Od celu firmy do priorytetu IT

Poniższy schemat to moja synteza; nie jest wymaganiem żadnego ze standardów. Ich rolę wyjaśniam po części praktycznej. Działa w małej firmie na jednej kartce, a w dużej wymaga rozbudowania o narzędzia.

1. Ujmij cel jako wynik, nie jako zadanie. Zamiast „wdrożyć CRM” zapisz „podnieść odsetek klientów kupujących ponownie z 30% do 40% w 18 miesięcy”. Liczby w tym zdaniu są przykładem.
2. Wskaż, co w organizacji ogranicza osiągnięcie wyniku. Proces, dane, kompetencje, system. Odpowiada za to biznes razem z IT, nie sam dział IT.
3. Zbierz kandydatów na inicjatywy. Przy każdej zapisz cel biznesowy, potrzebę utrzymania działania lub obowiązek prawny. Wymogi prawne uwzględnij we wspólnym planie zasobów, z ich terminami i zakresem jako ograniczeniami. Zgłoszenie bez uzasadnienia skieruj do doprecyzowania; drobne prace utrzymaniowe mogą mieć osobną kolejkę, ale ich obciążenie musi być widoczne w planie.
4. Oceń je tymi samymi kryteriami. Wystarczą cztery: wkład w cel, ryzyko (także niewykonania), koszt całkowity, zdolność organizacji do przeprowadzenia zmiany. To mój uproszczony zestaw do oceny inicjatyw. Przy obowiązkach prawnych oceniaj sposób i koszt wykonania w wymaganym terminie, nie możliwość rezygnacji z obowiązku.
5. Ustal limity. Pojemność zespołu jest skończona. Lista dziesięciu „priorytetów” w praktyce często oznacza brak priorytetu. Przyjmij z góry, że po przekroczeniu pojemności nowa pozycja wchodzi tylko wtedy, gdy coś z niej wychodzi.
6. Wyznacz właściciela po stronie biznesu i przegląd co kwartał. Właśnie wspólną odpowiedzialność biznesu i IT Gartner opisuje jako cechę firm o najlepszych wynikach (zobacz sekcję „Skala problemu”)[1].

Cel biznesowy i zadanie IT są wyrażone w różnych językach. Zarząd mówi: „skrócić czas realizacji zamówienia z pięciu dni do trzech”. IT słyszy: „zrobić coś z systemem magazynowym”. Dopiero ktoś, kto rozumie oba światy, potrafi powiedzieć, że wąskim gardłem jest ręczne wprowadzanie zamówień z trzech kanałów sprzedaży, i że to właśnie ono trafia na początek listy.

• Które trzy cele biznesowe mają największe znaczenie w tym roku i jak będziemy mierzyć ich osiągnięcie?
• Która inicjatywa IT wspiera który cel? Czy potrafimy to wskazać dla każdej pozycji z listy?
• Kto po stronie biznesu odpowiada za wynik każdej z inicjatyw, a nie tylko za jej wykonanie?
• Jaka część pracy zespołu IT idzie na utrzymanie, a jaka na zmiany? Czy ten podział świadomie przyjęliśmy?
• Co usuniemy z planu, jeśli dojdzie nowy priorytet?

Danych o skuteczności inicjatyw cyfrowych dostarcza badanie „2025 Gartner CIO and Technology Executive Survey”, którego wyniki opublikowano w październiku 2024 roku. Objęło ono 3186 dyrektorów IT z 88 krajów oraz 1126 liderów biznesu spoza IT. Wynik: średnio 48% inicjatyw cyfrowych osiąga lub przekracza założone cele biznesowe. W wyodrębnionej grupie firm, które Gartner nazwał „Digital Vanguard”, odsetek wynosi 71%[1].

Co odróżnia te firmy? Według Gartnera przede wszystkim to, że odpowiedzialność za wdrożenia cyfrowe dzielą między CIO a pozostałych członków zarządu. Ich dyrektorzy biznesowi przeznaczają też do pracy nad technologią 35% personelu swoich obszarów (u pozostałych 21%) i spotykają się z CIO czterokrotnie częściej niż pozostali dyrektorzy spoza IT[1]. To opis cech, które występują razem z lepszymi wynikami, a nie dowód, że je powodują. Komunikat Gartnera nie podaje też wielkości tej grupy.

Starsze badania pokazują, że problem nie jest nowy. McKinsey wspólnie z Uniwersytetem Oksfordzkim przeanalizował ponad 5400 projektów IT. Duże projekty (budżet powyżej 15 mln USD) przekraczały budżet średnio o 45%, termin o 7%, a dostarczały o 56% mniej wartości, niż zakładano. Według autorów 17% projektów kończyło się tak źle, że zagrażało istnieniu firmy[2]. Analiza pochodzi z 2012 roku i dotyczy dużych programów, więc nie należy jej przenosić jeden do jednego na wdrożenie systemu w firmie na 80 osób. Pokazuje jednak skalę ryzyka w dużych projektach IT. Moim wnioskiem jest, że ryzyko rośnie, gdy wartość projektu zakłada się na początku i nikt jej potem nie sprawdza.

PMI w raporcie „Pulse of the Profession” z 2016 roku oszacowało, że organizacje marnują średnio 122 mln USD na każdy miliard wydany na projekty. W organizacjach o wysokiej dojrzałości zarządzania korzyściami strata wynosiła 5,4%, w organizacjach o niskiej – 16,6%[3]. To dane z 2016 roku, przytaczam je za opracowaniem wtórnym.

COBIT 2019 (ISACA) opiera się na kaskadzie celów, która łączy potrzeby interesariuszy z celami przedsiębiorstwa, celami dopasowania IT oraz celami nadzoru i zarządzania[4][5]. Autor opracowania, z którego korzystam, podkreśla, że kaskada to nie tabela przeliczeniowa. Mapowanie pokazuje, co jest istotne, a zobowiązaniem staje się dopiero po decyzji kierownictwa. Na końcu ma zostać niewielki zbiór priorytetów, a nie pełna macierz powiązań[5].

ISO/IEC 38500:2024 opisuje nadzór nad wykorzystaniem IT w organizacji[6][7].

ITIL 4 zaczyna od zasady „skup się na wartości”: najpierw ustal, kim są interesariusze i jakich rezultatów oczekują. Pozostałe zasady są równie praktyczne: zaczynaj od tego, co już masz, pracuj iteracyjnie ze sprzężeniem zwrotnym, upraszczaj, a automatyzuj dopiero to, co wcześniej zoptymalizowano[8].

TOGAF (The Open Group) i ISO/IEC 27001 dopowiadają dwie rzeczy. W metodzie TOGAF (ADM, Architecture Development Method) po zdefiniowaniu wizji architektury przychodzi architektura biznesowa, a dopiero po niej systemy i technologia[9]. ISO/IEC 27001 wymaga, by system zarządzania bezpieczeństwem informacji wynikał z kontekstu organizacji i oceny ryzyka[10]. Oba opisy opieram na ogólnej charakterystyce standardów.

Z tych standardów wynika jedno: priorytet IT jest dobry wtedy, gdy da się go prześledzić wstecz do celu, który zatwierdził zarząd, i w przód do mierzalnego rezultatu.

Uwaga o danych: Eurostat bada przedsiębiorstwa w branżach objętych badaniem, z co najmniej 10 pracownikami i samozatrudnionymi. W Polsce 97,2% aktywnych firm to mikroprzedsiębiorstwa, a małe, średnie i duże stanowią odpowiednio 2,0%, 0,6% i 0,2% (dane PARP za 2024 rok, łącznie 2,37 mln firm)[11]. Poniższe liczby opisują więc „górną część” rynku.

Źródło: Eurostat[12][13]; dane dotyczą firm od 10 pracowników. Dla Polski Eurostat podaje wykorzystanie AI na poziomie 8,4% firm, czyli drugi najniższy wynik w UE (niższy ma tylko Rumunia)[13].

Wśród firm, które rozważały AI, ale go nie wdrożyły, najczęstszą barierą był brak wiedzy (około 70%), a niejasne skutki prawne i obawy o ochronę danych wskazywała mniej więcej połowa z nich[13]. To bariery wiedzy, prawa i ryzyka, a nie sprzętu. Moja interpretacja: w niektórych firmach może brakować kogoś, kto określi, do jakiego celu technologia ma służyć.

Małe firmy (do 49 osób). Pełny framework byłby tu przerostem formy. COBIT ma co prawda osobny przewodnik dla MŚP[4], ale w praktyce wystarczy rytm: raz na kwartał właściciel lub prezes i osoba odpowiedzialna za IT (często zewnętrzna) przy jednej kartce ustalają trzy cele roku i trzy do pięciu inicjatyw pod nie. Dobre pytanie dodatkowe: czy wdrożenie da się obsłużyć bez nowych etatów. Często więcej daje uporządkowanie tego, co już jest, zgodnie z zasadą „zacznij od tego, co masz”[8].

Firmy średnie (50–249 osób). Tu często zaczyna się problem konkurujących zgłoszeń od działów. Potrzebny jest prosty rejestr inicjatyw z jednym wspólnym zestawem kryteriów oraz regularne spotkanie komitetu sterującego (dyrektor finansowy, operacyjny, handlowy i IT). IT powinno tu przedstawiać opcje i koszty, a nie tylko wykonywać zlecenia.

Duże organizacje (250+ osób). Pojawia się portfel inicjatyw, biuro zarządzania projektami lub transformacją i kilka warstw celów. Tu najlepiej sprawdzają się kaskada celów COBIT, nadzór według ISO/IEC 38500 oraz architektura korporacyjna. Ryzyko to biurokracja bez właściciela. McKinsey wskazuje, że w dużych projektach potrzebne są m.in. zarządzanie strategią i interesariuszami, spójne zespoły o zgodnych bodźcach oraz krótkie cykle dostarczania[2].

Nie każdy priorytet wynika ze strategii wzrostu. Część przychodzi z zewnątrz. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2, weszła w życie 3 kwietnia 2026 roku. Według harmonogramu podmioty objęte ustawą miały złożyć wnioski o wpis do wykazu do 3 października 2026 roku. Dla podmiotów spełniających kryteria w dniu wejścia nowelizacji w życie termin wdrożenia obowiązków wskazanych w art. 33 upływa 3 kwietnia 2027 roku. Kary wymienione w art. 35 nowelizacji można nakładać dopiero po upływie dwóch lat od jej wejścia w życie[14][15]. Ustawa zwiększa odpowiedzialność kierownictwa. Według stanu na 7 października 2026 roku pierwszy z tych terminów, 3 października 2026 roku, już minął.

W przedstawionej tu metodzie mieści się to naturalnie: obowiązek prawny wchodzi do wspólnego planu zasobów, a jego termin i zakres są ograniczeniami. Zarząd musi wtedy zdecydować o sposobie wykonania i o kolejności prac względem innych inicjatyw. Nie każda firma jest objęta ustawą, więc pierwszym krokiem jest sprawdzenie, czy dotyczy ona danej organizacji.

Standardy dają język i strukturę, ale to zarząd musi powiedzieć, które cele są najważniejsze i kto za nie odpowiada. Można zacząć od jednej kartki z trzema celami na ten rok.

1. Gartner, „2025 CIO and Technology Executive Survey”, komunikat z 22 października 2024: Gartner Survey Reveals That Only 48% of Digital Initiatives Meet or Exceed Their Business Outcome Targets.
2. McKinsey & Company (we współpracy z BT Centre for Major Programme Management, Uniwersytet Oksfordzki), 2012: Delivering large-scale IT projects on time, on budget, and on value.
3. PMI, Pulse of the Profession 2016, w omówieniu: PMI research demonstrates the value of strategic alignment for projects (źródło wtórne).
4. ISACA, COBIT.
5. COBIT Goals Cascade: How to Translate Enterprise Priorities into Governance Objectives, CIO Index (opracowanie wtórne; opis kaskady celów).
6. ISO, ISO/IEC 38500:2024 (edycja 3, luty 2024; zastąpiła wycofaną edycję 2015).
7. ISO/IEC JTC 1/SC 40, White paper on the differences between ISO/IEC 38500:2015 and 2024.
8. ITIL 4 Guiding Principles, Clearbridge (opracowanie wtórne; oryginał: AXELOS/PeopleCert).
9. The Open Group, TOGAF Standard.
10. ISO, ISO/IEC 27001.
11. PARP, Kondycja sektora MŚP w Polsce – najnowszy raport PARP (dane za 2024 r.; raport opublikowany w 2026 r.).
12. Eurostat, Cloud computing – statistics on the use by enterprises (dane 2025).
13. Eurostat, Use of artificial intelligence in enterprises (dane 2025, odczyt grudzień 2025).
14. ITwiz, Nowelizacja ustawy o KSC zaczyna obowiązywać.
15. Ustawa nowelizująca KSC, Dz.U. 2026 poz. 252 (art. 33 i 35), tekst.