SVENSK STANDARD SIS-ISO/IEC TR 38502:2014

Transkript

1 SVENSK STANDARD SIS-ISO/IEC TR 38502:2014 Fastställd/Approved: Publicerad/Published: Utgåva/Edition: 1 Språk/Language: svenska/swedish ICS: Informationsteknik Styrning av IT Struktur och modell (ISO/IEC TR 38502:2014, IDT) Information technology Governance of IT Framework and Model (ISO/IEC TR 38502:2014, IDT)

2 Standarder får världen att fungera SIS (Swedish Standards Institute) är en fristående ideell förening med medlemmar från både privat och offentlig sektor. Vi är en del av det europeiska och globala nätverk som utarbetar internationella standarder. Standarder är dokumenterad kunskap utvecklad av framstående aktörer inom industri, näringsliv och samhälle och befrämjar handel över gränser, bidrar till att processer och produkter blir säkrare samt effektiviserar din verksamhet. Delta och påverka Som medlem i SIS har du möjlighet att påverka framtida standarder inom ditt område på nationell, europeisk och global nivå. Du får samtidigt tillgång till tidig information om utvecklingen inom din bransch. Ta del av det färdiga arbetet Vi erbjuder våra kunder allt som rör standarder och deras tillämpning. Hos oss kan du köpa alla publikationer du behöver allt från enskilda standarder, tekniska rapporter och standardpaket till handböcker och onlinetjänster. Genom vår webbtjänst e-nav får du tillgång till ett lättnavigerat bibliotek där alla standarder som är aktuella för ditt företag finns tillgängliga. Standarder och handböcker är källor till kunskap. Vi säljer dem. Utveckla din kompetens och lyckas bättre i ditt arbete Hos SIS kan du gå öppna eller företagsinterna utbildningar kring innehåll och tillämpning av standarder. Genom vår närhet till den internationella utvecklingen och ISO får du rätt kunskap i rätt tid, direkt från källan. Med vår kunskap om standarders möjligheter hjälper vi våra kunder att skapa verklig nytta och lönsamhet i sina verksamheter. Vill du veta mer om SIS eller hur standarder kan effektivisera din verksamhet är du välkommen in på eller ta kontakt med oss på tel Standards make the world go round SIS (Swedish Standards Institute) is an independent non-profit organisation with members from both the private and public sectors. We are part of the European and global network that draws up international standards. Standards consist of documented knowledge developed by prominent actors within the industry, business world and society. They promote cross-border trade, they help to make processes and products safer and they streamline your organisation. Take part and have influence As a member of SIS you will have the possibility to participate in standardization activities on national, European and global level. The membership in SIS will give you the opportunity to influence future standards and gain access to early stage information about developments within your field. Get to know the finished work We offer our customers everything in connection with standards and their application. You can purchase all the publications you need from us - everything from individual standards, technical reports and standard packages through to manuals and online services. Our web service e-nav gives you access to an easy-to-navigate library where all standards that are relevant to your company are available. Standards and manuals are sources of knowledge. We sell them. Increase understanding and improve perception With SIS you can undergo either shared or in-house training in the content and application of standards. Thanks to our proximity to international development and ISO you receive the right knowledge at the right time, direct from the source. With our knowledge about the potential of standards, we assist our customers in creating tangible benefit and profitability in their organisations. If you want to know more about SIS, or how standards can streamline your organisation, please visit or contact us on phone +46 (0)

3 Denna tekniska rapport är inte en svensk standard. Dokumentet har tidigare publicerats på engelska. Detta dokument återger ISO/IEC TR 38502:2014 på svenska. De båda språkversionerna gäller parallellt. This Technical Report is not a Swedish Standard. This document was published in English. This document contains a Swedish language version of ISO/IEC TR 38502:2014. The two versions are valid in parallel. Copyright/Upphovsrätten till denna produkt tillhör SIS, Swedish Standards Institute, Stockholm, Sverige. Användningen av denna produkt regleras av slutanvändarlicensen som återfinns i denna produkt, se standardens sista sidor. Copyright SIS, Swedish Standards Institute, Stockholm, Sweden. All rights reserved. The use of this product is governed by the end-user licence for this product. You will find the licence in the end of this document. Upplysningar om sakinnehållet i standarden lämnas av SIS, Swedish Standards Institute, telefon Standarder kan beställas hos SIS Förlag AB som även lämnar allmänna upplysningar om svensk och utländsk standard. Information about the content of the standard is available from the Swedish Standards Institute (SIS), telephone Standards may be ordered from SIS Förlag AB, who can also provide general information about Swedish and foreign standards. Standarden är framtagen av kommittén för IT-system och IT-tjänster, SIS/TK 303. Har du synpunkter på innehållet i den här standarden, vill du delta i ett kommande revideringsarbete eller vara med och ta fram andra standarder inom området? Gå in på - där hittar du mer information.

4 Innehåll Förord...iii Orientering... iv 1 Omfattning Termer och definitioner Modellen och strukturen Modellen för övergripande styrning av IT Högsta styrande organets ansvar och ansvarighet Uppgifter i den övergripande styrningen Chefers ansvar och ansvarighet Tillämpning av modellen Förhållandet mellan övergripande styrning och ledning av IT Viktiga delar av strukturen för övergripande styrning av IT Vägledning för tillämpning av modellen Högsta styrande organets ansvar Allmänt Högsta styrande organet och mekanismer för tillsyn Strategiformulering och tillsyn Allmänt Högsta styrande organets roll i strategiformulering Delegation Allmänt Delegationen från det högsta styrande organet Ledares ansvar Allmänt Ledares roll Övergripande styrning och intern kontroll Allmänt Etablering av intern kontroll Annex A (informativ) Principer för god övergripande styrning av IT Litteraturförteckning Sida ii

5 Förord ISO (International Organization for Standardization) och IEC (International Electrotechnical Commission) utgör det specialiserade systemet för internationell standardisering. Nationella standardiseringsorgan som är medlemmar i ISO eller IEC deltar i utvecklingen av internationella standarder via tekniska kommittéer inrättade av respektive organisation, för att hantera specifika tekniska områden. ISOs och IECs tekniska kommittéer samarbetar på områden där det finns ömsesidigt intresse. Andra internationella organisationer, statliga och icke-statliga, som är associerade med ISO och IEC, deltar också i arbetet. På området informationsteknik har ISO och IEC inrättat en gemensam teknisk kommitté, ISO/IEC JTC 1. Internationella standarder utarbetats i enlighet med reglerna som anges i ISO/IEC direktiv, del 2. Huvuduppgiften för den gemensamma tekniska kommittén är att förbereda internationella standarder. Utkast till internationella standarder som antagits av den gemensamma tekniska kommittén sänds ut till de nationella organen för röstning. För publicering av en internationell standard kräver godkännande av minst 75 % av de nationella organ som röstar. I undantagsfall, när en teknisk kommitté har samlat in data från en annan typ än den som normalt publiceras som en internationell standard (till exempel beskrivningar som ligger i framkanten), kan det fatta beslut med enkel majoritet bland deltagande medlemmar för att publicera en teknisk rapport. En teknisk rapport är av helt informativ karaktär och behöver inte revideras förrän informationen i den anses vara ogiltig eller inte längre användbar. Det bör uppmärksammas att det är möjligt att delar av detta dokument kan vara föremål för patenträttigheter. ISO och IEC ska inte hållas ansvarig för identifieringen av sådana patenträttigheter. ISO/IEC TR har utformats av den gemensamma tekniska kommittén ISO/IEC JTC 1, Information technology. iii

6 Orientering Måttet på framgång för en investering i användningen av informationsteknik (IT), oavsett om det rör sig om nya initiativ eller pågående verksamheten, är nyttan det tillför organisationen som gör investeringen. Nyttan av investeringar i IT kommer normalt inte direkt från den IT som faktiskt förvärvas eller stöds. Den reella nyttan är snarare ett resultat av förändringar i verksamheten som möjliggörs genom användningen av tekniken för att möta organisationens behov och krav. Organisationer behöver strategier och ordnat stöd för IT som maximerar värdet av sådana investeringar och samtidigt som risker som är förknippade med användningen av IT hanteras. Risker som innefattar sådana saker som misslyckande att leverera nödvändig kapacitet, fel i verksamheten för att uppnå de önskade fördelarna och påverkan på organisationen från fel i IT som leder till avbrott i verksamheten, avtalsbrottet, bristande efterlevnad av lagar, brister i säkerhet, förlust av data, nertid, etc. En av utmaningarna när det gäller investeringar i IT är att säkerställa att investeringar och beslut om anskaffning grundar sig på verksamhetsstrategier, prioriteringar och behov. De som ansvarar för den övergripande styrningen av organisationen bör därför ha lämplig kontroll över och delaktighet i beslut som rör användningen av IT i verksamheten, för att se till att sådana beslut baseras på verksamhetsstrategier, riskaptit, prioriteringar och behov. Den ansträngning som krävs för att uppnå den förväntade nyttan bör identifieras och förstås. ISO/IEC [2] bekräftar att den rätta balansen mellan utbud och efterfrågan av IT är ett krav för god övergripande styrning och ledning och att det måste drivas från toppen i en organisation. Syftet med ISO/IEC är att ge vägledning för det högsta styrande organet i organisationer vid utvärderingen, styrning och uppföljning av användningen av IT i sina organisationer. Det finns spår av missuppfattningar på marknaden avseende användningen av begreppet governance 1 när det gäller IT. Till exempel används begreppet governance ofta felaktigt för ledningssystem, kontrollstruktur och informationssystem som i sig inte är governance (övergripande styrning), men som är både resultatet av och nödvändiga möjliggörare för effektiv övergripande styrning. Som ett resultat av detta blir det ofta förvirring kring rollerna för övergripande styrning (governance) och för ledning (management) och detta har hindrat utvecklingen av sammanhängande riktlinjer för övergripande styrning och ledning och ett effektivt införande av övergripande styrning. Denna tekniska rapport har tagits fram för att klargöra skillnaden mellan begreppen övergripande styrning (governance) och ledning (management) med avseende på IT. Rapporten tillhandahåller en modell som illustrerar förhållandet mellan övergripande styrning och ledning och identifierar det ansvar som hör till respektive del. 1 I denna standard är governance översatt med övergripande styrning och inte styrning. Bland annat för att undvika de missuppfattningar som framgår av detta stycke i den svenska terminologin. iv

7 Informationsteknik - Styrning av IT - Struktur och modell 1 Omfattning Denna tekniska rapport ger vägledning om karaktären och mekanismer för övergripande styrning (governance) och ledning (management) samt förhållandet dem emellan, när det gäller IT inom en organisation. Syftet med denna tekniska rapport är att ge information om en struktur och en modell som kan användas för att fastställa gränser och relationer mellan övergripande styrning och ledning av en organisations nuvarande och framtida användning av IT. Denna tekniska rapport ger vägledning för: högsta styrande organ; ledare som arbeta inom de befogenheter och ansvar som fastställs av övergripande styrning; rådgivare eller de som stöder den övergripande styrningen av organisationer av alla storlekar och typer; och utvecklare av standarder inom områdena övergripande styrning av IT och ledning av IT. 2 Termer och definitioner För tillämpning av detta dokument gäller de termer och definitioner som anges nedan. 2.1 acceptabel tillgodose intressenters förväntningar vilka kan ses som rimliga eller meriterande 2.2 huvudansvarig står till svars för handling, beslut och utförande 2.3 ansvarighet att vara huvudansvarig Anm. 1 till termpost: Ansvarighet avser ett tilldelat ansvar. Ansvaret kan baseras på regulatoriska bestämmelser eller avtal eller genom uppdrag som en del av delegation. 2.4 bolagsstyrning system genom vilket bolag styrs och kontrolleras Anm. 1. till termpost: Bolagsstyrning är styrning av organisationer tillämpad på bolag. Anm. 2 till termpost: Från Cadbury 1992 och OECD Anm. 3 till termpost: Definitionen ingår för att tydliggöra utvecklingen i terminologin från tidigare utgåvan. 2.5 styra kommunicera önskade ändamål och resultat till Anm. 1 till termpost: I samband med övergripande styrning av IT innebär styra att sätta mål, strategier och policyer vilka kan antas av medlemmar i organisationen för att säkerställa att användningen av IT uppfyller verksamhetens mål. 1

8 Anm. 2 till termpost: Mål, strategier och policyer kan bestämmas av ledare om de har fått befogenhet av högsta styrande organet 2.6 utvärdera överväga och fatta välgrundade bedömningar Anm. 1 till termpost: I samband med övergripande styrning av IT innebär utvärdera bedömningar av interna och externa, nuvarande och framtida förhållanden och möjligheter relaterade till organisationens nuvarande och framtida användning av IT 2.7 ledande befattningshavare person som har befogenheter delegerade från det högsta styrande organet att genomföra strategier och uppfylla policyer för att uppfylla syftet med organisationen Anm. 1 till termpost: Att vara ledande befattningshavare kan innebära att ha roller som rapporterar till det högsta styrande organet eller till organisationens ledning eller att ha det huvudansvaret för större rapportfunktion. Till exempel roller som verkställande direktörer (CEOs), generaldirektörer, ekonomichefer (CFOs), affärsområdeschefer (COOs), ITchefer (CIOs) och liknande. Anm. 2 till termpost: I ledningssystemstandarder kan ledande befattningshavare benämnas högsta ledning. 2.8 övergripande styrning (governance) system för styrning och kontroll Nationell ANM. Governance kan på svenska kunna översätts med styrning. Men för att den svenska terminologin ska fungera i detta sammanhang översätts governance med övergripande styrning. Det högsta styrande organets (styrelse eller motsvarande) uppgift är att styra och kontrollera. Detta inkluderar enligt denna standard aktiver inom områdena utvärdera, styra och följa upp. 2.9 högsta styrande organ person eller grupp av personer som är ansvariga för utförandet och överensstämmelse för organisationen 2.10 struktur för övergripande styrning strategier, policyer, strukturer för beslutsfattande och ansvarigheter genom vilka organisationens arrangemang för övergripande styrning fungerar 2.11 övergripande styrning av IT system genom vilket den nuvarande och framtida användningen av IT styrs och kontrolleras Anm. 1 till termpost: Övergripande styrning av IT är en komponent eller en delmängd av organisatorisk styrning. Anm. 2 till termpost: Termen övergripande styrning av IT motsvarar termerna bolagsstyrning av IT, företagsstyrning av IT och organisationers övergripande styrning av IT intern kontroll policyer, rutiner, metoder och organisationsstrukturer som syftar till att ge en rimlig försäkran om att verksamhetens mål uppnås och att oönskade händelser kommer att förhindras eller upptäcks och korrigeras 2.13 informationsteknik (IT) resurser som används för att inhämta, bearbeta, lagra och sprida information Anm. 1 till termpost: Detta begrepp omfattar även kommunikationsteknik och det sammansatta begreppet informationsoch kommunikationsteknik (IKT). 2

9 2.14 investering tilldelning av resurser för att uppnå fastställda mål och andra fördelar 2.15 ledning utövandet av kontroll och övervakning inom den befogenhet och det ansvar som inrättats genom övergripande styrning Anm. 1 till termpost: Termen ledning används ofta som ett samlingsbegrepp för de som har ansvaret för kontrollen av en organisation eller delar av en organisation. Termen ledare används för att undvika sammanblandning med ledningssystem. Nationell ANM. På engelska används termerna management, manager och management system. På svenska är motsvarande termer ledning, ledare och ledningssystem ledningssystem uppsättning av samhängande eller samverkande delar av en organisation för att fastställa policyer och mål och processer för att uppnå dessa mål Anm. 1 till termpost: Ett ledningssystem kan rikta sig till en disciplin eller flera discipliner. Anm. 2 till termpost: Ledningssystem måste verka inom de strategier, strukturer, ansvar och ansvarigheter som anges i organisationens struktur för övergripande styrning. [KÄLLA: ISO/IEC direktiven, del 1, Consolidated ISO Supplement Procedures specific to ISO, 2013, Annex SL, Appendix 2, 3.04, ändrat ANM 2 har lagts till.] 2.17 ledare grupp av personer som ansvarar för kontroll och övervakning av en organisation eller delar av en organisation Anm. 1 till termpost: Ledande befattningshavare är en kategori av ledare följa upp granskning som grund för lämpliga beslut och justeringar Anm. 1 till termpost: Följa upp innebär att rutinmässigt få information om framsteg jämfört med planer samt återkommande granskning av resultat i förhållande till överenskomna strategier och resultat i syfte att få ett underlag för beslutsfattande och justeringar av planer. Anm. 2 till termpost: I följa upp ingår att granska efterlevnaden av relevant lagstiftning, regelverk och policyer för organisationen organisation person eller grupp av personer som har sina egna funktioner med ansvar, befogenheter och relationer för att uppnå sina mål Anm. 1 till termpost: Begreppet organisation inkluderar, men är inte begränsade till enskilda näringsidkare, företag, bolag, firma, rörelse, myndighet, partnerskap, välgörenhet eller institution, eller del av eller en kombination av dessa, oavsett om de är juridiska personer eller inte, offentliga, eller privat. [KÄLLA: Konsoliderad ISO Tillägg Rutiner specifika för ISO, bilaga XL, tillägg 2. Anmärkningen har lagts till i denna standard] organisations övergripande styrning system genom vilka organisationer styrs och kontrolleras 2.21 policy avsikter och inriktning för en organisation som det formellt uttryckts av dess högsta styrande organ eller av ledande befattningshavare som agerar med lämplig befogenhet 3

10 2.22 förslag sammanställning av fördelar, kostnader, risker, möjligheter och andra faktorer som är relevanta för beslut som ska fattas 2.23 resurser människor, rutiner, programvara, information, utrustning, förbrukningsmaterial, infrastruktur, kapital och avsatta medel samt tid [KÄLLA: ISO/IEC 38500:2008, ] 2.24 ansvar skyldighet att agera och fatta beslut för att uppnå erforderliga resultat 2.25 risk effekten av osäkerhet om mål Anm. 1 till termpost: En effekt är en avvikelse från det förväntade - positiva och/eller negativa. [KÄLLA: ISO Guide 73:2009, 1.1 Anm 2 till 5 har tagits bort] 2.26 riskaptit mängd och typ av risk som en organisation är villig att fullfölja och behålla [KÄLLA: ISO Guide 73:2009, ] 2.27 intressent varje individ, grupp eller organisation som kan påverka, påverkas av eller uppfattar sig påverkas av ett beslut eller aktivitet [KÄLLA: ISO Guide 73:2009, Anm har tagits bort] 2.28 användning av IT planering, utformning, utveckling, införande, drift, hantering och tillämpning av IT för att uppfylla verksamhetens mål och skapa värde för organisationen Anm. 1 till termpost: Användningen av IT omfattar både efterfrågan och leverans av IT. Anm. 2 till termpost: Användningen av IT omfattar både nuvarande och framtida användning. 3 Modellen och strukturen 3.1 Modellen för övergripande styrning av IT Högsta styrande organets ansvar och ansvarighet Högsta styrande organet är huvudansvarig för nuvarande och framtida användning av IT i organisationen som en del av deras helhetsansvar för organisationens övergripande styrning. 4

11 Källa till befogenheter Högsta beslutande organ Utvärdera Intressenters förväntningar Författningskrav Versksamhetskrav Verksamhetsbehov Styra Följa upp Strategier Policyer Förslag, planer Prestanda Efterlevnad Organisationens ledning Ledningssystem för användning av IT Figur 1 Modell för övergripande styrning av IT (anpassad från SS-ISO/IEC 38500:2008) Högsta styrande organets befogenhet, ansvar och ansvarighet kommer att bero på dess källa till befogenhet, som till exempel den lagstiftning under vilket den lyder. Den överenskomna nivån av befogenhet och avgränsningen av organisationens omfattning är i allmänhet dokumenterade. Beroende på storlek, typ av organisation och rättslig struktur som gäller för organisationen, kommer detta att vara i form av en konstitution eller stadgar för organisationen eller en enkel överenskommelse mellan parterna. I många publika företag är det högsta styrande organet en styrelse, t.ex. bolagsstyrelse. Det finns länder där en tudelad styrelsestruktur tillämpas, med både en övervakande och verkställande styrelse Uppgifter i den övergripande styrningen SS-ISO/IEC [2] rekommenderar att det högsta styrande organet styr användningen av IT genom uppgifter: Utvärdera Styra Följa upp Uppgifterna utvärdera, styra och följa upp genomförs i nära samarbete mellan det högsta styrande organet och chefer för att göra det möjligt för det högsta styrande organet att styra och kontrollera användningen av IT så att verksamhetens mål uppfylls. Medan styrande aktiviteter genomförs bör det högsta styrande organet i sina beslut beakta rättsliga skyldigheter och legitima förväntningar hos intressenter. Även påverkan från verksamhetens omgivning samt verksamhetens krav och behov bör vägas in i besluten. 5