COBIT 七大治理系统组件是什么
COBIT 2019 认为治理系统由七类组件构成：流程、组织结构、信息、人员能力、文化行为、服务与基础设施、政策程序。落地成效取决于组件之间的协同，而不是流程写得是否完整。最常见的缺口集中在文化、信息与人员能力三项：文档写得很全，日常行为仍是另一套。
基本信息
| 七类组件 | 流程、组织结构、信息、人员能力、文化行为、服务与基础设施、政策程序 |
|---|---|
| 核心判断 | 治理成效取决于组件协同，缺一不可 |
| 常见缺口 | 文化、信息与人员能力往往被忽略 |
| 用途 | 设计治理体系时逐项检查是否具备支撑条件 |
| 典型场景 | 变更治理、访问控制、风险管理等机制的落地设计 |
典型使用场景
- 设计变更治理机制时检查是否具备配套组织与工具
- 制度落地效果不佳时排查是哪个组件缺失
- 审计准备阶段梳理证据链，判断信息组件是否支撑
- 推动安全文化建设时识别行为与激励是否一致
- 新工具上线前评估人员能力与流程是否已就绪
组件检查示例（变更治理）
组件检查示例（变更治理）
# 流程：有没有可执行的规则，而不只是原则
流程：变更分级与审批流（含紧急通道）
# 组织：谁承担决策与评审职责，授权是否明确
组织：变更顾问组与授权人名单、代理关系
# 信息：数据是否能反映真实状态，支撑判断
信息：变更成功率与回退数据、失败原因分类
# 人员：执行者是否具备判断能力
人员：审批人与变更负责人培训
# 文化：出问题时是否敢如实上报
文化：安全优先与透明复盘，不惩罚上报
# 设施：工具是否支撑流程运行
设施：流水线、配置库与变更单工具
# 政策：制度文件与流程一致
政策：变更管理办法与例外审批规则组件落地检查
| 组件 | 落地检查问题 | 缺失表现 |
|---|---|---|
| 流程 | 规则是否可执行、有例外通道 | 只有原则，执行靠经验 |
| 组织 | 职责与授权是否明确到人 | 评审会开了但没人拍板 |
| 信息 | 数据是否真实及时 | 指标失真，决策无依据 |
| 文化 | 问题上报是否安全 | 隐患被隐藏，事故突然发生 |
只写制度文件不建能力，制度就落不了地：制度要配套组织、工具与培训，否则执行只能依赖个别骨干的自觉。