De toegevoegde waarde van gecombineerde toepassing van GEA/COBIT2019

Door: Roel Wagter en Jos Witsenburg

Inleiding

Deze blog is geschreven voor leiders/bestuurders en in hun delegatie opererende managers en architecten die op zoek zijn naar verbetering van de samenhang in hun organisaties en in het bijzonder naar een goede borging van de IT-besturing in de overall besturing. Twee belangrijke aspecten die in de huidige turbulente en IT-driven tijd de nodige aandacht behoeven. Het verbeteren van de samenhang in organisaties is de core van het stuurinstrument GEA (General Enterprise Architecting). Een adequate besturing van de IT-functie biedt het best practice model COBIT 2019. Hierom gaan wij in deze blog dieper in op de toegevoegde waarde van een gecombineerde toepassing van GEA/COBIT 2019, zowel vanuit het perspectief van de COBIT 2019 gebruiker als vanuit het perspectief van degenen die GEA toepassen. Dit vanuit de achterliggende gedachte en wens om organisaties beter te laten presteren.

Voor lezers die minder goed op de hoogte zijn van COBIT 2019 en/of GEA geven we van beiden een samenvatting op hoofdlijnen. Daarna bespreken we de borging van de IT-besturing in de overall besturing, een stappenplan hiervoor en gaan we in op de voordelen van een gecombineerde toepassing van GEA/COBIT 2019. Tot slot geven wij onze conclusie en aanbeveling.  

COBIT 2019 op hoofdlijnen 

Wat is COBIT 2019? 

In de basis is COBIT 2019 [1] een best practice referentie model voor de besturing van de IT functie van organisaties met een methode om dit model zo goed mogelijk in te richten voor organisaties vanuit strategische en praktische inzichten. 

Ontstaan van COBIT 

COBIT (Control Objectives for Information and Related Technologies) is ontwikkeld in de jaren 90 door ISACA [1], de wereldwijde beroepsorganisatie voor richtlijnen, kennis en certificering van IT-governance, informatiebeveiliging, audit en risicobeheer. COBIT is opgezet om IT audits te ondersteunen, maar groeide uit tot een compleet raamwerk voor governance en management van IT dat organisaties gebruiken om hun IT functie beter te beheren, ontwikkelen en controleren. De meest recente versie, COBIT 2019, werd uitgebracht om te voldoen aan moderne eisen van digitale transformatie, cloudtechnologie, agile werken en informatiebeveiliging.  

Waarom COBIT 2019?

De kracht van COBIT 2019 is dat het als referentiemodel kan dienen om voor elke organisatie het juiste gewenste besturingsmodel voor de IT functie in te richten, met concrete acties voor meer taakvolwassenheid. COBIT 2019 levert ten behoeve van dit maatwerk een vaste set generieke principes, doelen en IT objectives. Toepassing van de aanpak van COBIT 2019 garandeert dat de IT functie van elke organisatie optimaal waarde kan creëren, in lijn met de beoogde doelen van de organisatie. Binnen COBIT 2019 zijn vijf aspecten van waarde gedefinieerd als ‘generieke IT governance objectives’: 

1. Gegarandeerde stuurbaarheid 
2. Maximale benefits  
3. Beheerste risico’s 
4. Geoptimaliseerde resources 
5. Betrokken stakeholders 

COBIT 2019 gebruik 

COBIT 2019 is populair in organisaties die hoge eisen stellen aan de continuïteit, compliance, transparantie en performance van hun IT, maar die niet vast willen zitten in een star framework. COBIT 2019 wordt vaak ingezet door IT eindverantwoordelijken die behoefte hebben aan meer sturing, standaardisatie en meetbaarheid van hun IT-functie. En zoeken met deze hogere grip op de IT functie naar zowel een betere aansluiting van hun IT op de beoogde doelen van de organisatie, alsook om beter zicht te hebben op de ROI van IT investeringen. Vaak betrokken rollen zijn: 

• CIO’s en IT-managers 
• Enterprise- en IT-architecten 
• Risicomanagers en compliance officers 
• Interne en externe auditors 
• Bestuurders en directieleden 

De visie van COBIT 2019

De visie van COBIT 2019 is dat IT op hoofdlijnen overal hetzelfde is: een set van 40 IT objectives die op elke organisatie in meer of mindere mate van toepassing zijn. Het verschil tussen organisaties is de taakvolwassenheid waarmee ze de verschillende IT objectives uitvoeren: van level 1 (intuïtief) tot level 5 (geoptimaliseerd). COBIT 2019 heeft hulpmiddelen om de juiste ‘strategische target capability levels’ te bepalen voor elk IT objective. Dat is de kern van het to-be model van de IT functie en het krijgt inhoud vanuit de COBIT 2019 structuur. 

COBIT 2019 structuur 

COBIT 2019 beschrijft van elk IT objective in detail wat er allemaal vereist is voor elk maturity level. Dat is concreet gespecificeerd voor alle 7 componenten van COBIT 2019 (A t/m G). Zie Figuur 1.

Het proces (A) is onderverdeeld in (best) practices met vereiste activiteiten per capability niveau.  

Figuur 1. Beschrijving van vereisten voor elk maturity level van ieder IT-objective (Wittenburg 2025, gebaseerd op COBIT 2019)

COBIT 2019 verwijst veel naar best practices zoals ITIL, PMBOK/PRINCE2, COSO, ISO/IEC 27001 en TOGAF. Door al deze practices samen te brengen in een consistent governance-raamwerk maakt COBIT 2019 het inzichtelijk om verantwoordelijkheid toe te wijzen, overlap te zien en audits efficiënt uit te voeren.  

COBIT 2019 implementeren 

De stappen voor implementatie van COBIT 2019 vormen een PDCA-cyclus. Afhankelijk van de cultuur en ambitie van de organisatie wordt deze cyclus eenmalig doorlopen (liefst herhaald om het effect te meten) of wordt het een vast onderdeel van het periodieke IT strategie alignment proces van de organisatie voor continue verbetering van IT.  Zie Tabel 1.

	Stap	Kenmerken
1	Initieer programma	draagvlak, doelen, sponsor, stakeholders, team, scope
2	Bepaal doelen voor IT	analyse van strategie, knelpunten, risico’s, kansen, verbeterwensen
3	Bepaal targets voor IT	gewenste taakvolwassenheid voor alle IT objectives
4	Analyseer de gap	capability assessment, verschil tussen target en huidige situatie
5	Plan verbetering	eigenaarschap, prioriteiten, best practices, integreer in jaarplan
6	Implementeer verbetering	bouw, train, communiceer, betrek stakeholders, bewaak juistheid
7	Evalueren en bijsturen	verzamel feedback, stuur bij, borg verbeteringen in de organisatie

Tabel 1. PDCA-cyclus van COBIT 2019 stappen, Witsenburg 2025 gebaseerd op COBIT 2019.

Targets bepalen 

De eerste drie stappen van een COBIT 2019 implementatie vormen samen de ‘goals cascade’. Zie Figuur 2. In de visie van COBIT 2019 wordt elke organisatie op hoofdlijnen altijd gedreven door een vaste set van 13 generieke enterprise goals, en is elk IT domein op hoofdlijnen altijd gericht op een vaste set van 13 generieke IT alignment goals, door het prioriteren, ontwikkelen en uitvoeren van de 40 generieke IT objectives.  

Figuur 2. De ‘goals cascade’ van COBIT 2019, Witsenburg 2025,  gebaseerd op COBIT 2019.

De stakeholder concerns, lange termijnstrategie en cultuur van een organisatie vertaalt zich naar de juiste prioritering van de enterprise goals, dat cascadeert tot prioriteiten voor de IT alignment goals, en dat cascadeert tot capability targets voor de 40 objectives. Deze targets zijn dan nog onvoldoende nauwkeurig dus ze worden kritisch beoordeeld en verfijnd, en formeel goedgekeurd door de toepassende organisatie. COBIT 2019 biedt diverse assessments (design factors & focus areas) om tot optimale targets te komen. Deze verfijning is onmisbaar want onnauwkeurige targets kunnen leiden tot ondoelmatige IT en tot onnodige kosten. 

Meten en verbeteren 

Als de targets vaststaan wordt het capability assessment verricht met uitvoerend verantwoordelijken per IT objective (stap 4). Dat brengt inzicht in het huidige capability niveau en in de gap met het target niveau. Daarmee kunnen de gewenste verbeteringen en activiteiten worden ingepland (stap 5), uitgevoerd (stap 6) en opgevolgd (stap 7). 

GEA op hoofdlijnen 

Wat is GEA?

GEA, dat staat voor ‘General Enterprise Architecting’ [2,3,4,5] is een stuurinstrument dat wordt toegepast om de samenhang van organisaties expliciet te maken, te onderhouden en te verbeteren. Kort samengevat: Sturen op samenhang.

Ontstaan van GEA 

In 2005 voelden wij een sterke behoefte ontstaan om na de ontwikkeling en toepassing van de enterprise architectuurmethode Dya [6], enterprise architectuur vanuit een bedrijfskundige invalshoek te benaderen. Dit impliceerde van scratch af aan opnieuw beginnen. De belangrijkste reden hiervoor was dat de toenmalig vigerende enterprise architectuurmethoden allemaal vanuit een IT-perspectief ontwikkeld waren en daarmee te eenzijdig de vraagstukken waarmee organisaties zich geconfronteerd wisten benaderden. 

Inmiddels zijn we twintig jaar verder en staat deze toenmalig vanuit een bedrijfskundig perspectief beoogde enterprise architectuurmethode als een huis. Wij kunnen deze kwalificatie toekennen daar het stuurinstrument GEA continu ontwikkeld is via twee elkaar versterkende ontwikkelsporen. Een wetenschappelijk spoor waarbij de ontwikkeling met behulp van de internationaal erkende wetenschappelijke onderzoeksmethode ‘design science’ plaatsvond en een praktijkspoor waarin de ontwikkeling in nauwe samenwerking met een twintigtal organisaties uit de overheid en het bedrijfsleven verliep. Heden ten dage vindt de doorontwikkeling van GEA nog steeds op deze wijze plaats. Momenteel wordt via beide sporen de inzet van Artificial Intelligence (AI) op de GEA-toepassingen toegepast. 

Waarom GEA?

Het belang van toepassing van GEA voor organisaties is het behalen van beoogde performance. Het belangrijkste fundament van het GEA-gedachtegoed bestaat uit de volgende inmiddels vijftien jaar geleden bewezen stelling [7, 8]: Er bestaat een positieve correlatie tussen een niveau van samenhang in organisaties en hun performance. Dit is de belangrijkste achterliggende reden waarom samenhang in de (door)ontwikkeling van GEA zo’n centrale plaats heeft gekregen. 

De visie van GEA  

Het stuurinstrument GEA is volledig gericht op verbetering van de prestaties van organisaties door prioriteit te geven aan ‘Sturen op samenhang’.  Deze ‘enterprise architectuur visie’  wordt geconcretiseerd volgens een PDCA-cyclus waarbij de ‘DO-processen’ zijn vertaald naar een set uitvoerende processen, producten, benodigde bemensing, middelen, en besturing. Het geheel hiervan is samengevat in een methodologisch kader. 

De GEA structuur

Het stuurinstrument GEA bestaat uit de volgende kerncomponenten  (zie Figuur 3): 

Figuur 3. De vier artefacten van GEA.

Samenhang expliciteren en valideren (links boven in Figuur 3)

GEA richt zich op het expliciet maken van samenhang op en tussen het zingevings- en vormgevingsniveau van organisaties en het valideren daarvan door relevante belanghebbenden. Voortbouwend op deze gevalideerde samenhang verbetert GEA de afstemming en onderlinge verbondenheid van verschillende organisatorische aspecten door de ontwikkeling van het zogenoemde Samenhang Verbeterplan (SVP). 

Sturen op samenhang (rechts boven in Figuur 3)

GEA ontwikkelt in nauwe samenwerking met vertegenwoordigers van de gevalideerde samenhang integrale oplossingscontouren voor vraagstukken van de organisatie die hierdoor een relatief hoge mate van inpasbaarheid hebben in het grotere geheel . Als reactie op evoluerende integrale oplossingen, zoals die voortvloeien uit de hiervoor genoemde oplossingscontouren, alsook rapportages van de huidige besturingscycli, werkt GEA voortdurend de geëxpliciteerde samenhang bij om de afstemming en relevantie voor het behalen van de beoogde performance van de organisatie te behouden.  

Meten van ‘sturen op samenhang’ (rechts onder in Figuur 3)

Met behulp van het GEA-assessment wordt periodiek het volwassenheidsniveau van het ‘sturen op samenhang’ gemeten. Dit betreft de mate van volwassenheid van de EA-visie, -processen, -producten, -mensen, – middelen, -besturing en -methode. De rapportages bestaan uit spiderdiagrams, quadrant diagrams en maturity matrices. Presentatie geschiedt op individueel-, groeps- en enterprise niveau. 

Meten van samenhang (links onder in Figuur 3)

GEA meet de samenhang van een organisatie als resultaat van het ‘sturen op samenhang’ met behulp van de Enterprise Coherence Index (EC-index).  Deze index beoordeelt de expliciete aanwezigheid van samenhang-elementen, hun verbindingen en de bandbreedtes waarin ze voorkomen. Dit levert een numerieke score op, op een schaal van nul tot tien, samen met een breakdown voor verdere analyse.  Wij zijn van mening dat dit indexcijfer, gezien de aangetoonde relatie met de performance van de organisatie, een betere vinger aan de pols is dan de bekende EBITDA-rapportages [9]. De laatsten kunnen naar onze mening makkelijker gemanipuleerd worden. 

GEA implementeren

De stappen voor implementatie van GEA vormen een PDCA-cyclus. De uitvoerende processen van deze cyclus zijn weergegeven in Figuur 4. De processtappen 1 en 2 worden bij het voor de eerste keer toepassen van GEA eenmalig doorlopen. Daarna worden alle stappen vast onderdeel van het vigerende besturingssysteem van de organisatie. Na afronding van de stappen 1 en 2 worden voor vraagstukken met behulp van de geëxpliciteerde samenhang integrale oplossingscontouren ontwikkeld. Hiermee wordt het ‘sturen op samenhang’ vorm gegeven en de samenhang continu op het benodigde peil gehouden c.q. verbeterd.

Figuur 4. De uitvoerende processen van GEA

Targets bepalen

Het stuurinstrument GEA geeft geen inhoudelijke targets voor enterprises aan en ziet het inhoudelijk bepalen en vaststellen daarvan als een verantwoordelijkheid van bestuurders en hun managers [10]. Het metamodel van GEA geeft wel aan dat ze er moeten zijn. De ‘goals’ op zingevingsniveau en de ‘objectives’ op vormgevingsniveau en de relaties tussen goals en objectives. 

Meten en verbeteren 

Periodiek worden de processen Plan, Check en Act van de GEA PDCA-cyclus uitgevoerd. Veelal gekoppeld aan de bestaande besturingscycli van de betreffende enterprise. Hierbij zijn de eerder toegelichte hulpmiddelen het GEA-assessment en de EC-Index behulpzaam. Ook ontstaat hier sturingsinformatie ten behoeve van het bovenste en onderste proces uit Figuur 4.

Borging IT-besturing in de overall besturing

Om een goede borging van de IT-besturing in de overall besturing te kunnen toelichten, alsook de toegevoegde waarde van een gecombineerde toepassing van GEA/COBIT2019,  is het eerst nodig om een beknopte toelichting te geven op het GEA-framework (zie linksboven in Figuur 3) én op een bijzondere eigenschap van het stuurinstrument GEA, te weten de recursieve toepassing van GEA.

Beknopte toelichting GEA-framework

Het doel van het stuurinstrument GEA is organisaties beter te laten performen door permanent te sturen op samenhang. Hiertoe wordt de samenhang van de organisatie op en tussen twee niveaus in beeld gebracht. Te weten een zingevings- en een vormgevingsniveau. Op zingevingsniveau gaat het om de samenhang tussen de elementen Missie, Visie, Kernwaarden, Doelen en Strategie. Zie Figuur 5.

Figuur 5. GEA-framework.

Op vormgevingsniveau gaat het om de samenhang tussen de elementen Perspectieven, Kernbegrippen, Richtinggevende uitspraken, Kernmodellen en Relevante relaties. Zie Figuur 5. De Richtinggevende uitspraken worden daarbij gecategoriseerd naar Doelstellingen, Principes en Beleidsuitspraken. De samenhang op en tussen zin-en vormgevingsniveau wordt onderzocht hetgeen over het algemeen leidt tot een Samenhang Verbeterplan (SVP).  De definitie van het meta-element Perspectief luidt: Een Perspectief is een invalshoek van waaruit men een organisatie wenst te beschouwen én waarop men wenst te sturen. De invalshoeken waarop men wenst te sturen zijn altijd situationeel bepaald en bestaan uit een aantal generieke en een aantal specifieke invalshoeken. Voorbeelden van generieke invalshoeken zijn Financiën, HRM, Producten/Diensten. Voorbeelden van specifieke invalshoeken zijn Justiabelen bij de Dienst Justitionele Inrichtingen, Toerist bij de belastingdienst van een Gemeente, Polis bij een verzekeringsmaatschappij. Als men op een invalshoek wenst te sturen impliceert dit dat de invalshoek als belangrijk voor de organisatie beschouwd wordt en dat daar middelen aan gealloceerd worden in termen van mensen, geld, hulpmiddelen, doelstellingen en andere richtinggevende kaders, en mogelijk een organisatorische eenheid.

Dat het meta-element Perspectief op vormgevingsniveau belangrijk is wordt ook duidelijk omdat Perspectieven afgeleid worden van het zingevingsniveau (vormgeving volgt uit zingeving). Een Perspectief wordt op zich weer gevormd door een aantal Kernbegrippen. Denk bijvoorbeeld bij HRM aan Instroom, Doorstroom, Uitstroom. Bij Informatievoorziening aan Applicaties, Informatiebeveiliging, Technische infrastructuur, Onderhoud, e.d. 

De Richtinggevende uitspraken van een organisatie worden gekoppeld aan de Perspectieven waardoor ieder Perspectief zijn richtinggevende kader verkrijgt. Van de Perspectieven worden representaties vervaardigd, de zogenaamde Kernmodellen die in lijn moeten zijn met de Richtinggevende uitspraken van de betreffende perspectieven die zij representeren. De Relevante relaties zijn verbanden tussen Richtinggevende uitspraken van verschillende perspectieven. Zie de verbanden in Figuur 5.  De belangrijkheid van een Perspectief blijkt naast het erop willen sturen en de daaruit volgende middelenallocatie ook uit de prominente rol die een perspectief speelt in het expliciet maken van de samenhang op vormgevingsniveau.

Recursieve toepassing GEA 

Eén van de unieke eigenschappen van GEA is het toepassen van recursie, waardoor het totale GEA-model ook op diepere niveaus wordt toegepast. In enterprises, zeker die van grotere omvang, zijn meerdere besturingsniveaus te onderkennen. Door het toepassen van recursie is het mogelijk te sturen op samenhang op meerdere niveaus tegelijk. Zie Figuur 6.  De wijze waarop het element Perspectief (zie voorbeelden van perspectieven in de ovaaltjes in Figuur 6) en de Kernbegrippen daarbinnen op vormgevingsniveau zijn gedefinieerd, geeft GEA een recursief karakter – vergelijkbaar met het ‘Droste Effect’- waardoor hetzelfde besturingsmechanisme op verschillende abstractieniveaus kan worden toegepast. Als voorbeeld van verschillende niveaus hebben wij in Figuur 6 het enterprise niveau, het niveau van de informatievoorziening en het niveau van de technische infrastructuur recursief gekoppeld afgebeeld.  

Figuur 6. Samenhang tussen niveaus door recursieve toepassing

Het recursief toepassen van sturen op samenhang is per definitie mogelijk voor elk perspectief. Om aan te geven hoe de recursieve werking voor de informatievoorziening toegepast kan worden, wordt ingezoomd op het perspectief ‘Informatievoorziening’ op enterpriseniveau. Hierdoor verschijnt in Figuur 6 de cirkel op het niveau van informatievoorziening (middelste cirkel) met als voorbeelden de perspectieven Processen, Informatiebeveiliging, Data, Technische infrastructuur, Standaardisatie en Applicaties. Vervolgens zoomen we in op het perspectief ‘Technische infrastructuur’ van het niveau informatievoorziening, waardoor de cirkel technische infrastructuur ontstaat (onderste cirkel) met perspectieven zoals Netwerken, Server platformen, Werkplek automatisering, Opslag & Media, Middleware en Security. 

Elk niveau heeft een eigen zingeving, als aangegeven in Figuur 6, die in overeenstemming is met de zin- en vormgeving van de aanpalende niveaus. Toepassing van recursiviteit leidt zo tot trapsgewijze expansies in vormgeving waarbij steeds de kernbegrippen van het eerst hoger gelegen niveau promoveren tot perspectieven op het daaronder liggend niveau. Het recursieve beginsel biedt zo handvatten om de relaties aan te geven tussen de niveaus van besturing zowel in opwaartse als neerwaartse richting. Vraagstukken die zich voordoen op strategisch, tactisch of operationeel niveau kunnen leiden tot veranderingen in de samenhang op deze niveaus. Het inzicht in de recursieve relaties zoals hierboven toegelicht biedt de mogelijkheid om te sturen op samenhang op en tussen de verschillende niveaus.  

Specifieke technische infrastructuurvraagstukken worden opgelost op het niveau van technische infrastructuur (onderste cirkel) als uitvergroting van het perspectief Technische infrastructuur op het niveau van informatievoorziening (middelste cirkel) dat op zijn beurt weer een uitvergroting is van het perspectief Informatievoorziening op het enterprise niveau. De integrale oplossing van een TI-vraagstuk op het niveau van technische infrastructuur kan leiden tot een verstoring van de samenhang op het eerst hogere niveau doordat bijvoorbeeld veranderingen in de richtinggevende kaders van het perspectief TI invloed hebben op andere perspectieven op het niveau van informatievoorziening. Dit leidt tot een IV-vraagstuk waarvan de integrale oplossing zelfs kan doorwerken op het enterprise niveau. De recursieve redeneertrant kan dus ook opwaarts worden toegepast waardoor ook van technische infrastructuurvraagstukken op deze wijze inzichtelijk wordt gemaakt hoe deze strategische effecten kunnen veroorzaken.  

Door sturen op samenhang simultaan op drie gekoppelde besturingsniveaus aan te brengen, wordt bereikt dat, in dit specifieke voorbeeld, de besturing van de Technische infrastructuur op natuurlijke wijze in de besluitvormingsprocessen op de onderscheiden besturingsniveaus is verankerd en daarmee de aandacht krijgt die het verdient en vereist.  

Borging COBIT 2019 kaders in GEA

De borging van de IT-besturing in de overall besturing lichten wij toe via het borgen van de COBIT 2019 kaders in het GEA stuurinstrument dat de overall besturing van enterprises representeert. In deze blog beperken wij ons tot de borging van de COBIT2019 generieke enterprise goals, de IT-alignment goals en de IT-objectives van COBIT2019.

Integreren COBIT 2019 doelen met organisatiespecifieke doelen/doelstellingen

We gaan nu de COBIT 2019 doelen en objectives plotten op de door GEA geboden structuur van zin- en vormgeving en integreren met de bestaande organisatiedoelen en -doelstellingen. Hierbij bevinden in GEA de doelen zich op zingevingsniveau en de doelstellingen op vormgevingsniveau. In Figuur 7 zijn de zingeving (rode driehoek) en de perspectieven op vormgevingsniveau als voorbeeld van een dienstverlenende overheidsorganisatie afgebeeld. De COBIT 2019 genummerde generieke enterprise goals (rode bollen in Figuur 7) betreffen allen het vormgevingsniveau en adresseren niet wat in GEA onder doelen op zingevingsniveau wordt verstaan, zoals bijvoorbeeld het beogen van een bepaald marktaandeel, winst- c.q. omzetniveau, e.d. Op vormgevingsniveau worden in deze organisatie twaalf perspectieven onderkend. We gaan ervan uit, COBIT2019 kennende, dat niet altijd in de praktijk alle perspectieven door COBIT 2019 worden geadresseerd (zie blauwe en witte arcering in de perspectieven). De reeds bestaande doelstellingen op vormgevingsniveau van deze overheidsorganisatie zijn met een grijze bol weergegeven en komen bij alle perspectieven voor. De COBIT 2019 IT-alignment goals, gemarkeerd als blauwe bol, zijn aan het bijbehorende perspectief Informatievoorziening gekoppeld. De COBIT 2019 IT governance & management objectives hebben weliswaar betrekking op het perspectief Informatievoorziening, maar worden gezien hun diepgang hierna op het recursieve niveau van het perspectief Information provisioning besproken.  Aan deze koppeling van COBIT 2019 doelen aan het GEA-framework gaat een analyse vooraf waarbij integraal de implicaties van het adopteren van COBIT 2019 doelen op de organisatie, inzichtelijk worden gemaakt. Eventuele situationele aanpassingen van COBIT 2019 doelen en de reeds bestaande doelen worden beargumenteerd. 

Figuur 7. COBIT 2019 op een dienstverlenende overheidsorganisatie.

Deze analyse kan tot slot ook leiden tot voorstellen voor bijstellingen op zingevingsniveau (missie, visie, kernwaarden, doelen en strategie). Op vormgevingsniveau kan dit leiden tot aanpassingen van bestaande perspectieven, het ontstaan van nieuwe perspectieven en het aanpassen of laten vervallen van aan deze perspectieven gekoppelde richtinggevende uitspraken (beleidsuitspraken, doelstellingen, principes).

De organisatie loopt na haar analyse op zingevingsniveau alle perspectieven en implicaties langs en maakt keuzes uit de mogelijkheden. Hierbij worden de perspectieven door hun eigenaar vertegenwoordigd. Bijvoorbeeld de HR-directeur voor het perspectief Medewerkers. 

Het volgen van de werkwijze zoals hiervoor beschreven, lijkt misschien veel werk. Bedenk echter dat dit alleen de eerste keer het geval is. Daarna kan men voortbouwen op het werk dat eenmaal is gedaan, en wordt de inspanning overzichtelijk.

Als de COBIT 2019 generieke enterprise goals, de COBIT 2019 IT-alignment goals en de COBIT 2019 IT governance & management objectives  in het GEA-model van de overheidsorganisatie zijn opgenomen, kunnen we dit stelsel toepassen in strategisch/tactische besluitvormingsprocessen. Deze gestructureerde aanpak minimaliseert het risico dat in besluitvorming belangrijke aspecten worden vergeten, en maakt de kaders zichtbaar waarbinnen oplossingen gevonden moeten worden. De organisatie kan hiermee sturen op een adequate samenhang op zingevingsniveau, op vormgevingsniveau en tussen deze niveaus.

Deze zelfde redeneertrant kan ook toegepast worden op diepere niveaus met behulp van de GEA-recursie. In dat geval worden de 40 COBIT2019 governance & management objectives (blauwe bollen bij door COBIT2019 beïnvloede perspectieven in Figuur 8) nader toegekend aan de perspectieven van het niveau Informatievoorziening (1^e recursieniveau in Figuur 6) en indien gewenst aan bijvoorbeeld de perspectieven van het niveau Technische Infrastructuur (2^erecursieniveau in Figuur 6). Ter illustratie zijn in Figuur 8 een aantal van de unieke COBIT coderingen aangegeven.

Figuur 8. Recursief niveau Information provisioning

Stappenplan integreren COBIT 2019 doelen en organisatiespecifieke doelen

Het adopteren van COBIT 2019 doelen draagt bij aan het realiseren van het vergroten van het vermogen van de IT besturing en daarmee het bereiken van de beoogde organisatiedoelen. Het is van belang om de COBIT 2019 doelen (en bijbehorende modellen) als individuele organisatie te gebruiken als leidraad. Met andere woorden: om COBIT 2019 compliant te zijn. Het besturen van deze transitie met gebruik van GEA én COBIT 2019, zien wij als volgt voor ons.

Wij zien in hoofdlijn twee implementatiestrategieën:

• Doorvoeren in totaliteit (aandachtsgebied is dan de complete transitie om het vergroten van het IT vermogen in en samen met haar omgeving te realiseren).
• Doorvoeren aan de hand van concrete vraagstukken.

Onderstaand stappenplan gaat uit van de eerste implementatiestrategie. Zie Figuur 9.

Als dit stappenplan wordt gehanteerd voor de tweede strategie impliceert dit dat het binnen de stappen gaat om deelverzamelingen van doelstellingen. We veronderstellen dat de organisatie beschikt over een eigen GEA-framework.

Figuur 9. Stappenplan COBIT2019-implementatie met behulp van GEA

Stap 1: Koppel COBIT2019 generieke enterprise goals (zie rode bollen in Figuur 9) aan bestaande door COBIT2019 beïnvloede perspectieven en voer de effectanalyse uit. Wij gaan er hierbij vanuit dat, op enkele uitzonderingen na, alle perspectieven door COBIT2019 geadresseerd worden. In deze stap worden met behulp van het GEA-framework de COBIT2019 generieke enterprise goals geanalyseerd. Hierbij worden (voor zover nog niet beschikbaar) ook de eigen richtinggevende uitspraken (beleidsuitspraken, principes, doelstellingen) van de perspectieven in kaart gebracht en geordend volgens de onderdelen van het GEA-framework. Men heeft nu de compleet beoogde set met doelstellingen (reeds bestaande en de COBIT2019 generieke enterprise goals). Elke organisatie zal dus vanuit haar eigen samenstel van perspectieven, de COBIT2019 generieke enterprise goals vertalen. Dit resulteert in een per organisatie situationele set ‘COBIT2019 generieke enterprise goals’ en de aangepaste perspectieven die door COBIT2019 zijn beïnvloed. De aanpassingen die in deze perspectieven naar aanleiding van de hierop uitgevoerde effectanalyse plaats gevonden hebben resulteren in perspectieven die ‘COBIT2019-compliant’ zijn geworden’.  Zie blauw gearceerde perspectieven in Figuur 9.

Stap 2: Koppel alle COBIT2019 IT-aligment goals aan het perspectief Information provisioning en voer de effectanalyse uit. In deze stap  worden de COBIT2019 alignment goals en de eigen IT-doelstellingen, beide beschreven in ‘GEA-taal’, op elkaar gelegd, zodat helder wordt waar de overeenkomsten en verschillen zitten en of deze verklaarbaar zijn, wenselijk c.q. onwenselijk. Het niet (kunnen of willen) adopteren van een COBIT2019 alignment goal zal beoordeeld moeten worden op de implicaties en risico’s die dat met zich meebrengt.

Stap 3: Effectanalyse op zingeving

In deze stap wordt nagegaan of en in welke mate de totale nieuwe set aan richtinggevende uitspraken de samenhang tussen zin- en vormgeving heeft beïnvloed. Daar COBIT2019 ‘het juiste gewenste besturingsmodel voor de IT functie in te richten’ beoogt, is de kans aanzienlijk dat de tot dan toe bestaande strategische uitspraken, doelen, kernwaarden, visiestatements, strategie uitspraken en misschien zelfs de missie aangepast moeten worden als gevolg van alle aangebrachte aanpassingen op vormgevingsniveau.

Stap 4: Bepalen integrale oplossingsrichting én aanpakkeuze van de transitie

In deze stap worden de inhoudelijke keuzes voor aanpassing van de eigen enterprisearchitectuur gemaakt en tevens aangegeven wat hiervan de impact is op lopende en nog te starten projecten. In de GEA-terminologie zal gezien het integrale karakter er al gauw sprake zijn van Samenhang Verbeter Plan (SVP), waarna via onderhandeling met portfoliomanagement de benodigde veranderingen worden ondergebracht in het veranderportfolio. 

Stappenplan integreren COBIT 2019 governance & management objectives op recursieniveau van Informatievoorziening

In wezen vindt nu dezelfde exercitie plaats zoals onder het hierboven beschreven stappenplan is besproken, maar dan op het recursieniveau van Informatievoorziening (middelste bol van Figuur 6).

Figuur 10. Stappenplan integreren COBIT2019 Governance & management objectives in GEA op 1e recursieniveau van Informatievoorziening

Hierbij wordt in stap 1 de COBIT2019 Governance & management objectives gekoppeld aan de door COBIT2019 beïnvloede perspectieven. En dat zullen in de praktijk waarschijnlijk alle perspectieven van de informatievoorziening zijn. De stappen 2 en 3 zijn vergelijkbaar zoals in het voorgaande stappenplan besproken.

Toegevoegde waarde van een gecombineerde toepassing GEA/COBIT2019

Wij lichten de toegevoegde waarde van een gecombineerde toepassing van GEA/COBIT2019 achtereenvolgens toe vanuit het perspectief van de COBIT2019 gebruiker en de GEA gebruiker.

Toegevoegde waarde van een gecombineerde toepassing van GEA/COBIT2019 vanuit het perspectief van de COBIT2019 gebruiker

De COBIT2019 gebruiker kan door een gecombineerde toepassing van COBIT2019 en GEA:

1. Beter de borging van de IT-besturing in het grotere geheel doorgronden en deze borging verbeteren. 
2. De bijdrage van IT aan het behalen van de beoogde organisatiedoelen versterken.
3. De samenwerking en samenhang op meerdere niveaus (strategisch, tactisch en operationeel) verbeteren door middel van COBIT2019/GEA integratie via GEA recursie.
4. De zogenaamde en bekende kloof tussen ‘business’ en IT (business/IT-gap) overbruggen, de samenhang op enterprise niveau daarmee verbeteren, en in het verlengde daarvan de organisatie performance.
5. De IT-medewerkers zullen meer in de gelegenheid zijn het nut van hun werk in te zien (geen IT-silo) en daarom beter presteren.
6. Ook vraagstukken die ‘schijnbaar slechts IT-vraagstukken’ zijn, genieten een integrale oplossing, waarbij geen belangrijke invalshoeken (perspectieven) worden vergeten, onderschat dan wel overschat. 
7. De IT-functie is nu in staat om naast het GEA-framework ook de andere GEA-instrumenten te gebruiken, te weten het GEA-assessment, de EC-index, het GEA competence profile en de GEA processen voor het ontwikkelen van integrale oplossingscontouren.
8. De samenhang en samenwerking binnen het IT-domein zelf verbeteren.

Toegevoegde waarde van een gecombineerde toepassing van GEA/COBIT2019 vanuit het perspectief van de GEA gebruiker

De GEA gebruiker kan door een gecombineerde toepassing van COBIT2019 en GEA:

1. COBIT2019 als referentiearchitectuur gebruiken om de huidige status van de besturing van de IT-functie beter te doorgronden en eventuele omissies en verbeteringen te detecteren.
2. Door de COBIT2019 richtinggevende kaders te verankeren in de enterprise architectuur op de strategische, tactische en operationele niveaus versterken van de samenhang op en tussen al deze niveaus.
3. Beter en tijdiger de IT richtinggevende kaders toepassen bij het ontwikkelen van integrale oplossingscontouren voor bedrijfsvraagstukken.
4. De zogenaamde en bekende kloof tussen ‘business’ en IT (business/IT-gap) overbruggen, de samenhang op enterprise niveau daarmee verbeteren, en in het verlengde daarvan de organisatie performance.
5. Betere samenwerking bereiken van de medewerkers van de IT-functie met de medewerkers van de overige bestuurlijke invalshoeken.
6. Gebruiken van de overige COBIT2019 instrumenten waaronder SIX Principles for a Governance System, Three Principles for a Governance Framework, COBIT Capability levels, etc.

Conclusie en aanbeveling

Op basis van onze hierboven geschetste wijze van integratie van COBIT2019/GEA  en de benoemde bevindingen vanuit het perspectief van de COBIT2019- en GEA gebruiker  stellen wij dat deze integratie realiseerbaar is en voor beide typen gebruikers veel voordelen biedt, en door benutting daarvan de betreffende organisaties beter zullen presteren. Wij bevelen een COBIT2019/GEA integratie dan ook van harte aan.

Referenties: 

1. https://www.isaca.org/credentialing/cobit-foundation

2.  Stovers, R., Ruijter, J.D., Wagter, R.: GEA Enterprise Architecture in de praktijk: Betere prestaties door sturen op samenhang. Uitgeverij Dialoog, Zaltbommel, Nederland (2019)

3. Stovers, R., Ruijter, J.D., Wagter, R.: GEA Enterprise Architecture in Practice: Better Performance by Managing Coherence. Dialoog, Zaltbommel, the Netherlands (2021)

4. Wagter, R.: Enterprise Coherence Governance. Ph.D. thesis, Radboud University, Nijmegen, the Netherlands (2013)

5. Proper, H.A., Wagter, R., Bekel, J.: Enterprise coherence with GEA- A 15 year co-evolution of practice and theory. In: Serral, E., Stirna, J., Ralyté, J., Grabis, J. (eds.) The Practice of Enterprise Modeling- 14th IFIP WG 8.1 Working Conference, PoEM 2021, Riga, Latvia, November 24–26, 2021, Proceedings, Lecture Notes in Business Information Processing, vol. 432, pp. 3–18. Springer (2021). https://doi.org/10.1007/978-3-030-91279-6_1

6. Wagter, R., van den Berg, M., Luijpers, J., van Steenbergen, M.E.: Dynamic Enterprise Architecture. How to make it work. Wiley, New York (2005)

7. Leinwand, P., Mainardi, C.: The Coherence Premium. Harvard Business Review (2010) 22.

8. Leinwand, P., Mainardi, C.R.: The Essential Advantage: How to Win with a Capabilities-Driven Strategy. Harvard Business Review Press (2010)

9. Wagter, R.: Enterprise Architecture: een betere vinger aan de pols dan EBITDA!https://www.groeiplatformgea.nl/nieuws/enterprise-architecture-een-betere-vinger-aan-de-pols-dan-ebitda/ (2023)

10. Wagter, R.: Bestuurder en enterprisearchitect: ieder zijn vak.https://www.solventa.nl/blog/bestuurder-en-enterprisearchitect-ieder-zijn-vak/