信息系统管理工程师-任务、标准、EDM 过程与关键域
一、引言
IT 治理是指组织为实现战略目标，对 IT 资源、IT 活动、IT 风险进行统筹决策、指导监督的系统性管理活动，核心是平衡 IT 价值创造与风险控制，确保 IT 与业务战略对齐。在软考中级信息系统管理工程师知识体系中，IT 治理属于「系统规划与组织」模块的核心考点，近年考试中选择题、案例分析题均有涉及，占比约 5-8 分。
IT 治理的发展经历了三个阶段：20 世纪 90 年代为萌芽期，核心是解决 IT 投资失控问题；2000-2010 年为体系形成期，COBIT、ISO/IEC 38500 等国际标准陆续发布，IT 治理走向规范化；2010 年后为落地实践期，各国结合本土需求出台对应标准，我国 ITSS 系列标准的发布标志着国内 IT 治理进入标准化落地阶段。
本文将系统梳理 IT 治理的 5 项核心任务、国内外主流标准、EDM 治理过程以及三大关键域，覆盖所有软考高频考点，并结合实践案例说明应用方法。
二、IT 治理核心任务
IT 治理的核心活动可概括为统筹、评估、指导、监督四类，具体落地包含以下 5 个方面：
（一）全局统筹
全局统筹是 IT 治理的顶层活动，核心是实现 IT 资源的集约配置与战略对齐。具体内容包括：统筹规划 IT 治理的目标、技术环境、发展趋势和人员责权，明确各层级的 IT 决策权限；制定与业务战略匹配的可持续发展 IT 蓝图，明确 3-5 年的 IT 建设路径；实施科学决策、集约管理，避免重复建设和资源浪费；建立持续改进和创新机制，定期迭代 IT 治理体系。某省级政务云建设中，通过全局统筹将 12 个部门的独立 IT 系统整合为统一云平台，每年节省运维成本约 30%，数据共享效率提升 70%。
（二）价值导向
价值导向的核心是确保 IT 投资的投入产出比，避免 IT 建设与业务需求脱节。具体内容包括：建立 IT 投资价值框架，明确投资决策的评估维度；构建全生命周期的 IT 价值认可机制，从需求立项到上线运维全程跟踪价值实现；识别 IT 投资目录，对不同类型的项目（业务支撑类、效率提升类、创新探索类）实施差异化管理；设定成本效益、业务贡献等关键指标，量化 IT 价值；权衡短期成本与长期效益，避免短视决策。某零售企业在 IT 治理中建立价值评估体系，将 20% 的 IT 预算投向用户数字化运营项目，1 年内带动线上销售额提升 45%。
（三）机制保障
机制保障是 IT 治理落地的基础，核心是管控 IT 风险、确保合规。具体内容包括：建立覆盖 IT 全生命周期的风险识别、管理、防范机制，对技术风险、数据风险、合规风险进行分级管控；建立规范的过程管理和痕迹管理机制，所有 IT 决策、变更、操作均留痕可追溯；定期评审 IT 管理体系的有效性，根据业务变化和技术迭代更新制度；开展 IT 审计，验证 IT 活动的完整性、有效性、合规性，及时发现管控漏洞。某金融机构通过机制保障建设，连续 3 年通过 ISO27001 信息安全认证，未发生等级以上 IT 风险事件。
（四）创新发展
创新发展是 IT 治理的高阶目标，核心是通过技术创新驱动业务增长。具体内容包括：利用云计算、大数据、人工智能等新技术开拓业务领域、提升管理水平、降低运营成本；建立围绕知识资产的创新体系，对技术专利、业务模型、数据资产等进行沉淀和复用；定期评估组织的 IT 创新能力，从人才储备、技术积累、机制配套等维度识别短板。某制造企业在 IT 治理中引入工业互联网平台，实现生产设备的实时监控和预测性维护，设备故障率降低 28%，生产效率提升 19%。
（五）文化助推
文化助推是 IT 治理长效运行的软支撑，核心是提升组织对 IT 变革的接受度。具体内容包括：营造积极向上、沟通包容的组织文化，打破业务部门与 IT 部门的沟通壁垒；开展 IT 理念和技能培训，引导人员适应数字化变革；建立与 IT 发展相适应的文化策略，将数字化思维融入组织日常管理。某传统企业在数字化转型过程中，通过文化助推活动，员工对新系统的接受度从初期的 42% 提升至 91%，系统上线周期缩短 30%。
IT 治理五大核心任务逻辑关系图，展示五大任务从顶层设计到价值落地、从机制保障到长效运行的层级关系
三、IT 治理主流方法与标准
IT 治理的实施需依托成熟的标准框架，目前国内外主流标准包括我国的 ITSS 系列、国际通用的 COBIT 框架和 ISO/IEC 38500 标准，三类标准的适用场景、核心内容各有差异。
（一）我国 ITSS 系列标准
ITSS（信息技术服务标准）是我国自主研发的 IT 治理标准体系，围绕决策体系、责任归属、管理流程、内外评价 4 个维度制定规范，包含两个核心部分：
- GB/T 34960.1《IT 治理 第 1 部分：通用要求》
该标准规定了 IT 治理的模型、框架、实施原则、顶层设计、管理体系和资源治理要求，可用于组织建立 IT 治理体系并开展自我评价、实施信息技术审计、研发治理评价方案、第三方机构开展治理评估。其治理模型包含内外部要求、治理主体、治理方法、管理体系 4 个要素；治理框架包含三大治理域：顶层设计（战略、组织、架构）、管理体系（质量管理、项目管理、投资管理等 10 类）、资源（基础设施、应用系统、数据）。 - GB/T 34960.2《IT 治理 第 2 部分：实施指南》
该标准规定了 IT 治理的实施框架、实施环境和实施过程，其中实施环境包括内外部环境（战略、文化、技术水平等）和促成因素（人员、制度、工具等）；实施过程遵循 PDCA 循环，分为统筹和规划、构建和运行、监督和评估、改进和优化 4 个阶段，治理域与通用要求保持一致，确保标准的可落地性。
（二）COBIT 信息和技术治理框架
COBIT 由美国 ISACA 发布，是目前国际上最权威的 IT 控制框架，核心特点是明确区分治理与管理的边界：治理层负责评估利益干系人需求、确定目标、设定方向、监控绩效与合规性；管理层负责按治理层设定的方向开展计划、构建、运行、监控活动。
COBIT 2019 版核心模型包含 40 项核心治理和管理目标，分为五大领域：治理目标单独归入 EDM（评估、指导和监控）领域；管理目标分为 4 个领域：APO（调整、规划和组织）、BAI（内部构建、外部采购和实施）、DSS（交付、服务和支持）、MEA（监控、评价和评估）。治理系统包含 7 个核心组件：流程、组织结构、原则政策和程序、信息、文化道德行为、人员技能胜任能力、服务基础设施应用程序。治理系统设计需遵循四步流程：①了解组织环境和战略→②确定初步范围→③优化范围→④最终确定设计。
（三）ISO/IEC 38500 国际标准
ISO/IEC 38500 是 IT 治理领域的首个国际标准，2008 年发布标志着 IT 治理进入全球标准化时代，核心是为组织的最高管理层提供 IT 治理的指导原则，包含 6 项核心原则：
- 责任：个人和团体明确理解并接受 IT 供应和需求的责任，避免权责不清；
- 战略：业务战略充分考虑 IT 当前和未来的能力，IT 计划完全满足业务战略需求；
- 收购：IT 收购基于充分的业务合理性论证，平衡利益、机会、成本和风险；
- 性能：IT 持续支撑组织运营，满足约定的服务水平和服务质量要求；
- 一致性：IT 使用符合法律法规、监管要求，内部政策和实践清晰明确；
- 人的行为：IT 治理充分尊重人的行为特征，满足相关人员的需求。
三类标准的对比如下：
| 标准类型 | 发布主体 | 核心定位 | 适用场景 | 优势 | 局限性 |
| --- | --- | --- | --- | --- | --- |
| ITSS | 国家工信部 | 国内 IT 治理落地标准 | 国内企事业单位、政务系统 IT 治理建设 | 贴合国内政策要求，可落地性强 | 国际认可度较低 |
| COBIT | ISACA | 国际 IT 控制框架 | 跨国企业、金融机构风险管控 | 控制体系完善，覆盖面广 | 复杂度高，实施成本高 |
| ISO/IEC 38500 | ISO | 最高层 IT 治理指导原则 | 所有类型组织的高层 IT 决策 | 简洁通用，普适性强 | 缺少具体实施方法 |
三类 IT 治理标准对比表，包含发布主体、核心内容、适用场景、优缺点等维度
四、IT 治理 EDM 核心过程
EDM（评估 Evaluate、指导 Direct、监视 Monitor）是 COBIT 框架中定义的治理层核心工作过程，借鉴了 ISO/IEC 38500 的 6 项原则，是治理层与管理层活动的核心区别，具体包含三个步骤：
（一）评估现在和将来对 IT 的利用情况
该步骤的核心是全面掌握 IT 现状与未来需求，为决策提供依据。具体内容包括：检查评判当前 IT 的应用效果、资源配置、风险水平、合规情况；分析业务内外部压力和需求，预判未来 3-5 年的 IT 能力要求；评估技术发展趋势对业务的影响，识别潜在的机遇和风险。某金融机构每年开展 IT 治理评估，覆盖 12 类业务系统、300 余项技术指标，识别出核心系统性能瓶颈、数据安全管控漏洞等 8 项核心问题，为下一年度 IT 建设提供决策依据。
（二）对策略和方针进行指导
该步骤的核心是明确 IT 发展的方向和规则，是治理层的核心决策活动。具体内容包括：审批 IT 战略、IT 架构、重大 IT 投资项目；对 IT 策略和方针的准备和实施进行职责安排，明确各部门的权责边界；设定 IT 投资方向，明确不同类型项目的投资优先级；制定 IT 行为规则，明确风险管控、合规管理的底线要求。某集团公司治理层在 IT 指导环节明确规定，所有超过 500 万的 IT 项目需经治理委员会审批，且投资回报率低于 15% 的项目不予立项，有效控制了投资风险。
（三）监视方针符合性和实际绩效
该步骤的核心是验证 IT 活动是否符合预期，确保治理目标落地。具体内容包括：建立覆盖 IT 价值、风险、合规、绩效的测量体系，明确量化指标；定期收集 IT 活动数据，监视 IT 绩效是否达到目标；验证 IT 活动是否符合法律法规、内部政策、治理方针的要求；对发现的偏差要求管理层限期整改。某企业建立 IT 治理监视指标体系，包含 24 项核心指标，每月出具治理绩效报告，对未达标的部门进行问责，IT 项目的上线按时率从 72% 提升至 94%。
EDM 过程流程图，展示评估 - 指导 - 监视的循环逻辑，以及每个环节的输入、输出、责任主体
五、IT 治理三大关键域
根据 ITSS 和 COBIT 框架的定义，IT 治理包含三大核心关键域，覆盖从顶层设计到落地执行、再到资源保障的全链条：
（一）顶层设计
顶层设计是 IT 治理的核心，决定了 IT 治理的方向，包含三个要素：
- 战略：IT 战略是组织在一定战略期内 IT 发展的总任务和总目标，需与业务战略完全对齐。战略类型包括发展型（加大 IT 投入支撑业务扩张）、稳定型（维持现有 IT 水平保障稳定运行）、紧缩型（缩减 IT 投入聚焦核心业务）三类；战略具有全局性、长远性、纲领性、指导性、竞争性、风险性、相对稳定性七大特性；战略需定期评估迭代，根据内外部环境变化、预测偏差、业务需求调整优化。
- 组织：IT 治理组织是 IT 治理落地的责任主体，核心是明确治理委员会、IT 部门、业务部门的权责边界。组织愿景需明确 IT 的定位，形成全体员工的共识；组织文化需确立数字化核心价值观，将 IT 治理要求融入日常制度和行为规范。
- 架构：IT 架构是 IT 规划的核心，包括业务架构、应用架构、数据架构、技术架构四个层级。治理层需对信息技术架构进行指导、评估和监督，确保架构能够支撑战略目标实现，避免技术选型分散、架构不兼容导致的资源浪费。
（二）管理体系
管理体系是 IT 治理要求落地的制度保障，包含 10 个核心要素：
- 质量管理：关注 IT 全生命周期的过程质量，尽早识别缺陷，预防错误，避免质量问题导致的业务损失；
- 项目管理：建立项目的计划、范围、成本、进度、质量控制机制，确保项目按预期交付；
- 投资管理：重点解决业务需求治理不足、决策流程缺乏管控、项目排序不科学等问题，提升 IT 投资效益；
- 服务管理：遵循 ITIL 4 框架，包含服务台、事件管理、问题管理、变更管理、发布管理等核心流程，保障 IT 服务质量；
- 业务连续性管理：建立业务连续性框架，定期维护应急预案，开展应急演练和灾难恢复测试，确保故障发生后业务快速恢复；
- 信息安全管理：围绕保密性、完整性、可用性目标开展管控，需明确 IT 安全治理（治理层决策）与安全管理（管理层执行）的边界；
- 风险管理：建立风险识别、分析、评价、处置的全流程机制，对 IT 风险进行分级管控；
- 供方管理：建立供方准入、评价、退出机制，保护商业秘密和知识产权，防范供应链风险；
- 资产管理：建立 IT 资产的应用、财务、有效性管理体系，提升资产利用率，降低闲置率；
- 其他管理：包含变更管理、预算管理、需求管理、绩效管理等补充要素。
（三）资源
资源是 IT 治理落地的物质基础，包含三类核心资源：
- 基础设施：制定 IT 基础设施发展规划，建立建设、采购、实施、运维的全生命周期管理机制，保障基础设施的稳定性和扩展性；
- 应用系统：建立应用系统的设计、开发、变更、测试保障机制，确保应用系统符合业务需求和架构要求；
- 数据：明确数据治理框架，建立数据治理和管理机制，完善数据从产生、存储、使用、归档到销毁的全生命周期管理，充分释放数据价值。
IT 治理三大关键域架构图，展示顶层设计、管理体系、资源的层级关系和包含的核心要素
六、IT 治理发展趋势与软考考点提示
（一）前沿发展趋势
当前 IT 治理领域呈现三个核心发展方向：一是数字化转型背景下，IT 治理的范围从传统 IT 资源扩展到数据资产、算法模型等新型资源，数据治理成为 IT 治理的核心子领域；二是自动化治理工具逐步普及，通过 GRC（治理、风险与合规）平台实现 IT 治理活动的自动化监控、分析和预警，提升治理效率；三是合规要求趋严，《网络安全法》《数据安全法》《个人信息保护法》等法律法规的出台，使得合规治理成为 IT 治理的硬性要求。
（二）软考考点提示
本部分内容在软考中核心考点包括：IT 治理 5 项核心任务的内容区分；三类 IT 治理标准的核心内容、适用场景对比；COBIT 框架中五大领域的定位，尤其是 EDM 过程的核心内容；三大治理关键域的包含要素，尤其是管理体系的 10 项核心内容。近年案例分析题常结合企业 IT 治理失败场景，要求考生识别治理缺失环节、给出优化方案。
IT 治理发展演进路线图，展示从早期 IT 管控到数字化治理的发展阶段和核心特征
七、总结与备考建议
（一）核心要点提炼
IT 治理的核心是通过统筹、评估、指导、监督活动，实现 IT 与业务战略对齐，平衡价值创造与风险控制；五大核心任务包括全局统筹、价值导向、机制保障、创新发展、文化助推；国内外主流标准包括 ITSS 系列、COBIT 框架、ISO/IEC 38500，三类标准各有适用场景；EDM 是治理层的核心工作过程，包括评估、指导、监视三个循环步骤；IT 治理三大关键域为顶层设计、管理体系、资源，覆盖从决策到落地的全链条。
（二）软考备考建议
备考时需重点关注：三类标准的对比，尤其是 COBIT 的五大领域划分，EDM 的核心内容；三大关键域的具体要素，能够结合案例分析治理问题；掌握 IT 治理实施的基本流程，能够给出优化方案。学习时可结合历年真题，重点练习案例分析题的场景分析能力。
（三）实践应用建议
企业实施 IT 治理时，需结合自身规模和需求选择合适的标准框架：中小型企业可优先参考 ISO/IEC 38500 的 6 项原则，聚焦核心风险管控；大型企业、金融机构可参考 COBIT 框架建立完善的控制体系；国内政务、国企单位需遵循 ITSS 系列标准要求，满足合规性要求。
课后小测
在 COBIT 中，治理目标被列入（）领域。
A. APO
B. BAI
C. EDM
D. MEA
答案：C。EDM 即评估、指导和监控领域，是 COBIT 中专门的治理目标领域。