Ako vykonať kontrolu procesu ITIL?

Definujte vstupy pre kontrolu. Vstupmi pre kontrolu môžu byť spúšťací dokument, napríklad vyšší príkaz na správu, cvičenie na preskúmanie referenčných podmienok (napríklad po zistení nezrovnalostí manažment navrhne cvičenie na preskúmanie správy majetku) a aktuálna dokumentácia procesu. V priemere je doba kontroly jeden až dva mesiace a vykonávajú ju dvaja recenzenti. Spotreba zdrojov kontroly sa môže líšiť v závislosti od veľkosti podniku a zložitosti procesu. Recenzenti môžu byť internými zdrojmi (manažéri, analytici atď.); Použitie externých zdrojov na preskúmanie však môže byť prospešné, pretože prináša nezaujatý pohľad na proces. S cieľom identifikovať výstupy, ciele a rozsah preskúmania „Pracovný balík preskúmania postupu IT“ dokument je možné vytvoriť. Tento dokument môže obsahovať nasledujúce odseky:

• Odsek „Zadanie“, ktorý popisuje cieľ, odôvodnenie, tému, kľúčové zdroje a hlavné zainteresované strany recenzie.
• „Časová os“ kontroly (dátum začiatku a finalizácia návrhu, dátum záverečnej správy o preskúmaní, termíny konečnej prezentácie).
• „Rozsah“ je možné znázorniť z niekoľkých perspektív: organizačné, geografické, hĺbka a rozsah preskúmania (pokrývajúca iba niektoré z procesných činností alebo výstupov), ďalšie špeciálne perspektívy súvisiace s konkrétnym procesom; napr. pre Asset Management to môžu byť typy IT majetku.
• „Hlásenie“ popisuje, čo, kedy a komu nahlásiť stav kontroly. Recenzent má spravidla týždenne alebo denne podávať správy manažmentu alebo zainteresovaným pracovníkom, napr. Vlastníkovi procesu, projektovému manažérovi projektu rozvoja spôsobilostí). Správa môže mať nasledujúcu štruktúru:
  • Aktivity vykonávané tento týždeň;
  • Aktivity plánované na budúci týždeň;
  • Problémy bránia kontrole (napr. Odpor voči poskytnutiu alebo žiadne povolenie na prístup k potrebným informáciám).
• „Dôkazy“. Je tiež užitočné určiť miesto, kde majú byť uložené všetky súbory súvisiace s recenziou.
• „Hlavné činnosti“ preskúmania musia byť popísané a neskôr zahrnuté do plánu preskúmania.
• Odsek „Riadenie problémov a eskalácia“ musí viesť k tomu, ako uchovávať denník problémov a ako stupňovať problémy, s ktorými sa stretnete počas kontroly (napr. Nedostatočná alebo nedostatočná spolupráca, nedostatok času atď.)
• „Produkty“ zobrazia zoznam priebežných/podporných výsledkov (zistenia, životný cyklus produktu, referenčné procesy manažmentu), konečné výsledky (správa o preskúmaní, súhrn kontroly alebo stratégia zlepšovania procesu) a potrebné schválenia výsledných dokumentov.

Vytvorte a vykonajte plán kontroly. Zakaždým je užitočné mať plán kontroly, aby ste mohli kontrolovať tempo kontroly. Základný plán môže mať tieto činnosti:

Identifikujte zainteresované strany procesu. Najčastejšími zúčastnenými stranami akéhokoľvek procesu sú (od najdôležitejších pre kontrolu):

• Vlastník procesu;
• Firemní používatelia / Externí používatelia (napr. Pre správu aktív: zástupcovia oddelenia financií a auditu);
• Ostatné tímy podporujúce podnikanie (napr. Pre správu majetku: logistika, správcovia atď.);
• Vedúci tímu (procesný manažér);
• IT funkcie (napríklad pre Asset Management: projektoví manažéri, držitelia zmlúv, podpora na mieste, Service Desk, technologický manažment, koncoví užívatelia a manažment zmien, tím pre správu konfigurácie, manažment zmien, manažment požiadaviek, bezpečnostné tímy);
• Členovia procesného tímu (správcovia/analytici procesu);
• Zástupcovia tímov správy a riadenia IT;
• Zástupcovia iných tímov zapojených do procesu;
• Experti na predmetné záležitosti (najmä bývalí manažéri).

Identifikujte procesné požiadavky. Recenzent musí identifikovať kľúčové obchodné požiadavky na proces, ktoré môžu poskytnúť tímy podnikových procesov používané v procese IT (napr. Oddelenie financií pre proces správy majetku), vychádzajúce z legislatívy, obchodnej politiky atď.

Nakreslite skutočný priebeh procesu. Začnite vytvárať vývojový diagram procesu úrovne 1 a 2 na základe aktuálnej situácie (vrátane vstupov/výstupov a zainteresovaných strán procesu) a vytvorte pracovný tok produktu (napr. Životný cyklus majetku, ktorý ukazuje vlastníkov majetku v procese správy majetku), aby sa zachoval skutočný obraz procesu a použiť ich ako referencie.

Identifikujte požadované procesné kontroly a analyzujte ich. Procesné kontroly je možné prevziať z rámca Controls Framework (napr. Odvodeného z ISO/IEC 27002 alebo COBIT) a vložiť do pracovného postupu procesu/produktu (napr. Životný cyklus majetku s „vlastniacimi“ kontrolami pre proces správy majetku).

Identifikujte, klasifikujte zistenia, dokumentujte ich a preskúmajte so zainteresovanými stranami. Zistenia možno identifikovať podľa:

• Porovnanie skutočných procesných aktivít na dokumentáciu procesu;
• Rozhovor a analýza skutočných činností vykonaných v rámci procesu.
• Analýza kvality procesných dát (napr. Pre proces správy aktív a konfigurácií: CMDB).
  • Bežné zistenia sú:
    • Procesný model/postup a pracovné pokyny sú k dispozícii, ale nie sú úplné, neodrážajú požiadavky na proces a skutočné činnosti procesu.
    • Úlohy a zodpovednosti počas celého životného cyklu nie sú jasne definované. Tiež zodpovednosti medzi tímami nie sú jasne definované a dohodnuté.
    • Vlastníctvo nie je zaistené počas celého životného cyklu, pokiaľ ide o formálneho vlastníka a/alebo fyzické vlastníctvo.
    • Chýbajúce ovládacie prvky a riešenia náročné na prácu a manuálne ovládacie prvky (listy programu Excel) zaručujú, že nebudú aktuálne, konzistentné a úplné.
• Analýza procesnej dokumentácie. Jedným z najdôležitejších krokov kontroly je analýza dokumentácie súvisiacej s procesom, ktorá zahŕňa:
  • Politický rámec;
  • Rámec kontrol;
  • Model/postupy;
  • Pracovné pokyny;
  • KPI, správy a protokoly;
  • Pracovné pomôcky, formuláre a šablóny;
  • A tak ďalej.

Vykonajte rozhovor so zainteresovanými stranami procesu. Pri identifikácii zistení recenzent vedie rozhovory so zainteresovanými stranami a snaží sa ich pokryť. Aby bol pohovor úspešný, pripravte si pred organizovaním otázok otázky podľa procesných činností, úloh alebo zistení. Nezabudnite si urobiť MoM (minúta stretnutí), najmä ak je dohodnuté poskytnutie informácií potrebných na kontrolu. Všetky zistenia môžu zainteresované strany počas pohovoru potvrdiť alebo spresniť.

Zachyťte metriky procesu. Metriky procesu sú potrebné na zobrazenie aktuálneho stavu procesu a je možné ich vyžiadať od procesného tímu (napr. Pre proces správy aktív: počet aktív,, počet zmien za obdobie, nákupy podľa obdobia, počet aktív podľa umiestnenia, typ alebo pohyby).

Riešiť odporúčania. Každé zistenie môže mať možné riešenia, ktoré môže poskytnúť recenzent, pričom hlavné z nich sú:

• Skontrolujte, aktualizujte a odsúhlaste model/postup a pracovný postup, definujte a dohodnite si úlohy a zodpovednosti.
• Zdokumentujte a vložte všetky požadované pracovné pokyny.
• Definujte a vložte chýbajúce ovládacie prvky. Zaistite vlastníctvo počas celého životného cyklu definovaním a vkladaním prísnejších kontrol.
• Skontrolujte a vyčistite registre, časopisy a databázy tak, aby odrážali aktuálny stav podniku.
• Automatizácia procesov.
• Delegujte administratívne úlohy medzi tímami na základe aktualizovaných pokynov.
• Formalizujte existujúce činnosti a integráciu s inými procesmi.

Odvodiť výstupy z recenzie. Výstupy kontroly procesu sú:

Vykonajte protokol zistení. Všetky procesné chyby a nezrovnalosti identifikované počas kontroly je potrebné uložiť do špeciálneho súboru s názvom Protokol nálezov (pre pohodlie je lepšie použiť hárok programu Excel). Nasledujúca štruktúra stĺpca:

• • Id - jedinečná identifikácia nálezu;
  • Krátky - Krátky názov nálezu, ktorý musí jasne uviesť problém. Napr. Pre správu majetku: Proces vyradenia majetku nie je definovaný;
  • Popis - úplný opis nálezu vrátane dôkazov a súvisiacich skutočností;
  • Krok procesu - napr. Pre správu majetku: objednajte si majetok, prijmite majetok atď.;
  • Zainteresované strany - Zainteresované strany, ktoré sú zapojené do zistenia;
  • Dokument - dokumentácia súvisiaca s procesom;
  • Dopad - Dopad, ktorý môže negatívne ovplyvniť spoločnosť: kritický, významný, priemerný, malý
  • Objasnenie vplyvu - Tento stĺpec musí dokazovať stav vplyvu;
  • Následné opatrenia - Kroky potrebné na odstránenie zistení. Napríklad vytvorte postup, aktualizujte model procesu alebo aktualizujte pracovný pokyn.
  • Odkaz na dôkazy - všetky zistenia musia byť podložené príslušnými relevantnými zdokumentovanými dôkazmi. Napríklad procesná dokumentácia, rôzne databázy (pre Asset Management je to Asset Register), vyplnené formuláre, e -mailová korešpondencia alebo register školení.

Pripravte si správu o preskúmaní postupu. Základným výstupom preskúmania je dokument Správa o preskúmaní procesu s cieľom podať správu o preskúmaní postupu IT, ktoré sa uskutočnilo v niektorej organizačnej štruktúre IT. Konečný dokument musí byť skontrolovaný a schválený vedúcim tímu (manažérom), vlastníkom procesu a líniovým manažérom procesu. Keďže dokument číta manažment, musí byť krátky (20-25 strán) a čo najviac zmysluplný. Revízny dokument má zvyčajne nasledujúcu štruktúru:

• • Zhrnutie. Krátky popis účelu dokumentu, kľúčové zistenia a kľúčové odporúčania. Ako hlavná časť dokumentu musí byť stručný (1-2 strany) a komplexný.
• Úvod musí obsahovať:
  • Účel a rozsah (s „mimo rozsahu“) kontroly.
  • Zamýšľané publikum (napr. Vedúce tímy, obchodné tímy)
  • Časové osi
  • Kľúčové činnosti vykonávané pre kontrolu.
• Spracujte zainteresované strany a kontakty
• Niektoré štatistické informácie o procese vrátane zdroja informácií.
• Zoznam kľúčových požiadaviek na postup
• Jednostranová správa o fyzickom overení, ak sa vykonáva, napr. Pre správu majetku a konfigurácie, môže ísť o audit, fyzickú kontrolu alebo inventár.
• Ovládacie prvky použité v procese:
  • Popis ovládania
  • Ovládajte stav zariadenia (napr. Pre Asset Management, tok vlastníctva majetku IT s ovládacími prvkami vlastníctva je možné poskytnúť
• Zobrazenie na vysokej úrovni (Zistenia je možné zoskupiť do 7 až 10 zistení na vysokej úrovni) o nálezoch vrátane:
  • • Názov a krátky popis
    • Náraz
    • Popis vplyvu
    • Možné riešenia
  • Vzťah medzi nálezmi a rozsahom recenzie vo forme tabuľky so zoznamom rozsahu ako riadkov a nálezov ako stĺpcov s farebnými priesečníkmi - tmavá farba pre blízky vzťah, svetlá farba pre slabú. To môže pomôcť pri pohľade na „slabé“ miesta procesu.
  • Navrhované kroky na zmiernenie rizík a vyriešenie zistení
  • Prílohy
    • Procesná dokumentácia
    • Zoznam nálezov (zvyčajne hypertextový odkaz na zistenia programu Excel).

Pripravte si zhrnutie recenzie. Aj keď nejde o povinný výstup z kontroly, môže ísť o súhrn kontroly s nasledujúcim obsahom:

• Účel a rozsah
• Nejaké čísla
• Kľúčové požiadavky
• Prehľad fyzického overenia
• Ovládacie prvky
• Pohľad na nálezy na vysokej úrovni
• Vzťah medzi zisteniami a rozsahom preskúmania
• Ďalšie kroky, ktoré treba urobiť.

Predložte recenziu. Ďalším výstupom pre recenziu môže byť prezentácia stratégie zlepšovania procesov vytvorená pre používateľov manažmentu a podnikových procesov. Tento dokument môže zahŕňať:

• Hlavné identifikované problémy a možné riešenia;
• Aktuálny proces vs. vylepšený proces (opisuje zmeny, ktoré v toku procesu bolo potrebné zlepšiť);
• Plán na vysokej úrovni na implementáciu vylepšení.