系统规划与管理师-IT 治理核心知识点全解析

一、引言

1. 核心定义

IT 治理是组织采用有效机制对信息技术和数据资源开发利用进行统筹管控，平衡信息化发展和数字化转型过程中的风险，确保实现组织战略目标的过程。该概念起源于 20 世纪 90 年代的公司治理延伸，随着信息技术从支撑工具向核心生产要素演进，逐步形成独立的管理体系。

2. 软考定位

IT 治理属于《系统规划与管理师教程》第 11 章信息系统治理的核心内容，考试分值占比 4-6 分，以客观选择题为主，考点聚焦于定义、体系框架、关键决策、标准规范等核心要素的理解与区分，是信息系统治理模块的基础考点。

3. 与 IT 审计的关系

IT 治理承担统筹、评估、指导、监督的全局管控职能，IT 审计是 IT 治理的配套管控手段，作为评估和监督工具，重点负责组织信息系统合规性检测、信息技术风险管控等职能，二者构成 “管控 - 验证” 的闭环管理体系。

4. 常见规划问题

当前组织 IT 规划普遍存在四类问题：一是缺乏系统集成导致 “信息孤岛”；二是数据资源整合规划薄弱；三是 IT 资产的组织核心资产定位不清晰；四是高层管理者参与 IT 决策不足，最终导致 IT 战略与组织战略偏离，无法保障 IT 与业务目标一致。

IT 治理与相关管理体系关系示意图

二、IT 治理核心原理与驱动因素

1. 核心内涵（5 个维度）

IT 治理的内涵体现在五个层面：
（1）上层管理组成部分：由组织治理层或高级管理层负责，从全局高度对信息化与数字化转型做出制度安排，属于组织治理的核心子领域。
（2）战略一致性：强调数字目标与组织战略目标保持一致，为战略规划提供技术或控制支持，是 IT 治理的核心出发点。
（3）利益相关者权益保护：对 IT 相关风险进行有效管理，合理利用 IT 资源，平衡成本和收益，保障业务部门、管理部门、外部监管方等多方权益。
（4）制度与机制：涉及信息系统与业务战略匹配、IT 投资、信息安全、绩效评价等全流程的管理和制衡规则。
（5）多要素构成：由管理层、组织结构、制度、流程、人员、技术等要素共同构建完善的 IT 治理架构。

2. 目标价值

IT 治理的核心目标可概括为 “一用风” 三个方面：
（1）与业务目标一致：通过战略对齐实现 IT 对业务的有效支撑；
（2）有效利用信息与数据资源：实现 IT 资源的最优配置，提升投资回报率；
（3）风险管理：识别、评估和控制 IT 相关风险，保障业务连续性。
其使命为：保持 IT 与业务目标一致，推动业务发展，促使收益最大化，合理利用 IT 资源，恰当厘清与 IT 相关的风险。

3. 驱动因素

组织开展 IT 治理的核心驱动因素包括八项：
（1）良好的 IT 治理能够确保组织 IT 投资的有效性，避免盲目投资造成的资源浪费；
（2）IT 属于知识高度密集型领域，其价值发挥的弹性较大，需要通过治理机制约束价值产出方向；
（3）IT 已融入组织管理、运行、生产和交付等各领域，成为各领域高质量发展的重要基础，治理是保障 IT 作用发挥的前提；
（4）信息技术的发展演进以及新兴信息技术的引入，可为组织提供大量新的发展空间和业务机会，治理能够降低技术引入的不确定性；
（5）IT 治理能够推动组织充分理解 IT 价值，从而促进 IT 价值挖掘和融合利用；
（6）IT 价值不仅仅取决于好的技术，也需要良好的价值管理，以及场景化的业务融合应用，治理提供价值落地的规则保障；
（7）高级管理层的管理幅度有限，需要采用明确责权和清晰管理的方式确保 IT 价值实现；
（8）成熟度较高的组织以不同的方式治理 IT，获得了领域或行业领先的业务发展效果，形成示范效应。

IT 治理驱动因素与价值逻辑关系图

三、IT 治理体系框架与关键决策

1. 体系构成要素

IT 治理体系由五大核心要素构成，可通过口诀 “决投风绩管，统评指间” 记忆：
（1）IT 定位：明确 IT 应用的期望行为与业务目标保持一致，确定 IT 在组织中的战略定位；
（2）IT 治理架构：定义业务和 IT 在治理委员会中的构成、权责边界、决策流程等；
（3）IT 治理内容：覆盖决策、投资、风险、绩效和管理五大核心领域；
（4）IT 治理流程：遵循统筹、评估、指导、监督四大环节，形成闭环管理；
（5）IT 治理效果：通过内部评价、外部审计等方式验证治理成效。

2. 关键决策（5 项核心内容）

有效的 IT 治理必须关注五项关键决策：
（1）IT 原则：回答组织的运行模型是什么、IT 在业务中的角色是什么、IT 期望行为是什么、如何投资 IT 等核心问题，确定 IT 治理的顶层规则；
（2）IT 架构：明确组织的核心业务流程及关联关系、驱动核心流程的关键信息、数据整合规则、组织级标准化技术性能要求等，形成 IT 建设的统一规范；
（3）IT 基础设施：识别对实现组织战略目标最关键的基础设施服务，确定组织级共享服务范围、定价机制、更新策略、外包边界等，提升基础设施利用效率；
（4）业务应用需求：梳理新业务应用的市场和业务流程机会，设计业务应用实验评估方法，明确架构标准下的业务需求满足路径、例外转标准的规则，保障业务需求与 IT 架构的平衡；
（5）IT 投资和优先顺序：评估战略上最重要的流程变革，分配当前和提议的投资组合，验证投资与战略目标的一致性，确保资源向高价值领域倾斜。

3. 体系框架

IT 治理体系框架以组织战略目标为导向，架起组织战略与 IT 的桥梁，实现 IT 风险的全面管理以及 IT 资源的合理利用，包含六大核心要素，可通过口诀 “木织机欲治孝” 记忆：①IT 战略目标；②IT 治理组织；③IT 治理机制；④IT 治理域；⑤IT 治理标准；⑥IT 绩效目标。

IT 治理体系框架及关键决策关系示意图

四、IT 治理核心内容与实施任务

1. 核心内容（6 个维度）

IT 治理的核心内容覆盖六大领域：
（1）组织职责：明确信息部门与业务部门的职责关系，界定系统的所有者、建设者、管理者与监控者，形成责任清晰的分工体系；
（2）战略匹配：保证 IT 建设与组织战略一致，实现 IT 对业务价值的有效支撑，建立战略对齐的动态调整机制；
（3）资源管理：优化人员、系统、信息、基础设施配置，加强系统理解与应用，推动人才培养与发展，提升 IT 资源利用效率；
（4）价值交付：管理 IT 项目全生命周期，控制成本、时间与质量，确保实现业务预期价值，建立价值交付的跟踪验证机制；
（5）风险管理：保障 IT 资产、信息资源与人员隐私安全，建立灾备机制，防范 IT 运行中的潜在风险，形成风险识别、评估、处置的闭环管理；
（6）绩效管理：跟踪战略执行与资源使用情况，评估 IT 服务与业务流程绩效，借助工具实现战略目标分解与落地，建立绩效持续改进机制。
IT 治理机制需遵循三大经验原则：简单（明确责任和目标）、透明（正式程序、清晰可见）、适合（鼓励最佳位置的人制定决策）。

2. 实施任务（5 大方向）

IT 治理的实施任务包括五个方面：
（1）全局统筹：统筹规划 IT 目标、环境与责权，制定 IT 蓝图，实施集约管理与监督，建立持续改进机制，实现 IT 建设的全局协同；
（2）价值导向：建立价值框架与收益问责机制，识别并评估 IT 投资，设定并监控关键指标，权衡成本与效益，保障 IT 投资的价值产出；
（3）机制保障：构建 IT 管控与风险防控体系，制定治理制度，明确责权，推行过程管理、审计与评估改进，形成治理落地的规则保障；
（4）创新发展：建立技术与管理创新体系，评估创新能力与要素，促进技术、管理、模式联动，营造学习与实验氛围，激发 IT 的创新驱动作用；
（5）文化助推：构建支持 IT 治理的组织文化，推动价值观融合，增强适应变革的意识，提升沟通透明与文化管理能力，形成治理落地的软环境支撑。

IT 治理核心内容与实施任务对应关系表

五、典型 IT 治理标准与应用对比

1. ITSS 系列标准（GB/T 34960）

我国 ITSS 系列标准是国内 IT 治理的核心依据，包含两个核心部分：
（1）GB/T 34960.1《信息技术服务 治理 第 1 部分：通用要求》：可用于组织建立 IT 治理体系并自我评价、开展信息技术审计、研发 / 选择 / 评价 IT 治理软件或解决方案、第三方评价。其治理模型包含治理的内外部要求、治理主体、治理方法及管理体系，治理框架覆盖信息技术顶层设计、管理体系和资源三大治理域。
（2）GB/T 34960.2《信息技术服务 治理 第 2 部分：实施指南》：实施框架包含三个层次：实施环境（内外部环境和促成因素）、实施过程（统筹和规划→构建和运行→监督和评估→改进和优化）、治理域（顶层设计、管理体系、资源）。

2. COBIT 标准

COBIT 由国际信息系统审计协会（ISACA）制定，核心特点是明确区分治理与管理：
（1）治理：由董事会 / 治理机构负责，关注 “评估 - 指导 - 监控”（EDM）流程，确定 IT 治理的顶层方向；
（2）管理：由 CEO 及高管负责，按治理方向执行 “计划 - 构建 - 运行 - 监控” 全流程。
管理目标分为四大领域：
①APO（调整、规划与组织）：负责 IT 战略规划、组织结构配置；
②BAI（构建、采购与实施）：负责 IT 解决方案设计、采购、整合；
③DSS（交付、服务与支持）：负责 IT 服务运营和安全保障；
④MEA（监控、评价与评估）：负责绩效监控、合规评估与反馈。
治理系统设计需综合考虑组织战略、目标、风险概况、IT 相关问题、威胁环境、合规性要求、IT 角色、IT 采购模式、IT 实施方法、技术采用战略、组织规模、未来因素等 12 项设计因素，遵循 “了解组织环境和战略→确定初步范围→优化范围→最终确定设计” 的流程。

3. ISO/IEC 38500 标准

ISO/IEC 38500 是国际 IT 治理的核心标准，提出六大原则：
（1）责任：明确 IT 供应与需求相关人员的职责与授权；
（2）战略：IT 应与业务战略对齐，满足当前与未来业务需求；
（3）收购：基于分析和透明流程进行 IT 投资决策，权衡成本、风险和回报；
（4）性能：IT 应提供满足现有和未来业务要求的服务与质量；
（5）一致性：IT 使用应符合法律法规，政策需有明确执行机制；
（6）人的行为：尊重人员需求，反映良好行为规范，关注组织内人的发展与互动。
治理机构需承担三大职责：评估（持续评估当前与未来的 IT 使用、计划和供应）、指导（制定 IT 战略和行为政策，指导 IT 投资方向）、监督（通过测量系统监控 IT 绩效，确保合规）。

4. 标准对比

三大标准的核心差异如下：

三大 IT 治理标准核心内容对比表

六、考点总结与备考建议

1. 核心考点提炼

（1）基础概念类：IT 治理定义、5 项内涵、3 项目标、8 项驱动因素，考点多为概念辨析选择题；
（2）体系框架类：IT 治理体系 5 要素、5 项关键决策、6 大框架要素，需准确记忆要素构成，避免混淆；
（3）内容任务类：6 项核心内容、5 大实施任务，重点掌握各维度的核心要点，能够区分具体活动所属的任务领域；
（4）标准规范类：GB/T 34960 的三大治理域、COBIT 的四大管理领域与 EDM 流程、ISO/IEC 38500 的六大原则与三大职责，是高频考点。

2. 考试重点提示

（1）高频易错点：IT 治理与 IT 管理的边界、COBIT 中治理与管理的责任主体差异、GB/T 34960 的三大治理域（需注意技术体系不属于治理域）、IT 治理流程的 “统筹 - 评估 - 指导 - 监督” 四个环节顺序；
（2）答题技巧：涉及 “属于 / 不属于” 类选择题，优先采用排除法，重点记忆各框架的特有要素；案例类题目需结合场景判断所属的治理环节，核心判断标准是是否符合 “战略对齐、风险管控、价值交付” 三大目标。

3. 实践应用建议

组织落地 IT 治理需遵循三个步骤：
（1）顶层设计：先明确 IT 定位与组织战略的匹配关系，成立跨部门的 IT 治理委员会，明确决策权责；
（2）体系搭建：选择适配的标准框架，中小组织优先采用 ISO/IEC 38500 的通用原则，国内合规要求高的组织优先采用 GB/T 34960 体系，高风险行业可叠加 COBIT 的管控流程；
（3）持续优化：建立定期审计与评估机制，每年开展 IT 治理成熟度评估，动态调整治理规则适配组织战略变化。