IT governance: theorie versus praktijk
Het concept ‘IT governance’ staat ondertussen al meerdere jaren hoog op de agenda van vele organisaties. Heel wat bedrijven en overheidsinstellingen hebben IT governanceprojecten opgestart, om een betere fusie tussen IT en de organisatie te bereiken, en om de noodzakelijke betrokkenheid van het business senior management te verkrijgen. De vraag is natuurlijk hoe organisaties het IT governanceconcept kunnen toepassen in een concrete omgeving.
Dit artikel is gebaseerd op onderzoek dat wordt uitgevoerd in het kader van het IT Alignment and Governance onderzoekscentrum van de UAMS (www.uams.be/itag).
IT GOVERNANCE DEFINITIE
Zoals dat vaak gebeurt met nieuwe managementmodellen en -principes, zijn er voor IT governance de laatste jaren heel wat verschillende defi nities ontwikkeld. We weerhouden hier twee belangrijke. De eerste is ontwikkeld door het IT Governance Institute (www.itgi.org), de tweede wordt gehanteerd in de ‘IT Governance and its Mechanisms’ Track van de Hawaii International Conference on Systems Studies (HICSS), één van de belangrijkste internationale conferenties in het IT-domein (www.hicss.hawaii.edu).
IT governance is the responsibility of the Board of Directors and executive management. It is an integral part of enterprise governance and consists of the leadership and organizational structures and processes that ensure that the organization’s IT sustains and extends the organization’s strategy and objectives. (IT Governance Institute)
IT governance is the organizational capacity exercised by the Board, executive management and IT management to control the formulation and implementation of IT strategy and in this way ensure the fusion of business and IT. (HICSS)
Het ondersteunen en verder ontwikkelen van de bedrijfsdoelstellingen, en het bereiken van de fusie tussen business en IT (vaak genoemd onder de termen strategic alignment en business/IT alignment) wordt in beide defi nities gezien als de ultieme doelstelling van IT governance. Maar deze problematiek bestaat al langer. De steeds grotere afhankelijkheid van IT verklaart de verhoogde aandacht voor het onderwerp.
Voor de ene organisatie speelt IT een belangrijkere rol dan voor de andere. Zo zal het belang van IT in een bankorganisatie waarschijnlijk groter zijn dan in een cementfabriek. Het komt er op neer dat er voor IT governance geen receptenboek bestaat, en er dus geen kant-en-klare oplossing kan worden ontwikkeld.
Een ander kernpunt in de bovenstaande defi nities is de primaire verantwoordelijkheid van de raad van bestuur en het directiecomité. Bestuurders moeten hun rol opnemen inzake IT governance (deel van corporate governance) en het op de agenda plaatsen van hun vergaderingen. IT governance moet bovendien worden doorgetrokken naar de onderliggende IT en businessniveaus. Bestuurders zijn dus verantwoordelijk voor IT governance op strategisch niveau, leden van het directiecomité en de chief information officer op managementniveau, en de IT-organisatie samen met de business op het operationele niveau (zie figuur 1)
HOE IT GOVERNANCE IMPLEMENTEREN?
De vraag is hoe organisaties aan IT governance kunnen beginnen. Een IT governancestrategie op een hoog niveau in de organisatie volstaat uiteraard niet om IT governance ‘levend’ te maken in de dagdagelijkse praktijk. IT governance kan worden uitgerold door gebruik te maken van een mix van verscheidene structuren, processen en relationele mechanismen.
Structuren behandelen het bestaan van verantwoordelijke functies zoals IT executives en een reeks comités en raden. Zo is er de organisatie van het IT-departement zelf en de positionering van IT binnen de globale organisatie. Als de CIO rapporteert aan de CFO zal er mogelijk meer nadruk liggen op kosten(reductie), terwijl een rapportering aan de CEO misschien eerder vertrekt van de waardepropositie van IT.
Processen verwijzen naar strategische besluitvorming en opvolging. Dit kan gaan over het strategisch planningsproces en de manier waarop projecten worden gestart en opgevolgd binnen de organisatie. Er bestaan ook specifi eke procesraamwerken, zoals bijvoorbeeld COBIT (Control Objectives for Information and Related Technologies), dat meer en meer wordt gezien als een algemeen aanvaard raamwerk voor IT governance. Relationele mechanismen zijn heel belangrijk maar vaak onderschat. Een organisatie kan alle IT governanceprocessen en structuren hebben geïmplementeerd, zonder dat het geheel functioneert, omdat de IT-medewerkers eenvoudigweg de businessmensen niet begrijpen, of omdat beide partijen niet met elkaar samenwerken. Om het geheel te laten werken is het dus van groot belang om goede relaties te hebben tussen IT en businessmensen.
De juiste combinatie van structuren, processen en relationele mechanismen vinden, zal natuurlijk afhangen van een reeks externe en interne factoren zoals sector, bedrijfsstrategie en de mate van afhankelijkheid van IT. Het is dan ook vanzelfsprekend dat wat werkt voor de ene organisatie, daarom nog niet werkt voor andere organisaties.
DE ERVARINGEN UIT DE PRAKTIJK
Als deel van een diepgaand doctoraal onderzoeksproject wordt op UAMS onderzoek uitgevoerd naar de ervaringen uit de praktijk met bovenstaande structuren, processen en relationele mechanismen. Er werd een groep samengesteld van 22 experten uit de financial services industrie (consultants, business managers, IT managers, auditors) die allemaal rechtstreeks te maken hebben met IT governance. De financiële sector neemt namelijk al jaren een leidende rol in bij het toepassen van IT governance, omwille van hun grote afhankelijkheid van IT. Aan deze groep werd een lijst van IT governancemechanismen voorgelegd die zich situeren op het strategische en managementniveau.
Aan de hand van de delphi-onderzoeksmethode werd er naar consensus gezocht inzake een aantal ervaringen rond IT governancepraktijken (op een schaal van 5). De grafiek in figuur 2 geeft een overzicht van de IT governancepraktijken, gesorteerd volgens graad van effectiviteit.
De meest effectieve structuur die naar voor wordt gebracht is het IT steering committee, een orgaan waarin business- en IT-mensen samenzitten om onder meer investeringsbeslissingen te maken en projecten te prioritiseren. In de praktijk zien we ook dat dit één van de meest voorkomende structuren is. Een andere belangrijke structuur, in termen van effectiviteit, is het rapporteren van de CIO aan de CEO of zelfs de CIO lid maken van het directiecomité.
Dit voorkomt de situatie waarin IT louter wordt gezien als een kostenpost (en dus enkel wordt aangestuurd op kostenreductie), en creëert een situatie waarin ook aandacht kan worden besteed aan de potentiële IT value creation voor de organisatie. Dit kan uiteraard alleen maar werken als het relationele mechanisme IT leadership aanwezig is (plaats 9), wat betekent dat de CIO moet beschikken over de capaciteit om de visie van IT te vertalen in businesstermen, zodat iedereen begrijpt wat de potentiële waarde is die IT kan creëren.
Verder staan in de top-5 ‘IT budget control en reporting’ (uiteraard blijft de aandacht voor het financiële luik van IT belangrijk) en ‘IT portolio management’, wat gelinkt is aan de rol van het IT steering committee. Het COBIT-raamwerk, dat de laatste tijd heel veel aandacht heeft gekregen als krachtig IT governanceraamwerk belandt in dit onderzoek in het midden (17de plaats). De nog geringe diepgaande kennis van dit raamwerk kan misschien een verklaring zijn voor deze eerder lage positie.
Wat ook verrassend laag staat, is het proces benefits management and reporting (plaats 26). Dat proces volgt continu op of een IT-project effectief business value genereert, zoals beschreven staat in de initiële business case. In de praktijk wordt dit zeer weinig gedaan en toch wordt het door goeroes vaak aangeduid als één van de kritische succesfa
ctoren, al was het maar om lessen te trekken uit het verleden. De lage positionering kan misschien verklaard worden door het feit dat dit een zeer moeilijk proces is, waarvan een grote verantwoordelijkheid bij de business ligt (enkel de business kan de bereikte business value gaan meten).
Ten slotte vermelden we nog de eerder lage positie van ‘IT strategy committee at level of board of directors’ en ‘IT expertise at level of board of directors’. Waar in de definitie duidelijk wordt gesteld dat IT governance ook een verantwoordelijkheid is van de Raad van Bestuur, worden de mechanismen om dit te realiseren hier eerder laag gescoord inzake effectiviteit. Elke organisatie zal IT governance op haar eigen manier implementeren, in functie van haar afhankelijkheid van IT, haar cultuur, enzovoort. Dat neemt niet weg dat er steeds een aantal praktijken zullen zijn die we in elke organisatie zullen terugvinden, als noodzakelijke elementen om IT governance succesvol te maken.
Als meest effectieve komen duidelijk ‘IT steering committees’, ‘het rapporteren van de CIO aan de CEO of CIO lidmaatschap in het directiecomité’ en ‘IT budget control and reporting’ naar boven. Hoewel dit onderzoek in de eerste plaats specifi ek gericht is op de fi nanciële sector, zijn heel wat conclusies ook toepasbaar zijn op andere sectoren, maar dan misschien minder diepgaand.
In een kleine organisatie in een minder IT-afhankelijke sector zal, bijvoorbeeld, slechts één IT steering committee voldoende zijn. Meer toegepast onderzoek binnen het ITAG Research Institute zal onder andere hierop verder werken.
Steven De Haes is coördinator beleidsinformatica en Wim Van Grembergen is hoofd van het departement beleidsinformatica aan de Universiteit Antwerpen Management School. Meer informatie over hun activiteiten op www.uams.be.
