Ştirea de săptămâna trecută legată de extinderea SEAP cu obiectivele „eficientizarea fluxurilor de de lucru prin implementarea unui platforme de management documente si fluxuri de lucru” respectiv „extinderea serviciilor oferite de catre sistemul electonic de achizitii publice” m-a făcut să meditez mai îndelung asupra subiectului din titlu şi legătura sa cu realitatea.
Nu mă exprim asupra sumelor alocate pentru atingerea „obiectivelor”…. Mi-a plăcut în schimb motivaţia sau mai bine spus „viziunea” prin care obiectivele menţionate vor fi atinse: „implementarea unei infrastructuri de management a documentelor si fluxurilor de lucru„; „extinderea serviciilor oferite pe sistemul SEAP„; „instruirea utilizatorilor din cadrul CNMSI pentru utilizarea si mentenanta sistemului.” Trec de incoerenţa exprimării pentru că doresc să insist asupra „înţelegerii”.
Odată cu publicarea COBIT 5 s-a clarificat diferenţa dintre „guvernare” şi „management”. Nu insist pe definiţii, sunt acolo.
În piaţa autohtonă s-a format o percepţie greşită cu privire la ceea ce înseamnă „auditul sistemelor informaţionale”. Atât pentru”legiuitori” cât şi pentru mulţi „clienţi”, diferenţa dintre „audit” şi „assurance” este doar o problemă de semantică cu iz mai mult academic. De aici a doua percepţie greşită: auditul înseamnă doar să verifici servere, routere; să faci pen test sau scanare de vulnerabilităţi; să oferi soluţii tehnice la probleme tehnice…Acestea sunt însă doar unele din lucrurile ce pot sau trebuie făcute.
Dacă pornim însă de la ceea ce înveţi atunci când doreşti să te certifici, descoperim însă că lucrurile sunt puţin mai complexe. În capitolul 2.4.5 din CISA Review Manual se descrie succinct ce înseamnă „Enterprise Architecture” – EA: documentarea activelor IT ale unei organizaţii de o manieră structurată care să permit înţelegerea, managementul şi planificarea investiţiilor IT. Mai departe manualul face referire la cadrul de referinţă Zachman. Fără a se detalia prea mult, pentru că se presupune că aceste lucruri se cunosc.
După cum se observă din definiţia EA, discutăm în primul rând despre o „abordare documentară” ce ar trebui să aibă în vedere 6 elemente de bază:
- Arhitectura guvernării
- Metodologia de implementare
- Cadrul de referinţă al arhitecturii
- Artefacte documentare
- Depozitul arhitecturii
- Bune practice associate
Fără a intra în detalii despre fiecare dintre acestea, cadrul de referinţă al arhitecturii este cel care identifică scopul arhitecturii generale, tipurile şi relaţiile dintre diferitele niveluri ale sub arhitecturii. Nu toate cadrele de referinţă prezentate în literatură sau disponibile în practică permit segmentarea sau integrarea strategiilor cu procesele economice şi tehnologia. (pentru comparaţii: DODAF, TOGAF, EAF).
EA este abordarea şi metamodelul care acoperă cele 3 dimensiuni ale unei organizaţii: strategia este cea care „împinge” afacere/organizaţia, care la rândul său acţionează asupra tehnologiei. Cu referire la „arhitectura guvernării” vom găsi în majoritatea lucrărilor referenţiate: „IT Guvernance” şi COBIT, ITIL….
Când va exista o astfel de abordare va fi depăşit şi stadiul actual: cheltuirea banilor pentru cu totul alte scopuri decât cele pentru care ar trebui alocate fondurile….Şi dacă auditul ar fi mai mult decât am spus, astfel de lucruri s-ar întâmpla mai rar. Poate….
ADRIAN B. MUNTEANU 
Nu voi comenta asupra referirilor la ITIL, COBIT si altele deoarece sunt inca la inceput de drum in ce priveste familiarizarea cu ele. Ati facut referire la sistemul de achizitii publice si eficientizarea lui. Eu unul nu prea inteleg ce audit se face in ce priveste sistemul de achizitii publice. Daca te uiti la tv afli ca suntem „in plina criza”, dar daca te uiti si la ce se descopera prin ministere odata cu venirea la putere a „celorlalti” stai si nu poti sa nu te intrebi: „pai n-au zis ca e criza?” Interesante abordari sunt cele in care se spune ca „da sunt nevoi reale si trebuie incheiate contracte cu firma X sau Y”, dar daca te uiti mai bine descoperi ca destule competente oferite de firma „X” sau „Y” existau deja la angajatii prezenti in sistem, deci anumite servicii nu se justifica. Daca te miri de astfel de abordari si rogi pe cineva sa te ajute sa intelegi, se pare ca nimeni nu stie sa dea un raspuns. Deci de asta eu unul, nu prea inteleg cum merg treburile cu auditul sistemului de achizitii publice. Si sincer sa fiu la ce stadiu de batjocura a fost lasat sa ajunga IT-ul de prin institutiile statului, ma indoiesc ca exista oameni care sa inteleaga acolo cam la ce e buna o metodologie sau alta de lucru. Deci demotivandu-i pe ei angajatii din sistemul de stat si aducand in derizoriu serviciile IT in house, lasi poarta deschisa catre nenumarate alte contracte suplimentare cu tot felul de consultanti si audit-uri pe IT, care se justifica pana la un punct. Crearea unui baseline de securitate sau de implementarea unei metodologii sau alteia, hai sa fim seriosi asta se poate si cu angajatii din sistem dar trebuie tratati si ei cu macar o parte din grija cu care se incheie contracte cu diverse firme. Nu e asa ca Romania e o tara minunata, cu oameni cu o gandire minunata?
ApreciazăApreciază
Cătălin,
Despre „gândire” am dorit să scriu. Şi mai ales despre faptul că încă nu se ştie unde suntem şi unde dorim să ajungem. Dar nu din punct de vedere declarativ, politic. Ci practic.
Nu am dorit a contesta nevoile din SEAP. Pentru moment nu pot să comentez decât cu iz de cârcoteală.
Este însă interesant de aflat cum un „obiectiv” declarat într-un document public poate fi atins prin el însuşi….
ApreciazăApreciază
Pingback: audit, achizitii, o lume minunata « Networking