Для управления рисками в области IT существуют различные методы и стандарты, такие как CRAMM, COSO ERM, ISO 27005, OCTAVE и MEHARI. Все эти методики описывают известный цикл управления рисками, состоящий из этапов: определение охвата, идентификация, анализ, оценка, реагирование и контроль. Этот цикл официально закреплен в стандарте ISO 31000 с 2009 года. Каждая методика предлагает свой подход к формулированию рисков. Например, ITSM-специалисты часто используют модель «актив-угроза-уязвимость», в то время как PMBOK рекомендует структуру «причина-событие-последствие». ISACA в своих публикациях, начиная с RiskIT и в частности в COBIT 5 for Risk, предлагает концепцию сценария риска, включающего источник угрозы, тип угрозы, событие, связанные активы и временной аспект.

COBIT 5 for Risk предлагает рекомендации по снижению рисков, сгруппированные по семи факторам влияния: политики, принципы и подходы; процессы; организационная структура; культура, этика, поведение; информация; услуги, инфраструктура и приложения; люди, навыки и компетенции. Для каждой категории рисков из 20 предложенных в документе даются конкретные меры и уточнения о том, как каждая из них влияет на вероятность возникновения риска и величину возможного ущерба. Помимо этого, для каждого риска указывается применимость различных стратегий реагирования: уклонение, принятие, передача и снижение.

Оценка успешности внедрения ITIL-процессов должна основываться на измерении конкретных бизнес-результатов, а не просто на количестве внедренных процессов. Ключевые показатели включают: снижение количества повторных инцидентов и времени их решения; повышение удовлетворенности пользователей ИТ-услугами (через регулярные опросы); сокращение времени простоя критически важных бизнес-приложений; уменьшение количества инцидентов, вызванных изменениями; рост доли стандартных услуг, предоставляемых через каталог услуг; снижение операционных затрат на поддержку ИТ-инфраструктуры; улучшение времени выполнения бизнес-запросов по ИТ; повышение прозрачности ИТ-затрат для бизнеса. Помимо количественных показателей, важно оценивать качественные аспекты: насколько улучшилась коммуникация между ИТ и бизнесом; как изменилась культура работы с ИТ-услугами в организации; насколько сотрудники понимают и соблюдают новые процессы. Для комплексной оценки можно использовать модели зрелости процессов, такие как COBIT или CMMI, чтобы определить текущий уровень зрелости и спланировать дальнейшее развитие. Измерения должны проводиться регулярно, сначала ежемесячно, затем ежеквартально, и сравниваться с базовыми показателями до внедрения.

В документе Risk Scenarios Using COBIT 5 for Risk упоминаются четыре основные стратегии реагирования на риски: уклонение, принятие, передача и снижение. Для каждого сценария риска в документе указывается, какие из этих стратегий применимы. Кроме того, предлагается использование семи факторов влияния для реализации мер по снижению рисков, при этом для каждой меры приводится оценка её эффективности воздействия как на вероятность возникновения риска, так и на потенциальный ущерб в случае реализации риска.

Рекомендуется воспринимать уровни зрелости процессов в COBIT исключительно как иллюстративный инструмент для визуализации текущего состояния или разницы между текущим и целевым состояниями. К ним не следует относиться слишком серьёзно, и они не должны становиться основной целью проекта. Вместо этого необходимо концентрироваться на улучшении конкретных процессов и контролирующих мероприятий. При обследовании процессов важно помнить, что уровень зрелости является побочным продуктом анализа, а не его главным результатом, поэтому основное внимание должно уделяться практическим результатам и улучшению реальных процессов.

Концепция сценария риска в COBIT 5 for Risk включает пять основных компонентов: источник угрозы (внутренний или внешний), тип угрозы (злоумышленные действия, ошибки, природные катастрофизмы и т.д.), событие (раскрытие информации, модификация, кража, уничтожение и т.д.), связанные активы (люди, оргструктуры, процессы, ИТ-инфраструктура и т.д.) и временной аспект, учитывающий прогнозируемую длительность негативного влияния и критичность события в зависимости от календарного периода или времени суток. COBIT 5 for Risk также предоставляет более ста различных сценариев рисков, разделенных на 20 категорий, от управления ИТ-инвестициями до рисков, связанных с поставщиками и атаками, с рекомендациями по снижению рисков, сгруппированными по семи факторам влияния.

COBIT5 for Risk (ранее известный как Risk IT) предлагает строгий, структурированный подход к описанию и управлению рисками. Его отличительной особенностью является учет дополнительных параметров при оценке рисков, таких как прогнозируемая длительность негативного влияния, критичность события относительно календарного периода или времени суток. Документ содержит множество практических примеров, размещенных в виде плашек на полях, и включает сотни примеров рисков, классифицированных по 20 категориям – от управления ИТ-инвестициями и проектами до рисков, связанных с поставщиками, вредоносным ПО, атаками и регуляторами. Для каждого риска указаны соответствующие контрмеры.

Домен EDM (Evaluate, Direct, Monitor) в структуре COBIT 5 состоит из пяти процессов: EDM01 «Обеспечение создания и обновления подхода к руководству», EDM02 «Обеспечение получения выгод», EDM03 «Обеспечение оптимизации рисков», EDM04 «Обеспечение оптимизации ресурсов» и EDM05 «Обеспечение прозрачности для заинтересованных сторон». Каждый из этих процессов включает три практики, названные и организованные единообразно в соответствии с названием домена: оценка, направление, мониторинг. При этом объект этих практик меняется в зависимости от процесса.

Управление доступностью считается уникальным процессом в ITIL потому, что оно не выделено как отдельный процесс в других известных стандартах управления ИТ, таких как ISO/IEC 20000, COBIT5, CMMI для сервисов или MOF. В этих стандартах управление доступностью либо совмещено с другими процессами (например, с управлением непрерывностью или мощностями), либо отсутствует. ITIL предлагает этот процесс самостоятельно, хотя его задачи частично пересекаются с функциями других процессов, что вызывает вопросы о его необходимости как отдельной процедуры.

Уровни зрелости в COBIT называют «побочным» продуктом обследования потому, что их основное назначение — иллюстрировать текущее состояние процессов или показать разницу между текущим и целевым состоянием, а не служить основной метрикой эффективности. При проведении оценки процессов основное внимание следует уделять конкретным контролирующим мероприятиям и их результативности, тогда как уровень зрелости возникает как дополнительный результат анализа, но не как целевая характеристика. Это подчеркивает, что не следует чрезмерно фокусироваться на достижении определенного уровня зрелости, а нужно концентрироваться на улучшении конкретных аспектов процессов.