itsmf Finland Conference 2016 Focus Markus Leinonen COBIT ja governance

Markus Leinonen M.Sc. (Econ.), CIA, CISA Senior Manager, Internal Controls Cargotec Oyj 1984 1986 1992 1995 1997 1997 2002 2002 2008 2012 2016

Sisältö Määritelmiä Corporate Governance IT Governance Kontrolli COBIT ja mistä se tulee COBIT 5:n rakenne Kontrollitavoitteet Vastuunjako - RACI-matriisi Kontrollit COBITin soveltaminen

MÄÄRITELMIÄ

Corporate Governance Organisaation hallinto ja johtaminen Voi olla formaali järjestelmä, useinkaan ei ole Menetelmät joilla organisaation toimintoja, yksiköitä, prosesseja johdetaan Pitäisi perustua yrityksen strategiaan, tavoitteisiin Toisaalta strategiatyö on osa yrityksen johtamista, eli osa Corporate Governancea

IT Governance IT:n kehittäminen ja ylläpito siten, että yrityksen tavoitteet saavutetaan IT Management, eli IT:n operatiivinen johtaminen on tietohallinnon vastuualueelle kuuluvien päivittäisten tehtävien suorittamista Osa IT Governancea

Miten IT Governance järjestetään Pienessä organisaatiossa riittää epämuodollinen toimintatapa toimitusjohtaja päättää Mitä suurempi organisaatio on kysymyksessä, sitä muodollisempi hallintamalli on tarpeen Kirjalliset prosessit Sisäinen valvonta Suurten organisaatioiden hyvä käyttää organisaatiolle sovellettua muodollista viitekehystä Helpottaa roolien ja vastuiden määrittelyä Sisältää työkalut mittaamiseen ja valvontaan

IT Governance Näytä suunta Varmista tuki ja resurssit Aseta tavoitteet IT tukee liiketoimintaa ja mahdollistaa arvon tuottamisen IT resursseja käytetään järkevästi IT riskit hallitaan asianmukaisesti Vertailu IT -toiminta Automatisoi prosesseja Vähennä kustannuksia Hallitse riskejä Mittaa suoritusta Oikeat mittarit mitä mitataan sitä saadaan Palkitseminen ja korjaavat toimenpiteet

Mikäon kontrolli The Policies, Procedures, Practices and OrganisationalStructures, Designed to Provide Reasonable Assurance that Business Objectives will be Achievedand that Undesired Events will be Prevented or Detected and Corrected. Politiikat, toimintatavat, käytännöt ja rakenteet joiden tarkoituksena on antaa riittävä varmuus siitä että liiketoiminnalliset tavoitteet saavutetaan, ja ei-toivotut tapahtumat ennaltaehkäistään tai havaitaan ja korjataan.

COBIT JA MISTÄ SE TULEE

CobiTja COBIT ISACF Control Objectives vuonna 1992 CobiT julkaistiin huhtikuussa 1996 Toinenversiovuonna1998, julkaisijanait Governance Institute Versio 3 vuonna 2000 CobiT On-line vuonna 2003 CobiT 4.0 vuonna 2006 Suuri uudelleenjärjestely, jossa aikaisemmin erillisiä osia yhdistettiin yhteen dokumenttiin Kontrollitavoitteet Johdon ohjeistukset Kypsyysmallit CobiT 4.1 vuonna 2007 Pieni päivitys

COBIT 5 COBIT 5 julkaistiin vuonna 2012 ISACAnviitekehykset(CobiT, ValIT, RiskIT) yhdistettiinja uudelleenjärjestettiin. Lisäksi lähestymistapa laajeni IT:n kontrolleista tiedonhallinnan johtamiseen Saatavana PDF-tiedostoina ISACAn kansainväliseltä kotisivulta, painettuina kirjoina ja online versiona. MuillekuinISACAnjäsenillevain perusmateriaaliilmainen, jäsenmaksuun sisältyy suurin osa COBITista, osa alakohtaisista materiaaleista maksullisia kaikille. http://www.isaca.org/cobit http://cobitonline.isaca.org

COBIT 5:N RAKENNE

DSS02 -Kontrollitavoite

DSS02 Vastuunjako (RACI)

DSS02.02-03 -Kontrollit

DSS02 DSS03

SOVELTAMINEN

COBITin soveltaminen COBIT on aina sovellettava organisaatioon Rusinat pullasta COBIT on baseline, eli perustaso Sisältää yleiset vaatimukset, mutta ei alakohtaisia erityisvaatimuksia COBIT on viitekehys Ei standardi ei vaatimuksia dokumentaation muodolle, päivitystiheydelle, hyväksynnille jne. Erilliset oppaat tietoturvasta, riskienhallinnasta ja tarkastus/varmennustoiminnasta.

COBITin soveltaminen Organisaation rakentaminen tai muuttaminen Luettelot toiminnoista ja muista asioista jotka tulee järjestää Toiminnan mittaaminen ja itsearviointi Mittariehdotukset ja kypsyysmallit Sisäisten kontrollien ja ulkoisten vaatimusten (esim. SOX) noudattaminen Sisäinen ja ulkoinen tarkastus

Sisältö Määritelmiä Corporate Governance IT Governance Kontrolli COBIT ja mistä se tulee COBIT 5:n rakenne Kontrollitavoitteet Vastuunjako - RACI-matriisi Kontrollit COBITin soveltaminen

Kysymyksiä ja keskustelua Kysymyksiä? Kyllä Vastaus tiedossa? Kyllä Vastaa Ei Ei Kiitä yleisöä Ilmoita että aika on lopussa Poistu

Kiitos!