COBIT er en ramme for ledelse og styring af virksomhedens IT, udgivet af organisationen ISACA. Den nyeste udgave, vi henviser til her, er COBIT 2019. Rammen er en fælles referenceramme, som I selv vælger at bruge, og en virksomhed kan sagtens have god styring af IT uden nogensinde at åbne den. Den er nyttig, når flere parter skal tale om styring på samme måde, fx IT, økonomi, intern kontrol og revisor i en koncern. For de fleste er det rigtige svar at bruge den som et opslagsværk, I vælger fra, og lade være med at indføre den i sin helhed. Herunder står, hvad I skal tage stilling til.
Hvad rammen er
Ifølge ISACA er COBIT 2019 en ramme for governance og management af virksomhedens IT. Governance er den del, der handler om retning og tilsyn, mens management er den daglige styring. ISACA oplyser, at rammen har 40 mål for governance og management.
Rammeværket er betalingsmateriale, og vi har ikke læst det til denne artikel. Derfor beskriver vi formålet og brugen og gengiver ikke indholdet. Skal I arbejde med rammen, skal I selv læse ISACA’s materiale eller have nogen med, der kender det.
ITIL er noget andet. Ved en grov opdeling handler COBIT om, hvordan ledelsen styrer IT som helhed, mens ITIL handler om, hvordan IT-ydelser leveres og drives. De to udelukker ikke hinanden.
Hvem der bruger rammen
COBIT henvender sig efter sit formål til dem, der skal styre IT eller kontrollere, at det sker: IT-ledelse, økonomifunktion, risikostyring, intern kontrol og revision.
For direktionen er rammen sjældent noget, I selv læser. Den møder jer som et ord i en revisionsdrøftelse, i en konsulents oplæg eller i et krav fra en moderselskabsfunktion. Så er det rimeligt at spørge: hvad skal det bruges til hos os, hvilken del taler I om, og hvad ændrer det i det, vi gør på mandag?
Hvornår den giver mening
Rammen tjener bedst, hvor flere parter mangler et fælles sprog. Tre situationer går igen.
Den første er koncernen med flere selskaber, hvor styringen er vokset op lokalt. Her kan en fælles ramme gøre det lettere at sammenligne og at tale om samme ting på tværs. Den anden er virksomheden, hvor intern kontrol, revisor og IT har svært ved at forstå hinanden. En fælles referenceramme kan flytte drøftelsen fra personer til emner. Den tredje er modenhedsarbejdet, hvor ledelsen vil se, hvor styringen er stærk og svag. Her overlapper rammen med IT-modenhedsvurderingen.
Den giver mindre mening, hvis det reelle problem er, at ingen træffer beslutningerne. Så hjælper en ramme ikke, før lagene og møderne er på plads. Start med en governance-model, og lad rammen komme bagefter.
Hvor lidt der skal til
Risikoen ved en ramme af denne størrelse er, at arbejdet med den bliver større end det problem, den skulle løse. En enkel fremgangsmåde holder arbejdet nede:
- Sæt ord på problemet. Hvad er det, der ikke virker i styringen i dag? Skriv det ned, før nogen åbner rammen.
- Vælg få områder. Find de dele af rammen, der handler om problemet, og lad resten ligge.
- Tilpas sproget. Brug jeres egne ord og fora. Medarbejdere og forretning behøver ikke lære rammens begreber.
- Giv hver del en ejer. Et område uden navn på bliver hurtigt et dokument, som ingen åbner.
- Vurder efter et år. Har det ændret noget, som direktionen kan mærke? Hvis ikke, skal det ændres eller fjernes.
Et tænkt eksempel: en koncern får gentagne bemærkninger om adgangsstyring i to selskaber. IT-chefen foreslår at indføre hele rammen. Direktionen beder om et mindre forslag, der tager fat i adgange og ændringer og ensretter netop dem. Det bliver første skridt, og resten af rammen står som et opslagsværk på hylden.
ISO/IEC 38500 ved siden af
Ved siden af COBIT findes standarden ISO/IEC 38500. Den er også betalingsmateriale, og vi har ikke læst den. Vi nævner den her, fordi den dukker op i samme samtaler. Hører I ordet, så spørg på samme måde som ved COBIT: hvad skal den bruges til hos os?
Hvad I skal stille spørgsmål ved
Møder I et forslag om at indføre COBIT, er der fem gode spørgsmål. Hvilket problem løser det? Hvilke dele skal bruges? Hvem ejer hver del hos os? Hvor mange mandedage koster det forretningen og IT-afdelingen? Hvordan ser vi, om det har virket?
Kan forslagsstilleren ikke svare, er det et tegn på, at rammen er blevet målet. Det samme gælder forslag, der måler succes på, hvor meget af rammen I dækker. Dækning er sjældent det, direktionen er interesseret i. Beslutninger, færre fejl og klarere ansvar er det. Det hører til i rapporteringen til direktionen.
Hvad gør I nu?
Spørg, hvor rammen konkret skal gøre en forskel hos jer. Findes svaret ikke, kan I lægge den til side. Findes det, så afgræns arbejdet til de områder, svaret peger på, og sæt en ejer og en dato for evalueringen.
Det skal I lade være med
- At indføre hele rammen, fordi den findes · omfanget skal følge problemet.
- At sætte rammens sprog ind i forretningen · det gør styringen sværere at forstå.
- At bruge dækning som mål · mål i stedet, om beslutningerne og kontrollerne er blevet bedre.
Det skal I kræve af dem, der leder IT
- ☐ En kort begrundelse for, hvilket problem rammen skal løse hos jer.
- ☐ En afgrænsning af, hvilke dele der bruges, og hvilke der ikke gør.
- ☐ En navngiven ejer for hver del.
- ☐ Et skøn over tidsforbruget i forretningen og i IT.
- ☐ En evaluering, der viser, hvad der er ændret.
Kilder
- ISACA: COBIT: rammens formål.
- ISACA: COBIT 2019 and COBIT 5 Comparison: sammenligning af udgaverne og antallet af mål.
Senest gennemgået: november 2026.
Næste skridt
Læs også: IT-modenhedsvurdering · Generelle IT-kontroller
→ Kontakt · Tlf. 70 13 63 23 · Ekstern CIO hos Nielco IT
