COBIT30周年：三十年之际的回顾与展望

陈伟 2026年7月1日

从1996年发布首个版本到今天，COBIT已走过了三十年。Mark Thomas近期发表的纪念文章《COBIT30周年：关于技术治理，COBIT教会我们的30件事》也引起了中国IT从业人员的共鸣。

这三十年正好是中国的信息化、数字化、智能化的快速发展黄金时期，这个阶段正好见证了COBIT从初步引入到丰富多彩的中国本土化应用的全过程。在COBIT 发布三十年的这个重要时刻，我们认为有必要来回顾与展望一下COBIT及其后续框架在中国的应用与发展之路。

一、对COBIT 30年历程的回顾

从Mark Thomas的30条洞察，可归纳出核心观点：COBIT帮助组织不再把技术看作不可拆解的“黑箱”，而是把技术作为具有战略价值的核心资产进行治理，并通过管理流程落地，通过度量机制优化，形成一个PDCA的IT管控体系，提供了一种把技术纳入企业治理体系的共同语言。从中国的实践来看，这确实是COBIT的核心价值。

COBIT能有今天的影响力，也是在逐步演进中成熟起来的。最初COBIT并不是一个宏大的数字治理框架，而是面向IT审计和控制评价的工具。其真正的演进主线，是从“控制目标”逐步走向“企业信息与技术治理”。

11-(1).png

从早期IT审计控制目标，到COBIT3强化过程管理与绩效评价，再到COBIT4/4.1强调IT治理、业务对齐、价值交付和风险管理，COBIT逐步从审计部门走向董事会、高管层、CIO、CISO、风险、内控和内审共同使用的治理语言。COBIT5进一步形成端到端企业IT治理框架；COBIT2019则把治理对象扩展为I&T，即信息与技术，形成40个治理与管理目标，EDM、APO 、BAI 、DSS、MEA五大域和绩效管理机制。其三十年沉淀出的核心准则，可概括为目标清晰、问责明确、科学度量和持续改进。

二、COBIT之后引入DTEF的重要性

数字信任生态框架DTEF是ISACA继COBIT后于2022年推出的又一重要框架。DTEF的推出，标志着ISACA从传统的“IT治理、IT审计、信息安全、风险控制”体系，进一步转向“数字生态信任治理”。它关注的核心不是单项安全控制，而是数字生态中提供方、消费者、员工、合作伙伴、监管者之间的关系、互动和交易是否可信。

ISACA的DTEF白皮书指出，DTEF用于支持采用AI技术和服务的企业评价新兴技术风险，并为AI生命周期中的治理结构建设提供指导。其框架以人员、流程、技术、组织四个节点为基础，并通过文化、人为因素、架构、赋能与支持、指导与监控、涌现性六个领域连接，强调数字信任不是单纯技术问题，而是组织生态问题。

DTEF与COBIT的关系不是替代，而是分工协同：DTEF回答“什么是可信、对谁可信、在哪些数字关系中可信”；COBIT回答“如何把可信转化为治理目标、流程、角色、控制、指标和审计证据”。DTEF作为数字信任顶层框架牵引，COBIT作为落地执行底座。

2024年，ISACA围绕AI治理发布了《利用数字信任生态系统框架实现可信的人工智能》，强调可使用DTEF解释可信AI治理、AI生命周期治理和数字信任实施路径。当前AI时代，各类组织正在同时面对大模型应用、数据要素流通、个人信息保护、算法合规、生成式AI监管、信创替代、云外包、关键基础设施保护和行业强监管，适当利用DTEF和COBIT，可使之成为连接“AI发展”和“AI可信治理”的桥梁，为AI的治理与管理提供方法论。

三、COBIT与DTEF在中国的实践

3.1 COBIT在中国的实践阶段

COBIT在中国的实践大体经历四个阶段:

2000—2012年为启蒙引入期，主要通过CISA培训、会计师事务所、金融科技审计、高校教学和少量大型银行、央企内审局部引用进入中国，更多被作为IT审计和内控评价工具使用，尚未上升为企业级治理框架。

2013—2018年进入行业规模化试点期，银行业率先完整落地，电信运营商、大型国企保险开始推动COBIT与ISO27001、等保、企业内控规范融合，出现银行业IT治理最佳实践白皮书等本土化成果。

2019—2022年，COBIT 2019逐步适配《网络安全法》、《数据安全法》、等保2.0规范，以及央企内控合规和政企数字化要求，覆盖了央企制造、保险、地方政务、商业银行、证券、运营商等领域。

2023年至今，COBIT开始与DTEF、可信AI、云治理、数据治理结合，形成“DTEF战略—COBIT流程—ITAF审计”的闭环。国内大型领先银行的案例显示，COBIT可用于统一IT治理架构、制度流程、成熟度评估和数据隐私场景。

3.2 COBIT及DTEF的价值

Mark Thomas这30条洞察的真正价值，不在于提供了一套新控制清单，而在于把COBIT背后的治理哲学讲清楚了。其核心可归纳为六组判断：治理与管理必须分离，技术价值来自决策而非工具本身；框架必须裁剪，治理必须量化；风险与价值要同时管理；利益相关者需求需要逐层传导；文化、人、信息、服务、基础设施和应用是治理整体；合规只是底线，审计只是验证，治理必须走向持续反馈和持续改进。这些判断对中国信息化、数字化和智能化实践都具有现实针对性。

12-(1).png

在中国信息化阶段，很多组织长期把IT视为建设部门、运维部门或成本中心，系统上线率、预算执行率、项目验收率往往高于业务价值和风险收益评价。COBIT的价值在于，它把“系统有没有建成”提升为“技术是否支撑战略、风险是否可接受、责任是否可追溯、绩效是否可度量”。这对于早期银行核心系统、ERP、电子政务、运营商网络、央企集团管控平台等建设尤其重要。Mark Thomas强调“技术本身不创造价值，真正产生价值的是围绕技术做出的决策”，这句话直接击中了中国早期信息化中“重建设、轻治理”的老问题。

在数字化阶段，中国组织面对的是平台化、数据化、生态化和强监管并存的复杂环境。业务与IT“两张皮”、网络安全多头监管、数据安全与隐私保护碎片化、内控合规与业务创新冲突是典型问题。COBIT在中国的价值集中体现为弥合业务与IT“两张皮”、整合碎片化治理、平衡强监管环境下的合规与创新。这也是我们认为COBIT在中国最应被重估的地方：它不应仅被看作IT审计工具，而应作为企业数字化治理的“上层操作系统”，把战略、预算、架构、数据、项目、运维、安全、外包、连续性、审计和绩效纳入同一个治理闭环。

在智能化阶段，DTEF的重要性显著上升。AI并没有制造全新的治理问题，而是把责任界定、透明度、偏见、数据质量、模型漂移、第三方依赖、人机协同和伦理判断这些旧问题集中放大。Mark Thomas关于“AI并没有催生新的治理问题，它只是让老问题变得无法再被忽视”的判断，正是COBIT向DTEF延展的逻辑起点。对于中国企业而言，可信AI不能只靠模型备案、算法评测或安全工具完成，还需要把AI愿景、业务目标、数据来源、模型开发、供应链、上线审批、持续监控、异常处置、人工复核和审计证据整合起来。DTEF适合定义“可信AI”的目标状态，COBIT适合将其拆解为APO、BAI、DSS、MEA等可执行、可审计的治理活动。

3.3 COBIT及DTEF的局限性

虽然COBIT和DTEF对中国信息化数字化有很强的借鉴意义，我们也应看到COBIT和DTEF框架在中国的落地存在以下局限性：

第一，COBIT严格区分治理和管理，但中国许多国企、地方平台、事业单位和金融机构中，董事会、经营层、党委会、专业委员会、科技条线和业务条线之间存在高度交叉，权责分离并不天然成立，RACI矩阵容易变成形式化文件。中国企业中“一把手”往往同时是决策者、执行者和监督者，权责分离的文化土壤薄弱。

第二，COBIT以商业价值为主轴，但中国政企场景还存在政治安全、国家安全、公共利益、产业政策、信创替代、数据主权、关键基础设施保护等目标，不能简单折算为ROI。

第三，DTEF提出了数字信任的生态视角，但在中国落地时，如果缺少与等保、密评、数据安全法、个人信息保护法、生成式AI管理办法、信创要求、国资监管和行业监管的映射，就容易停留在概念层。

第四，COBIT和DTEF都强调裁剪，但真正困难恰恰在裁剪：很多组织缺少治理设计能力，容易把框架翻译成厚制度、长表格和重复检查，形成“文件治理”，而不是“运行治理”。

四、COBIT与DTEF的未来应用展望

关于COBIT与DTEF未来之路，我们认为中国不应简单照搬COBIT或DTEF，而应形成“DTEF定义信任目标、COBIT承载治理机制、国内法规标准提供合规底线、审计评价验证运行成效”的四层融合模型。

具体而言，DTEF用于董事会和高管层讨论数字信任战略，例如客户数据是否可信、AI决策是否可信、云服务是否可信、供应链是否可信、关键业务是否韧性可信；COBIT用于把这些信任目标映射为治理目标、管理目标、流程责任、控制点、指标和证据；等保、密评、数据安全、个人信息保护、行业监管和AI监管要求用于补足中国合规基线；内审、IT审计和第三方鉴证用于形成持续验证机制。 COBIT与DTEF结合的落地应用可参照下表：

COBIT+DTEF的中国化落地矩阵