第九届北大CIO班开学典礼于2009年9月17日在北京大学举行，北大信息管理系教授赖茂生受邀发表《CIO的职责、素质和培训》的演讲，本文根据演讲整理而成。
很高兴跟新一届的CIO在这里交流信息化相关的话题，我今天和大家交流一下CIO职责、素质与培训相关的内容，希望对大家有所启发。
CIO作为一个职位，起源于美国，美国《商业周刊》1986.10.13出版的一期文章，题目叫《经营管理的最新明星》，这篇文章开篇就指出，一种新型的经理人员在公司的经理群中脱颖而出，这一职务就是首席信息官。因为当时许多总经理开始理解信息对他们企业的重要性，他们正在寻觅负责信息资源管理的人才，并委以重任。所以当时新涌现出了一批杰出信息管理人才，一些人担任着高级副总经理、负责信息服务的副总经理或信息资源经理等要职。
首席信息官决不仅仅是为新技术叫好的拉拉队队长，他们还要探索如何利用新的信息技术来降低成本、提高生产率、创造新产品和改进销售，并帮助确定公司的战略方向。这种职务要求他们具有渊博的知识，能跨越董事会里的非技术人员与下面负责信息处理和信息系统的经理之间的鸿沟。
早在1995年美国国会通过的《信息技术管理改革法》就明确授权在政府部门设立负责信息技术的CIO。该法还授权在联邦行政管理与预算局（OMB）下设立 一个美国CIO办公室，其主任由总统任命。1996年，美国国会又通过了《信息技术管理改革法修正案》，明确规定每个联邦机构都要设立CIO职位，负责本部门或本地区的政府信息资源管理、信息化项目监督和评估、信息系统运行维护等工作。该修正案还要求建立一个CIO委员会，以便定期地指导和协调行政机构中 与IT和信息资源管理有关的活动。
此外，美国各州政府也都相应有CIO，一般由该州第一副手担任，并由该州州长任命。发达国家的经验表明，CIO在组织推进信息资源管理和信息化的过程中起 到了重要的作用 。近年来，我国一些建立了现代企业制度的企业，尤其是实行了CEO制度的企业，也在试行建立自己的CIO制度，并取得了积极的效果。在我国政府部 门，CIO的职位设立和相应制度的建立尚处于政策呼吁阶段。为了全面推进电子政务建设和政府信息公开，迫切要求在政府部门加快推行CIO制度或CIO理 念。
那么CIO应该承担什么样的职能呢？
从国外经验来看大多数CIO执行着三种基本职能：（1）为公司制定信息化战略和规划。（2）审查、评估、管理和维护公司的所有技术设施和系统。（3）协助本机构的首脑建立公司内良好的沟通机制和信息共享网络。
政府部门CIO的基本职责是：实现信息技术、信息资源与政府管理和公共服务过程的整合；通过优化政府部门的业务流程，实现政府部门信息资源的有效利用和广 泛共享。具体职责包括：参与制定政府机构信息化发展战略；组织制定政府部门电子政务规划和实施方案；提出政府部门电子政务建设投资建议，参与电子政务项目 投资决策，负责硬件设备、软件系统的采购工作；负责政府信息资源管理；负责政府部门信息技术人才招聘和公务员信息技术应用技能培训；负责政府IT部门的日 常管理；负责政府部门电子政务建设项目的全程管理。
企业CIO的基本职责与政府略有差异，包括：实现信息技术、信息资源与公司业务的整合；通过优化企业的业务流程 ，实现企业内外部信息资源的有效开发利用和共享。具体职责包括：参与制定企业信息化发展战略；组织制定企业信息化和电子商务的规划和实施方案；提出企业信 息化建设的投资建议，参与信息化项目投资决策，负责硬件设备、软件系统的采购工作；负责企业信息资源管理；负责信息技术人才招聘和员工信息技术应用技能培 训；负责企业IT部门的日常管理；负责企业信息化建设项目的全程管理。
那么对CIO素质上有什么要求呢？
CIO应该是熟悉本机构业务，通晓信息技术和现代管理，善于应用系统工程的思想方法将信息化规划与本机构的业务规划紧密结合在一起的专家。一个合格的 CIO，必须能够规划好本机构的信息结构；能够深刻理解技术手段、管理方法和制度诱变的内在联系，既务实又有创新精神；善于沟通和项目管理；能洞悉、判 断、追踪IT发展对业务的影响，善于把IT很好地应用到本机构的业务中。
来自美国CIO杂志的一个影响CIO成功的个人能力排序及问卷调查，把影响CIO成功的个人能力按重要程度来进行排序，排在第一的是有效沟通能力；第二种是战略思考和规划的能力；第三是理解业务流程和业务运作；第四种是影响力和说服力；第五种是IT技能等。
我们国内有些机构也做了些调查，对CIO应该具备什么样的知识结构、应具备的能力以及大型企业的CIO做了分析，这张图显示了CIO的知识结构。
[page]
这张图显示了 CIO应具备的能力
从这两张图可以看出来，对CIO的知识和能力要求都是很高的。
下面我再谈一下相关法律知识和法律遵从问题。2002年7月30日，美国总统布什签署了《2002萨斑斯-奥克斯利法》（Sarbanes-Oxley Act of 2002），目的是加强企业报告和审计工作，要求上市公司把所有有关财务声明的工作文件、来往信件及所交流的信息保留7年。该法有一个条款（ Sec.404内控报告的提供）在2004年生效：要求IT部门要支持公司高管、财务和内外部审计人员的需求，确保影响财务报表的业务流程、应用和信息基 础设施的完整性、可用性和可审计性，保证内控报告和内控程序的完备性，并能够对外部审计需求做出积极响应，CIO们要证明其公司的IT内部控制系统的有效 性。
SOX法案明确规定，外部审计人员必须检查和证实一个公司的内部财务控制的有效性。SOX法案所规定的IT一般性控制，主要包括：信息系统开发流程的控 制、程序变更管理控制、计算机运行管理控制、程序与数据访问控制、信息系统安全的控制，还有IT计划等。除一般性控制之外，还有应用系统的控制，大致包括 应用系统中设置的有关业务流程的输入、数据处理和输出控制。这个法律改变了CIO们的管理方式。在404条规定下，作为本职工作的最低要求，CIO们必须 获得外部审计师对其IT控制的肯定评估。不遵守规定，忘记最终期限，或者内部控制存在重大控制弱点，都会理所当然地损害到公司股东的利益和业务关系，当然 也会有损于执行官的职业生涯。Gartner的调查显示，在该法颁布前，各公司对纸质记录虽然已有比较充分的控制，但是对电子文件的控制却不充分。
研究表明，随着IT在现代组织中战略价值的提升，IT人员的知识和技能变得非常重要，对企业的IS基础设施和竞争优势有重要影响。IT人员的知识和技能的 分类：（1）技术管理技能：在何处和如何有效地利用IT，为公司的商业战略目标服务；（2）商业业务知识：了解公司内部各种不同的商业功能，理解整个商业 环境；（3）技术性技能：对操作系统、编程语言、DBMS、网络、电信等技术领域掌握的广度和深度。研究它与其他战略要素之间关系的很少。1994 年，Boynton等人曾经调查过IT管理知识对IT应用的影响。在研究中：IT管理知识被界定为：IT管理者、业务部门或生产线的管理者所拥有及在他们 之间交换的、与IT相关和与业务相关的知识集合体；IT应用则被界定为：IT在降低成本、支持管理、战略规划以及纵深应用等应用形式。他们发现，在一个组 织中，较高水平的的IT管理知识与IT应用的程度是直接相关和正相关的。
最后说一下CIO的相关资格认证和培训问题。在美国CIO的任命必须经过资格认证，要求CIO具有在管理（包括信息资源管理）方面的知识、技能和经验，能够有效地履行其职责。其任职资格应从多方面考虑，包括与信息资源管理有关的教育、工作经验以及专业活动等。
良好的培训可以使经理成为合格的CIO。CIO教育培训内容应包括：管理（公共管理或企业管理）、电子政务或电子商务、项目管理、相关技术等方面。CIO培训的必要性及培训的内容有关机构做了一下调查培训的必要性占95.51%。
目前国内外有几套CIO培训体系。美国CIO大学是一个虚拟组织，他们是开展CIO培训最早的，他们的培训体系是这样的：（1）政策与组织；（2）领导力 与管理能力；（3）流程与变革管理；（4）信息资源战略与规划；（5）IT绩效评估：模型和方法；（6）项目/群项目管理；（7）资本计划与投资评估； （8）采购；（9）电子政务/电子业务/电子商务；（10）IT安全/信息保障；（11）企事业架构；（12）技术。
卡耐基？梅隆大学CIO认证培训体系包括这样几门核心课程：（1）领导力；（2）流程与绩效管理；（3）战略与规划；（4）IT采购与复合项目管；（5）IT管理；（6）信息保障；（7）电子商务与电子政务；（8）关键技术。
我们北大在国内首创了CIO培训，我们的培训体系共分四大部分：战略与管理、业务与流程、技术与架构、案例与绩效，共20多门课，基本覆盖了信息化的整体内容。
