Maturità ISO 38500 · Governance delle tecnologie dell’informazione
La vostra governance del sistema informativo, misurata su ISO 38500 e tradotta in roadmap.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità ISO 38500 · Governance delle tecnologie dell’informazione
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi ISO/IEC 38500:2024 avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in una traiettoria.
Le decisioni di investimento digitale sono prese su criteri espliciti e comparabili?
- N1
Nessun criterio condiviso. Le decisioni si prendono man mano che arrivano le richieste, a seconda del proponente e del contesto del momento.
- N2
Alcuni criteri figurano in un documento o in un modello di dossier, ma il loro utilizzo dipende dai team e i dossier restano difficilmente comparabili.
- N3
I criteri sono diffusi e applicati per la maggior parte delle richieste. I dossier passano attraverso un formato comune e le decisioni vengono registrate.
- N4
Tutti gli investimenti digitali sono istruiti secondo gli stessi criteri, le decisioni e le loro motivazioni sono tracciate, gli scostamenti dal formato comune sono giustificati.
- N5
I criteri sono rivisti periodicamente alla luce del valore effettivamente prodotto dagli investimenti passati, con un monitoraggio documentato delle revisioni.
Azione per passare da L2 a L3
Imporre un dossier d’investimento in formato unico, con criteri decisionali e valore atteso, come condizione per l’iscrizione all’ordine del giorno del comitato di arbitraggio, e registrare ogni decisione a verbale.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu ISO 38500.
Di cosa parla questo quadro di riferimento
ISO/IEC 38500 è la norma di governance delle tecnologie dell’informazione. Non descrive come gestire un sistema informativo: descrive come l’organo di direzione ne assume la responsabilità. Sei principi ne costituiscono l’ossatura: responsabilità, strategia, acquisizione, prestazioni, conformità e comportamento umano. Si applicano secondo un ciclo semplice, valutare, orientare, sorvegliare, che la direzione esercita sulle decisioni relative al digitale. La norma è un quadro di riferimento per i dirigenti, non un catalogo di misure tecniche, e non è certificabile.
La sua messa in pratica è impegnativa perché tocca la ripartizione del potere decisionale. Chi arbitra tra due progetti che consumano lo stesso budget, e su quali criteri espliciti? Il comitato investimenti digitali delibera su dossier comparabili, o su presentazioni costruite da ciascun proponente a modo suo? Si sa, un anno dopo la messa in esercizio, se un’applicazione ha prodotto il valore annunciato nel suo dossier di acquisizione? In molte organizzazioni, queste domande non hanno una risposta tracciabile, mentre il budget informatico, invece, è perfettamente monitorato.
La revisione del 2024 ha concentrato il discorso attorno all’organo di direzione e alla sua relazione con il management. Tiene anche conto del fatto che le decisioni digitali non si prendono più solo nella direzione dei sistemi informativi: le business unit acquistano i propri servizi applicativi, l’intelligenza artificiale e i dati entrano negli arbitraggi, le dipendenze esterne si moltiplicano. Un equivoco frequente merita di essere chiarito: ISO 38500 governa, ITIL e COBIT forniscono gli strumenti. Adottare un quadro di gestione dei servizi non esonera dal governare.
La diagnosi di maturità non pone la stessa domanda di un audit. L’audit si conclude con uno scostamento o una conformità. La diagnosi colloca ogni pratica su una scala progressiva, dal gesto informale alla pratica rivista periodicamente, e indica l’azione che fa salire di un livello. Su un tema di governance, questa sfumatura è decisiva: quasi nulla è assente, quasi tutto è parziale. Il punteggio per ambito mostra dove la decisione è strutturata e dove poggia ancora su poche persone.
In Datamensio, il quadro di riferimento è pronto all’uso e ne mantenete il controllo. L’IA adatta gli ambiti, le domande e la formulazione dei livelli alla vostra organizzazione, oppure costruisce una declinazione a partire dai vostri documenti di governance: statuto del comitato, procedura di arbitraggio, modello di dossier d’investimento. Le valutazioni condotte in più business unit si confrontano tra loro e nel tempo.
Norma di riferimento: ISO/IEC 38500:2024
Gli ambiti valutati
Responsabilità e mandati decisionali
Attribuzione esplicita delle responsabilità digitali all’interno dell’organo di direzione, mandato dei comitati, deleghe, distinzione tra governare e gestire.
Allineamento strategico
Traduzione della strategia aziendale in orientamenti digitali, orizzonte di pianificazione, considerazione delle evoluzioni tecnologiche, revisione degli orientamenti.
Acquisizione e arbitraggio degli investimenti
Criteri decisionali, formato dei dossier d’investimento, comparabilità delle richieste, considerazione del costo complessivo e delle dipendenze dai fornitori.
Prestazioni e valore d’uso
Indicatori monitorati dalla direzione, misurazione del valore dopo la messa in esercizio, adeguatezza delle capacità alle esigenze di business, qualità del servizio percepita.
Conformità e quadro normativo
Identificazione degli obblighi applicabili al digitale, monitoraggio degli impegni contrattuali, raccordo con i requisiti relativi ai dati e all’IA.
Comportamento umano e utilizzi
Considerazione degli utenti nelle decisioni, gestione del cambiamento, pratiche di acquisto informatico da parte delle business unit, competenze dei decisori.
Governance dei dati e dei modelli
Collegamento delle decisioni relative ai dati e agli algoritmi a un’istanza identificata, proprietà dei set di dati, arbitraggi sugli utilizzi dell’IA.
Sorveglianza e reportistica alla direzione
Natura e frequenza delle informazioni riportate, formato di restituzione dei risultati, tracciabilità delle decisioni, monitoraggio degli scostamenti tra decisione e realizzazione.
Gestione del portafoglio e delle risorse
Visione consolidata dei progetti e degli asset, definizione delle priorità, allocazione delle competenze interne ed esterne, interruzione delle iniziative prive di valore.
Miglioramento del dispositivo di governance
Riscontri sulle decisioni passate, revisione dei criteri e dei mandati, confronto tra entità, maturità del dispositivo stesso.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
ISO 38500 è certificabile?
No. È un quadro di principi destinato agli organi di direzione, senza requisiti verificabili da un organismo di certificazione. La diagnosi misura la maturità delle vostre pratiche di governance e prepara le decisioni che la rafforzano.
Che differenza c’è con un audit di conformità?
L’audit si conclude con uno scostamento o una conformità a un requisito. La diagnosi colloca ogni pratica su una scala di maturità e indica l’azione che fa passare al livello successivo. Sulla governance, dove quasi tutto esiste parzialmente, questa gradazione è più utile di un verdetto binario.
Qual è la differenza con COBIT o ITIL?
ISO 38500 dice chi decide e secondo quali principi. COBIT e ITIL forniscono gli strumenti per la gestione dei servizi e dei processi informatici. I due livelli si completano a vicenda: la diagnosi può anzi far emergere un dispositivo di gestione maturo sopra una governance ancora informale.
Quanto tempo richiede la valutazione?
La versione breve si compila in una sola sessione di lavoro. In modalità collaborativa, con la direzione dei sistemi informativi, un rappresentante di business e la segreteria dei comitati, calcolate una o due settimane, gran parte del tempo dedicata a raccogliere gli elementi di prova.
Chi deve rispondere alle domande?
Le domande riguardano le istanze, i criteri e le decisioni, non le configurazioni tecniche. Un direttore dei sistemi informativi, un direttore della trasformazione o un revisore interno vi risponde. La modalità collaborativa consente di assegnare alcune domande all’interlocutore giusto.
Si può adattare il quadro di riferimento alla nostra organizzazione?
Sì. Potete modificare le domande, gli ambiti e la formulazione dei livelli. L’IA produce una declinazione a partire dagli statuti dei vostri comitati e dalle vostre procedure di arbitraggio, affinché il vocabolario della diagnosi sia quello delle vostre istanze.
Si possono confrontare più entità?
Sì. La stessa valutazione condotta in più business unit fornisce un punteggio per ambito comparabile, e una roadmap trasversale consolida le azioni comuni anziché duplicarle entità per entità.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione Europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.