Chapter 8 Reference Models, Standards & Frameworks

Framework คือ กรอบวิธีปฏิบตัิ, Model คือแบบจาํลอง, Reference Standard คือมาตรฐานขอ้อา้งอิง ในบทนี้มาดูว่าในโลกนี้มี framework อะไรบา้ง คาํแนะนาํ และอา้งอิงต่างๆ สาํหรับการเลือกใช้สมมติวา่เราจะทาํ IT Governance ให้กับองค์กร (ในมุมของผูบ้ริหาร) ในมุมของ Auditor ถา้ตอ้งไปตรวจสอบการทาํงาน IT ขององค์กร ตอ้งอาศยัคู่มือเช่นเดียวกนั เลือกใช้framework ให้เหมาะสมกบัธุรกิจ เริ่มตน้ต้งัแต่ปี 70 จาก Auditor แต่เป็นภาพรวมขององค์กร มองท้งัองค์กร เริ่ม framework IT ในปี 90

 Model ,Standard,Framework ถา้เราเลือกมาตวัใดตวัหน่ึง จะไม ่ครบ วงจร (มองในมุมของ IT) ไม่มี (How To) รายละเอียดที่จะทาํ เก ี่ยวกับดา้น Process เช่นเกี่ยวกับด้าน กระบวนการจัดซื ้อ IT ก ็จะกล ่าว คร ่าวๆว่า จะซื ้ออย่างไร หน ่วยงาน ไหน ก ็ไม ่ได้กล ่าวไว้ ลักษณะ Template คือนาํไปทาํต่อไดเ้ลย เป็น โครงร ่าง Checklist เช ่น ..ทํา
งบประมาณหรือยงั??..นอกจากนั ้น Tool จาํพวก โปรแกรม หรือแบบคาํนวณ และ Too Flexible/too rigid หลวมเกินไป ยดืหยุ ่ นมากเก ินไป กวา้งเกินไป

 ในเรื่องของ Framework เนื้อหาแบบ กวา้งๆ หรือรวมๆ จะมีดงันี ้  - philosophy ปรัชญาของการทาํงาน Key issue ประเด็นที่สนใจในขณะนั้น เชน ขณะนี้กําลังสนในในเรื่องกําไร ขาดทุน ความอยู รอด  - Legal กฎหมายที่ออกใหม - Maturity ความเปน professional ในการทํางาน IT  - Culture วัฒนธรรมขององคกร (ไมยอมรับสิ่งใหมๆ แกไมได) 

 
Content ที่สําคัญเกี่ยวกับ framework / model จะเปนเรื่องเกี่ยวกับ business plan ,จะตองมี IT Plan ที่มีความสําคัญเกี่ยวเนื่องกับ business plan ,Investment port folio การลงทุนดาน IT ,การนํา IT Plan ไปปฏิบัติ เมื่อเขียนแผนไดแลว จะทําอยางไรถึงจะ นําไปปฏิบัติ ,ความเสี่ยงในการนําไปปฏิบัติ เชน project นี้ทําไปแลวจะสําเร็จหรือไม ความเสี่ยงดาน IT เชน ลงทุนซื้อ S/W ,H/W แลว Project จะสามารถดําเนินการสําเร็จหรอืไม ถามีการบริหาร ความเสี่ยง ก็จะรูวา Project จะไปรอดหรือไม ,ภัย คือ ศัตรู อุปสรรค ,ตัวควบคุม ตัววัด วาทํางานไดชา เร็วแคไหน ความกาวหนาของโครงการ ทําไดมีประสิทธิภาพหรือไม,Vendor&Outsourcing เนื่องจากบางคนอาจไมไดพัฒนาดวยตนเอง ใชวิธีการซื้อหรือจางพัฒนา, แนวคิดการบริหารคน IT และการปรับปรุงการทํางานตางๆใหดีขึ้น

กลุมของ International Standard & Framework : Focus Area แบงเปนกลุมๆ ไดดังนี้ - ธรรมาภิบาลทั่วไปดาน IT  - Project Manangement การบริหารโครงการ ถาบริหารไดดี งานทุกอยางจะดีดวย ตองดูวา ทํางานโปรเจคเยอะหรือไม หรือมีงานนอกแผนงานเยอะหรือไม - System Software เนนดานการพัฒนาโปรแกรม 
- Quality เนนคุณภาพ เชน ISO ทั้งหลาย วัดคุณภาพอยางเดียว Security เนนดานการปลอดภัย ขอมูล ฐานขอมูล ระบบ Network - IT Operation & Infrastructure ไมใช Operation ทํางานไดโดยไมติดขัด สําหรับ Users ,Programmer  H/W Development S/W Network….เปนสวนรวมไมมี เจาของ  

เนนการบริหารคน ถาบริหารคน IT งานทุกอยางก็จะดีดวย ถาขายของประเภทจับตองไมได งาน บริการตางๆ ก็จะใชคนเยอะ - เนนดานประสิทธิภาพการทํางาน วัดตัวเลข วัดเปอรเซ็นต มองในแง ถา Performance ดี ก็จะดี ดวย - เรื่องของกฎหมาย คนที่เขียน standard กลุมนี้ก็จะมาจากดานกฎหมาย ราง IT Governance ในเรื่องของกฎหมาย - Outsourcing/Vendor Management เนนคนที่ทําธุรกิจ Outsource เยอะ กลุมนี้จะมี ธรรมภิบาลผูที่วาจางและ Outsource ดวย - Customer มีแนวคิดวา ทําอะไรก็ไดใหลูกคามีความพึงพอใจ 
 

COBIT สืบเนื่องมาจาก ITGI เปนองคกรทํางานดาน IT Governance ไดราง Model COBIT ขึ้นมา จาก ม.Holland ทํามาตั้งแตป 1998 ปจจุบันเปน V.4.1 (2007)  งาน ทั้งหมดใน IT มีอยูทั้งหมด 34 กระบวนการ ทั้ง 34 จะแบงเปน 4 Domain เชื่อมโยงกัน เหมาะกับ ใชควบคุม IT ทั้งหมด เปนระดับที่มองระดับสูงลงมา ภาพมองของ IT Streeing Committee เหมาะแกการทํา Audit ดวย เหมาะแกเปนเครื่องมือในการ Audit หรือตรวจสอบ และจะมี ISACA ควบคุมการสอบ Certified มีสองแบบคือ CISA/CISM 

Model นี้ชื่อวา COSO เหมือนกับการควบคุมภายใน Internal Model Framework ออกมาในป 1994 ผูกอตั้งคือสมาคมผูสอบบัญชีและอนุญาติ AICPA และ AAA (สมาคมการบัญชี อเมริกัน) เพื่อเปนแนวทางในการปฏิบัติ หรือตรวจสอบ ยึดความถูกตอง ยึดการตรวจสอบดานการเงิน เปนหลัก โดยมีแนวคิดวาถาการเงินถูกตอง ก็จะมีธรรมาภิบาล   

Project Management ความคิดดานการควบคุม Project ถาควบคุมโปรเจคไดดี งานก็ จะออกมาไดดีดวย ผูที่รางคือกรมบัญชีกลางสหรัฐ การใชงานคือนําไปประเมินคา การลงทุนดาน IT คุมคาหรือไม ไดทุนคืนมาหรือไม ประเมินคาและคัดเลือก และจัดลําดับความสําคัญ   

 มี Model PMBOK (หนังสือแหงความรู) และ OPM3  มี 5 ระดับ วัดความเปน Profesional เขียนโดย Project Management Institute เมื่อป 2004 โดยมีกระบวนการที่
เกี่ยวของกับการบริหารโครงการอยู 5 process และมีเรื่องเกี่ยวกับ Knowledge อยู 9 ขอ และ tool ที่ใชในการบริหาร หรือมีแบบสอบถามตัวเองเพื่อประเมินตัวเอง มี Certified คือ PMP

PMMM มีความเกี่ยวของกับ PMBOM และ CMMI   

PRINCE2 ผูที่รางคือ CCTA (เนคเทคประเทศอังกฤษ) PRINCE2 เปนมาตรฐานที่ รัฐบาลอังกฤษใชบริหารโปรเจค และงาน IT ดวย ถาจางบริษัทเอกชนทํางานก็จะใชมาตรฐานนี้เปนตัว วัดดวย ขอดี คือ บริหารโปรเจคเล็กหรือใหญ เนนเฉพาะรายละเอียดตางๆ  จะจัดโปรเจคใหอยูใน รูปแบบ Standard  เพื่อที่จะบริหารไดงาย มีกระบวนการที่จะสามารถสราง project management team  ขึ้นมาได มี process ที่จะเขียนมาใหวาจะบริหารอยางไร   

CMMI เปน Model ที่ดังที่สุดในดาน System/Software Development เปน Model ที่มีการวัดความเปน Profesional วัดความเปนมาตรฐานของการพัฒนาระบบ แบงเปน 5
ระดับ ซึ่งจะเกี่ยวของกับการพัฒนา Application/การจัดซื้อ จัดหา Certification จะเปนระดับของ องคกร เปาหมายคือ Certification Level 5 หลายบริษัทตองการ Certificate ตัวนี้เพื่อที่จะได ขาย software ได หรือบริษัทที่ไมไดขาย software อยางเชนการไฟฟา ตองการ Certification ตัวนี้เพื่อความมั่นใจของลูกคา คนที่คิดคนขึ้นมาคือ CMU(Carnegie Melon University) โดย นักวิชาการทั้งหลาย และตั้งเปนสถาบันภายใตมหาวิทยาลัยนี้ ชื่อ SEI (Software Engineering Institute) 
 

เปน Certified ระดับองคกรเกี่ยวกับดานคุณภาพ คนเขาใจวา software ของบริษัทมี คุณภาพ   

แงมุมเกี่ยวกับดานคุณภาพ อาจจะประกอบไปดวย ลูกคา ความเปนผูนํา บุคลากร ปรับปรุง กระบวนการตางๆ...Supplier Management 

ความเบี่ยงเบนแบบมาตรฐาน Six Sigma คือ Sigma ที่หกที่เบี่ยงเบนออกไป เปนจํานวน ที่นอยมาก เปรียบเทียบกับ 3.4 Defect ในลาน ความหมายคือ ถาทํารถยนตออกมา 1 ลานคัน จะมี
3.4 คันที่เสีย งานที่ทํา Process ตางๆ ถาทํา 1 ลาน Report จะมีที่เสียไป 3.4 report พยายามทํา ใหมี Defect นอย ก็จะมีประสิทธิภาพ   Lean Manufacturing ลดทรัพยากรที่ไมจําเปนในการผลิต ใชทรัพยากรใหดีที่สุด มี ประสิทธิภาพสูงสุด ใชเวลานอย สถานที่นอย ทรัพยากรนอย   Baldridge National Quality Award เปนรางวัลดานคุณภาพของสหรัฐ แนวคิด Six Sigma มาจากประเทศญี่ปุน ซึ่งจะเนนเรื่องคุณภาพ  บริษัท Motorola และ GE ไดนําไปพัฒนาตอเพื่อใหเปนมาตรฐาน 
 

ISO 17799 เริ่มมาจาก BS7799 ทําจนมีมาตรฐาน มองการควบคุมคุณภาพในมุมของ นโยบาย การบริหาร  17799 เปนเรื่องของ IT Security โดยตรง  เชน ธนาคาร ทําในสวน Internet Bank ที่ตองการ Security สูง และ BS7799 พัฒนามาเปน ISO17799 การขอ Certification นี้ จะเปนระดับองคกร ISO27001 เปน Implementation Guideline ของ ISO17799  โดย ISO17799 อาจจะเขียนเปนแนวนโยบาย IT Security Policy ขององคกร ตองประกอบดวยอะไร นโยบายดานความปลอดภัยขององคกรตองเปนอยางไร ทรัพยสินขององคกร ดาน IT ประกอบดวยอะไรบาง ศูนยคอมพิวเตอรมีอะไรบาง แผนปองกันภัยภิบัติของศูนยคอมพิวเตอร ขององคกร จึงจําเปนตองมี ISO27001 ขึ้นมาเพื่อแนะแนวปฏิบัติ เพื่อใหทํางานงายขึ้น จึงมีคน นําไปใชมาก เพราะชัดเจน ในดาน Security จะตองมีแผนที่ดี   

สําหรับ ISO27001 และ ISO17799 นี้ หลักสําคัญคือ PDCA (Plan-Do-CheckAck) ในดานความปลอดภัยของขอมูลจะตองมีแผนที่ดี หลังจากนั้นนําแผนไปปฏิบัติหรือ Implement  บังคับใช  นําไปใชควบคุมจริงๆ คอยดูแลวากฎระเบียบตรงไหนขาดตกบกพรอง เฝาดูวา การปฏิบัติ การควบคุมดาน IT Security ดีแคไหน ปลอดภัยหรือไม สามารถวัดได มีการตรวจสอบ โดย Auditor และนํามาทบทวนแกไข ปรับปรุงแผนใหดีขึ้น ใน Standard นี้จะมีกลุมทั้งหมด 11 

ศูนยคอมพิวเตอร ปฏิบัติการ ระบบ Network ศูนย Network  Database ฯลฯ จะอยูใน สวน Infrastructure จะเปนในสวน ISO20000 ลาสุดเปน V.2 คนที่เขียนขึ้นมาคือ ITSMF เนนทางดาน Service Management คือถาเปนศูนยคอมฯ หนวยงาน IT ในองคกร หรืออะไรที่ ไมไดพัฒนา ไมไดเขียนโปรแกรมออกมาเปน Application เราเรียกวา Operation Infrastructure งาน Service พวกนี้ตองบริการให โปรแกรมเมอร Analyst หรือ Users ใหดี ที่สุด มีทั้งหมด 10 Process ตองดูวาไดทําครบทั้ง 10 กระบวนการหรือไม และแตละลําดับขั้นตอน ใน process ไดทําหรือไม ถาทําแลวดีหรือไม อีกมุมหนึ่งเปนบริษัทที่ทํา software ขาย (outsource) หรือ web hosting หรือ ใหเชา software และทําการ operate ให ก็จะเปนใน สวนนี้ เหมาะที่จะนําไปใชงาน   

รายละเอียดบริการ มีกระบวนการอะไรบาง
1.Service Level Management SLM ถาเปนภายในองคกร หมายถึงผูใหบริการ IT กับ Users แตถาเปนภายนอกองคกร จะเปนบริษัทที่ใหบริการ กับ ลูกคา เมื่อมี SLA แลว จะตองมี SLM ซึ่งเกี่ยวของกับการบริหาร   2.Service Delivery เชน รายงานการสงมอบงาน การคิดเงิน คาจาง   3. Relationship Management ในเรื่องของ supplier   4.Resolution management หรือ problem การใหบริการใดๆในองคกร ศูนย คอมพิวเตอร บริการ Users ภายใน จะมีปญหาเกิดขึ้น ปญหาการใชงาน ปญหาการ operate ตองมี การบริหารปญหา ตองทําใหไดดี สามารถติดตามปญหาได มีการรายงานผลใหกับ users
 5.Control&Release การบริหารการเปลี่ยนแปลง ในการสงมอบงานตางๆ งานบริการ ตางๆ จะมีการเปลี่ยนแปลง Version หรือ Release หรือเปลี่ยน Server ใหมยกชุด ขอหยุดบริการ ตองทําการบริหารไมใหเกิดผลกระทบ ตองมีการแจงให users ทราบ   

Model นี้ชื่อ ITIL คนคิดคือ CCTA (เนคเทคของอเมริกา) และ APMG จะทําเกี่ยวกับ การอบรม ทํา Certification  มี 10 กระบวนการ จะเปนพวกใหบริการดาน Operation Network และคนที่รางจะรางในดาน Governance มากขึ้น 

Human Resource บุคลากร คือองคกรที่เนนบุคลากร ทําใหเปนธรรมาภิบาล เพราะมี ปญหาเรื่องบุคคลเปนหลัก  P-CMM  เนนการพัฒนาคน ขีดความสามารถของคนทางดานเทคนิค ดานการทํางาน และ ความกาวหนาของบุคคล 
 

กลุมของ Performance Management การวัดประสิทธิภาพขององคกร จะมี BSC และ Critical Success Factor วัดผลสําเร็จดวยกลยุทธ เปนองคกรที่ดีหรือไม เปนธรรมาภิบาลหรือไม ซึ่ง BSC กลาวไวแลวในบทที่ 1 จะมีทั้งหมด 4 ดาน คือผลกําไร การเติบโตของผลกําไร ,ดานลูกคา ไดสิ่งของที่ดี มีความพึงพอใจ,Process ทั่วๆไป กิจกรรมหลักขององคกร ตองมีกระบวนการที่ดี,และ
บุคคลจะตองพัฒนาตัวเองดวยการศึกษาเพิ่มเติม การฝกอบรม การสับเปลี่ยนหนาที่การงาน สามารถ แปลงเปน IT BSC (IT Business Balance Scored Card) ดาน Finance ก็เปนตนทุน IT  ตอ Users เงินลงทุน งบประมาณดาน IT เทียบกับรายไดขององคกรใหเหมาะสม  ,Strategic IT คือ IT ที่เปนกลยุทธ ที่จะเพิ่มรายได กําไร ใหกับองคกร,Project Management ,Operation Process ,Application &Training ถาทําทั้ง 5 สวนนี้ไดดี ก็จะสอดคลองกับ Balance Scored Card   

ในเรื่องของการทํา outsourcing ก็จะมี Model ที่เกี่ยวของคือ OPBOK และ eSCM โดย outsource จะตองทําอะไรบาง ซึ่งทําตาม Model นี้จะทําใหเกิดขอผิดพลาดนอย และจะ บริหาร Vendor อยางไร มี Certification ที่เรียกวา COP   

ใน eSCM ก็จะแบงเปน SP และ CL เชน เปนธนาคารแหงหนึ่ง หรือเปนบุคคลที่ใช คอมพิวเตอร ถาอยากที่จะทํา Outsource ก็จะไปนํา CL มาใช หรือเปนบริษัท IBM และไปรับงาน outsource และรับเงินมา ก็จะเปนแบบ SP 

Model ในสวนของ Customer แนวคิดเกี่ยวกับเรื่องลูกคา การกระทําเกี่ยวกับผลิตภัณฑ หรือบริการลูกคา จะออกมาในลักษณะ 3 แนวทางคือ ธรรมดาๆ ขายได อีกอยางคือ ออกมามีคุณภาพ มี ประสิทธิภาพ ราคาถูก ใชได และแบบที่สามจะเปนแบบดีเดนมาก คุณภาพดีเลิศ ลูกคาแยงกันซื้อ เปน แนวคิดของอาจารย Kano แหงมหาวิทยาลัยในญี่ปุน และเรียก Model นี้เรียกวา VOC ซึ่งถาบริษัท
ไหนเนนในเรื่องนี้ ก็จะกระทบหลายสวนเหมือนกัน กระทบกับการวางแผน การออกแบบผลิตภัณฑ และสําหรับวิธีการที่ทํา จะใชเปนลักษณะ Survey ไปที่ลูกคา หรือ Market Research ดูวาลูกคา ชอบผลิตภัณฑขององคกรเราแคไหน ถานํามาประยุกตใชในดานของ IT ก็จะทํามาในลักษณะจัดทํา แบบสอบถาม Survey ไปที่ Users วาบริการเปนอยางไร หรือออกไปถามลูกคาวา software ที่ ผลิตออกมามีคุณภาพเปนอยางไร   

 กลุมของกฎหมาย หรือกฎระเบียบขององคกร Model Sarbanes Oxley Act SOX 2002 เปนที่นิยม กฎหมายที่ออกมาเพื่อควบคุมบริษัทในตลาดหลักทรัพย มีความเปนบรรษัทภิบาลแค ไหน ที่ออกมาเนื่องจากทีในชวงที่ผานมีบริษัทที่ มีการคอรรับชัน เชนบริษัท Enron ที่ผูบริหารโกง บริหารผิดวิธี คนที่ออกกฎหมายเหลานี้มาคือรัฐสภาในสหรัฐ นําไปใชควบคุมโดยเนนไปที่กรรมการ บริษัท ผูบริหารระดับสูงวาจะตองทํา/ไมทําอะไรบาง ตรวจสอบไดในลักษณะไหน ที่เกี่ยวของกับ IT จะเปนในสวน Section 404 จะกลาวถึงการประเมิน การตรวจสอบภายใน

 เปน Standard Model ของประเทศออสเตรเลีย จัดทําขึ้นเมื่อป 2003 มี 2 Model คือ AS8000 และ AS8015 ซึ่ง AS8000 จะเกี่ยวกับ Enterprise Governance บรรษัทภบิาลตอง ทําอยางไรบาง และ AS8015 จะเกี่ยวของกับ ICT Governance

ในสวนนี้จะเกี่ยวของในเรื่องของกฎหมายเชนกัน FDA(อ.ย.),FDIC( ประกันภัย),HIPPA(สุขภาพ),SEC เปนคลายๆกับลักษณะองคกรที่ยอยลงมา หรือหนวยงานกลาง ของรัฐบาลที่ยอยลงมา ซึ่งจะมีกฎ ระเบียบ ควบคุม Industry นั้นโดยเฉพาะ เชนบริษัทที่เกี่ยวกับ อาหาร ก็จะมี อ.ย.ควบคุม บริษัทประกันภัย ก็อยูภายใตการควบคุมของโครงการประกันภัย FDIC ธนาคารพานิชยก็อยูภายใตการควบคุมของแบงคชาติ ถาไมทําตามกฏของหนวยงานรัฐบาลที่ควบคุมก็ จะไมถือวาเปนธรรมาภิบาล