A study on the IT Governance Implementation on a Financial Holding Company in Taiwan

IT在現代企業高度競爭的產業環境中，扮演著關鍵性的角色。展望未來，IT對於企業營運績效的影響，將持續增長，而IT的投資回報，也將擴大企業核心競爭力的差距。如何強化「IT治理」，並積極促進，使「IT治理」能在「公司治理」的環節中，發揮積極的作用，是一項極為重要的課題。 IT治理學會提出COBIT，作為IT治理的基礎架構，將IT治理的五大構面因素劃分為四個控制區域，分別為34項處理程序訂定了控制目標，並運用關鍵績效指標（KPI）、關鍵目標指標（KGI）和成熟度模型（CMM）等做法，協助企業在風險和效益間取得平衡，並有效達成目標。 美國麻省理工學院Weill & Ross和他們的研究團隊，所建構的「CISR」IT治理機制，提出了IT治理的五大關鍵決策、六種治理原型、治理安排矩陣和治理設計框架，為企業妥善規劃了一個可以明確規範決策權力與責任歸屬的管理架構。 本研究融合了COBIT和「CISR」IT治理機制的精華之後，嘗試提出一個可以適合台灣地區金控公司使用的IT治理機制架構，稱之為「金控IT治理機制」。本研究認為一個規劃完善的IT治理機制，必須能確實做到「五要」：「策略要調準」、「投資要評估」、「營運要確保」、「風險要控管」以及「績效要考核」。Information Technology (IT) is playing a key role in the modern highly competitive environment. Toward the future, IT will increase the significant influence on enterprise's operational performance continuously, and the repayment on IT investment will expand the disparity of core competitiveness. How to strengthen the topics on IT Governance actively, and impel it in the link of Corporate Governance, is an extremely important subject. IT Governance Institute（ITGI）, propose COBIT as infrastructure of IT Governance. COBIT divide the five key factors of IT Governance into 4 control areas, stipulate the control goal for 34 IT processes respectively, and apply the methodologies, such as key performance indicator(KPI ) , the key goal indicator(KGI ) and capacity maturity model (CMM ), etc., help enterprises to make the balance between risk and benefit, and reach the goal effectively. Peter Weill and Jeanne W. Ross and their research team in MIT Sloan School Center for Information System Research（CISR）construct a framework for decision rights related to IT Governance. Six archetypes classified by who makes the decisions are applied to the framework. They pay much attention to survey how top performers govern IT. Lessons are learned to ensure right group are making the key IT decision. Who can make decisions and how they are accountable for the enterprise goals. This research has absorbed the quintessence of COBIT and CISR. Then, I’d like try to build a model suitable for the financial holding company in Taiwan. The Taiwan Financial Holding Company Model（TFHC）emphasize a ‘5M’ slogan. M1: IT Strategy must be aligned. M2 : IT Investment must be evaluated. M3 : IT Services must be assured. M4 : IT Risks must be controlled. M5 : IT Performance must be measured.謝辭 II 中文摘要 III 英文摘要 IV 目錄 V 圖目錄 VII 表目錄 VIII 第一章 緒論 1 第一節 研究背景 1 第二節 研究動機與目的 2 第三節 研究範圍 4 第四節 研究流程 5 第二章 文獻探討 7 第一節 IT治理的意涵 7 第二節 IT治理與公司治理 9 第三節 IT治理與IT管理 12 第四節 IT治理的目標和範圍 15 第五節 IT治理的架構 22 2.5.1 IT治理協會的COBIT 4.0 IT治理機制 23 2.5.2 美國麻省理工學院 CISR IT治理機制 29 第三章 IT治理機制的架構規劃 35 第一節 IT治理架構 35 第二節 構面因素探討 37 3.2.1 策略調準 37 3.2.2 投資評估 39 3.2.3 營運確保 41 3.2.4 風險控管 44 3.2.5 績效考核 46 第四章 IT治理機制的實務建置 – 以A金控為例 49 第一節 個案公司分析 49 第二節 IT治理機制的建立 55 第三節 IT治理機制的實務運作 58 4.3.1 策略調準 58 4.3.2 投資評估 61 4.3.3 營運確保 63 4.3.4 風險控管 68 4.3.5 績效考核 78 4.3.6 案例分享 81 第五章 結論與建議 82 第一節 研究結論 82 第二節 研究限制 86 第三節 後續研究建議 87 謝辭 II 中文摘要 III 英文摘要 IV 目錄 V 圖目錄 VII 表目錄 VIII 第一章 緒論 1 第一節 研究背景 1 第二節 研究動機與目的 2 第三節 研究範圍 4 第四節 研究流程 5 第二章 文獻探討 7 第一節 IT治理的意涵 7 第二節 IT治理與公司治理 9 第三節 IT治理與IT管理 12 第四節 IT治理的目標和範圍 15 第五節 IT治理的架構 22 2.5.1 IT治理協會的COBIT 4.0 IT治理機制 23 2.5.2 美國麻省理工學院 CISR IT治理機制 29 第三章 IT治理機制的架構規劃 35 第一節 IT治理架構 35 第二節 構面因素探討 37 3.2.1 策略調準 37 3.2.2 投資評估 39 3.2.3 營運確保 41 3.2.4 風險控管 44 3.2.5 績效考核 46 第四章 IT治理機制的實務建置 – 以A金控為例 49 第一節 個案公司分析 49 第二節 IT治理機制的建立 55 第三節 IT治理機制的實務運作 58 4.3.1 策略調準 58 4.3.2 投資評估 61 4.3.3 營運確保 63 4.3.4 風險控管 68 4.3.5 績效考核 78 4.3.6 案例分享 81 第五章 結論與建議 82 第一節 研究結論 82 第二節 研究限制 86 第三節 後續研究建議 87 謝辭 II 中文摘要 III 英文摘要 IV 目錄 V 圖目錄 VII 表目錄 VIII 第一章 緒論 1 第一節 研究背景 1 第二節 研究動機與目的 2 第三節 研究範圍 4 第四節 研究流程 5 第二章 文獻探討 7 第一節 IT治理的意涵 7 第二節 IT治理與公司治理 9 第三節 IT治理與IT管理 12 第四節 IT治理的目標和範圍 15 第五節 IT治理的架構 22 2.5.1 IT治理協會的COBIT 4.0 IT治理機制 23 2.5.2 美國麻省理工學院 CISR IT治理機制 29 第三章 IT治理機制的架構規劃 35 第一節 IT治理架構 35 第二節 構面因素探討 37 3.2.1 策略調準 37 3.2.2 投資評估 39 3.2.3 營運確保 41 3.2.4 風險控管 44 3.2.5 績效考核 46 第四章 IT治理機制的實務建置 – 以A金控為例 49 第一節 個案公司分析 49 第二節 IT治理機制的建立 55 第三節 IT治理機制的實務運作 58 4.3.1 策略調準 58 4.3.2 投資評估 61 4.3.3 營運確保 63 4.3.4 風險控管 68 4.3.5 績效考核 78 4.3.6 案例分享 81 第五章 結論與建議 82 第一節 研究結論 82 第二節 研究限制 86 第三節 後續研究建議 87 圖 1-1 研究流程圖 6 圖 2-1 IT治理的五個構面 18 圖 2-2 COBIT三維體系架構 23 圖 2-3 COBIT四個控制區域及34項作業程序 25 圖 2-4 IT治理成熟度模型 28 圖 2-5 CISR IT治理安排矩陣 31 圖 2-6 CISR IT治理設計框架 32 圖 2-7 CISR IT治理六個組件之互動影響 33 圖 2-8 CISR 三種最有效的IT治理組合 34 圖 3-1 IT治理架構推演過程 35 圖 3-2 IT治理機制架構 36 圖 3-3 IT策略調準模式 38 圖 3-4 ITIL整體架構 41 圖 3-5 ISO 20000/BS 15000架構圖 43 圖 3-6 風險管理矩陣（BLOUNT） 44 圖 3-7 IT平衡計分卡和業務平衡計分卡的關係 47 圖 4-1 A金控組織架構圖 52 圖 4-2 A金控IT組織架構示意圖 54 圖 4-3 A金控IT治理安排矩陣 56 圖 4-4 A金控IT治理設計框架 56 圖 4-5 IT治理動態流程 57 表 2-1 公司治理與IT治理相關因素的比較 11 表 2-2 IT治理與IT管理相關因素的比較 14 表 2-3 IT治理五大關鍵決策 29 表 2-4 CISR六種IT治理原型 3