IT治理关注两个方面的问题，即IT治理的“什么”和“谁”。IT治理的“什么”是指IT治理应该作出哪些决策，IT治理的“谁”则是指这些决策分别应该由谁来作出。
【IT治理的概念及目标】
IT治理的概念
IT治理用于描述被委托治理实体的人员在监督、检查、控制和指导实体的过程中如何看待信息技术。IT的应用对于组织能否达到它的远景、使命、战略目标至关重要。
德勤定义为，IT治理是一个含义广泛的概念，包括信息系统、技术、通讯、商业、所有利益相关者、合法性和其他问题。其主要任务是保持IT与业务目标一致，推动业务发展，促使收益最大化，合理利用IT资源，IT相关风险的适当管理。
国际信息系统审计与控制协会(ISACA)理解为，IT治理是一个由关系和过程所构成的体制，用于指导和控制企业，通过平衡信息技术与过程的风险、增加价值来确保实现企业的目标。
IT治理目标
IT治理的目标有以下三个：
与业务目标一致。IT治理要从组织目标和信息化战略中抽取信息需求和功能需求，形成总体的IT治理框架和系统整体模型，为进一步系统设计和实施奠定基础，保证信息技术跟上持续变化的业务目标。
有效利用信息资源。由于目前信息化工程超期，IT客户的需求没有得到较好的满足，IT平台不支持业务应用等问题较为突出，通过IT治理可以对信息资源的管理职责进行有效管理，保证投资的回收，并支持决策。
风险管理。由于企业越来越依赖于信息技术和网络，新的风险不断涌现。IT治理强调风险管理，通过制定信息资源的保护级别，强调关键的信息技术资源，有效实施监控和做好事故处理。IT治理使企业适应外部环境变化，为企业内部实现对业务流程中资源的有效利用，从而达到改善管理效率和经营水平。
【IT治理可以解决的问题】
1)发现信息技术本身的问题
例如，是否有足够的IT资源、基础设施、竞争力来满足战略目标;信息技术平均操作的失误原因;IT没有推动业务改善而是阻碍业务的次数。
2)帮助管理者处理IT问题
例如，IT和组织战略目标的一致性程度怎么样;怎样衡量IT的交付价值;执行管理人员采取什么样的战略动机来管理IT;与企业的运营与成长管理相关的问题;企业是否清楚其商业目标与技术的关系领先、跟随者还是滞后者;企业对风险(风险规避和风险承担)是否清楚;有没有最新的企业相关IT风险的清单，采取哪些行动处理这些风险。
3)自我评估IT管理的效果
例如，是否经常向最高管理层(董事会)定期汇报IT风险;最高管理层是否就商业目标与信息技术一致性进行阐明和沟通;最高管理层对主要IT投资是否有清楚的观点，包括风险和回报;最高管理层是否定期得到主要IT过程的报告;最高管理层在获取IT目标和限制IT风险时是否得到独立的保证。
IT治理到底应该作出哪些决策呢?要找到这个问题的答案，必须先搞清楚一个问题，那就是组织到底需要IT发挥什么样的作用。不要想当然地以为这是一个可以简单回答的问题。实际上，不同的组织对于IT的需要是不一样的。组织到底需要IT做什么，在很大程度上取决于它处于一个什么样的商业环境。
【商业特征决定IT需求】
走向IT治理的第一步就是，要对组织处于什么样的商业环境进行正确的分析。 埃森哲公司的IT治理模式通过两个指标来对组织的商业环境进行分析:变化的速度和竞争的基础。
变化的速度。某些企业处在一个变化较快的行业，如半导体企业和电信企业。在这样的行业，消费者的需求和偏好经常改变，产业政策也时常推陈出新，时不时出现的新技术会一下子改变整个产业价值链;而另外一些行业的发展状态则相对稳定，不会有那么快的变化，如航空业。在这样的行业，消费者的需求、竞争格局、政府管制、技术及供应商等方面的变化都是缓慢发生的。
竞争的基础。从竞争的基础来看，企业可以分为两类。一类企业以运营效率为基础进行竞争。对于这类组织来说，重点在于降低成本，以及优化现有的商业模式以应对竞争;另一类企业以产品和服务的差异性为竞争的基础。这类企业力求先于竞争对手提供新的商业能力，或者是开创新的商业模式，以此获得竞争优势。
【IT治理的决策范围 】
一旦组织明确了自己对于IT的需求，那下一步就要解决IT治理作哪些决策的问题，也就是前文所说的IT治理的“什么”。IT治理的决策范围一般包括以下五个方面。
组织模式:组织是采取集权、分权还是混合的模式?
投资:组织将投资于什么?投多少?
架构:组织是着重于稳定性还是灵活性?这两者各到什么程度?应用系统是向外购买还是内部开发?是建立一个综合性的ERP系统还是多种系统?
标准:组织需要将什么技术标准化，采用什么标准?
资源:IT组织将利用什么类型的资源?这些资源的来源是什么?
IT治理的目标将帮助管理层树立以组织战略为导向，以外界环境为依据，以业务与IT整合为中心的观念，正确定位IT部门在整个组织中的作用。最终能够针对不同业务发展要求，整合信息资源，制定并执行推动组织发展的IT战略。
