1、IT風(fēng)險的分類
IT項目本身是一個復(fù)雜的系統(tǒng)，引起風(fēng)險的因素很多，風(fēng)險因素之間的關(guān)系錯綜復(fù)雜，而且其中很多風(fēng)險并不都是顯露在外的，不加識別或者錯誤識別風(fēng)險，不僅難以管理風(fēng)險，而且還會造成難以預(yù)料的損失。因此必須從系統(tǒng)的觀點對風(fēng)險進(jìn)行有效的識別。
因此，我們采用風(fēng)險分解結(jié)構(gòu)法來識別IT風(fēng)險。風(fēng)險分解結(jié)構(gòu)是基于風(fēng)險源的集合，它可以充分反映風(fēng)險的層次性，有效表示風(fēng)險的結(jié)構(gòu)，確保找出項目所面臨的所有風(fēng)險要素，有助于風(fēng)險管理人員全面理解項目面臨的風(fēng)險并指導(dǎo)風(fēng)險管理過程。
建立風(fēng)險分解結(jié)構(gòu)關(guān)鍵的一步是確定分解層次，多數(shù)情況下，第一層是項目總體風(fēng)險，第二層是前面所確定的主要風(fēng)險要素，下一層對主要風(fēng)險要素的進(jìn)一步細(xì)分。如下圖所示：
由上圖可知，IT風(fēng)險來源可以從項目過程發(fā)現(xiàn)。在項目的全生命周期中，項目啟動、制定計劃、范圍定義、資源預(yù)算、人員組織、進(jìn)度控制、項目狀態(tài)、項目的協(xié)調(diào)和管理以及信息系統(tǒng)的運行階段都會產(chǎn)生風(fēng)險。
IT風(fēng)險來源也可以從項目內(nèi)容來看風(fēng)險可能來自資金投入、人力資源、時間和進(jìn)度、應(yīng)用軟件和技術(shù)等各個方面。 另外一種風(fēng)險來源依據(jù)風(fēng)險出現(xiàn)在項目內(nèi)或項目以外，分為內(nèi)部風(fēng)險和外部風(fēng)險。項目的外部風(fēng)險主要是指項目的政治、經(jīng)濟(jì)環(huán)境的變化，包括與項目相關(guān)的規(guī)章或標(biāo)準(zhǔn)的變化，組織中雇傭關(guān)系的變化，如公司并購、自然災(zāi)害等，這類風(fēng)險對項目的影響和項目性質(zhì)的關(guān)系較大。
具體到某個組織來說，要有效地降低IT的風(fēng)險，就要加強(qiáng)風(fēng)險管理。對于信息安全風(fēng)險管理的實施流程，目前己經(jīng)形成了統(tǒng)一的認(rèn)識，可分為風(fēng)險評估、風(fēng)險控制(或風(fēng)險消解)和風(fēng)險處理三個模塊。通過風(fēng)險評估來識別風(fēng)險大小、識別隱患的存在、評估己有控制措施的效果:然后選取適當(dāng)?shù)目刂颇繕?biāo)并采取一定的控制措施對風(fēng)險進(jìn)行控制，最后在風(fēng)險處理階段對殘余風(fēng)險進(jìn)行分析，使風(fēng)險被避免、轉(zhuǎn)移或降至一個可被接受的水平。如下圖所示：
由上圖可以看出來，風(fēng)險評估是風(fēng)險管理的第一個環(huán)節(jié)，也是能否有效控制風(fēng)險的關(guān)鍵。
一個完整的風(fēng)險評估過程如圖所示，可以分為九大步驟。如下圖所示：
從上圖可以看出來，風(fēng)險識別的內(nèi)容非常多，本文重點介紹一下第七個步驟，風(fēng)險預(yù)測環(huán)節(jié)的相關(guān)內(nèi)容。
風(fēng)險被全部識別出來，就要判斷哪些風(fēng)險對項目是最重要的，這也是風(fēng)險評估的第七個步驟，也是整個評估過程中非常重要的一個步驟。
風(fēng)險預(yù)測的主要任務(wù)是要評估已識別出的風(fēng)險對項目的潛在影響程度。對風(fēng)險預(yù)測我們采取定性描述與定量分析相結(jié)合的方法進(jìn)行。為了對項目風(fēng)險發(fā)生的可能性、影響的嚴(yán)重性更準(zhǔn)確的估計，要在以下三個方面對風(fēng)險進(jìn)行預(yù)測和打分，以便于風(fēng)險排序，并為控制風(fēng)險做準(zhǔn)備。
?。?）風(fēng)險的可能性
為了對風(fēng)險發(fā)生的可能性進(jìn)行直觀的比較，可以為每個風(fēng)險分配取值范圍。例如，分配的值為l～5，“1”表示非常不可能發(fā)生，“2”表示有些不可能發(fā)生，“3”表示非?？赡馨l(fā)生，“5”表示極有可能發(fā)生。
（2）風(fēng)險影響嚴(yán)重性
用來判斷風(fēng)險對項目的影響有多嚴(yán)重。按風(fēng)險對項目影響程度的大小，對風(fēng)險進(jìn)行等級劃分?！?”表示對成本、進(jìn)度和運行等影響小，“2”表示對成本、進(jìn)度和運行等影響中等，“3”表示對項目具有較大的影響，“4”表示對項目有非常大的影響，“5”表示悲慘的、災(zāi)難性的影響，整個項目失敗。
（3）可控制水平
可控制水平確定風(fēng)險的可控制水平的評估，即評估風(fēng)險在什么程度上可以控制?采取什么措施來控制或減輕風(fēng)險? “1”表示通過項目風(fēng)險減輕行動，可避免，“2”表示通過項目行動，高度可控，“3”表示通過項目行動，中等水平可控，“4”表示通過項目行動，高度不可控，“5”表示不可控，有項目失敗的高風(fēng)險。
各種風(fēng)險的取值是根據(jù)我們的經(jīng)驗和該領(lǐng)域的專家共同確定的，根據(jù)風(fēng)險系將風(fēng)險排隊，風(fēng)險系數(shù)越大風(fēng)險就越大，我們就要關(guān)注這些風(fēng)險，我們將風(fēng)險按風(fēng)險系數(shù)排隊可以生成不同的風(fēng)險優(yōu)先級列表。下表是某企業(yè)的IT風(fēng)險預(yù)測分析列表：
IT戰(zhàn)略規(guī)劃是IT項目開始的首要活動，是實現(xiàn)企業(yè)和IT 目標(biāo)的途徑，也是進(jìn)行后續(xù)項目的前提條件，所以我們就以IT規(guī)劃為例，簡要說明如何進(jìn)一步預(yù)測IT風(fēng)險。如下表所示，我們將IT戰(zhàn)略規(guī)劃進(jìn)一步劃分為6個小的問題，再分別計算出每一個小問題的風(fēng)險系數(shù)，這樣才能具體確認(rèn)風(fēng)險的具體來源。也只有這樣，才能為下一步如何處置風(fēng)險做出更精細(xì)的決策。
