|
正如信息系统具有潜在的投资回报一样，信息系统同样具有潜在的风险。IT与业务的融合，在带来企业效率提升和持续竞争力的同时，也加剧了业务可能面临的风险。信息系统任何细微的变故，都有可能导致业务流程完全失效。正因为如此，IT风险管理受到了越来越多企业高管层特别是CIO的关注。一定程度上，CIO所面对的管理，更多的是对各种“可能性和不确定性”即“风险”的管理。club.mypm.net
然而，IT风险及IT风险管理，一直是一个颇有争议的概念。由于对风险的理解和认识程度不同，或对风险的研究的角度不同，其定义还存在很多争议。PgMp.mypm.net
国际内部审计协会(IIA)对风险定义为：“可能对目标的实现产生影响的事件发生的不确定性。”并指出风险的衡量标准是后果与可能性。而国际标准化组织ISO/IEC“Guide73:2002”中关于风险的定义为：“事件发生的可能性及其后果的结合”。COSO发布的《企业风险管理-整合框架》中则将风险定义为：“一个事项将会发生并给目标实现带来负面影响的可能性。”bbs.mypm.net
对于IT风险的认识，同样存在着不同的观点。2006年1月出版的《IT风险——基于IT治理的风险管理之道》一书中认为，所谓IT风险就是指对业务造成负面影响的信息技术失效。2006年9月，中国银监会颁布的《银行业金融机构信息系统风险管理指引》中，信息系统风险是指：“信息系统在规划、研发、建设、运行、维护、监控及退出过程中，由于技术和管理缺陷产生的操作、法律和声誉等风险”。2007年2月赛门铁克公司发布的《IT风险管理报告》中认为，IT风险包括安全性、可用性、能力和合规性四个方面。项目管理者联盟
正因为这些争议的存在，目前各家企业对IT风险管理方面的理解和做法也存在着差异。这些差异，往往让很多希望加强IT风险管理的企业和CIO们束手无措。为此，某杂志邀请到了民生证券股份有限公司信息技术总监景忠、中国海洋石油总公司审计监察部IT审计经理王宇文、ITGov信息系统审计专家王东红，围绕IT风险管理的相关话题，展开了讨论。PgMp.mypm.net
对于IT风险的概念特别是IT风险涵盖的范围，现在仍然存在争议，各位是怎么理解IT风险管理的?景忠：对于证券行业来讲，IT系统的风险管理几乎是天天都在抓。从我们的角度来讲，IT风险主要包括系统的风险、人员的风险和IT投入的风险等方面。项目管理论坛
系统的风险主要是软件、硬件和网络等设备的潜在风险，这与传统的信息安全有很多类似的地方。人员的风险则是指内部人员作弊或者疏忽造成的风险，和关键岗位人员流失带来的风险等所有与人为因素有关的潜在风险。IT投入的风险也非常容易理解，既然是投入就一定要有产出，不管这种产出是显性还是隐性的，但是，也并不是所有的IT投入都能看到产出，甚至很多企业IT项目以失败告终的案例也时有发生。王宇文：IT的作用就是支撑企业的业务运作和运营管理，因此，IT风险实际上就是业务的风险，抛开业务单纯讲IT风险是没有意义的。从审计部门角度来看，之所以关注IT风险，就是要看一旦这些系统出问题，会对业务造成什么样的影响。club.mypm.net
国资委出台的《中央企业全面风险管理指引》中将风险定义为：未来的不确定性对企业实现其经营目标的影响，一般可分为战略风险、财务风险、市场风险、运营风险、法律风险等，并将风险分为纯粹风险和机会风险。因此，我们认为IT风险主要是IT系统有可能对业务和经营目标造成的潜在风险。IT是属于横向业务支持领域，IT风险会体现在所有业务风险中。由于IT有其特殊的技术内涵和特点，往往在实际操作时IT风险管理相对来说比较独立。项目管理者联盟
王东红：前面两位更多的是从实践工作中，对IT风险管理的理解和认识来谈的，我主要从理论的角度谈谈我的理解。目前来看，银监会对于IT风险的定义是比较全面的，它符合当今世界全面风险管理的发展趋势，是一个全生命周期的风险。而IT风险管理目前在研究和实践中都还没有一个统一的定义。项目管理者联盟文章
在我看来，IT风险管理，已经从狭义的IT技术风险发展到了IT全生命周期管理的阶段，因此，IT风险管理也可以称为“IT全面风险管理”。综合比较主流的IT风险管理定义，不妨可以对IT风险管理给出这样的定义，所谓IT风险管理是指围绕信息化战略目标，通过在信息系统的规划、开发与建设，运行与维护，监控与评价管理的各个阶段中执行风险管理的基本流程，包括风险管理策略制定、风险识别、风险评估，进而选择适当的处理方法加以控制、处理，达到信息化可持续发展的目标。项目管理者联盟文章
三位的表述虽然略有不同，但是都谈到了IT风险与业务的关系。是不是只有当企业的业务与IT足够紧密时，才会考虑IT风险管理?王宇文：在信息化发展的初期，信息系统使用得比较少，这种情况下，产生风险的概率自然比较低。因为大部分的业务流程与IT都是脱离的，不论IT的状况如何，业务都能照常进行，从业务角度来看，IT带来的潜在风险就微乎其微。随着业务流程对IT依赖程度的不断加深，IT的作用变得越发明显，IT可能对业务带来的潜在风险也就会更多，相比之下，这时候IT风险管理也就显得更加重要。www.mypm.net
但是，并不是说只有信息化发展到业务与IT足够紧密时，才应该考虑IT风险管理。在信息化的前期，虽然信息系统比较少，仍然需要适当考虑IT风险管理，因为风险的规避更多的是未雨绸缪的工作。项目管理者联盟
从中海油的经验来看，也确实是这样，IT系统建设的时候，我们就同步把很多风险管理和内部控制的内容考虑进去，这样做显然比IT做完了再去考虑风险和内控，进而对IT进行改造，要更有优势。项目管理者联盟文章
业务流程是企业战略落地的具体实现，IT系统就是业务流程的自动化，IT风险管理就是流程风险管理的一部分，而IT系统本身也是降低业务流程风险的手段。目前，国际OCEG组织提出的GRC框架也定义了IT系统在企业治理、风险及合规管理中的作用和标准。项目管理者联盟
王东红：“只有当企业的业务与IT足够紧密时，才应该考虑IT风险管理，”这句话看起来有些道理，却很不全面。IT风险，不仅是IT本身的风险，IT对企业的流程、战略等都会造成潜在风险，只要一部分流程依赖于IT，就有可能产生这种风险。另外，在信息系统建设初期，虽然业务与IT的紧密程度很低，但是这时候往往是企业对信息化建设进行大规模投资的时候，这些IT投入的产出也是有风险存在的，这也是IT风险的一部分。
景忠：是否应该考虑IT风险管理，我觉得这其中更多地与企业的业务类型有关。如果企业的业务虽然密切依赖IT，但是如果业务能够承受IT停顿带来的风险，那么，不考虑IT风险管理也可以。同时，还要与IT风险管理本身所产生的成本进行权衡。转自项目管理者联盟
IT风险包括的内容很多，在信息化发展的不同阶段，可能IT风险管理的侧重点会不同，比如大规模建设时期，可能重点更多的是放在IT投入的风险上，而当大规模建设初步结束之后，更多的是从维护业务稳定等方面考虑IT风险。项目管理者联盟
对IT风险进行管理的前提，是先识别IT风险。在识别IT风险方面，民生证券有哪些做法?training.mypm.net
景忠：证券行业的特殊性让我们对风险管理一直非常重视，IT风险管理也是整个风险管理工作中非常重要的一部分。从目前的组织架构来看，涉及到 IT风险管理的主要有IT决策委员会、风险管理部和信息技术部。IT决策委员会主要从战略发展的高度对IT投入进行把控，降低IT投入的产出风险。风险管理部更多的是从业务角度看IT可能对业务造成的潜在影响，并找出这些潜在的IT风险。我们IT部门更多的是从信息系统运行、维护的角度去看系统的潜在风险。项目管理者联盟
在IT部门内部，我们会每月进行严格的定期安全巡检，这个巡检不仅涉及核心系统，还包括日常管理、设施维护等IT部门的方方面面。为此我们已经形成了固定的表格，每次巡检会按照表格逐个核对，检查涉及IT部门的每一个流程。我们还会有监控，仅监控的表格每天就有6张，对于发现的潜在问题都能立刻解决。www.mypm.net
景忠更多的是从IT部门的角度谈对IT风险的管理。王宇文，你能否谈谈中海油的IT审计部门是怎么对IT风险进行审计的?项目管理者联盟
王宇文：在以前，审计部门主要是对企业财务、企业经营等的最后结果进行审计，现在审计工作正在不断前移，从对结果的审计前移到对制度、流程、实际执行过程进行以风险为导向的全周期的审计，包括对风险的识别和控制，因为这些结果的产生往往是由之前的不规范造成的。IT审计也是对风险进行事前控制的有效环节之一。pmp.mypm.net
从去年开始，审计监察部已经对集团的下属上市公司进行过两次IT审计，主要是依据COBIT。我们对COBIT要求的34个流程进行了某些简化，并根据中海油的业务特点增加了一些内容，并以企业标准的形式发布了中海油内部的信息系统审计标准。IT部门根据这个要点进行风险控制和管理，我们也是依据要点中的内容进行IT审计。转自项目管理者联盟
在中海油，IT审计不是单独进行的，而是与整个公司审计一并进行的。IT部门与IT审计部门关注风险的角度确实有所不同，但是都会遵循相应的标准规范。王东红，请你给我们介绍一下目前主流的标准规范有哪些?项目管理论坛
王东红：IT风险是业务与IT技术结合的产物。未雨绸缪，让一切风险和意外尽在掌握之中是一件非常重要的事情。于是，如何在这些潜在风险转化为灾难之前，就能迅速地被发现，显得极为重要。talent.mypm.net
|
