Quản trị CNTT (IT Governance)

1. Tổng quan

A. Định nghĩa

Hệ thống ra quyết định·trách nhiệm trong đó hội đồng quản trị·ban điều hành đánh giá (Evaluate)·chỉ đạo (Direct)·giám sát (Monitor) tài nguyên và rủi ro CNTT để CNTT phù hợp với chiến lược·mục tiêu của tổ chức và tạo ra giá trị; COBIT và ISO/IEC 38500 là các khung tiêu biểu.

Cốt lõi của quản trị CNTT nằm ở sự tách biệt giữa quản trị (định hướng·kiểm soát) và quản lý (thực thi). Ban điều hành quyết định và kiểm soát "CNTT phải hướng tới đâu" là quản trị, còn xây dựng·vận hành hệ thống thực tế theo định hướng đó là quản lý. Nếu không có sự phân biệt này, CNTT dễ rơi vào tình trạng trở thành một bộ phận kỹ thuật hoạt động tách rời khỏi kinh doanh.

B. Bối cảnh ra đời và sự cần thiết

Khi quy mô đầu tư CNTT tăng lên và toàn bộ hoạt động doanh nghiệp phụ thuộc vào CNTT, câu hỏi "chi tiền cho CNTT thì có tạo ra giá trị kinh doanh tương xứng không" đã trở thành chủ đề cốt lõi của quản trị doanh nghiệp. Trước đây, CNTT khó đo lường hiệu quả và trách nhiệm ra quyết định mơ hồ nên thường xảy ra thất bại đầu tư, trùng lặp, sự cố bảo mật. Quản trị CNTT ra đời để căn chỉnh đầu tư CNTT với chiến lược kinh doanh, quản lý rủi ro·tuân thủ, và bảo đảm trách nhiệm giải trình và tính minh bạch trong ra quyết định CNTT. Đặc biệt, khi tuân thủ quy định (kiểm soát nội bộ) và chuyển đổi số chồng lên nhau, tầm quan trọng của nó càng tăng.

2. Các thành phần (A)

flowchart TB
  G[Quản trị CNTT] --> A[Căn chỉnh chiến lược<br/>Strategic Alignment]
  G --> B[Chuyển giao giá trị<br/>Value Delivery]
  G --> C[Quản lý rủi ro<br/>Risk Management]
  G --> D[Quản lý tài nguyên<br/>Resource Management]
  G --> E[Đo lường hiệu quả<br/>Performance Mgmt]
  style G fill:#e8f0fe,stroke:#2f6fed,stroke-width:2px

Quản trị CNTT gồm năm lĩnh vực liên kết với nhau. Nếu căn chỉnh chiến lược là điểm xuất phát đưa định hướng của CNTT khớp với kinh doanh, thì chuyển giao giá trị là kết quả hiện thực hóa giá trị kinh doanh thực tế theo định hướng đó, và quản lý rủi ro cùng quản lý tài nguyên hỗ trợ cho hai yếu tố này. Cuối cùng, đo lường hiệu quả định lượng kết quả so với mục tiêu và phản hồi lại chiến lược, hoàn thành vòng tuần hoàn. Thiếu bất kỳ yếu tố nào (ví dụ không có đo lường hiệu quả) thì quản trị chỉ dừng lại ở khẩu hiệu.

Thành phần	Nội dung	Câu hỏi cốt lõi
Căn chỉnh chiến lược	Sự thống nhất giữa chiến lược CNTT và chiến lược kinh doanh	Có đúng hướng không
Chuyển giao giá trị	Hiện thực hóa giá trị kinh doanh của đầu tư CNTT	Có xứng đáng không
Quản lý rủi ro	Nhận diện·kiểm soát rủi ro CNTT, tuân thủ	Có an toàn không
Quản lý tài nguyên	Tối ưu tài nguyên CNTT như nhân lực·hạ tầng·dữ liệu	Có hiệu quả không
Đo lường hiệu quả	Giám sát hiệu quả CNTT so với mục tiêu	Có đang làm tốt không

3. Chỉ số đo lường hiệu quả (B)

Quản trị có vận hành tốt hay không rốt cuộc phải được xác nhận bằng chỉ số định lượng. Khi đó, nếu chỉ nhìn chỉ số tài chính sẽ bỏ sót giá trị vô hình của CNTT (năng lực·mức hài lòng), nên cách tiếp cận đo lường cân bằng bốn góc nhìn bằng Thẻ điểm cân bằng (BSC) được dùng rộng rãi. Mục tiêu chiến lược của mỗi góc nhìn được đặt thành KGI (chỉ số mục tiêu) và liên kết với KPI (chỉ số hiệu suất) để theo dõi.

Góc nhìn (BSC)	Ví dụ chỉ số
Tài chính	ROI CNTT, tỷ lệ giảm TCO, tỷ lệ tuân thủ ngân sách CNTT
Khách hàng	Mức hài lòng của người dùng, tỷ lệ tuân thủ SLA
Quy trình nội bộ	Tính sẵn sàng hệ thống, thời gian khôi phục sự cố (MTTR), tỷ lệ đúng hạn dự án
Học hỏi·Phát triển	Năng lực nhân lực CNTT, tỷ lệ áp dụng công nghệ mới

Liên kết mục tiêu chiến lược với chỉ số định lượng bằng hệ thống KGI (chỉ số mục tiêu)–KPI (chỉ số hiệu suất). Ví dụ, cụ thể hóa mục tiêu (KGI) "cải thiện phản hồi khách hàng" thành KPI "tỷ lệ tuân thủ SLA 99%".

4. Phương pháp luận đo lường hiệu quả (C)

Để thực sự tiến hành đo lường cần có phương pháp luận được chuẩn hóa. Nếu BSC là khung về "nhìn nhận cân bằng những gì", thì COBIT là khung chi tiết đánh giá "quy trình CNTT trưởng thành đến đâu", còn ISO/IEC 38500 là tiêu chuẩn quốc tế quy định các nguyên tắc của quản trị (EDM). Các phương pháp này không loại trừ nhau mà được dùng kết hợp.

Phương pháp luận	Đặc điểm
BSC (Balanced Scorecard)	Đo lường cân bằng tài chính·khách hàng·quy trình·học hỏi phát triển
COBIT	Khung đánh giá kiểm soát CNTT·mức trưởng thành (Maturity) quy trình
ISO/IEC 38500	Tiêu chuẩn quốc tế về quản trị CNTT (nguyên tắc EDM)
Val IT / Risk IT	Mở rộng quản lý giá trị đầu tư·rủi ro CNTT (họ COBIT)
ITIL	Quản lý dịch vụ CNTT (hiệu quả vận hành)
Benchmarking	So sánh hiệu quả với các doanh nghiệp cùng ngành

COBIT đánh giá mức trưởng thành của từng quy trình CNTT theo bậc (0~5, v.v.) để làm lộ ra khoảng cách giữa "mức hiện tại" và "mức mục tiêu", nên đặc biệt hữu ích cho việc xác định thứ tự ưu tiên cải tiến.

5. Lưu ý và hàm ý

Từ góc nhìn Kỹ sư chuyên nghiệp (Professional Engineer), thành bại của quản trị CNTT không phụ thuộc vào việc "có đưa vào" khung hay không mà vào việc "đã điều chỉnh (tailoring) phù hợp với tổ chức đến mức nào". Thứ nhất, nếu cấy nguyên khối COBIT·ISO 38500 thì không phù hợp với tổ chức và trở nên hình thức, nên cần chọn lọc chỉ những yếu tố cần thiết cho phù hợp với quy mô, mức trưởng thành và môi trường quy định của tổ chức. Thứ hai, như COBIT 2019 đã làm rõ, cần phân biệt vai trò của quản trị (định hướng·kiểm soát) và quản lý (thực thi) để làm rõ trách nhiệm. Thứ ba, khi công bố ESG, chuyển đổi số, ứng dụng AI mở rộng, quản trị CNTT đang mở rộng thành quản trị số bao trùm cả dữ liệu·AI·bảo mật, nên cần phát triển vượt ra ngoài kiểm soát kỹ thuật để trở thành hệ thống tạo giá trị của toàn tổ chức.

Tóm tắt một câu: Quản trị CNTT là hệ thống định hướng·kiểm soát để CNTT đóng góp vào giá trị kinh doanh bằng cách đo lường 5 yếu tố căn chỉnh chiến lược·chuyển giao giá trị·rủi ro·tài nguyên·hiệu quả qua BSC·COBIT·ISO 38500, trong đó điều chỉnh phù hợp đặc thù tổ chức và tách biệt quản trị–quản lý là then chốt của thành công.