІТ”

• Назалежна міжнарождна професійна асоціація • Місія - створення та просування знань і кращих практик для створення цінності від та довіри до інформаційних технологій організацій • Cobit - еталонна, універсальна модель управління ІТ організації • Настанови з різних питань управління ІТ, ІТ-аудиту та безпеки, а також актуальних технологій - хмари, blockchain, дрони, mobile, та ін.

• Міжнародні професійні сертифікації: − Управління корпоративними ІТ - CGEIT® − ІТ Аудит і Ризик Менеджмент - CISA®, CRISC™ − Кібербезпека - CSX®, CISM® • В Україні з 2008р. Перекладено ряд настанов, розроблено законопроект, проведено тренінги з кібербезпеки для державних організацій, організовано підготовку до іспитів, робота в громадських радах 2

Зміст • Top-10 операційних ризиків • Приклади катастроф та проблем пов’язаних з ІТ • Неефективність при закупівлях та впровадженні ІТ-систем • Важливі питання які необхідно контролювати • Механізми контролю • Розподіл повноважень • Приклад - централізований процес ІТ-закупівель • Інструменти • Корисні матеріали

3

Тор 10 операційних ризиків згідно risk.net* #1 Кібербезпека та захист даних #2 Регуляторні ризики #3 Аутсорсинг функцій #4 Геополітичні ризики #5 Непрофесійна поведінка #6 Організаційні зміни #7 Відмова ІТ #8 Боротьба з відмиванням коштів #9 Шахрайство #10 Фізична атака

* http://www.risk.net/risk-management/operational-risk/2480528/top-10-operational-risks-for-2017

4

Приклади катастроф та проблем пов’язаних з ІТ • • • • • • •

Фіаско через нездатність адаптації інновацій (Kodak, Nokia, та ін.) Відставання від конкурентів через недостатню гнучкість власних ІТ Вимивання коштів під прикриттям впровадження ERPсистеми Банкрутство компанії через нездатність контролювати витрати, пов’язані із масштабним ІТ-проектом Екологічна катастрофа Знищення бізнесу через масштабну кібератаку Нездатність інтегрувати компанію після її придбання

5

Неефективність при закупівлі та впровадженні ІТ-систем • Впровадження системи не принесе суттєвих бізнес• • • • • •

переваг Завищена вартість - вендор знав, що альтернативи не розглядаються під час переговорів Не використовуються механізми мотивації постачальника (відтермінування платежів, прив’язка до етапів тощо) Закупаються модулі системи, які не потрібні організації Впровадження починається з найменш потрібного функіоналу Відсутність виділеної команди, мотивації, недостатнє залучення керівництва, незалежний контроль якості Відсутність управління організаційними змінами 6

Важливі питання які необхідно контролювати • • • • •

Отримання конкурентної переваги за допомогою ІТ та використання інновацій Належна підтримка стратегії бізнесу з боку ІТ Отримання очікуваних переваг від інвестицій в ІТ Відповідальне використання ІТ-ресурсів Контроль ризиків пов’язаних з ІТ

Ці питання необхідно контролювати на етапах планування, вибору, впровадження та експлуатації ІТ організації

7

Механізми контролю • • • • • • • • • • •

Стратегія розвитку ІТ, узгоджена з бізнес-стратегією Показники ефективності (KPIs) Принципи, політики і внутрішні стандарти для планування, придбання, впровадження, експлуатації ІТ Належний розподіл повноважень щодо ключових питань ІТ Організаційні структури та процеси Комітети для колегіального напрацювання рішень Інформованість відповідальних осіб щодо їхніх обов’язків Культура, етика та поведінка Система управління ризиками та внутрішнього контролю Кращі практики проектного управління та контролю Залучення аудиту та незалежних експертів 8

Традиційно - недостатньо уваги з боку керівництва до питань ІТ

Чому?

• Брак необхідних компетенцій • ІТ часто розглядаються відокремлено від бізнесу • Вимагає широких знань для розуміння додаткових можливостей та ризиків, пов’язаних з ІТ для організації Управління ІТ є складовою частиною корпоративного управління. Наглядова рада та вище керівництво організації несуть відповідальність за належне управління ІТ

9

Роль акціонера, наглядової ради, вищого керівництва

10

Розподіл повноважень Наглядова рада • Розуміння поточної ситуації в ІТ, та потенціалу використання ІТ в організації • Визначення пріоритетів та стратегічного напрямку • Затвердження стратегії ІТ • Впевненість щодо відповідального використання ресурсів те ефективного управління ІТ • Контроль ключових ризиків пов’язаних з ІТ • Загальний контроль відповідності ІТ до цільових показників (KPIs)

Керівництво організації • Формування ІТ стратегії у відповідності до бізнес-стратегії • Реалізація бізнес-стратегії, включаючи відповідні плани розвитку ІТ • Приведення ІТ-організації у відповідність до цілей підприємства • Впровадження системи управління ризиками ІТ та системи вимірювання ключових показників ІТ, звітування наглядовій раді • Впровадження ефективних процесів ІТ-менеджменту • Ефективний вибір постачальників ІТ 11

Інші важливі функції та ролі CIO (Chief Information Officer) Кризова команда • член управлінської команди, • Представники вищого керівництва відповідальний за ІТ та ключових функцій • зв’язуючий ланцюг між бізнесом • Обговорення та прийняття і ІТ важливих рішень під час інцидентів • керівник ІТ-функції • Кризові сценарії CISO (Chief Information Security Officer) та функція інформаційної Комітети для напрацювання та/або безпеки затвердження важливих рішень Незалежний аудит ІТ • З ІТ-Розвитку та Архітектури Ризик мемеджмент ІТ • З ІТ Ризиків • З Інформаційної Безпеки PMO •

Проектний офіс 12

Приклад - централізація ІТ-закупівель в групі компаній (1/4) Цілі політики ● Контроль обґрунтованості закупівель і узгодженості із планом розвитку групи підприємств ● Зниження вартості великих проектів та ризиків пов’язаних з їх реалізацією ● Отримання додаткових суттєвих знижок за рахунок обсягів закупівлі та забезпечення оптимальних умов поставки та впровадження ● Попередження можливих зловживань ● Вибір постачальників проводиться ІТ комітетом Групи компаній, який включає в себе CIO, представників підприємств, сдужб безпеки та закупівель

13

Приклад - централізація ІТ-закупівель в групі компаній (2/4) 1

2

3

4

5

1. Зниження рівня 1. Контроль строків 1. Регулярна оцінка 1. Перевірка 1. Зниження вартості початкових постачання якості закуплених обґрунтованості завдяки масштабу інвестицій за ІТ планів закупівель 2. Стандартизація закупівлі рахунок та виключення обліку витрат ІТ 2. Відмова 2. Забезпечення використання необґрунтованих працювати з прозорості процесу, 3. Відслідковуванн аренди/ закупівель постачальниками проведення я фактичного аутсорсінгу 2. Консолідація обсягу ІТ-витрат неякісного товару потреб в закупівлях відкритих торгів із 2. Відтермінування 3. Постійний ІТ всіх підприємств залученням оплати до представників моніторинг ринку групи завершення підприємств та регулярний 3. Визначення впровадження перегляд цін 3. Застосування групових системи зрілих методологій стандартів 4. Незалежний 3. Рівні дисконтів та обладнання, ПЗ та вибору великих ІТконтроль якості стандарти якості рішень послуг ІТ, які великих проектів зафіксовані в 4. Робота напряму закупаються групових ведорами, без рамкових посередників договорах 5. Участь кращих постачальників (світових брендів) 14

Приклад - централізація ІТ-закупівель в групі компаній (3/4) Матриця відповідальності для великих проектів

Етап закупівлі Підготовка техніко-економічного обґрунтування для великих ІТ та ІТ-залежних проектів Розробка цільової архітектури, вимог та критеріїв вибору постачальника * Проведення тендеру з вибору ІТрішення на основі методології керуючої компанії Застосування положень договорів, обов’язкових при впровадженні систем Контроль якості під час спровадження та прийомки *

Наглядова рада

CIO

Підприємство

Затвердження Узгодження Відповідальний Затвердження Узгодження Відповідальний Затвердження Узгодження Відповідальний Інформується Відповідальний Інформується

Узгодження Відповідальний

* Для проектів > 10 млн дол. США, вимоги, критерії вибору та технічне завдання розробляється незалежною стороною, яка не залучена до впровадження. Контроль якості впровадження проводить незалежна сторона

15

Приклад - централізація ІТ-закупівель в групі компаній (4/4) Матриця відповідальності для регулярних закупівель Етап закупівлі Формування річного плану закупівель ІТ та відповідного обґрунтування Консолідація потреб підприємств в закупівлях ІТ, визначення типових конфігурацій обладнання та ПЗ

Періодичність Щорічно в рамках бюджетного процесу Щорічно в рамках бюджетного процесу

Прведення тендеру із вибору групових постачальників та Залежить від узгодження ключових умов для всіх типу закупівлі підприємств групи Розміщення замовлення та розрахунки з постачальниками відповідності до запланованих обсягів та узгодженим рівнем цін Оцінка якості поставок та ведення управлінського обліку закупівель ІТ у відповідності до плану рахунків ІТ

Наглядова рада

CIO групи компаній

Підприємство

Затвердження

Узгодження

Відповідальний

Відповідальний

Приймає участь

Затвердження для проектів > Відповідальний 5млн. дол. США

Приймає участь

В соответствии с утвержденным планом

Інформується

Інформується

Відповідальний

Інформується

Відповідальний

16

Інструменти які можуть допомогти • • • • •

Cobit - управління та менеджмент ІТ NIST Cybersecurity Guide - кібербезпека ISO-27001 - інформаційна безпека PMBOK - управління проектами Міжнародні професійні сертифікації для ключового персоналу • Залучення незалежних радників

17

Cobit - еталонна модель процесів ІТ • • • • •

Управління, Планування, Вибір, Впровадження, Експлуатація, Перевірка Еталонна модель ризиків ІТ та відповідних механізмів контролю Універсальний інструмент, розроблений на основі COSO, з урахуванням ISO27001, ITIL та ін. стандартів Моделі організаційних структур та матриць відповідальності (RACI Charts), KPIs Доступний безкоштовно, українською

18

Cobit узгоджений з моделлю COSO COSO Integrated Framework з внутрішнього контролю

COBIT Integrated Internal Control Framework ME

Monitoring

Monitoring

Information & Communicatio n Control Activities

Information & Communicatio n Control Activities

ITGCs

Risk Assessment

Risk Risk Assessment Assessment Control Environment

Business Unit 1 Business Unit 2

Control Environment

IT

PO AI DS PO PO AI DS ME

Business Activity 1 IT process 1 IT process 2 Business Activity 2 IT process 3 IT process 4

19

Корисні матеріали • • •

•

•

•

Cobit http://www.isaca.org/Knowledge-Center/cobit/Documents/COBIT-41-Ukrainian.pdf Board Briefing on IT Governance https://www.oecd.org/site/ictworkshops/year/2006/37599342.pdf Настанови з Кібербезпеки від експертів http://www.isaca.org.ua/index.php/press-center/news/191-translation-ofguidelines-on-cybersecurity ITAF – Методологія аудиту інформаційних систем http://www.isaca.org.ua/index.php/homepage/download/category/13itaf?download=21:itaf-3rd-eng Впровадження Європейської Кібербезпеки http://www.isaca.org/Knowledge-Center/Research/Documents/EuropeanCybersecurity-Implementation-Overview_res_Ukr_1215.pdf Міжнародна сертифікація http://www.isaca.org/certification/pages/default.aspx

20

Контактна інформація

Олексій Янковський +38-050-315-7995 a.yankovski@isaca.org.ua https://www.facebook.com/Kyiv.ISACA/

21