Het COBIT® Model

Het COBIT® 5.0 Model

Het COBIT® model voorziet businessmanagers, IT-managers, auditoren en gebruikers van een set algemeen geaccepteerde meetinstrumenten, indicatoren, processen en best practices die hen kunnen helpen bij het maximaliseren van de voordelen die informatietechnologie met zich meebrengt. Door het toepassen van COBIT® is het voor een organisatie mogelijk om een geschikte en toepasbare mate van IT-governance en control te implementeren

Voor het management beschrijft COBIT® waar zij rekening mee moet houden wanneer beslissingen over IT genomen worden en investeringen in IT worden gedaan. COBIT® helpt om een balans te vinden tussen risico en het investeren in controle. Het management heeft een dergelijk raamwerk nodig om deze controle uit te voeren, zodat business requirements kunnen worden uitgedrukt als informatiecriteria. Dit moet dan wel een raamwerk zijn dat IT organiseert als een set van processen en dat IT neerzet als een set van middelen. De internationaal geaccepteerde standaard als COBIT® is zo’n raamwerk.

Voor auditors levert het een lijst van control objectives en minimum controls op en daarnaast een handvat voor het benchmarken van een groep vergelijkbare organisaties of organisatieonderdelen. Voor de IT-gebruikers geeft het COBIT® model de algemeen geaccepteerde meetinstrumenten, indicatoren, processen en best practices een extra zekerheid van de beheersing en de beveiliging van de systemen.

Meer in zijn algemeenheid zijn er verschillende redenen om COBIT® te gaan gebruiken:

• behoefte om IT governance te implementeren/verbeteren;
• de IT-dienstverlening verder te laten aansluiten bij de organisatiedoelstellingen;
• overnames of fusies, en de noodzaak tot uniformering van processen;
• standaardiseren en automatiseren van IT-processen;
• voldoen aan wet- en regelgeving (SOx, WFT, WBP, MIFID, Basel III);
• outsourcing;
• het beheersbaar krijgen van IT-kosten;
• het implementeren van een IT-controlraamwerk.

In alle gevallen dient er gestart te worden met aansluiting te zoeken bij de organisatiedoelstellingen. Een IT-afdeling hoeft zich bijvoorbeeld niet autonoom te verantwoorden over wet- en regelgeving. Het beheersbaar krijgen van de IT-kosten dient plaats te vinden in relatie tot de organisatiedoelstellingen.

De vier domeinen van het COBIT® model

Het startpunt van COBIT® is het definiëren of weergeven van de organisatie en de compliancy doelstellingen. Anders gezegd: waar staat de organisatie voor gezien haar doelen en waar moet zij gezien de wetgeving aan voldoen qua informatievoorzieningen. Zonder deze input bestaat er geen garantie dat de navolgende stappen een bijdrage zullen leveren aan het behalen van de bedrijfsdoelstellingen.

De doelstellingen voor de IT-functie worden verder uitgewerkt in vier domeinen:

1. Plan and Organise: gericht op het definiëren van de IT-strategie en de IT-architectuur.
2. Acquire and Implement: gericht op het vertalen van de IT-strategie naar het implementeren van IT-oplossingen.
3. Deliver and Support: opleveren en beheren van de geïmplementeerde oplossingen.
4. Monitor and Evaluate: beoordelen of de IT de gewenste bijdrage levert aan de bedrijfsdoelstellingen.

De vier domeinen van het COBIT® Model staan met elkaar in verbinding en bestrijken het gehele IT-landschap. Beslissingen die in Plan and Organise worden genomen, worden in Acquire and Implement geïmplementeerd. In het domein Deliver and Support worden de deliverables in gebruik genomen door de operationele afdelingen en tegelijkertijd begint het monitoringproces om vast te stellen of de genomen beslissingen datgene opleveren wat de organisatie voor ogen had in de fase Plan and Organise.

Per domein zijn de bijbehorende processen gedefinieerd. De domeinen bestaan uit in totaal vierendertig processen. Eisen zijn gedefinieerd waar de output van IT aan dient te voldoen. Deze eisen zijn vertaald naar de volgende kwaliteitscriteria: effectiviteit, efficiency, confidentiality, integrity, availability, compliance en reliability.

Naast de vier domeinen en kwaliteitscriteria besteedt het COBIT® model ook aandacht aan de te gebruiken resources. COBIT® verstaat onder resources: applicaties, informatie, infrastructuur en mensen.