SVENSK STANDARD SS-ISO/IEC 38500:2008

Transkript

1 SVENSK STANDARD SS-ISO/IEC 38500:2008 Fastställd/Approved: Publicerad/Published: Utgåva/Edition: 1 Språk/Language: svenska/swedish ICS: Organisationers övergripande styrning av informationsteknik (ISO/IEC 38500:2008, IDT) Corporate governance of Information technology (ISO/IEC 38500:2008, IDT)

2 Standarder får världen att fungera SIS (Swedish Standards Institute) är en fristående ideell förening med medlemmar från både privat och offentlig sektor. Vi är en del av det europeiska och globala nätverk som utarbetar internationella standarder. Standarder är dokumenterad kunskap utvecklad av framstående aktörer inom industri, näringsliv och samhälle och befrämjar handel över gränser, bidrar till att processer och produkter blir säkrare samt effektiviserar din verksamhet. Delta och påverka Som medlem i SIS har du möjlighet att påverka framtida standarder inom ditt område på nationell, europeisk och global nivå. Du får samtidigt tillgång till tidig information om utvecklingen inom din bransch. Ta del av det färdiga arbetet Vi erbjuder våra kunder allt som rör standarder och deras tillämpning. Hos oss kan du köpa alla publikationer du behöver allt från enskilda standarder, tekniska rapporter och standardpaket till handböcker och onlinetjänster. Genom vår webbtjänst e-nav får du tillgång till ett lättnavigerat bibliotek där alla standarder som är aktuella för ditt företag finns tillgängliga. Standarder och handböcker är källor till kunskap. Vi säljer dem. Utveckla din kompetens och lyckas bättre i ditt arbete Hos SIS kan du gå öppna eller företagsinterna utbildningar kring innehåll och tillämpning av standarder. Genom vår närhet till den internationella utvecklingen och ISO får du rätt kunskap i rätt tid, direkt från källan. Med vår kunskap om standarders möjligheter hjälper vi våra kunder att skapa verklig nytta och lönsamhet i sina verksamheter. Vill du veta mer om SIS eller hur standarder kan effektivisera din verksamhet är du välkommen in på eller ta kontakt med oss på tel Standards make the world go round SIS (Swedish Standards Institute) is an independent non-profit organisation with members from both the private and public sectors. We are part of the European and global network that draws up international standards. Standards consist of documented knowledge developed by prominent actors within the industry, business world and society. They promote cross-border trade, they help to make processes and products safer and they streamline your organisation. Take part and have influence As a member of SIS you will have the possibility to participate in standardization activities on national, European and global level. The membership in SIS will give you the opportunity to influence future standards and gain access to early stage information about developments within your field. Get to know the finished work We offer our customers everything in connection with standards and their application. You can purchase all the publications you need from us - everything from individual standards, technical reports and standard packages through to manuals and online services. Our web service e-nav gives you access to an easy-to-navigate library where all standards that are relevant to your company are available. Standards and manuals are sources of knowledge. We sell them. Increase understanding and improve perception With SIS you can undergo either shared or in-house training in the content and application of standards. Thanks to our proximity to international development and ISO you receive the right knowledge at the right time, direct from the source. With our knowledge about the potential of standards, we assist our customers in creating tangible benefit and profitability in their organisations. If you want to know more about SIS, or how standards can streamline your organisation, please visit or contact us on phone +46 (0)

3 Den internationella standarden ISO/IEC 38500:2008 gäller som svensk standard. Standarden fastställdes som SS-ISO/IEC 38500:2008 och har utgivits i engelsk språkversion. Detta dokument återger SS-ISO/IEC 38500:2008 i svensk språkversion. De båda språkversionerna gäller parallellt. The International Standard ISO/IEC 38500:2008 has the status of a Swedish Standard. The standard was approved and published as SS-ISO/IEC 38500:2008 in English. This document contains a Swedish language version of SS-ISO/IEC 38500:2008. The two versions are valid in parallel. Copyright/Upphovsrätten till denna produkt tillhör SIS, Swedish Standards Institute, Stockholm, Sverige. Användningen av denna produkt regleras av slutanvändarlicensen som återfinns i denna produkt, se standardens sista sidor. Copyright SIS, Swedish Standards Institute, Stockholm, Sweden. All rights reserved. The use of this product is governed by the end-user licence for this product. You will find the licence in the end of this document. Upplysningar om sakinnehållet i standarden lämnas av SIS, Swedish Standards Institute, telefon Standarder kan beställas hos SIS Förlag AB som även lämnar allmänna upplysningar om svensk och utländsk standard. Information about the content of the standard is available from the Swedish Standards Institute (SIS), telephone Standards may be ordered from SIS Förlag AB, who can also provide general information about Swedish and foreign standards. Standarden är framtagen av kommittén för Utveckling och styrning av system och tjänster, SIS/TK 303. Har du synpunkter på innehållet i den här standarden, vill du delta i ett kommande revideringsarbete eller vara med och ta fram andra standarder inom området? Gå in på - där hittar du mer information.

4 Innehåll 1 Omfattning, tillämpning och syfte Omfattning Tillämpning Syfte Fördelar med att använda denna standard Refererade dokument Definitioner Ramverk för god övergripande styrning av IT Principer Modell Riktlinjer för organisationers övergripande styrning av IT Allmänt Princip 1: Ansvar Princip 2: Strategi Princip 3: Anskaffning Princip 4: Prestanda Princip 5: Regelefterlevnad Princip 6: Mänskligt beteende Sida ii

5 Förord ISO (International Organization for Standardization) och IEC (International Electrotechnical Commission) utgör det specialiserade systemet för internationell standardisering. Nationella standardiseringsorgan som är medlemmar i ISO eller IEC deltar i utvecklingen av internationella standarder via tekniska kommittéer inrättade av respektive organisation, för att hantera specifika tekniska områden. ISOs och IECs tekniska kommittéer samarbetar på områden där det finns ömsesidigt intresse. Andra internationella organisationer, statliga och icke-statliga, som är associerade med ISO och IEC, deltar också i arbetet. På området informationsteknik har ISO och IEC inrättat en gemensam teknisk kommitté, ISO/IEC JTC 1. Internationella standarder utformas i enlighet med de regler som anges i ISO/IEC-direktiven, del 2. Huvuduppgiften för den gemensamma tekniska kommittén är att förbereda internationella standarder. Förslag till internationella standarder som antagits av den gemensamma tekniska kommittén skickas till de nationella instanserna för omröstning. För publicering som internationell standard krävs godkännande av minst 75 procent av de nationella instanserna som röstar. Observera att vissa delar av detta dokument kan omfattas av patenträttigheter. ISO och IEC ska inte hållas ansvariga för identifiering av några sådana patenträttigheter. ISO/IEC utformades av Standards Australia (som AS8015: 2005) och antogs, inom ramen för ett "påskyndat förfarande", av den gemensamma tekniska kommittén ISO/IEC JTC 1, Informationsteknik, parallellt med godkännande av de nationella organen inom ISO och IEC. ISO/IEC är en övergripande principbaserad vägledande standard. Förutom att tillhandahålla vägledning för det högsta beslutande organet, uppmuntrar standarden organisationer till att använda lämpliga standarder för att stödja sin styrning av IT. Vid tidpunkten för publiceringen av denna standard, gör JTC1 fortsatta insatser för att utveckla ytterligare dokument som relaterar till styrning av informationsteknik. Dessa dokument, som i framtiden troligen kommer att publiceras som ISO/IEC tekniska rapporter och eventuellt som standarder, förväntas behandla en rad olika områden inklusive: Styrning av projekt som omfattar IT-investeringar. Styrning av hur IT används i pågående verksamhet. iii

6 Orientering Syftet med denna standard är att tillhandahålla ett ramverk med principer att användas av högsta ledningen vid utvärdering, styrning och uppföljning av en organisations användning av informationsteknik (IT). De flesta organisationer använder IT som ett grundläggande verktyg i verksamheten och få organisationer kan fungera effektivt utan det. IT är för många organisationer också en viktig faktor i framtida verksamhetsplaner. IT-utgifter kan utgöra en betydande del av en organisations kostnader för finansiella och mänskliga resurser. Men avkastningen på dessa investeringar realiseras ofta inte fullt ut och därför kan de negativa konsekvenserna för organisationen vara betydande. De främsta orsakerna till dessa negativa konsekvenser är att särskild vikt fästs vid de tekniska, ekonomiska och planeringsmässiga aspekterna av IT-verksamheten, snarare än på hela sammanhanget av verksamhetens användning av IT. Denna standard tillhandahåller ett ramverk för effektiv styrning av IT, för att bistå den högsta ledningsnivån i organisationer att förstå och uppfylla sina rättsliga, regelmässiga och etiska skyldigheter beträffande organisationens användning av IT. Ramverket består av definitioner, principer och en modell. Denna standard överensstämmer med den definition av bolagsstyrning som publicerades i en rapport från the Committee on the Financial Aspects of Corporate Governance (Cadbury-rapporten) Cadburyrapporten används också som källa för den grundläggande definitionen av bolagsstyrning som angavs i OECDs principer för bolagsstyrning (Principles of Corporate Governance) år 1999 (reviderad 2004). Användare av denna standard rekommenderas att ta del av både Cadbury-rapporten och OECDs principer för bolagsstyrning. Styrning (governance) skiljer sig från ledning (management) och för att undvika förvirring är båda dessa begrepp tydligt definierade i standarden. Denna standard riktar sig främst till det högsta beslutande organet, vilket i sin tur kan besluta att vissa åtgärder vidtas av organisationens ledning. Enligt standarden tillåts också att medlemmar i det högsta beslutande organet i vissa (oftast mindre) organisationer också kan inta centrala roller i organisationens ledning. På detta sätt säkerställs att standarden kan tillämpas i alla organisationer, från de minsta till de största, oavsett syfte, utformning och ägarstruktur. Standarden är också avsedd att informera och vägleda dem som deltar i utformning och införande av ledningssystem, där policyer, processer och strukturer som stöder styrning ingår. iv

7 Organisationers övergripande styrning av informationsteknik 1 Omfattning, tillämpning och syfte 1.1 Omfattning Denna standard tillhandahåller vägledande principer för en organisations högsta ledning (vilket innefattar ägare, styrelseledamöter, direktörer, partners, ledande befattningshavare eller liknande) för en verksam, effektiv och godtagbar användning av informationsteknik (IT) inom organisationen. Denna standard omfattar styrning av ledningsprocesser (och beslut) som är relaterade till de IT-tjänster som används av en organisation. Dessa processer kan vara styrda av IT-specialister inom organisationen, externa tjänsteleverantörer eller av verksamhetsområden inom organisationen. Standarden ger också vägledning till dem som lämnar råd, informerar eller bistår högsta ledningen. Till dessa räknas ledande befattningshavare, medlemmar av grupper som följer upp resurserna inom organisationen, externa organisationer eller fackspecialister inom t.ex. juridik och redovisning, specialister, bransch- och yrkesorganisationer, återförsäljare av datorer, programvara, kommunikationstjänster och andra IT-produkter, interna och externa tjänsteleverantörer (inklusive konsulter), IT-revisorer. 1.2 Tillämpning Denna standard är tillämplig på alla organisationer, inklusive börsnoterade och icke börsnoterade företag, offentliga organisationer och icke-vinstdrivande organisationer. Standarden är tillämplig på organisationer i alla storlekar från de minsta till de största, oavsett omfattningen av deras användning av IT. 1.3 Syfte Avsikten med denna standard är att främja en verksam, effektiv och acceptabel användning av IT i alla organisationer genom att försäkra intressenter (inklusive användare, aktieägare och anställda) att de, om standarden följs, kan ha förtroende för organisationens övergripande styrning av IT, informera och vägleda högsta ledningen avseende styrningen av IT-användning i sin organisation och utgöra en grund för objektiv utvärdering av den övergripande styrningen av IT. 1.4 Fördelar med att använda denna standard Allmänt Denna standard fastställer principer för en verksam, effektiv och acceptabel användning av IT. Genom att säkerställa att organisationen följer dessa principer får högsta ledningen stöd i att balansera risker och uppmuntra organisationen att ta tillvara möjligheterna med användning av IT. 1

8 Denna standard presenterar en modell för styrning av IT. Risken för att högsta ledningen inte uppfyller sina skyldigheter minskar när tillräcklig uppmärksamhet ägnas åt modellen och när principerna tillämpas korrekt. Denna standard presenterar en terminologi för styrning av IT Organisationens regelefterlevnad En korrekt övergripande styrning av IT kan hjälpa högsta ledningen att säkerställa överensstämmelse med skyldigheter (regelverk, lagstiftning, avtal) avseende acceptabel användning av IT. Bristfälliga IT-system kan utsätta högsta ledningen för risken att lagstiftningen inte följs. Till exempel, enligt viss lagstiftning kan medlemmar av högsta ledningen hållas personligen ansvariga om ett bristfälligt bokföringssystem resulterar i att skatt inte betalas in. Processer som berör IT innefattar särskilda risker som måste hanteras på lämpligt sätt. Till exempel kan högsta ledningen få stå till svars för att organisationen inte följer: åtaganden avseende säkerhets, lagstiftning om personuppgifter och sekretess, lagstiftning om elektronisk skräppost, praxis och lagstiftning inom handelsområdet, immateriella rättigheter inklusive licensavtal för programvara, krav på registerföring, miljölagstiftning, lagstiftning inom hälsa och säkerhet, lagstiftning avseende åtkomst och åtaganden avseende socialt ansvar. Det är mer sannolikt att en högsta ledning som tillämpar principerna i denna standard uppfyller sina skyldigheter Organisationens prestation En korrekt övergripande styrning av IT hjälper högsta ledningen att säkerställa att IT-användningen bidrar positivt till organisationens prestation, genom lämpligt införande och användning av IT-tillgångar, tydlighet avseende ansvar för både användning och tillhandahållande av IT för att uppnå organisationens mål, kontinuitet och uthållighet i verksamheten, anpassning av IT till verksamhetens behov, effektiv resursfördelning, innovation avseende tjänster, marknader och affärer, goda rutiner avseende hanteringen av relationer med intressenter, 2

9 minskning av kostnaderna för organisationen och faktiskt förverkligande av avsedd nytta med varje IT-investering. 1.5 Refererade dokument Följande dokument hänvisas till i denna standard: Report of the Committee on the Financial Aspects of Corporate Governance, Sir Adrian Cadbury, London, 1992, ISBN OECD Principles of Corporate Governance, OECD, 1999 och 2004 ISO Guide Risk management Vocabulary Guidelines for use in standards. 1.6 Definitioner I denna standard tillämpas definitionerna nedan. Det förväntas att en organisation kommer att anpassa terminologin som används i denna standard för att passa dess situation eller struktur acceptabel Tillgodose de förväntningar hos intressenter som kan ses som rimliga eller meriterande organisationers övergripande styrning Det system genom vilket organisationer styrs och kontrolleras. (definitionen är anpassad från Cadbury 1992 och OECD 1999.) Svensk ANM. Corporate governance kan även översättas med bolagsstyrning organisationers övergripande styrning av IT Det system genom vilket den nuvarande och framtida användningen av IT styrs och kontrolleras. Organisationers övergripande styrning av IT inbegriper utvärdering och styrning av IT-användning i syfte att stödja organisationen och följa upp IT-användningen så att uppsatta mål nås. Det inbegriper också strategin och policyer för IT-användning inom organisationen kompetent Besitta en kombination av kunskap, formella och informella färdigheter, utbildning, erfarenheter och beteendemässiga egenskaper som krävs för att utföra en uppgift eller inneha en funktion eller roll högsta ledningen Ledamot av högsta beslutande organet i en organisation. Begreppet inbegriper ägare, styrelseledamöter, partners, ledande befattningshavare eller liknande samt representanter/ledamöter som utsetts via lag, förordning eller motsvarande mänskligt beteende Förståelsen av samspelet mellan människor och andra delar av ett system med avsikt att säkerställa välbefinnande och prestation. Begreppet mänskligt beteende inbegriper kultur, människors behov och strävan som individer och som grupper. 3

10 ANM. I IT-sammanhang finns det många grupper eller sammanslutningar av människor, som var och en har sina egna behov, önskemål och beteenden. Till exempel kan människor som använder informationssystem uppvisa behov såväl vad gäller åtkomst och ergonomi som tillgänglighet och prestanda. Människor vars arbetsuppgifter förändras på grund av användning av IT kan visa behov vad gäller kommunikation, utbildning och stöd. Människor som är engagerade i utveckling och drift av IT kan komma att uppvisa behov vad gäller arbetsförhållanden och kompetensutveckling informationsteknik (IT) Resurser som krävs för att inhämta, bearbeta, lagra och sprida information. Detta begrepp omfattar även kommunikationsteknik och det sammansatta begreppet informations- och kommunikationsteknik (IKT) investering Tilldelning av mänskliga, finansiella samt övriga resurser i syfta att uppnå fastställda mål och andra fördelar ledning Systemet för styrning och kontroll samt processer som behövs för att nå de strategiska mål som fastställts av organisationens högsta beslutande organ. Ledningen följer den policy och uppföljningen som fastställts i den övergripande styrningen organisation Alla företag, sammanslutningar, stat, kommun och landsting, icke-vinstdrivande verksamheter eller andra rättsligt utformade verksamheter inklusive föreningar, klubbar, partnerskap, myndighetsorgan, börsnoterade företag, privata företag och enskilda näringsidkare som har egen funktion(er) och administration policy Tydliga och mätbara uttalanden om önskad inriktning och beteende som kan villkora beslut som fattas inom en organisation förslag Sammanställning av fördelar, kostnader, risker, möjligheter och andra faktorer som är tillämpliga på beslut som skall fattas. Begreppet förslag inbegriper beskrivningar av verksamhetsnytta resurser Människor, rutiner, programvaror, information, utrustning, förbrukningsmaterial, infrastruktur, kapital och avsatta medel samt tid risk Kombination av sannolikheten för en händelse och dess konsekvens. Definition hämtad från ISO/IEC Guide 73. ANM. Konsekvenserna är påverkan på organisationen. De kan vara negativa, som i allmänt bruk eller möjligheter i allmän mening riskhantering Samordnade aktiviteter för att inrikta och styra en organisation med avseende på risk. Definition hämtad från ISO/IEC Guide intressent Varje individ, grupp eller organisation som kan påverka, bli påverkad eller uppfattar sig vara påverkad av ett beslut eller en verksamhet. Definitionen bygger på ISO/IEC Guide 73. 4

11 strategi En organisations övergripande verksamhetsplan som beskriver en verksam och effektiv användning av resurser för att stödja organisationen i dess framtida verksamhet. Det inbegriper att sätta mål och föreslå åtgärder användning av IT Planering, utformning, utveckling, införande, drift, hantering och tillämpning av IT i syfte att möta verksamhetens behov. Det omfattar såväl efterfrågan av och tillgången till IT-tjänster genom interna affärsenheter, specialiserade IT-enheter eller externa leverantörer och tjänster (till exempel sådana som tillhandahåller programvara som en tjänst). 2 Ramverk för god övergripande styrning av IT 2.1 Principer Detta avsnitt beskriver sex principer för god övergripande styrning av IT. Principerna kan tillämpas i de flesta organisationer. I principerna uttrycks det beteende som är önskvärt för att vägleda beslutsfattande. Beskrivningen av respektive princip hänvisar till vad som bör hända, men föreskriver inte hur, när eller av vem som principerna ska tillämpas eftersom dessa aspekter är beroende av vilken slags organisation det är som tillämpar principerna. Det är högsta ledningen som bör kräva att dessa principer tillämpas Princip 1: Ansvar Individer och grupper inom organisationen förstår och accepterar sitt ansvar med avseende på såväl utbud av som efterfrågan på IT. De med ansvar för åtgärder har också befogenhet att vidta dessa åtgärder Princip 2: Strategi I organisationens verksamhetsstrategi tas det hänsyn till nuvarande och framtida möjligheter med IT och genom de strategiska IT-planerna tillgodoses nuvarande och fortlöpande behov i organisationens verksamhetsstrategi Princip 3: Anskaffning Anskaffning av IT görs av giltiga skäl, på grundval av relevanta och fortgående analyser, med tydligt och öppet beslutsfattande. Både på kort och lång sikt görs lämpliga avvägningar mellan fördelar, möjligheter, kostnader och risker. Svensk ANM. Anskaffning innefattar de val organisationen gör för att tillgodose IT-försörjningen, vilket innefattar strategi för sourcing, upphandlingar, etc Princip 4: Prestanda IT är ändamålsenligt som ett stöd för organisationen, tillhandahålla tjänster, tjänstenivåer och den tjänstekvalitet som krävs för att uppfylla nuvarande och framtida verksamhetskrav Princip 5: Regelefterlevnad IT uppfyller all tillämplig lagstiftning och normativa regler. Det finns en tydlig praxis och klart definierade policyer som tillämpas och efterlevs. 5