Cerca

070422-cobit-focus3-2-esposito di Angelo Esposito
(tratto da COBIT Focus 3, volume 1, aprile 2007. Traduzione dall'inglese a cura di Agatino Grillo)
A seconda del tipo di azienda, implementare il framework COBIT può essere estremamente facile o incredibilmente difficile. Per le aziende che hanno una buona base di conoscenza (se non addirittura una effettiva pratica) di processi e procedure, la battaglia è meno cruenta rispetto ad una azienda con una mentalità da "selvaggio West" o di una in cui tutte le decisioni sono guidate da una sola persona. I pericoli inerenti all’avere una sola persona responsabile per ogni decisione chiave di management sono stati evidenziati fino alla nausea e così non ne riparleremo qui. Questo articolo si focalizza invece nel modo in cui le aziende devono operare per garantire un fondamento saldo di COBIT a partire dal quale l’intero framework può essere costruito.

Un esempio

I consulenti (incluso l’autore di quest’articolo) sono spesso chiamati in soccorso di progetti IT che rischiano di fallire. Questo è stato proprio il caso nell’esempio che segue. Negli ultimi 18 mesi, l’azienda era stata impegnata in un aggiornamento massiccio delle infrastrutture, aggiornamento destinato ad avere un impatto, virtualmente, su ogni aspetto della sua organizzazione. Con il progetto indietro di vari mesi rispetto alla schedulazione e considerevolmente al di sopra del budget prefissato, il management era alla ricerca di un modo per far ripartire il processo ormai in stallo e rimetterlo sul binario corretto.
Giunto in azienda da non più di due giorni, il consulente scoprì immediatamente la causa delle difficoltà del progetto: non era stato chiaramente identificato il business sponsor; al contrario l’azienda aveva designato più manager per supervisionare i vari aspetti del progetto. Questo approccio avrebbe potuto funzionare se ci fosse stato un amministratore a capo di tutta la gerarchia ma, sfortunatamente, non era questo il caso in questione. Il risultato era che nessuno era responsabile di coordinare le diverse visioni del management e condurre il progetto alla sua conclusione.
Durante la sua analisi il consulente aveva facilmente riconosciuto problemi e difficoltà che aveva già incontrato in molte altre aziende. La dimensione del problema poteva non essere vasta come nel caso in esame ma le cause e gli effetti erano molto simili. La situazione, comune a molti casi, poteva essere sintetizzata come segue: o l’azienda non aveva individuare un business sponsor unico oppure lo aveva designato ma lui (o lei) era priva dei requisiti necessari richiesti dall’incarico. Ciò, naturalmente, pone una domanda; quali sono i requisiti e le qualifiche che deve avere un buon business sponsor?

Stabilire un forte processo

L’obiettivo di controllo COBIT AI1.1 "Definizione e manutenzione delle funzioni di business e dei requisiti tecnici" recita che "la necessità di creare una nuova applicazione o funzione richiede una analisi preliminare sulle effettive necessità…." L’obiettivo di controllo recita , inoltre, che l’azienda deve avere "la capacità per gestire un processo che assicuri l’integrità, l’accuratezza e l’ attualità dei requisiti di business come punti di partenza per il controllo dei nuovi sistemi che devono essere acquisiti o sviluppati." Infine l’obiettivo rende obbligatorio che i requisiti proposti siano sotto la ownership di un business sponsor.
In teoria tutto ciò è l’ideale. Si fissa un obiettivo, si definisce un ambiente nel quale tale obiettivo deve avere luogo e si assegna l’ownership ad una parte responsabile per la sua gestione e supervisione. Nella pratica spesso tutto ciò non è possibile. La ragione principale può essere ricondotta direttamente all’incapacità del management di selezionare il giusto business sponsor.
In molte aziende infatti non sono stabiliti i criteri per la selezione dei business sponsor. Di solito l’incarico viene assegnato a un executive che si presenta al senior management richiedendo una nuova applicazione o funzione e promettendo in cambio di incrementare i profitti. Avendo l’assicurazione di maggiori profitti, il management di solito concede carta bianca per sviluppare un prototipo. Alcune aziende si riferiscono a questa fase con il termine "proof of concept". Con queste premesse ed un solo un obiettivo in mente, il business sponsor non ha nessun interesse né ad esaminare alternative né a condurre una preliminare analisi costi-benefici. (In un caso memorabile, l’executive management ha approvato un progetto ideato per consolidare e gestire diversi progetti di piccole dimensioni senza rendersi conto che Microsoft aveva già annunciato i propri piani per un Project Server).Non dovrebbe sorprendere dunque che tali iniziative o falliscano completamente o comunque non riescano a mantenere i risultati promessi.
In altri scenari, il business sponsor è o un senior-level executive con poco tempo o poca inclinazione nel definire in modo appropriato i requisiti di business oppure l’incarico è affibbiato ad un manager di livello gerarchico medio con limitate conoscenze degli obiettivi strategici di business che devono essere garantiti. In entrambi i casi questi errori critici hanno un effetto catastrofico a cascata perché impediscono che gli obiettivi susseguenti, dall’analisi dei rischi via via fino al delivery e supporto, possano essere svolti con successo. Quando l’obiettivo di controllo fondamentale, assicurare cioè l’accuratezza dei requisiti di business e tecnici, è a rischio l’intero progetto rischia la frammentazione.
Esiste una soluzione a questo problema? Ovviamente il punto di partenza è scegliere un appropriato business sponsor. Idealmente il business sponsor dovrebbe essere un senior executive che è in grado di comprendere in maniera corretta la direzione strategica ma anche tattica cioè anche i problemi giornalieri. Lui/lei dovrebbe avere un ruolo aziendale abbastanza alto nell’organigramma per ottenere istantaneamente rispetto ma non così alto che il suo coinvolgimento possa intimidire o inibire i subordinati. Lo sponsor dovrebbe essere in grado di comprendere gli input e gli output del business, saper gestire, quando serve, le risorse esterne e saper comunicare in modo efficace quando ciò si rende necessario.
Ma la corretta individuazione del business sponsor è solo una componente, anche se forse tra le più importanti, del puzzle. Anche i business sponsor con tutte le caratteristiche in regola possono fallire. Molto spesso, il management insiste perché il business sponsor ricopra nuovi incarichi e contemporaneamente mantenga le vecchie responsabilità. Ma raramente un individuo può gestire molteplici impegni con successo. Inoltre quando da un lato si ha la familiarità di attività conosciute e dall’altro qualcosa che è nuovo e inconsueto, la maggior parte delle persone si dedica maggiormente a ciò che conosce. I potenziali business sponsor non rappresentano una eccezione a questa regola. Per vincere questa resistenza il senior management deve garantire che lo sponsor selezionato non solo abbia la giusta esperienza e gli skill richiesti ma che anche dedichi il tempo appropriato e le risorse per ricoprire in modo efficace e con successo l’incarico.
Il primo step è delegare in modo formale le responsabilità giornaliere dello sponsor a qualcun altro in azienda. C’è anche un vantaggio indiretto nel fare ciò: non solo ci si assicura che lo sponsor abbia tempo adeguato da dedicare al suo incarico ma si crea l’opportunità di assegnare ad un altro impiegato un nuovo e differente incarico; di solito quest’ultimo sarà un membro delle staff di livello più basso che l’azienda vuole far crescere professionalmente. Questo scambio incrociato di talenti contribuisce a rafforzare il management team, rafforza il morale degli impiegati aprendo loro nuove opportunità e rende più semplice che l’obiettivo di assicurare che siano garantiti requisiti di business accurati e aggiornati.
Dopo aver "liberato" il tempo del business sponsor, il senior executive deve anche assicurarsi che lo sponsor abbia accesso al giusto mix tra membri dello staff interno e risorse esterne. Gli obiettivi di COBIT recitano che lo sponsor deve "identificare, documentare ed analizzare i rischi associati con i processi di business…." Valutare i rischi del processo è la componente singola più critica per decidere se andare avanti con l’iniziativa proposta. Senza un accurato assessment dei benefici e dei possibili rischi, il senior management non può prendere decisioni ben informate e ciò potrebbe portare al disastro. In questo frangente, allo sponsor è necessario il servizio di un analista di risk management. Lavorando insieme, essi possono effettuare un assessement completo ed obiettivo sui rischi potenziali che possono nascere da minacce legate alla integrità dei dati, alla sicurezza, alla privacy e garantire la compliance con le leggi ed i regolamenti esistenti. Questo assessment è particolarmente critico dato ormai tutte le aziende si muovono in un contesto normativo e regolatorio molto complesso.
L’obiettivo AI1.3 richiede di effettuare uno studio di fattibilità delle iniziative proposte; nonostante esso sia uno degli obiettivi di controllo più importanti, esso è anche uno dei più sottovalutati. Occorre ribadire allora che lo studio di fattibilità offre numerosi benefici al business sponsor.

Apre il suo orizzonte a possibilità ulteriori oltre a quelle che esistono all’interno dell’azienda.
Permette di incorporare soluzioni o idee che sono considerate best practice dall’industry di riferimento.
Propone metodi alternativi (alcuni buoni altri cattivi) che possono aiutare a bypassare ostacoli o trovare soluzioni in modo più veloce.
Fornisce un più ampio quadro dell’industry e dei competitor (presenti e futuri).

In aggiunta questo obiettivo dà allo sponsor l’opportunità di entrare in contatto con altre persone in azienda che possono avere suggerimenti ma che magari sono riluttanti a fornire spontaneamente le proprie idee ed opinioni. Lo studio di fattibilità ha inoltre un altro beneficio intangibile. Richiedendo opinioni e contributi in azienda lo sponsor può distinguere tra quelli che supportano l’iniziativa e quelli che sono decisi ad opporsi ad essa. Questa conoscenza è fondamentale nel momento in cui occorre prendere delle decisioni.
Il business sponsor ideale deve valutare in modo oggettivo i fatti e non farsi influenzare da scelte "politiche" o personali. Ciò può essere garantito raccogliendo le informazioni essenziali ed usando i dati per sviluppare modelli realistici costi-benefici. Come aiuto in questo esercizio e per assicurare che i modelli siano a "prova di proiettile" lo sponsor deve servirsi di un analista finanziario con skill in questo tipo di progetti. Niente è più convincente di una fila di numeri realistici. È difficile contestare un modello costi-benefici che prevede un 15 per cento di aumento dei profitti con un corrispondente 10 per cento di diminuzione delle spese. Allo stesso tempo però un modello poco credibile sarebbe immediatamente sospetto. Il business sponsor ideale dovrebbe cercare di emulare Sherlock Holmes: la teoria si deve adattare ai fatti e non si deve, viceversa, forzare i fatti affinché aderiscano ad una teoria preconfezionata.
Valutare gli investimenti in hardware e software richiesti per le nuove iniziative richiede il coinvolgimento e l’expertise del dipartimento IT. Per la maggior parte dei business sponsor lavorare da soli a tale aspetto può essere frustrante: di fronte allo sforzo richiesto essi cadono immediatamente malati specie quando occorre discutere su temi tecnologici che essi comprendono solo vagamente. In questi casi l’assistenza del chief information officer (CIO) o del suo designato è fondamentale. Un buon CIO – cioè uno che ha gli interessi di business dell’azienda a cuore – sarà l.ieto di lavorare con il business sponsor per garantire la più alta qualità ed individuare la soluzione a più basso costo disponibile. Insomma valutare correttamente i requisiti hardware e software è difficile. Il business sponsor collaborare con la sua controparte tecnologica per comprendere in pieno cosa è possibile fare cosa è cosa non lo è. Rivedere criticamente l’ambiente tecnologico attuale e determinare i cambiamenti necessari per supportare la nuova iniziativa non è facile. Tuttavia ciò non deve impedire allo sponsor di porre domande e questioni fino a che le alternative non sono chiare. I costi IT sono spesso i più importanti in agenda. È vitale che lo sponsor comprenda quali sono i costi “core” e quelli "aggiuntivi"; fallire in questo compito può portare a sottostimare in modo significativo o sovrastimare le cifre economiche dell’intero progetto.
Inoltre, un buon business sponsor comprende la criticità di saper gestire nei tempi corretti l’esecuzione dei suoi obiettivi chiave. È necessario allora stabilire prioritariamente le regole ed i criteri la review del progetto e la convalida delle sue varie fasi. I punti in cui si prendono le decisioni se andare avanti o meno devono essere chiaramente identificati e condivisi da tutte le parti coinvolte – specialmente il senior management. In un mondo ideale il senior management dovrebbe inoltre avere definito i criteri minimi di accettazione ed il business sponsor deve avere il coraggio di rifiutare requisiti che non soddisfano tali standard. Il business sponsor deve essere indifferente alle beghe politiche interne. Ci può essere del personal interno o dipartimenti che hanno interesse che una particolare iniziativa o progetto sia approvato. Il business sponsor deve avere alle spalle l’autorità del senior management quando prende la decisione finale se procedere o meno. Permettere a chiunque in azienda e fuori di interferire con interessi personali sul processo decisionali è la causa principale del fallimento dei progetti, specie di quelli IT. Dato che il costo dell’IT è una porzione significativa delle spese operative del business, è dovere del management di finanziare solo quei progetti che soddisfano i requisiti di business e producono valore.
In conclusione le aziende che vogliono eliminare o diminuire il numero di progetti IT che falliscono devono concentrarsi sul processo di selezione del business sponsor delle iniziative proposte. La scelta del business sponsor giusto è il fondamento sul quale il resto della struttura sarà costruita e costituisce la differenza tra il successo ed il fallimento. Le basi dei progetti possono essere ben saldi o friabili: la scelta tocca a voi.

Angelo Esposito

è presidente di ATP Consulting, società con base a San Diego, California, USA che assiste le aziende nell’implementazione, in modo efficace, del framework COBIT.