CIO关注：IT治理我们还需做些什么？

信息化建设在中国已经取得了很大的成绩，但同时，信息化建设和推进中深层次的问题，也受到越来越广泛的关注。人们把越来越多的目光聚焦在IT治理（IT Governance）、信息系统审计（IS Audit）、IT服务管理（IT Service Management）、风险与控制（Risk & Control）、安全（Security）等关键词上。在国际上，已经有越来越多的最佳实践，汇聚成日益丰富的新兴知识体系和方法框架。

治理起源于国外，并且在国外获得了一定的发展。IT治理已经成为国际着名IT研究机构、国际一流的IT厂商以及IT高端用户关注的对象之一。但是现在最大的问题是，国外这些先进的理论、标准和方法是否适合中国的国情？中国的企业是否有IT治理的需求？如果有需求，它们的需求特征是什么？在中国，针对IT治理这个领域，我们还需要做些什么？

一、现存的应用难点

应该说，中国的IT与信息化应用已经步入了深化、整合、转型和创新的关键时期；政府、企业对信息技术和信息系统的依赖性在日益加强；信息系统的安全、审计、管理、风险与控制日益成为突出的问题；IT与组织的融合，是未来发展的核心；信息技术与信息系统对企业组织形态、治理结构、管理体制、运作流程和商业模式的影响日益深化。

在这种新的动力和需求的驱使下，IT治理得到了一定的认可。但是，把国外的IT治理思想和标准搬到中国来应用，依然存在诸多难点，目前在国内应用相对较多的还是IT服务管理在一些服务行业的应用，例如银行、证券、保险等。因为就目前而言，IT治理应用还存在很多难点，例如直接应用国外IT治理中相对成熟的标准，还是借鉴国外的做法建立中国自己的治理标准；中国的企业应该最先导入什么治理标准，以及以后如何逐步导入其他标准；中国怎样借鉴全球着名的“最佳实践”；在不完善的公司治理结构的基础上，中国的企业能否以及如何做好IT治理；IT治理如何得到政府部门的认可，如何从法律上制定相应的标准； 等等。

面对这些难题，我们应该做些什么？我们应该在哪些方面做进一步的推进？

二、IT治理的界定

尽管IT治理在中国传播的时间并不长，但已经有一些关于IT治理的研究成果，研究者包括学者、专家，大型公司的研究部门，管理咨询公司等，研究范围涉及到IT治理的界定；IT治理的辅助手段和标准，例如COBIT、ITIL、ISO17799；IT治理的范围；公司治理与IT治理的关系；IT治理、IT战略与企业战略之间的关系；IT治理与平衡计分卡等。中国业界的专家也对其有了一些初步的研究。

某研究机构调查表明，在同一个战略目标下，具有优秀IT治理机制的公司是那些较差治理机制的利润的两倍。优秀业绩的取得是因为，优秀IT治理机制的公司它们能够根据他们的企业战略来特别设计相应的IT治理机制。IT治理把IT决策与公司目标紧密结合起来，并且持续监控其绩效。根据某着名分析机构对全球250家企业的调查表明，IT治理能够实现IT从一个成本中心向利润中心的转变。

有关专家在对IT治理广泛研究和分析的基础上，关于其定义汇集了以下几种主要观点：

国际信息系统审计与控制协会（ISACA）认为：IT治理是一个由关系和流程所构成的体制，用于指导和控制企业，通过平衡信息技术与过程的风险、增加价值来确保实现企业的目标。

同济大学博士生导师胡克瑾认为：IT治理是一个关系和过程的结构，用来指导和控制企业，通过平衡在IT及其过程上的风险和回报来增加企业价值从而达到企业的目标。

着名的IT分析公司Gartner集团认为，IT治理是一种新的商业范式。这种新范式的形成是由战略竞争力、全球化、业务流程共享网络和实时性的企业新需求所驱动的。

美国南加州大学教授Roberts.Roussey认为：IT治理用于描述被委托治理实体的人员在监督、检查、控制和指导实体的过程中如何看待信息技术。IT的应用对于企业能否实现愿景、使命、战略目标至关重要。

德勤咨询公司认为：IT治理是一个含义广泛的术语，包括信息系统、技术、通讯、商业、所有利益相关者、合法性和其他问题。其主要任务是：保持IT与业务目标一致，推动业务发展，促使收益最大化，合理利用IT资源，IT相关风险的适当管理。

治理出现的原因是IT的提供者和获益者的分离。IT的直接提供者是企业的IT人员，他们通过引入、选择和实施IT项目来提高企业的信息化水平。而IT的直接获益者是