تفاوت ممیزی و ارزیابی
آیا رعایت استانداردها به معنای بلوغ فناوری اطلاعات است؟
تصور کنید مدیرعامل یک هلدینگ بزرگ در جلسه بررسی وضعیت فناوری اطلاعات شرکت‌های زیرمجموعه می‌پرسد:
«آیا وضعیت فناوری اطلاعات شرکت‌های ما مناسب است؟»
یکی از مدیران پاسخ می‌دهد:
«بله، تعدادی از شرکت‌ها گواهینامه ISO 27001 دارند، ممیزی‌های دوره‌ای انجام شده و عدم انطباق‌های شناسایی‌شده نیز در حال رفع هستند.»
- پاسخ امیدوارکننده‌ای است؛ اما آیا برای شناخت وضعیت واقعی فناوری اطلاعات کافی است؟
- آیا سازمانی که الزامات یک استاندارد امنیت اطلاعات را رعایت کرده، الزاماً از حاکمیت فناوری اطلاعات مناسبی برخوردار است؟
- آیا فرایندهای مدیریت خدمات آن کارآمد هستند؟
- آیا پروژه‌های فناوری اطلاعات به‌درستی انتخاب و مدیریت می‌شوند؟
- آیا سامانه‌های اطلاعاتی پاسخ‌گوی نیازهای کسب‌وکار هستند؟
- و آیا سرمایه‌گذاری‌های فناوری اطلاعات، ارزش مورد انتظار را برای سازمان ایجاد کرده‌اند؟
رعایت استانداردها ضروری و ارزشمند است؛ اما انطباق با استاندارد، لزوماً به معنای بلوغ و اثربخشی همه ابعاد فناوری اطلاعات نیست.
اینجاست که تفاوت دو مفهوم مهم آشکار می‌شود: ممیزی (Audit) و ارزیابی (Assessment).
ممیزی؛ آیا الزامات و استانداردها رعایت شده‌اند؟
ممیزی فناوری اطلاعات معمولاً با مجموعه‌ای از معیارهای مشخص آغاز می‌شود.
این معیارها می‌توانند از استانداردهای بین‌المللی، الزامات قانونی، مقررات بالادستی، سیاست‌های داخلی سازمان یا تعهدات قراردادی استخراج شده باشند.
ممیز با بررسی مستندات، مصاحبه با مسئولان، مشاهده فرایندها و گردآوری شواهد، بررسی می‌کند که سازمان تا چه اندازه با معیارهای تعیین‌شده انطباق دارد.
در این رویکرد، مفاهیمی مانند انطباق (Compliance)، عدم انطباق (Nonconformity)، شواهد ممیزی (Audit Evidence) و اقدامات اصلاحی (Corrective Actions) اهمیت ویژه‌ای دارند.
برای مثال، برخی استانداردها و مراجع شناخته‌شده در ممیزی فناوری اطلاعات عبارت‌اند از:
ISO/IEC 27001 — سیستم مدیریت امنیت اطلاعات
این استاندارد الزامات ایجاد، پیاده‌سازی، نگهداری و بهبود مستمر سیستم مدیریت امنیت اطلاعات را مشخص می‌کند. در ممیزی آن، رعایت الزامات سیستم مدیریت و کنترل‌های امنیتی قابل اعمال بررسی می‌شود.
ISO/IEC 20000-1 — سیستم مدیریت خدمات فناوری اطلاعات
این استاندارد الزامات سیستم مدیریت خدمات را تعریف می‌کند و می‌تواند مبنایی برای ممیزی نحوه مدیریت و ارائه خدمات فناوری اطلاعات باشد.
ISO 22301 — سیستم مدیریت تداوم کسب‌وکار
در ممیزی مبتنی بر این استاندارد، میزان انطباق سازمان با الزامات سیستم مدیریت تداوم کسب‌وکار بررسی می‌شود.
ISO 9001 — سیستم مدیریت کیفیت
استانداردی برای الزامات سیستم مدیریت کیفیت که می‌تواند در ارزیابی انطباق فرایندهای مرتبط با خدمات و فعالیت‌های فناوری اطلاعات نیز مورد استفاده قرار گیرد.
ISO 19011
همچنین استاندارد ISO 19011 راهنمایی برای ممیزی سیستم‌های مدیریتی ارائه می‌کند و چارچوبی برای اصول ممیزی، مدیریت برنامه ممیزی و اجرای آن فراهم می‌سازد.
در ممیزی، ممکن است پرسش‌هایی مانند این مطرح شوند:
- آیا سیاست امنیت اطلاعات تصویب و ابلاغ شده است؟
- آیا فرایند مدیریت ریسک مطابق الزامات تعریف‌شده اجرا می‌شود؟
- آیا سوابق و شواهد اجرای کنترل‌ها وجود دارند؟
- آیا عدم انطباق‌های قبلی برطرف شده‌اند؟
- آیا اقدامات اصلاحی انجام‌شده اثربخش بوده‌اند؟
ممیزی به سازمان کمک می‌کند اطمینان حاصل کند که الزامات مشخصی را رعایت کرده و کنترل‌های مورد انتظار را به‌درستی اجرا می‌کند.
اما شناخت وضعیت فناوری اطلاعات تنها به این پرسش‌ها محدود نمی‌شود.
ارزیابی؛ چقدر با بهترین روش‌های شناخته‌شده فاصله داریم؟
در ارزیابی بلوغ و عملکرد فناوری اطلاعات، زاویه نگاه گسترده‌تر می‌شود.
در اینجا هدف صرفاً بررسی رعایت یک الزام نیست؛ بلکه تلاش می‌شود توانمندی سازمان، کیفیت فرایندها، میزان بلوغ مدیریتی، اثربخشی خدمات و فاصله وضعیت موجود با روش‌های مطلوب شناسایی شود.
برای این منظور، می‌توان از چارچوب‌های معتبر بین‌المللی، مدل‌های بلوغ و بهترین روش‌های شناخته‌شده (Best Practices) بهره گرفت.
این چارچوب‌ها حاصل تجربه‌های حرفه‌ای، پژوهش‌ها و دانش تخصصی در مدیریت و راهبری فناوری اطلاعات هستند و به سازمان‌ها کمک می‌کنند به‌جای ابداع مجدد روش‌ها، از الگوهای آزموده‌شده استفاده کنند.
برخی از مهم‌ترین آن‌ها عبارت‌اند از:
COBIT 2019 — چارچوب حاکمیت و مدیریت فناوری اطلاعات
چارچوب COBIT که توسط ISACA توسعه یافته است، به سازمان‌ها کمک می‌کند حاکمیت و مدیریت اطلاعات و فناوری را با اهداف کسب‌وکار همسو کنند.
در ارزیابی مبتنی بر COBIT می‌توان موضوعاتی مانند ساختار تصمیم‌گیری، مدیریت ریسک، تحقق منافع، مدیریت منابع، نظارت بر عملکرد و قابلیت فرایندهای فناوری اطلاعات را بررسی کرد.
ITIL 4 — بهترین روش‌های مدیریت خدمات فناوری اطلاعات
ITIL مجموعه‌ای از راهنماها و روش‌های شناخته‌شده برای مدیریت خدمات فناوری اطلاعات ارائه می‌دهد.
موضوعاتی مانند مدیریت رخداد، مدیریت مشکل، مدیریت تغییر، مدیریت سطح خدمات، مدیریت درخواست‌های خدمت و بهبود مستمر در این چارچوب مورد توجه قرار می‌گیرند.
در ارزیابی، تنها وجود یک فرایند اهمیت ندارد؛ بلکه نحوه عملکرد آن و میزان ارزش‌آفرینی برای کاربران و کسب‌وکار نیز بررسی می‌شود.
TOGAF — چارچوب معماری سازمانی
TOGAF به سازمان‌ها کمک می‌کند معماری کسب‌وکار، داده، برنامه‌های کاربردی و فناوری را به‌شکلی ساختاریافته طراحی و مدیریت کنند.
در ارزیابی معماری سازمانی می‌توان بررسی کرد که سامانه‌ها و زیرساخت‌های موجود تا چه اندازه با معماری هدف و نیازهای آینده سازمان هماهنگ‌اند.
CMMI — مدل بهبود قابلیت و عملکرد
CMMI رویکردی ساختاریافته برای سنجش و ارتقای قابلیت فرایندها و عملکرد سازمان ارائه می‌کند.
این مدل می‌تواند در بررسی بلوغ فرایندهای توسعه، ارائه خدمات، مدیریت و بهبود عملکرد مورد استفاده قرار گیرد.
NIST Cybersecurity Framework 2.0 — چارچوب امنیت سایبری
این چارچوب با شش کارکرد Govern، Identify، Protect، Detect، Respond و Recover به سازمان‌ها کمک می‌کند ریسک‌های امنیت سایبری خود را به‌صورت ساختاریافته مدیریت و وضعیت موجود و هدف خود را بررسی کنند.
در این رویکرد، صرفاً وجود کنترل‌های امنیتی مطرح نیست؛ بلکه نحوه مدیریت ریسک، توانایی تشخیص تهدیدات، پاسخ‌گویی و بازیابی نیز اهمیت دارد.
نکته مهم این است که استانداردها و چارچوب‌ها همیشه در دو گروه کاملاً جدا قرار نمی‌گیرند. برای مثال، NIST CSF می‌تواند مبنای ارزیابی و تحلیل شکاف قرار گیرد و COBIT نیز می‌تواند به‌عنوان معیار یک ممیزی استفاده شود.
تفاوت اصلی در نام استاندارد یا چارچوب نیست؛ در هدف، روش اجرا و نوع نتیجه‌ای است که از آن انتظار داریم.
تفاوت ممیزی و ارزیابی در یک نگاه
| موضوع | ممیزی فناوری اطلاعات | ارزیابی بلوغ و عملکرد |
|---|---|---|
| پرسش اصلی | آیا الزامات رعایت شده‌اند؟ | وضعیت ما چقدر مطلوب است؟ |
| تمرکز غالب | استانداردها، کنترل‌ها و عدم انطباق‌ها | بهترین روش‌ها، قابلیت‌ها و بلوغ |
| معیار بررسی | الزامات و معیارهای مصوب | چارچوب‌ها، مدل‌های بلوغ و اهداف سازمان |
| خروجی معمول | یافته‌ها، انطباق‌ها و عدم انطباق‌ها | امتیاز بلوغ، شکاف‌ها و فرصت‌های بهبود |
| نگاه به آینده | اقدامات اصلاحی و بهبود انطباق | نقشه راه توسعه و ارتقای عملکرد |
| کاربرد مدیریتی | اطمینان‌بخشی و کنترل | تصمیم‌سازی، اولویت‌بندی و برنامه‌ریزی |
| نمونه مراجع | ISO 27001، ISO 20000-1، ISO 22301 | COBIT، ITIL، TOGAF، CMMI، NIST CSF |
یک مثال؛ دو نگاه به یک مسئله
فرض کنید یک شرکت دارای واحد پشتیبانی فناوری اطلاعات است.
در ممیزی مبتنی بر الزامات مدیریت خدمات، بررسی می‌شود که آیا فرایند مدیریت رخداد تعریف شده، مسئولیت‌ها مشخص هستند، سوابق رخدادها ثبت می‌شوند و الزامات مربوط رعایت شده‌اند یا خیر.
اما در ارزیابی مبتنی بر بهترین روش‌های ITIL، می‌توان پرسش‌های دیگری مطرح کرد:
- آیا رخدادها در زمان مناسبی برطرف می‌شوند؟
- آیا مشکلات تکرارشونده شناسایی و ریشه‌یابی می‌شوند؟
- آیا کاربران از کیفیت پاسخ‌گویی رضایت دارند؟
- آیا شاخص‌های عملکرد خدمات اندازه‌گیری و تحلیل می‌شوند؟
- آیا فرایند پشتیبانی به‌صورت مستمر بهبود پیدا می‌کند؟
در نگاه اول، هدف بررسی رعایت معیارهای تعیین‌شده است.
در نگاه دوم، هدف شناخت میزان کارآمدی، قابلیت و بلوغ خدمات است.
ممکن است سازمان از نظر انطباق وضعیت قابل قبولی داشته باشد، اما همچنان فرصت‌های قابل توجهی برای افزایش کیفیت و اثربخشی خدمات داشته باشد.
چرا ارزیابی برای وزارتخانه‌ها و هلدینگ‌ها ارزش ویژه‌ای دارد؟
در یک وزارتخانه یا هلدینگ بزرگ، ده‌ها سازمان، بانک، مؤسسه و شرکت ممکن است از نظر اندازه، مأموریت، زیرساخت و سطح توسعه فناوری اطلاعات با یکدیگر متفاوت باشند.
ممیزی می‌تواند اطمینان دهد که الزامات مشترک و ضروری در این مجموعه‌ها رعایت می‌شوند.
اما مدیریت ارشد برای راهبری این مجموعه‌ها به اطلاعات دیگری نیز نیاز دارد.
- کدام شرکت از نظر حاکمیت فناوری اطلاعات بالغ‌تر است؟
- کدام سازمان در مدیریت خدمات عملکرد بهتری دارد؟
- کدام مجموعه از بهترین روش‌های شناخته‌شده فاصله بیشتری دارد؟
- چه ضعف‌هایی میان چندین شرکت مشترک‌اند؟
- کدام مجموعه نسبت به دوره قبل پیشرفت کرده و کدام‌یک دچار افت شده است؟
- و مهم‌تر از همه، منابع مالی و مدیریتی باید برای بهبود کدام حوزه‌ها متمرکز شوند؟
ارزیابی ساختاریافته می‌تواند به پاسخ‌گویی به این پرسش‌ها کمک کند.
به‌ویژه زمانی که چارچوب ارزیابی، علاوه بر معیارهای مشترک، تفاوت ماهیت و مأموریت سازمان‌ها را نیز در نظر بگیرد.
در چنین شرایطی، ارزیابی به یک زبان مشترک برای شناخت، مقایسه و راهبری فناوری اطلاعات تبدیل می‌شود.
فیدورا؛ بهره‌گیری از بهترین روش‌ها برای شناخت وضعیت واقعی
فیدورا با رویکرد ارزیابی و پایش بلوغ فناوری اطلاعات توسعه یافته است؛ رویکردی که هدف آن فراتر رفتن از بررسی صرفِ انطباق و حرکت به سمت شناخت توانمندی‌ها، نقاط ضعف، مخاطرات و فرصت‌های بهبود است.
در این پلتفرم، حوزه‌هایی مانند حاکمیت فناوری اطلاعات، امنیت و مدیریت ریسک، زیرساخت، خدمات و پشتیبانی، سامانه‌های اطلاعاتی، تحول دیجیتال و تحلیل داده در یک ساختار ارزیابی مورد توجه قرار می‌گیرند.
نگاه فیدورا به ارزیابی، بهره‌گیری از منطق بهترین روش‌های مدیریتی و فنی و ایجاد امکان سنجش وضعیت سازمان‌ها در طول زمان است.
در این رویکرد، مدیران وزارتخانه‌ها و هلدینگ‌ها می‌توانند علاوه بر مشاهده نتایج هر مجموعه، وضعیت شرکت‌ها را مقایسه کنند، روند تغییرات را ببینند و حوزه‌های نیازمند توجه را شناسایی نمایند.
همچنین ترکیب ارزیابی فنی، ارزیابی غیر‌فنی و بازخورد کاربران نهایی، امکان شناخت جامع‌تری از عملکرد واقعی فناوری اطلاعات فراهم می‌کند.
البته استفاده از مفاهیم و بهترین روش‌های چارچوب‌های بین‌المللی به معنای دریافت گواهینامه یا تأیید رسمی از نهادهای تدوین‌کننده آن‌ها نیست.
مزیت فیدورا این است که ارزیابی را از یک فعالیت مقطعی به بستری برای شناخت مستمر وضعیت و تصمیم‌گیری درباره بهبود فناوری اطلاعات تبدیل می‌کند.
سخن پایانی؛ رعایت استاندارد کافی است یا حرکت به سمت بهترین عملکرد؟
سازمان‌ها به ممیزی نیاز دارند تا از رعایت الزامات، اجرای کنترل‌ها و انطباق با استانداردها اطمینان حاصل کنند.
اما برای توسعه توانمندی‌ها، ارتقای بلوغ، افزایش اثربخشی و تصمیم‌گیری درباره آینده، به ارزیابی نیز نیاز دارند.
ممیزی و ارزیابی دو رویکرد مکمل هستند؛ یکی بیشتر بر اطمینان‌بخشی نسبت به معیارهای مشخص تمرکز دارد و دیگری بر شناخت وضعیت و یافتن مسیر بهبود.
برای مدیران ارشد، هر دو ارزشمندند؛ اما وقتی موضوع، راهبری فناوری اطلاعات ده‌ها سازمان و شرکت باشد، ارزیابی می‌تواند تصویری گسترده‌تر از فرصت‌های توسعه و اولویت‌های سرمایه‌گذاری فراهم کند.
ممیزی به ما کمک می‌کند بدانیم آیا آنچه باید انجام می‌دادیم، انجام داده‌ایم؛ ارزیابی به ما کمک می‌کند بفهمیم آنچه انجام می‌دهیم، چقدر خوب است و چگونه می‌توانیم بهتر عمل کنیم.
فیدورا؛ از سنجش وضعیت موجود تا شناخت مسیر بلوغ و تعالی فناوری اطلاعات.