Дълбокото проникване на информационните технологии в банковата дейност изисква значително внимание към управлението на ИТ. Преценете доколко във вашата институция това управление съответства с изискванията на COBIT

От корпоративното управление на всяка банкова институция се очаква да постави регулаторната рамка за опериране и отчетност, да осигури наблюдение и ръководство на всички дейности в нея. Ето защо управлението на дейностите свързани с използване на ИТ за нуждите на бизнеса представлява неделима част от корпоративното управление. То включва създаването и развитието на организационната структура, нормативната база и бизнес процесите на информационното обслужване, наблюдаването и ръководенето на изпълнението и развитието на ИТ дейността от страна на Управителния Съвет (УС) и изпълнителните директори на банката, с цел да се гарантира, че ИТ услугите способстват за изпълнението и развитието на бизнес стратегията и постигането на нейните цели.

Известно е, че повече отколкото в много други организации, успехът на бизнеса на банките зависи от използването на ИТ. Всестранното дълбоко проникване на ИТ в банковата дейност изисква на управлението на ИТ да се обръща внимание, пропорционално на зависимостта на изпълнението на бизнес процесите и стратегията на банката от тези технологии. Тази необходимост се обуславя преди всичко на 3 основни фактора:

• ИТ имат решаващо значение за осъществяване на операциите и постигане на целите на бизнеса в банката

• ИТ имат стратегическо значение за растежа и въвеждането на иновации в бизнеса на банката

• Възникнали проблеми в доставката на ИТ услуги могат да доведат до сериозни рискове за репутацията на банката, както и до съществени финансови загуби за нея

Изброените по-долу обобщени изисквания към управлението на ИТ в една банка дават възможност на нейните ръководители да преценят сами степента на съответствието на това управление с изискванията на COBIT в тяхната институция.

COBIT

Control Objectives for Information and related Technology (COBIT) отразява съвкупността от добрите практики във всички области от процеси за управление на ИТ, като представя необходимите за това дейности в подходяща логическа структура. С помощта на COBIT ITGE (IT Governance Institute), ISACA (Information System Audit and Control Association) проучва, развива, поддържа и разпространява актуална, контролна рамка за управление на ИТ, която е всеобщо приета и следва да бъде използвана ежедневно в тази дейност от ръководителите на бизнеса, ИТ професионалистите и ИТ одиторите.

Правилното прилагане на рамката COBIT в управлението на ИТ осигурява постигането на основните цели на това управление, а именно:

• Гарантиране на съответствие между предоставяните ИТ услуги и потребностите на бизнеса

• Организиране на дейностите, свързани с ИТ, в утвърден общоприет модел на бизнес процеси

• Идентифициране на свързаните с ИТ ресурси, които следва да бъдат управлявани

• Дефиниране на контролните цели за управлението на ИТ

Областите (домейните), в които COBIT групира процесите за управление на ИТ са представени схематично на (фиг.1). Рамката на COBIT се проектира върху управлението на ИТ в банкова институция по следния начин.

Съответствие с нуждите на бизнеса

Тази област от управлението на ИТ е свързана с изискването инвестициите в ИТ да бъдат съобразени със стратегическите цели на бизнеса на банката като създават необходимите възможности и ползи за него. В тази връзка от ИТ се очаква да:

• Създават възможности за развитие на подходящи банкови продукти и услуги

• Подпомагат подобряването на конкурентоспособността на банката

• Ограничават разходите и подобряват административната ефективност

• Увеличават ефективността на управлението на самата институция

За постигането на тези очаквания е необходимо:

>> Да се създаде подходяща вътрешна нормативна база, включваща ИТ стратегия и свързаните с нейното внедряване и изпълнение организация, политики, процедури и правила за управление и изпълнение на ИТ дейността.

>> ИТ стратегията на банката трябва да отчита бизнес целите и наличието на конкурентна среда за институцията, текущите технологични възможности и тенденциите за тяхното развитие (включително рискове, ползи и цени), възможностите на ИТ да предоставят необходимите на бизнеса нива на обслужване (текущо и в бъдеще) и отражението им върху банката като инвестиции и необходими промени (в бизнес процеси, организация и т.н.), нивото на оперативните разходи за ИТ, при което се достига осигуряване на нужните нива на обслужване на бизнеса, съответствието с регулаторните изисквания.

>> ИТ стратегията следва да дефинира и необходимата организация, ръководни и съвещателни органи в банката, които са свързани с управлението на ИТ. Тук могат да се причислят УС, Съвет по ИТ стратегия, Съвет по ИТ инвестиции, Управляващ комитет за ИТ проекти, Съвет по ИТ сигурност и др., които да гарантират пряко управление на ИТ от висшето ръководство на банката.

>> ИТ стратегията трябва да отчита потенциалните рискове свързани с ИТ, аспектите на ИТ сигурността, човешките ресурси и организацията на данните.

Важно е да се подчертае, че постигането на съответствие между потребностите на бизнеса и ИТ услугите в банката е процес, ефективността на който не зависи само от ИТ мениджърите. За целта ръководството на институцията трябва да разполага с актуална бизнес стратегия, ясно дефинирани насоки и програма за развитие на ИТ в съответствие с целите на бизнеса, да инициира основните проекти за развитие на ИТ в изпълнение на тази стратегия/програма като създава подходяща технико-икономическа обосновка за всеки от тях, да балансира инвестициите за инфраструктура и за ИТ операции, да изготвя бюджет, отразяващ не само оперативните разходи, но и ИТ приоритетите чрез инвестиционни програми и проекти.

Постоянното наблюдение, ръководене и подкрепа на изпълнението и развитието на ИТ дейността от страна на УС и изпълнителните директори на банката са от първостепенно значение за постигане на желаното съответствие. ИТ мениджърите могат да подскажат технологичните възможности да организират и ръководят изпълнението на дейността по информационно обслужване, но определянето на стратегическите насоки за развитие, приоретизацията на инвестициите, наблюдението на статуса на ИТ проектите, разрешаването на проблеми с ресурсите, следенето на нивото на ИТ обслужване и развитие са отговорност на ръководството на банката.

Създаване на ползи

Фокусът на действията в тази област е насочен към оптимизация на управлението на действителните разходи за дейността по информационно обслужване и максимизиране на възвращаемостта на инвестициите в ИТ. За постигане на целите на ръководството на банката за изпълнение на проектите качествено, в срок и в рамките на планирания бюджет, както и за доставянето на най-подходящи, навременни и качествени ИТ услуги за бизнеса, решаващо значение имат от една страна създаването на съответствие на ИТ с нуждите на бизнеса, а от друга – формулирането на реалистични очаквания на бизнеса за възможните услуги, които ИТ са в състояние да доставят. Тези очаквания най-често са свързани с желанието ИТ услугите да:

• Отговарят на целите и да съответстват на нуждите на бизнеса

• Предлагат необходимата гъвкавост и се адаптират при промяна в бизнес изискванията

• Осигуряват малко време за отговор и голяма пропускателна способност на системите

• Предлагат лесно използване, устойчивост и сигурност при работа със системите

• Гарантират нужните нива на интегритет, коректност, пълнота и поверителност на данните

За да бъде това възможно, преди всичко е нужно:

>> ИТ и бизнесът да използват общ и конкретен „език“ при формулиране на очакваните ползи. От изключително значение е УС и/или изпълнителните директори да определят приоритета на всяка значима ИТ инициатива и да назначават отговорни за реализацията й служители както от ИТ, така от бизнес звената, които ще ползват резултатите от тази инициатива.

>> Ръководството да създаде и внедри подходящи системи за отчетност и следене на статуса на основните ИТ проекти, система за следене на нивото на информационно обслужване (в т.ч. качество и навременност на услугите, разходи, полза за бизнеса, възвръщаемост на инвестициите), разходите породени от възникване на инциденти с ИТ, степента на удовлетвореност на вътрешните потребители и клиентите на банката. Резултатите от функционирането на такива системи трябва да бъдат регулярно анализирани и оценявани и да се предприемат бързи мерки за преодоляване на регистрираните пропуски и несъответствия.

>> Ръководството да осигури внедряването на ефективни контроли при изпълнението, наблюдението и ръководенето на дейността по информационно обслужване. Те трябва да бъдат насочени към минимизиране на възможностите за възникване на инциденти, повишаване на ефективността на операциите, оптимизиране на използването на ресурсите на бизнес процесите в ИТ.

>> Ръководството да осигури качеството на управление на ИТ проектите - понякога това се подценява и проектите протичат без формално ръководство и ясна отговорност за резултатите от внедряването. За да се гарантира техния успех не бива да се пропуска създаването и стриктното изпълнение на плана на проекта, следенето на разходите сравнявани с бюджета, осигуряването на необходимите ресурси за изпълнение на задачите, контролирането на обхвата и промените, навременното разрешаване на конфликти, управлението на рисковете и качеството на изпълнение, следенето на съответствието с функционалната и техническата спецификация и т.н. Всички проекти, които са изостанали или по някакви причини са станали неподходящи, трябва своевременно да бъдат преразглеждани от ръководството, да се вземат решения и да се предприемат необходимите действия по тях.

>> Ръководството да осигури възможност за получаване на становище от независим (външен или вътрешен) анализ и оценка на постигнатите резултати от изпълнението на ИТ проектите, както и на степента на постигане на целите на информационното обслужване в банката по отношение на ползите, които се очакват за бизнеса, потенциалните рискове от него и съответствието на регулаторните и законови изисквания.

Управление на риска

Изискванията към управление на риска в ИТ не се различават по същество от изискванията към бизнеса като цяло. Те са свързани с:

• Познаване на рисковете от ръководителите на банката

• Ясно дефиниране на нивото на допустимия риск за институцията

• Познаване на изискванията за съответствие със законите и регулациите

• Осигуряване на прозрачност по отношение на съществените рискове вътре в институцията

• Възлагане на отговорностите за управление на риска по организационни нива

За осигуряване на ефективно управление на рисковете, ръководството трябва преди всичко ясно да формулира степента на риск, който се счита „приемлив“ за институцията, както и групите рискове, които представляват реална заплаха за нейния бизнес. На тази база следва да се изгради стратегията за управление на риска и да се определят отговорностите, свързани с нейното изпълнение.

>> В зависимост от типа риск, значимостта на дадена ИТ услуга или ИТ проект за бизнеса на банката, нейното ръководство може да избере един от следните подходи: да ограничи риска чрез внедряване на подходящи контроли, да сподели риска с партньори (доставчици на ИТ услуги, аутсорсинг на дейности) или застрахователи, или да приеме съществуването на риска като го наблюдава. Това означава, че трябва да бъде направен анализ и оценка на всеки идентифициран риск, да се създаде регистър на рисковете и да се дефинира контролна рамка за ИТ, която да включва подходящи контроли и отговорници за постигане на ефективно управление на риска. В този процес заплахите трябва да се оценят по обхвата, вероятността, предвидимостта и ефекта върху бизнеса, които формират степента на всеки риск.

Във всички случаи, рисковете в ИТ трябва да бъдат разглеждани като част от общите рискове за банката, да са отчетени при създаване на стратегията за управление на риска, да се следят от комитета по управление на риска, а не само от ИТ мениджърите.

Особено внимание заслужават рисковете свързани с използването на електронни канали (електронно банкиране, системи за разплащане, картови системи и др.), които трябва да бъдат интегрирани в общото управление на риска. Не трябва да се изпускат и рисковете свързани с изпълнение на ИТ операциите, с взаимоотношения с ИТ доставчици и аутсорсинг на ИТ дейности, с поверителността на данните на клиентите и ИТ сигурността като цяло, както и рисковете във връзка с изпълнение на ИТ проекти и несъответствия/противоречия с нуждите на бизнеса.

При създаване на общата стратегия за управление на риска ръководството на банката трябва да предвиди мерки за ограничаване и превенция на ИТ рисковете, да планира създаване на подходяща система за докладване на тези рискове, отчитаща всички оперативни и регулаторни аспекти, да оцени съотношението между размера на потенциалните щети и разходите необходими за ограничаването им, както и да предвиди дали има потенциални конфликти между основната дейност и ИТ операциите. Трябва да бъдат внимателно оценени и зависимостите между различни видове рискове, произтичащи от използването на ИТ и от основната дейност. Стратегията за ИТ сигурност трябва да произтича от общата стратегия за информационна сигурност на банката.

>> За изпълнението на стратегията по управление на риска в областта на ИТ следва да се предприемат редица стъпки, които да създадат документалната база и ресурсната обезпеченост за това. Необходимо е да бъде създаден план за възстановяване след аварии и съответни процедури за възстановяване на всяка една поотделно и общо за всички ИТ услуги (в т.ч. аутсорсваните), като се създадат и съответните ресурсни възможности за неговото изпълнение (инфраструктура за резервиране, обучение на персонала в ИТ и т.н.). Този план трябва да бъде съгласуван и интегриран с общия план на банката за непрекъсваемост на дейността и да се поддържа като част от процеса по управление на непрекъсваемостта на бизнеса.

Паралелно следва да се разработят и обезпечат ресурсно процедури за оперативни събития (малки инциденти), които не изискват активиране на плана, както и да се внедрят подходящи контроли при изпълнението на ИТ операциите, гарантиращи тяхното качество и достъпност. Всички те трябва да бъдат допълнени от процедури за известяване при възникването на ИТ проблеми, процедури за Helpdesk, процес за наблюдение и профилактика на ИТ ресурсите и обучение на ИТ специалисти и потребители.

Съществена част от набора документи необходим при внедряване на стратегията по управление на риска е и всеобхватната централизирана процедура за управление на промените в ИТ средата на банката, която да включва и правилата и методите за управление на ИТ проекти.

Важно е да се има предвид, че всички тези документи и свързани с тях мерки трябва да бъдат в съответствие и с политиката за информационна сигурност на банката и произтичащите от нея процедури и правила, а така също с изискванията на банковия регулатор и законовите разпоредби в страната. Необходимо е също да се осигури тяхната взаимна обвързаност и съгласувано прилагане за постигането на максимална ефективност на в процеса по управление на ИТ риска.

Рамката COBIT предоставя всички необходими контролни цели при управлението на риска, подходящи за ИТ средата в банкови институции. Задачата на ръководството на банката е да изгради съответните специфични контроли, които да гарантират ефективно постигане на целите.

Управление на ресурсите

Основните трудности при управлението на ИТ ресурсите произтичат от непрекъснатото развитие и изменение на технологиите, съпътствани от постоянни промени в изискванията на бизнеса на банката. При това е нужно да се поддържа баланс между внедряването и поддържането на нови технологии, внедряването на организационните промени, които произтичат от тяхното използване и привличането и запазването на ИТ специалисти с подходяща подготовка и опит при балансирани разходи и осигуряване на възможно най-добро качество на ИТ услугите за бизнеса.

Изискванията към управлението на ИТ тук са свързани с:

• Оптимизиране на придобиването и разпределението на ИТ ресурсите в банката

• Максимизиране на използването на ИТ ресурсите за обслужване на нуждите на бизнеса

• Оптимизиране на управлението на ресурсите, в т.ч. специалисти, приложни системи, данни, технологични и други, средства

• Оптимизиране на избора на ИТ услуги за аутсорсване и на последващото им управление с цел постигане на очакваните ползи за бизнеса при приемлива цена

При удовлетворяването на тези често противоречащи си изисквания, УС и изпълнителните директори на банката трябва да имат активно участие. Те трябва да се запознават в достатъчна степен и по подходящ начин с наличните и предлагани за използване ИТ ресурси и да осигуряват съответствие между придобиването и използването на тези ресурси и постигането на стратегическите цели на бизнеса на банката.

>> Необходимо е да се създаде система от политики, процедури, правила с отчитане на възможностите от използване на технически средства, които да регламентират процес за наблюдение на ресурсите, докладване и анализ на състоянието им както при изключителни обстоятелства, така и текущо при изпълнението на ИТ дейността.

В съответствие с тези документи, трябва да бъдат разпределени отговорности и права на служители от различни организационни единици в банката – те трябва не само да управляват/ръководят/оперират/използват ИТ ресурсите, но да следят, докладват и документират състоянието им, в т.ч. на специалистите, приложните системи, данните, технологичните и други средства. Отговорностите, взаимовръзките, ролите и критериите за оценка на тяхното изпълнение трябва бъдат дефинирани както за служителите извършващи оперативна дейност по информационно обслужване, така и в пълна степен за служителите участващи в ИТ проекти независимо дали са от ИТ или от бизнес звената в банката.

Тук специално следва да се подчертае и въпросът с осигуряване на подходящо обучение на ИТ специалистите, което да бъде в съответствие със заеманата длъжност и необходимостта от наличие на такъв опит и знания в институцията, като обучението не бива да се ограничава само в сферата на ИТ, а да обхваща и необходимите за изпълнение на дейността познания за бизнеса. В същото време от подходящо обучение по ИТ и регулярно актуализиране на познанията имат нужда и потребителите на ИТ услуги от бизнес звената в банката.

>> По отношение на инвестициите в ИТ е необходимо не просто УС и изпълнителните директори да бъдат запознати с направените вече инвестиции, да одобряват/неодобряват предложените от ИТ специалистите инвестиционни инициативи, но е особено важно те да са осигурили внедряването на процедури по оценка на възможностите за интеграция и взаимодействие на сложните ИТ процеси при реализацията на инвестиционните инициативи. Тези процедури следва да гарантират подходящо управление на промените в организацията и бизнес процесите по информационно обслужване, инцидентите и проблемите, конфигурацията, ИТ услугите и т.н още преди да бъде взето инвестиционното решение.

>> За постигане на ефективно управление на ресурсите, ръководството трябва да разработва периодични (годишни и тримесечни) специфични оперативни планове и бюджети за използването на своите ИТ ресурси, които да отчитат капацитетните възможности на базата на утвърдена методика за оценка. Тези планове освен с финансовите възможности следва да са съобразени с вътрешните нормативни документи и практики за ръководството на дейността по информационно обслужване, наблюдаваните тенденции в използването на съществуващите ресурсите (ненатоварени, пренатоварени), текущите ИТ стратегия и цели за развитие на бизнеса, стратегията за аутсорсинг и текущо аутсорсваните услуги, текущите и очакваните знания и опит на специалистите в ИТ.

Паралелно с това, ръководството на банката трябва да осигури да бъдат въведени процедури за проучване, оценка и придобиване ИТ продукти и услуги, оценка на качеството им след доставка, оценка на качеството на изпълнение и методика за приемане на проекти в ИТ, създаване и мониторинг на споразумения за ниво на обслужване (SLA – вътрешни и с външни доставчици вкл. за аутсорсвани ИТ услуги), стандартизиране на договорите с доставчици и застрахователи на ИТ.

Оценка на изпълнението на дейността

Оценяването на изпълнението на ИТ дейностите трябва да даде възможност за:

• Идентифициране и количествено измерване на разходите за изпълнение на ИТ дейността

• Идентифициране и количествено измерване на ползите от изпълнение на ИТ дейността

• Идентифициране и количествено измерване на възвращаемостта на инвестициите в пряко финансово изражение, като нетна стойност, вътрешна възвращаемост и приходи

• Идентифициране и измерване на възвращаемостта на инвестициите от реализиране на допълнителни нематериални ползи/загуби за банката, които не могат пряко да се определят количествено

Тъй като идентификацията и количествената оценка на ползите/загубите за банката от ИТ дейността често не са очевидни и лесно измерими, ръководството трябва да въведе подходяща система, която освен счетоводните резултати да отчита също и изискванията на конкурентната среда към нивото на използваните ИТ средства и наличните ИТ знания в институцията, които могат да й осигурят позицията, предвидена от текущата бизнес стратегия.

>> Едно от средствата, които може да използва ръководството на банката е балансовата карта за отчетност на ИТ (IT balanced scorecard). С нейна помощ може да се създаде еднакво разбиране по отношение на стратегическите цели на ИТ сред изпълнители, потребители и ръководители на ИТ услуги, да се внедри процес за постоянна отчетност на ИТ към висшето ръководство на банката, да се представи ефективността на използваните технологии и ползите от тях и да се информират всички имащи отношение нива от ръководството на институцията за изпълнението на ИТ дейността, възможностите и рисковете произтичащи от нея. Тази карта трябва да включва като минимум, степента на съответствие на ИТ услугите с нуждите на бизнеса, степента на удовлетворение от използваните ИТ услуги на вътрешните потребители и клиентите, ефективността на операциите, възможностите за развитие на технологии/услуги, оперативни показатели (нива на обслужване, време за възстановяване при инциденти, пропускателна способност за транзакции, времена за отговор и достъпност на системите) и счетоводни данни.

>> Друг инструмент за постигане на целите на управлението на ИТ в тази област е оценката на нивото на информационно обслужване в банката чрез периодично сравняване с утвърдения модел за ИТ развитие. Степените на състояние на управлението на ИТ, които моделът дефинира са: 0 – липсва, 1- начална/неорганизирано, 2 – установени практики, но интуитивно, 3 – дефинирани процеси, 4 – ръководено и измеримо, 5 – оптимизирано.

Преди да избере да използва някое от посочените или друго средство, ръководството на банката трябва да инициира редица оценки на текущото състояние на управлението на ИТ – оценка на текущите измерители на дейността, оценка на използваните управленски информационни системи в частта им за отчитане на дейността по информационно обслужване, анализ и оценка на процесите за оценяване на ИТ доставчиците и контрагентите за аутсорсинг, оценка на практиките по контрол на нивото на обслужване спрямо очакванията на бизнеса от ИТ (вътрешно, външно и от аутсорсинг), оценка на възвръщаемостта на инвестициите в ИТ спрямо планираното, оценка на нивото на конкурентоспособност, което използваните ИТ дават на бизнеса на банката, оценка на практиките в тази област, приети в конкурентни институции.

В областта на управлението на изпълнение на ИТ дейността, ръководството на банката трябва да въведе и процес за текущо отчитане на състоянието на изпълняваните ИТ проекти и тяхното влияние върху рисковия профил на институцията, както и непрекъснато адекватно оценяване на разходите и постигнатите цели. Необходимо е да се въведе и практика за постоянно следене на отклоненията от бюджета както на проектите, така и за оперативна дейност, както и да се правят периодични прегледи и актуализация на всички нормативни документи по управление на ИТ с цел поддържане на съответствието на техните изисквания с нуждите на бизнеса.

В заключение

От всичко казано тук е ясно, че ако приложат внимателно рамката COBIT в управлението на ИТ, УС и изпълнителните директори на банката могат да гарантират постигането на целите на ИТ за развитие и успех на нейния бизнес.

Рамона Червенкова е водещ специалист в областта на Управленското консултиране и ИТ одита с дългогодишен опит и специализация в използването на ИТ за нуждите на бизнеса и ръководство на ИТ проекти. Участвала е и е ръководила редица проекти в Западна, Централна Европа и България, реализирани в индустрията, обществената и банковата сфера.