Аудит начинается за несколько недель до первого рабочего дня

Аудит начинается не в первый рабочий день. Он начинается на этапе пребординга.

За несколько недель до входа в компанию я формирую предварительную карту гипотез по бизнес-модели, рискам, архитектуре и организационному дизайну. Это не стратегия и не готовые решения. Это управленческая рамка, с которой я захожу в диалог с CEO и командой.

Первый месяц не про изменения. Он про коммуникацию и выравнивание ожиданий. Я не трансформирую, я диагностирую контекст через разговоры. Один из первых инструментов на входе - матрица коммуникаций: кто ключевые стейкхолдеры, какой ритм встреч, какие темы критичны. Это управленческая архитектура отношений.

Именно через эти коммуникации становится очевидно главное. В моей практике проблема чаще в управляемости, а технологии её только показывают.

И только после этого начинается структурированный аудит, через пять направлений: Бизнес, Люди, Процессы, Риски, Системы. Начинаю всегда с бизнеса.

1. БИЗНЕС - где деньги и где уязвимость. Первое, что нужно понять: где формируется выручка, где маржа, где простои стоят дорого и где риски могут остановить бизнес.

Без привязки к P&L аудит превращается в технический осмотр. А это не та роль, ради которой приходит CIO.

2. ЛЮДИ. Я оцениваю: хватает ли владельцев продукта и аналитиков, есть ли матрица компетенций, где реальные бутылочные горлышки и какова производительность команд, не по ощущениям, а по данным.

Почти всегда проблема начинается в дисбалансе ролей и ответственности. Отсутствие чётких зон ответственности - одна из самых частых причин деградации.

3. ПРОЦЕССЫ. Ключевой вопрос: измеряется ли вообще что-нибудь?

Есть ли сквозной процесс от discovery до delivery. Считаются ли lead time и cycle time. Работает ли ITIL системно или формально. Есть ли DevSecOps до релиза. Понятны ли SLA и OLA всем участникам. И так далее.

Если процессы не измеряются, они не управляются.

4. РИСКИ. В регуляторно чувствительных отраслях риски формируют требования к архитектуре, а не наоборот. Поэтому я анализирую их раньше систем. Кибербезопасность, BCP/DRP, зависимость от санкционных поставщиков, концентрация критических сервисов, доля ручных операций. В этом контексте риск - всегда будущая стоимость, а ошибка в его оценке - будущий убыток.

5. СИСТЕМЫ. Архитектура формируется до проекта или после? Есть ли технологический радар, CMDB, полноценная наблюдаемость? Насколько "зрелый" CI/CD?

Архитектура - отражение зрелости управления. Если управленческая модель слабая, архитектура покажет это быстрее любого отчёта. И только потом - стратегия.

Аудит CIO можно представить в виде цикла: бизнес, люди, процессы, риски, системы, экономика, план. Сегодня к этому циклу добавляется ещё один ключевой вопрос: где и как ИИ уже меняет процессы, роли, архитектуру и экономику. Аудит без этого - аудит прошлого.

Если CIO начинает с инфраструктуры, он управляет ИТ. Если с управляемости, он управляет устойчивостью и будущим бизнеса.