Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
CAN/CSA-ISO/IEC TR 38504:18 信息技术治理——决策过程中IT治理应用指南
面向组织决策过程的IT治理实施技术报告，加速治理原则落地
1. 标准概况与适用范围
CAN/CSA-ISO/IEC TR 38504:18（即 CAN CSA ISO IEC TR 38504-18）是加拿大标准协会（CSA Group）采用并发布的加拿大国家标准，其基础为国际标准化组织/国际电工委员会的技术报告 ISO/IEC TR 38504:2018。该技术报告标题为“信息技术治理——决策过程中IT治理应用指南”（Governance of information technology — Guidance for the application of governance of IT in decision-making processes）。
作为一项技术报告（Technical Report），本标准并非强制性规范，而是为组织提供一套实用的指导方针，帮助其在各种决策过程中系统化地应用IT治理原则。它适用于所有类型和规模的组织，无论其行业、所有权结构或技术成熟度如何。截至2026年，该文件仍是加拿大IT治理领域的重要参考资源，尤其适合正在建立或优化治理体系的董事会、高管层、IT治理委员会及风险管理团队使用。
标准核心定位于：
- 将ISO/IEC 38500中定义的IT治理原则具体嵌入到组织的实际决策流程中；
- 提供通用框架，使治理原则能够适应投资、采购、项目、运营、合规等不同决策场景；
- 强化治理与决策之间的衔接，避免治理沦为空泛的理论。
实用提示：尽管TR 38504不具备强制性，但将其采纳为组织内部最佳实践可显著提升决策透明度与可追溯性，尤其有利于通过外部审计与合规审查。
2. 主要技术内容与要求
2.1 基于ISO/IEC 38500的治理模型
标准全面继承并细化ISO/IEC 38500《信息技术治理》的核心理念。ISO/IEC 38500提出了IT治理的三个核心任务：评估（Evaluate）、指导（Direct）和监督（Monitor），以及六项治理原则：
- 责任（Responsibility） — 明确界定IT相关角色与职责；
- 战略（Strategy） — IT战略应与业务战略协调一致；
- 获取（Acquisition） — 确保IT资产与服务的获取遵循价值与绩效原则；
- 性能（Performance） — IT应支持业务目标并实现既定的绩效水平；
- 合规（Conformance） — 遵守法律法规、合同义务及内部政策；
- 人员行为（Human Behaviour） — IT政策与流程需尊重人的因素，满足利益相关方需求。
2.2 决策过程的分层指导
区别于38500的高层原则，TR 38504将上述原则拆解为可操作的决策活动，覆盖从战略层到运营层的各类决策。标准将决策过程分为四个典型阶段：启动（Initiation）、分析（Analysis）、批准（Approval）与实施（Implementation），并在每个阶段给出如何应用治理原则的具体建议。
| 治理原则 | 决策启动阶段 | 决策分析阶段 | 决策批准阶段 | 决策实施阶段 |
|---|---|---|---|---|
| 责任 | 指定提案责任人及审批层级 | 确保分析团队明确决策影响范围 | 明确批准者职责与授权等级 | 落实实施责任并记录变更 |
| 战略 | 检查提案与业务战略的一致性 | 评估方案对战略目标的支持程度 | 确认决策结果与战略方向相符 | 跟踪实施后战略对齐效果 |
| 获取 | 定义获取需求与价值期望 | 进行备选方案的成本效益分析 | 确保采购流程公平透明 | 验收交付并管理合同资产 |
| 性能 | 设定关键绩效指标（KPI） | 预测方案性能并设定基准 | 审批前确认性能目标可度量 | 持续监控并报告实际绩效 |
| 合规 | 识别适用的法规与政策要求 | 评估方案是否存在合规风险 | 确保审批签字符合授权规定 | 记录合规证据并接受审计 |
| 人员行为 | 识别受影响的利益相关方 | 征求相关方意见并考虑使用体验 | 沟通决策理由以促进理解 | 培训支持并收集反馈改进 |
2.3 治理角色的细化
标准对董事会、首席执行官（CEO）、首席信息官（CIO）、业务线经理及项目负责人等角色在决策过程中的治理职责进行了细分，并提出“治理委员会”或“IT治理工作组”的常见设置建议。
重要注意事项：许多组织容易将IT治理与IT管理混为一谈。TR 38504特别强调治理是“关于决策的决策”，关注方向、授权与监督，而非日常管理执行。实施时应避免陷入过度流程化而忽视治理原意。
3. 实施与应用要点
3.1 实施路径建议
根据标准精神，组织可遵循以下步骤推进治理嵌入：
- 现状诊断：评估现有决策流程中治理要素的覆盖情况；
- 原则对齐：将六项治理原则转化为组织内部决策准则；
- 流程再造：在关键决策节点（如投资审批、重大项目立项）嵌入治理检查点；
- 角色任命：明确每个决策环节的治理责任人（例如治理倡导者）；
- 工具与模板：制定决策登记册、合规检查表等支持工具；
- 持续监控：定期评估决策质量与治理成熟度，迭代改进。
3.2 常见挑战与应对
- 挑战：治理原则抽象，难以落地。——应对：利用TR 38504提供的场景化示例（如附录中的决策案例）作为培训素材。
- 挑战：决策速度与治理流程的矛盾。——应对：根据决策重要性设计差异化流程，高风险决策遵循完整治理流程，低风险决策简化。
- 挑战：治理角色重叠或缺失。——应对：采用RACI矩阵明确各阶段参与者的治理职责。
实施益处：遵循TR 38504指引的组织通常能够减少决策的随意性，提高IT投资的回报率，增强监管合规能力，并改善利益相关方对治理体系的信任度。
安全关键要求：在涉及高风险IT决策（如核心系统迁移、数据跨境处理）时，治理监督必须严格执行合规性与人员行为原则，任何绕过治理程序的行为都可能导致重大业务中断或法律责任。
4. 与其他标准/框架的关系
CAN/CSA-ISO/IEC TR 38504是ISO/IEC 38500系列的重要组成部分，其定位与关系如下：
- ISO/IEC 38500:2015 — 核心治理标准，定义原则与模型；TR 38504则提供应用指南。
- ISO/IEC TR 38502:2017 — 为治理框架的建立提供指引，可与TR 38504互补使用。
- ISO/IEC 38505 系列 — 针对数据治理，TR 38504中的原则同样适用于数据相关决策。
- COBIT 2019（ISACA） — 虽不是ISO标准，但COBIT的治理组件与TR 38504高度兼容，常被搭配实施。
- ISO 31000:2018 — 风险管理标准，TR 38504中决策分析的合规与性能环节需结合风险视角。
加拿大CSA采用该技术报告，使其成为北美地区IT治理实践的重要参照。企业若已建立基于ISO/IEC 27001（信息安全管理）或ISO 20000（服务管理）的管理体系，亦可借助TR 38504将治理维度融入现有体系。
5. 常见问题（FAQ）
问：CAN/CSA-ISO/IEC TR 38504:18是否具有法律强制力？
答：不。该文件为加拿大采用的技术报告，属于指导性文件而非强制性标准。然而，在法庭或监管调查中，组织若声称遵循“公认IT治理实践”，则可能被要求参照此指南。此外，某些合同或行业规定可能直接引用该文件作为治理要求。
答：不。该文件为加拿大采用的技术报告，属于指导性文件而非强制性标准。然而，在法庭或监管调查中，组织若声称遵循“公认IT治理实践”，则可能被要求参照此指南。此外，某些合同或行业规定可能直接引用该文件作为治理要求。
问：与ISO/IEC 38500相比，TR 38504的主要价值何在？
答：ISO/IEC 38500提出“是什么”（原则与模型），但缺少“如何做”的细节。TR 38504弥补了这一空白，针对不同类型的决策（战略、投资、项目、运营等）提供了具体的原则应用建议、流程整合方法和实际案例，使治理工作更具可操作性。
答：ISO/IEC 38500提出“是什么”（原则与模型），但缺少“如何做”的细节。TR 38504弥补了这一空白，针对不同类型的决策（战略、投资、项目、运营等）提供了具体的原则应用建议、流程整合方法和实际案例，使治理工作更具可操作性。
问：实施此技术报告是否需要引入额外IT工具？
答：不一定。标准强调治理机制而非工具。组织可使用现有决策管理平台、会议纪要模板或简单的工作流系统来嵌入治理检查点。建议优先在核心决策流程中设立治理节点，待成熟后再考虑专业治理软件。
答：不一定。标准强调治理机制而非工具。组织可使用现有决策管理平台、会议纪要模板或简单的工作流系统来嵌入治理检查点。建议优先在核心决策流程中设立治理节点，待成熟后再考虑专业治理软件。
问：该标准的2026年更新状态如何？
答：截至2026年，ISO/IEC TR 38504的版本仍为2018版，CSA-Keeping相应标准持续有效。建议关注ISO/IEC JTC 1/SC 40（IT治理工作组）的动态，未来可能发布更新版本。当前标准中的指南仍被视为行业共识。
答：截至2026年，ISO/IEC TR 38504的版本仍为2018版，CSA-Keeping相应标准持续有效。建议关注ISO/IEC JTC 1/SC 40（IT治理工作组）的动态，未来可能发布更新版本。当前标准中的指南仍被视为行业共识。
