IT Governance คือกรอบการกำกับดูแลเทคโนโลยีสารสนเทศขององค์กร เป็นส่วนหนึ่งของ Corporate Governance ที่มุ่งเน้นให้ IT สนับสนุนเป้าหมายทางธุรกิจ จัดการความเสี่ยงด้าน IT อย่างเหมาะสม และใช้ทรัพยากร IT อย่างมีประสิทธิภาพ
ในปี 2026 IT Governance ไม่ใช่เรื่องที่เฉพาะบริษัทใหญ่เท่านั้น องค์กรทุกขนาดในไทยต้องมี IT Governance เพราะกฎระเบียบต่าง ๆ เช่น PDPA, ข้อกำหนดของ ธปท. (BOT), กลต. (SEC) และ คปภ. (OIC) ล้วนกำหนดให้ต้องมีระบบกำกับดูแล IT
IT Governance vs IT Management
เปรียบเทียบ
IT Governance
IT Management
คำถามหลัก
“ทำสิ่งที่ถูกต้องหรือไม่?” (Doing the right things)
“ทำได้ถูกต้องหรือไม่?” (Doing things right)
ผู้รับผิดชอบ
คณะกรรมการบริษัท, ผู้บริหารระดับสูง
CIO, IT Manager, ทีม IT
มุ่งเน้น
กลยุทธ์, ทิศทาง, การกำกับ, ความเสี่ยง
การดำเนินงาน, การส่งมอบ, ประสิทธิภาพ
ระยะเวลา
ระยะยาว (Strategic)
ระยะสั้น-กลาง (Tactical/Operational)
ตัวอย่าง
นโยบาย IT, IT Investment Decision, Risk Appetite
Service Desk, Patch Management, Backup
COBIT 2019 — Framework การกำกับดูแล IT ระดับสากล
COBIT 2019 คืออะไร?
COBIT (Control Objectives for Information and Related Technologies) พัฒนาโดย ISACA เป็น Framework สำหรับ IT Governance ที่ได้รับการยอมรับทั่วโลก COBIT 2019 เป็นเวอร์ชันล่าสุด ปรับปรุงจาก COBIT 5 ให้ยืดหยุ่นมากขึ้น
โครงสร้าง COBIT 2019
COBIT 2019 แบ่งออกเป็น 2 กลุ่มหลัก 5 Domain:
กลุ่ม
Domain
จำนวน Objectives
หน้าที่
Governance
EDM (Evaluate, Direct and Monitor)
5
กำหนดทิศทาง ประเมิน กำกับ ติดตาม
ผู้รับผิดชอบ: Board of Directors, Executive Management
ITIL (Information Technology Infrastructure Library) คือ Framework สำหรับ IT Service Management (ITSM) ที่ได้รับความนิยมมากที่สุดในโลก ITIL 4 เป็นเวอร์ชันล่าสุด เน้น Value Co-creation และ Service Value System
ITIL 4 Service Value System (SVS)
Component
หน้าที่
Guiding Principles
หลักการนำทาง 7 ข้อ (Focus on Value, Start Where You Are, Progress Iteratively, etc.)
จุดติดต่อเดียว (Single Point of Contact) สำหรับผู้ใช้
Service Level Management
Service Management
กำหนดและติดตาม SLA (Service Level Agreement)
Information Security Management
General Management
จัดการความปลอดภัยข้อมูล (เชื่อมกับ ISO 27001)
Continual Improvement
General Management
ปรับปรุงบริการและกระบวนการต่อเนื่อง
Risk Management
General Management
ระบุ ประเมิน จัดการความเสี่ยง IT
Deployment Management
Technical Management
จัดการการ Deploy ระบบใหม่เข้า Production
Monitoring and Event Management
Technical Management
ตรวจสอบระบบ IT และจัดการ Events
ISO 20000 — มาตรฐาน IT Service Management
ISO/IEC 20000-1:2018 คืออะไร?
ISO 20000 เป็นมาตรฐานสากลสำหรับ IT Service Management System (SMS) เป็นมาตรฐานที่ Certifiable ได้ (ต่างจาก ITIL ที่เป็น Framework/Best Practice) องค์กรที่ได้รับ ISO 20000 แสดงว่ามีระบบจัดการบริการ IT ที่ได้มาตรฐานสากล
ความแตกต่าง: ITIL vs ISO 20000
เปรียบเทียบ
ITIL 4
ISO 20000
ประเภท
Framework / Best Practice
International Standard
Certification
Certify บุคคล (ไม่ใช่องค์กร)
Certify องค์กร
บังคับ?
ไม่บังคับ เลือกใช้ได้
ไม่บังคับ แต่ลูกค้าอาจกำหนด
ความยืดหยุ่น
สูง (เลือก Practice ได้)
ต้องทำตาม Requirement ทั้งหมด
Audit
ไม่มี (Self-assessment)
มี External Audit โดย CB
ค่าใช้จ่าย
ค่าอบรม + สอบ Certification
ค่า Implement + Audit + Surveillance
ISO 20000 + ISO 27001 Integration
หลายองค์กรเลือกทำ ISO 20000 (IT Service Management) ร่วมกับ ISO 27001 (Information Security) เพราะมี Clauses ที่ซ้อนทับกัน ช่วยลดเวลาและค่าใช้จ่ายในการ Implement
Clause ที่ซ้อนทับ
ISO 20000
ISO 27001
Context of Organization
Clause 4
Clause 4
Leadership
Clause 5
Clause 5
Planning
Clause 6
Clause 6
Support (Resources, Competence, etc.)
Clause 7
Clause 7
Performance Evaluation
Clause 9
Clause 9
Improvement
Clause 10
Clause 10
IT Governance Roles — บทบาทในองค์กร
บทบาท
หน้าที่
Board of Directors
กำหนดทิศทาง IT Strategy อนุมัตินโยบาย IT ติดตามผล
IT Steering Committee
คณะกรรมการกำกับดูแล IT ประกอบด้วยผู้บริหารทุกฝ่ายที่เกี่ยวข้อง อนุมัติโครงการ IT สำคัญ จัดลำดับความสำคัญ
CIO (Chief Information Officer)
รับผิดชอบ IT Strategy, IT Operations, IT Budget ตัดสินใจด้าน IT ระดับสูง
CISO (Chief Information Security Officer)
รับผิดชอบ Information Security, Compliance, Risk Management ด้าน Security
IT Risk Manager
ระบุ ประเมิน จัดการ ติดตามความเสี่ยง IT
IT Audit (Internal/External)
ตรวจสอบว่า IT Governance ทำได้ตามนโยบายและมาตรฐาน
Service Manager
รับผิดชอบ IT Service Delivery ตาม SLA
Governance Metrics — ตัวชี้วัดการกำกับดูแล IT
ตัวชี้วัด
เป้าหมาย
วัดอะไร
IT Budget Variance
ไม่เกิน +/- 5%
การใช้งบ IT เทียบกับแผน
IT Project Success Rate
>80%
% โครงการ IT ที่สำเร็จตาม Scope/Time/Budget
System Availability
>99.9%
% เวลาที่ระบบ IT พร้อมใช้งาน
Mean Time to Resolve (MTTR)
<4 ชั่วโมง (Critical)
เวลาเฉลี่ยในการแก้ไข Incident
Security Incident Count
ลดลง YoY
จำนวน Security Incident ต่อเดือน/ปี
Compliance Score
>90%
% ของ Controls ที่ผ่านการ Audit
IT Risk Score
ลดลง YoY
ความเสี่ยง IT โดยรวม
User Satisfaction
>4.0/5.0
ความพึงพอใจผู้ใช้ต่อบริการ IT
Compliance สำหรับองค์กรไทย
กฎระเบียบที่เกี่ยวข้องกับ IT Governance ในไทย
หน่วยงาน
กฎระเบียบ
ข้อกำหนดด้าน IT
ธปท. (BOT)
ประกาศ IT Risk Management
ธนาคาร/สถาบันการเงิน ต้องมี IT Governance, IT Risk Management, BCP/DR ตาม Framework ที่ ธปท. กำหนด
กลต. (SEC)
ประกาศเรื่อง IT Governance
บริษัทหลักทรัพย์ บลจ. ต้องมี IT Governance Framework, IT Security Policy, IT Audit
คปภ. (OIC)
ประกาศ IT Risk Management
บริษัทประกัน ต้องมีการกำกับดูแล IT Risk IT Security ตามมาตรฐานที่ คปภ. กำหนด
PDPA
พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล
ทุกองค์กรที่เก็บข้อมูลส่วนบุคคล ต้องมีมาตรการรักษาความปลอดภัย IT ที่เหมาะสม
พ.ร.บ. Cybersecurity
พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์
องค์กรที่เป็น CII (Critical Information Infrastructure) ต้องมีมาตรฐาน Cybersecurity
การนำ IT Governance Framework มาใช้
ขั้นตอนการ Implement
Assess Current State: ประเมินสถานะปัจจุบันของ IT Governance ใน組織
มีการวัดผล Process อย่างเป็นระบบ สามารถคาดการณ์ผลได้
5
Optimizing
ปรับปรุง Process อย่างต่อเนื่อง Innovative
สรุป: IT Governance Framework ที่เหมาะกับองค์กรไทย
สถานการณ์
Framework ที่แนะนำ
ต้องการ Governance ระดับ Board
COBIT 2019
ต้องการปรับปรุง IT Service
ITIL 4
ต้องการ Certification สากล
ISO 20000
ต้องการ Security Governance
ISO 27001 + COBIT
สถาบันการเงิน (ธปท.)
COBIT + ISO 27001 + ITIL
SME ที่ต้องการเริ่มต้น
ITIL 4 (เริ่มจาก Practices ที่สำคัญ)
IT Governance ไม่ใช่โครงการที่ทำครั้งเดียวแล้วจบ แต่เป็นกระบวนการต่อเนื่องที่ต้องปรับปรุงตลอดเวลา เริ่มจากสิ่งที่สำคัญที่สุดก่อน ทำทีละขั้น และอย่าลืมว่าเป้าหมายสูงสุดคือ IT ต้องสนับสนุนเป้าหมายทางธุรกิจขององค์กร
