第 5 章：治理——ITIL 5 的风险管控与决策边界

治理是 ITIL 5 SVS 的核心管控组件，是指导原则在组织级管控层面的具体落地规则。它定义了企业在数字产品与服务管理过程中的决策权责、管控规则、风险防控机制、绩效评估标准，以及流程落地的监督路径，为价值流动提供了清晰的边界条件——所有价值流的设计，都必须在治理的边界内执行。

5.1 治理的核心定位

在 ITIL 5 的架构中，治理是连接企业高层战略与一线执行流程的关键枢纽，其核心定位是「确保价值创造的过程，始终符合企业的战略方向、风险偏好与合规要求」。它回答了企业在服务管理过程中最关键的管控问题：

治理的核心目标，不是通过增加审批环节或管控规则来限制价值流动，而是通过明确的规则，降低价值流动中的不确定性，在风险可控的前提下，支撑价值流动效率的最大化。它与指导原则的区别在于：指导原则是通用的决策建议，而治理是企业必须严格执行的刚性管控规则(64)。

ITIL 5 的治理落地，主要通过三个核心维度实现，覆盖从战略决策到落地监督的全链路：

组织架构与权责划分：明确企业内与服务管理相关的决策层、管理层、执行层的角色权责。这是治理落地的基础前提——如果没有清晰的权责划分，管控规则就会缺乏执行主体。比如，企业需要明确变更管理的审批权限划分：哪些类型的变更需要由变更 advisory board（CAB）集体审批，哪些类型的变更可以由系统管理员直接执行；
合规与风险管控规则：定义服务管理活动必须遵循的行业标准、法律法规、内部制度，以及对应的风险识别、评估和控制规则，明确风险的可接受边界。比如，涉及用户隐私数据的服务，必须严格遵循数据安全保护相关的行业法规或企业内部制度；企业的核心系统变更，必须提前制定完整的风险回滚方案；
绩效评估与监督机制：建立对价值流运行效率、实践落地效果的监督和评估机制，通过量化指标，持续监督服务管理活动的合规性和价值交付效果。比如，通过服务水平协议（SLA）达成率，监控团队对服务质量的管控能力；通过变更失败率，监控变更管理流程的执行效果。

ITIL 5 的治理并非独立运行的模块，而是与所有价值流环节深度关联——在「计划」环节，治理确定战略边界；在「设计与转换」环节，治理明确合规性要求；在「获取 / 构建」环节，治理定义风险管控规则；在「交付与支持」环节，治理建立监督机制；在「改进」环节，治理提供绩效评估标准。

ITIL 5 Foundation 考试中，治理相关题目占比约为 10%-15%，以场景题为主。考点集中在以下三个维度：

初级学习者可以通过一个简单的实操练习，强化对治理落地逻辑的理解：

选取企业内部一个常见的高风险 IT 服务场景，比如「企业核心业务系统的版本升级变更」，尝试梳理该场景中的治理核心落地细节，包括：变更的审批权限划分、必须遵循的合规性要求、需要提前识别的风险点、对应的风险控制措施、变更后的效果验证指标、以及整个过程的监督责任主体。

这一练习的核心目的，是帮助学习者建立「价值流动必须在治理边界内执行」的思维认知——合规管控与价值创造并非对立关系，清晰的治理规则，反而会降低价值流动中的不确定性。