COBIT.

Che cosa governa realmente COBIT

COBIT è il framework di ISACA per la governance e la gestione dell'IT aziendale. La sua distinzione fondamentale, e quella su cui i professionisti inciampano più spesso, è la linea che traccia tra governance e gestione. La governance riguarda il consiglio di amministrazione e il livello esecutivo: definire la direzione, valutare le opzioni e monitorare i risultati. La gestione riguarda la pianificazione, la costruzione, l'esecuzione e il monitoraggio delle attività che realizzano tale direzione. COBIT mantiene queste due dimensioni come domini separati, affinché chi decide ciò che l'IT deve realizzare non coincida con chi rendiconta se è stato realizzato.

Quella separazione è il motivo per cui gli auditor ricorrono a COBIT quando una norma di sicurezza delle informazioni non basta. ISO 27001 indica come far funzionare un sistema di gestione della sicurezza delle informazioni. NIST fornisce un catalogo di controlli e di risultati. COBIT si colloca al di sopra di entrambi: risponde alla domanda se l'IT nel suo complesso sia orientato verso gli obiettivi dell'azienda, se il rischio e le risorse siano gestiti in modo responsabile, e se gli stakeholder ottengano valore. È più ampio della sicurezza e deliberatamente meno prescrittivo di un elenco di controlli.

La struttura di COBIT 2019

L'edizione attuale è COBIT 2019. Organizza il lavoro in obiettivi raggruppati sotto i domini di governance e di gestione, e associa a ciascuno i componenti necessari per farlo funzionare: processi, strutture organizzative, politiche, flussi informativi, cultura, competenze e servizi. Il punto è che un processo sulla carta non significa nulla se mancano le strutture, le competenze e la cultura che lo circondano, perciò COBIT vi obbliga a esaminarli tutti insieme.

Due idee rendono COBIT 2019 utilizzabile nella pratica, e non semplicemente un poster appeso al muro:

• I fattori di progettazione. La strategia aziendale, il profilo di rischio, i requisiti di conformità, il ruolo dell'IT e il modello di sourcing determinano insieme quali obiettivi meritano attenzione. COBIT non presuppone che ogni organizzazione abbia bisogno dello stesso sistema di governance, quindi si adatta il framework al contesto anziché adottarlo integralmente.
• La capacità e la maturità. Ogni obiettivo di governance e di gestione può essere valutato su una scala di capacità, e il framework supporta anche una visione della maturità per aree di interesse. È così che le Big Four e i team di internal audit producono un quadro difendibile del «dove siamo, dove dovremmo essere» anziché un'opinione soggettiva.

Dove si colloca COBIT rispetto agli altri framework

I professionisti utilizzano quasi sempre COBIT accanto ad altri framework anziché al loro posto. Uno schema comune: COBIT definisce gli obiettivi di governance e la baseline di maturità, ISO 27001 rende operativa la sicurezza delle informazioni, ITIL gestisce i servizi, e un framework di rischio alimenta il quadro del rischio. COBIT diventa l'ombrello che mostra come questi elementi servono gli obiettivi aziendali e dove si trovano le lacune.

COBIT è anche il corpo di conoscenze alla base della certificazione CGEIT di ISACA, rivolta ai professionisti responsabili della governance dell'IT aziendale. Se il vostro ruolo è garantire o progettare il modo in cui l'IT viene guidato a livello di consiglio, COBIT è il framework di riferimento e CGEIT la certificazione corrispondente.