1 引言
今朝關(guān)于企業(yè)信息化風(fēng)險研究的熱點集中在信息系統(tǒng)安然方面的風(fēng)險評估，這也與現(xiàn)當(dāng)代界切磋收集安然的熱點相一致。企業(yè)一旦產(chǎn)生信息安然標(biāo)題問題，會給企業(yè)帶來災(zāi)害性后果，這也是企業(yè)信息化過程中所正視的“硬件前提”。但對企業(yè)而言，信息化風(fēng)險不只局限于信息系統(tǒng)的安然風(fēng)險，而是上升到企業(yè)信息化治理層面的風(fēng)險(即人員標(biāo)題問題標(biāo)“軟件前提”)。是以本文從企業(yè)信息化治理的鏈條解纜，辨認(rèn)每環(huán)節(jié)可能存在的風(fēng)險。
2 信息化風(fēng)險的辨認(rèn)
信息化風(fēng)險的辨認(rèn)是進行風(fēng)險治理的第一步法度，是指采取一種系統(tǒng)的編制，來辨認(rèn)企業(yè)信息化過程中各個方面的暗藏風(fēng)險，并辨認(rèn)各個方面較為重大年夜的風(fēng)險。只有明白辨認(rèn)了信息化的風(fēng)險點才能有后續(xù)的風(fēng)險評估及應(yīng)對辦法。
2.1 信息化風(fēng)險的內(nèi)容
信息化風(fēng)險是指企業(yè)實施信息化所帶來的風(fēng)險，企業(yè)在實施信息化的過程中，一方面要有足夠的“硬件前提”，即進步前輩的設(shè)備舉措措施和安然的防護辦法。另外一方面，像員工能力、高層治理能力等“軟件前提”，一樣是確保企業(yè)信息化過程順利實施的保障。遵循信息化風(fēng)險可能對企業(yè)造成損掉的關(guān)頭環(huán)節(jié)，我們將信息化風(fēng)險分為信息系統(tǒng)風(fēng)險、節(jié)制人員風(fēng)險和信息計謀風(fēng)險三種。
(1)信息系統(tǒng)風(fēng)險。
信息系統(tǒng)風(fēng)險是指企業(yè)所依托的信息治理系統(tǒng)本身存在缺點，導(dǎo)致系統(tǒng)不克不及正常運行所釀成的損掉，它又分為系統(tǒng)缺點風(fēng)險和系統(tǒng)安然風(fēng)險。
信息系統(tǒng)的數(shù)據(jù)措置流程包含數(shù)據(jù)的輸進、措置和輸出。系統(tǒng)內(nèi)部缺點風(fēng)險是在這三個環(huán)節(jié)中，因系統(tǒng)設(shè)計缺點導(dǎo)致數(shù)據(jù)措置成果的弊端。當(dāng)企業(yè)采守信息系統(tǒng)進行數(shù)據(jù)措置，替代手工數(shù)據(jù)措置時，自數(shù)據(jù)被錄進系統(tǒng)開端，以后系統(tǒng)的措置和成果的輸出就取決于系統(tǒng)設(shè)計是不是準(zhǔn)確。一方面，在進行系統(tǒng)設(shè)計環(huán)節(jié)之前，必需要對現(xiàn)有系統(tǒng)和擬構(gòu)建系統(tǒng)進行系統(tǒng)闡發(fā)，體味企業(yè)的營業(yè)措置流程，并隨時與企業(yè)人員進行溝通，以確保擬構(gòu)建系統(tǒng)數(shù)據(jù)措置、輸出的準(zhǔn)確性。另外一方面，系統(tǒng)在接管用戶數(shù)據(jù)措置要求時，需要設(shè)計數(shù)據(jù)有效性校驗?zāi)K，確保用戶輸進數(shù)據(jù)的準(zhǔn)確性，并可以或許被措置。
跟著企業(yè)范圍的擴大年夜，系統(tǒng)接進用戶的慢慢增加，系統(tǒng)也愈來愈依托企業(yè)的intranet收集。假定intranet遭到報復(fù)打擊或粉碎，會導(dǎo)致企業(yè)數(shù)據(jù)措置間斷，影響企業(yè)的平常運營。信息資產(chǎn)風(fēng)險面對的首要標(biāo)題問題是故障呵護和保全，而在系統(tǒng)安然中，用戶辨認(rèn)和數(shù)據(jù)加密則是核心。系統(tǒng)將企業(yè)營業(yè)流程電子化、數(shù)據(jù)資料電子化、把持人員電子化，增加了無關(guān)人員拜候的可能性。需要采取用戶登錄暗碼實現(xiàn)不相容職責(zé)分手，同時對數(shù)據(jù)資料進行加密，乃至在數(shù)據(jù)傳遞前將數(shù)據(jù)轉(zhuǎn)換為不成讀格局，以確保企業(yè)經(jīng)營資料的安然。
(2)節(jié)制人員風(fēng)險。
系統(tǒng)節(jié)制人員包含把持企業(yè)信息系統(tǒng)的把持人員和利用信息系統(tǒng)陳述的治理人員。在企業(yè)信息化初期，因為把持人員對信息系統(tǒng)的不體味，弊端的把持可能導(dǎo)致系統(tǒng)數(shù)據(jù)措置弊端乃至丟掉，沒法生成準(zhǔn)確的信息，為企業(yè)治理造成損掉。而治理人員因不信賴系統(tǒng)生成的信息，或因不睬解系統(tǒng)措置流程造成弊端利用信息，一樣會導(dǎo)致企業(yè)產(chǎn)生損掉。但該項風(fēng)險可能會跟著系統(tǒng)利用刻日的增加，節(jié)制人員的經(jīng)驗曲線效應(yīng)而慢慢降落。別的，節(jié)制人員風(fēng)險還觸及對企業(yè)信息化內(nèi)部節(jié)制各方案的設(shè)計合理性和履行有效性。假定企業(yè)對信息化后系統(tǒng)平常運行、權(quán)限治理、災(zāi)害恢復(fù)等沒有擬定合理的內(nèi)部節(jié)制軌制或內(nèi)控履行無效，即便再完全的系統(tǒng)也會導(dǎo)致風(fēng)險的產(chǎn)生。
(3)信息計謀風(fēng)險。
信息計謀風(fēng)險主如果指企業(yè)治理層做出了不得當(dāng)?shù)钠髽I(yè)信息化計謀決定計劃，導(dǎo)致企業(yè)信息化掉敗造成損掉或信息化打算不合理導(dǎo)致治理效力低下。所謂“企業(yè)不上信息化是等死，上了信息化是找死”，折射出企業(yè)對信息化期盼與驚駭。信息化是將來企業(yè)成長的大年夜趨勢，但企業(yè)經(jīng)歷信息化的過程，不可是一項重大年夜的投資，更是一個梳理企業(yè)現(xiàn)有營業(yè)流程和打算將來營業(yè)流程的機緣。稍有掉慎會導(dǎo)致企業(yè)信息化掉敗或產(chǎn)生了信息孤島、反復(fù)扶植的標(biāo)題問題。
若治理層對企業(yè)營業(yè)不體味，盲目采守信息化，就會使企業(yè)的信息化陷進僵局，導(dǎo)致掉敗。別的，若治理層對企業(yè)將來的信息化計謀貧乏打算，會導(dǎo)致信息孤島或反復(fù)扶植。企業(yè)在分階段實施信息化時，尺度不合一是導(dǎo)致信息孤島的本源。例如各系統(tǒng)間信息編碼的關(guān)頭字不合，導(dǎo)致跨系統(tǒng)信息措置時，需要人工輔助轉(zhuǎn)換，增加了人力成本，降落了信息化的效力。
2.2信息化風(fēng)險的辨認(rèn)編制
(1)本身辨認(rèn)編制——腦筋風(fēng)暴法的利用。
對企業(yè)而言，信息化風(fēng)險的三個部門，即信息系統(tǒng)、節(jié)制人員和信息計謀，由上觸及企業(yè)的高管人員，自下觸及企業(yè)的通俗員工，企業(yè)的全部人員都介入到了企業(yè)信息化的過程中，是以對信息化風(fēng)險辨認(rèn)的編制起首可以采取集思廣益的腦筋風(fēng)暴法。
在實際利用中可以將企業(yè)內(nèi)部各個部門設(shè)成集思小組，各部門的成員可以暢所欲言，經(jīng)由過程本身在企業(yè)信息化過程中的工作，闡述本身對企業(yè)信息化利用中風(fēng)險點的熟諳;再經(jīng)由過程各部門內(nèi)部集體味商，構(gòu)成一致決定上報上級部門。上級部門對部屬各部門的不雅點進行總結(jié)提煉，完成對企業(yè)信息化風(fēng)險的辨認(rèn)。
通俗員工經(jīng)由過程把持信息系統(tǒng)可以發(fā)現(xiàn)信息系統(tǒng)中的風(fēng)險點;中層治理者，經(jīng)由過程利用信息系統(tǒng)決定計劃可以發(fā)現(xiàn)信息系統(tǒng)中的風(fēng)險點;高層治理者經(jīng)由過程通俗員工和中層治理者反饋的信息可以發(fā)現(xiàn)原定信息計謀的實現(xiàn)環(huán)境，并對將來的信息計謀進行打算。是以，采取腦筋風(fēng)暴法，保持順暢的信息溝通渠道，完成對企業(yè)信息化風(fēng)險的內(nèi)部辨認(rèn)。
(2)外部辨認(rèn)編制一德爾菲法的利用。
企業(yè)本身員工對信息化風(fēng)險的辨認(rèn)常常只是從表象進行辨認(rèn)，假定要辨認(rèn)風(fēng)險的本質(zhì)還需借助專家定見。操縱專家對某范疇的體味和經(jīng)驗，可以更準(zhǔn)確地掌控企業(yè)信息化風(fēng)險點，專家凡是會設(shè)計指標(biāo)，量化風(fēng)險大年夜小，其辨認(rèn)成果比企業(yè)員工的直不雅熟諳更有針對性。
不合種類的風(fēng)險可以禮聘專門范疇的專家進行評估。針對企業(yè)信息化中的信息系統(tǒng)風(fēng)險，可以禮聘注冊信息系統(tǒng)審計師(CISA)進行審計，注冊信息系統(tǒng)審計師存眷企業(yè)信息系統(tǒng)的安然性、不變性和有效性，經(jīng)由過程其審計的經(jīng)驗和對系統(tǒng)的體味，可以有效辨認(rèn)出企業(yè)信息系統(tǒng)的風(fēng)險點;針對節(jié)制人員風(fēng)險，可以禮聘人力資本治理師(HRP)，經(jīng)由過程考查企業(yè)的培訓(xùn)流程，跟蹤評價企業(yè)員工的進修能力來辨認(rèn)企業(yè)信息系統(tǒng)節(jié)制人員的風(fēng)險;針對信息計謀風(fēng)險，可以禮聘計謀咨詢師，經(jīng)由過程闡發(fā)企業(yè)治理層擬定信息計謀的過程和擬定根據(jù)，治理層的常識水安然安靜經(jīng)驗?zāi)芰Ρ嬲J(rèn)企業(yè)信息計謀風(fēng)險。
在具體采取專家定見時，可以將每類專家分成專家小組，為了不小組中專家定見受權(quán)勢巨子專家的影響，可以借助德爾菲法，即采取背對背的通信編制征詢專家小構(gòu)成員的猜想定見。企業(yè)可以禮聘相干專家深進企業(yè)調(diào)研，然后采取函詢的編制收羅各方面專家的定見，各專家在互不通氣的J隋況下，按照本身的不雅點和編制進行闡發(fā)，然后企業(yè)把各個專家的定見堆積在一路，經(jīng)由過程不記名的編制反饋給各位專家，請他們參考他人的定見批改本人本來的鑒定，如斯幾次多次與專家籌議肯定最終的專家定見成果。