1 引言
今朝關(guān)于企業(yè)信息化風(fēng)險(xiǎn)研究的熱點(diǎn)集中在信息系統(tǒng)安然方面的風(fēng)險(xiǎn)評(píng)估，這也與現(xiàn)當(dāng)代界切磋收集安然的熱點(diǎn)相一致。企業(yè)一旦產(chǎn)生信息安然標(biāo)題問題，會(huì)給企業(yè)帶來災(zāi)害性后果，這也是企業(yè)信息化過程中所正視的“硬件前提”。但對(duì)企業(yè)而言，信息化風(fēng)險(xiǎn)不只局限于信息系統(tǒng)的安然風(fēng)險(xiǎn)，而是上升到企業(yè)信息化治理層面的風(fēng)險(xiǎn)(即人員標(biāo)題問題標(biāo)“軟件前提”)。是以本文從企業(yè)信息化治理的鏈條解纜，辨認(rèn)每環(huán)節(jié)可能存在的風(fēng)險(xiǎn)。
2 信息化風(fēng)險(xiǎn)的辨認(rèn)
信息化風(fēng)險(xiǎn)的辨認(rèn)是進(jìn)行風(fēng)險(xiǎn)治理的第一步法度，是指采取一種系統(tǒng)的編制，來辨認(rèn)企業(yè)信息化過程中各個(gè)方面的暗藏風(fēng)險(xiǎn)，并辨認(rèn)各個(gè)方面較為重大年夜的風(fēng)險(xiǎn)。只有明白辨認(rèn)了信息化的風(fēng)險(xiǎn)點(diǎn)才能有后續(xù)的風(fēng)險(xiǎn)評(píng)估及應(yīng)對(duì)辦法。
2.1 信息化風(fēng)險(xiǎn)的內(nèi)容
信息化風(fēng)險(xiǎn)是指企業(yè)實(shí)施信息化所帶來的風(fēng)險(xiǎn)，企業(yè)在實(shí)施信息化的過程中，一方面要有足夠的“硬件前提”，即進(jìn)步前輩的設(shè)備舉措措施和安然的防護(hù)辦法。另外一方面，像員工能力、高層治理能力等“軟件前提”，一樣是確保企業(yè)信息化過程順利實(shí)施的保障。遵循信息化風(fēng)險(xiǎn)可能對(duì)企業(yè)造成損掉的關(guān)頭環(huán)節(jié)，我們將信息化風(fēng)險(xiǎn)分為信息系統(tǒng)風(fēng)險(xiǎn)、節(jié)制人員風(fēng)險(xiǎn)和信息計(jì)謀風(fēng)險(xiǎn)三種。
(1)信息系統(tǒng)風(fēng)險(xiǎn)。
信息系統(tǒng)風(fēng)險(xiǎn)是指企業(yè)所依托的信息治理系統(tǒng)本身存在缺點(diǎn)，導(dǎo)致系統(tǒng)不克不及正常運(yùn)行所釀成的損掉，它又分為系統(tǒng)缺點(diǎn)風(fēng)險(xiǎn)和系統(tǒng)安然風(fēng)險(xiǎn)。
信息系統(tǒng)的數(shù)據(jù)措置流程包含數(shù)據(jù)的輸進(jìn)、措置和輸出。系統(tǒng)內(nèi)部缺點(diǎn)風(fēng)險(xiǎn)是在這三個(gè)環(huán)節(jié)中，因系統(tǒng)設(shè)計(jì)缺點(diǎn)導(dǎo)致數(shù)據(jù)措置成果的弊端。當(dāng)企業(yè)采守信息系統(tǒng)進(jìn)行數(shù)據(jù)措置，替代手工數(shù)據(jù)措置時(shí)，自數(shù)據(jù)被錄進(jìn)系統(tǒng)開端，以后系統(tǒng)的措置和成果的輸出就取決于系統(tǒng)設(shè)計(jì)是不是準(zhǔn)確。一方面，在進(jìn)行系統(tǒng)設(shè)計(jì)環(huán)節(jié)之前，必需要對(duì)現(xiàn)有系統(tǒng)和擬構(gòu)建系統(tǒng)進(jìn)行系統(tǒng)闡發(fā)，體味企業(yè)的營業(yè)措置流程，并隨時(shí)與企業(yè)人員進(jìn)行溝通，以確保擬構(gòu)建系統(tǒng)數(shù)據(jù)措置、輸出的準(zhǔn)確性。另外一方面，系統(tǒng)在接管用戶數(shù)據(jù)措置要求時(shí)，需要設(shè)計(jì)數(shù)據(jù)有效性校驗(yàn)?zāi)K，確保用戶輸進(jìn)數(shù)據(jù)的準(zhǔn)確性，并可以或許被措置。
跟著企業(yè)范圍的擴(kuò)大年夜，系統(tǒng)接進(jìn)用戶的慢慢增加，系統(tǒng)也愈來愈依托企業(yè)的intranet收集。假定intranet遭到報(bào)復(fù)打擊或粉碎，會(huì)導(dǎo)致企業(yè)數(shù)據(jù)措置間斷，影響企業(yè)的平常運(yùn)營。信息資產(chǎn)風(fēng)險(xiǎn)面對(duì)的首要標(biāo)題問題是故障呵護(hù)和保全，而在系統(tǒng)安然中，用戶辨認(rèn)和數(shù)據(jù)加密則是核心。系統(tǒng)將企業(yè)營業(yè)流程電子化、數(shù)據(jù)資料電子化、把持人員電子化，增加了無關(guān)人員拜候的可能性。需要采取用戶登錄暗碼實(shí)現(xiàn)不相容職責(zé)分手，同時(shí)對(duì)數(shù)據(jù)資料進(jìn)行加密，乃至在數(shù)據(jù)傳遞前將數(shù)據(jù)轉(zhuǎn)換為不成讀格局，以確保企業(yè)經(jīng)營資料的安然。
(2)節(jié)制人員風(fēng)險(xiǎn)。
系統(tǒng)節(jié)制人員包含把持企業(yè)信息系統(tǒng)的把持人員和利用信息系統(tǒng)陳述的治理人員。在企業(yè)信息化初期，因?yàn)榘殉秩藛T對(duì)信息系統(tǒng)的不體味，弊端的把持可能導(dǎo)致系統(tǒng)數(shù)據(jù)措置弊端乃至丟掉，沒法生成準(zhǔn)確的信息，為企業(yè)治理造成損掉。而治理人員因不信賴系統(tǒng)生成的信息，或因不睬解系統(tǒng)措置流程造成弊端利用信息，一樣會(huì)導(dǎo)致企業(yè)產(chǎn)生損掉。但該項(xiàng)風(fēng)險(xiǎn)可能會(huì)跟著系統(tǒng)利用刻日的增加，節(jié)制人員的經(jīng)驗(yàn)曲線效應(yīng)而慢慢降落。別的，節(jié)制人員風(fēng)險(xiǎn)還觸及對(duì)企業(yè)信息化內(nèi)部節(jié)制各方案的設(shè)計(jì)合理性和履行有效性。假定企業(yè)對(duì)信息化后系統(tǒng)平常運(yùn)行、權(quán)限治理、災(zāi)害恢復(fù)等沒有擬定合理的內(nèi)部節(jié)制軌制或內(nèi)控履行無效，即便再完全的系統(tǒng)也會(huì)導(dǎo)致風(fēng)險(xiǎn)的產(chǎn)生。
(3)信息計(jì)謀風(fēng)險(xiǎn)。
信息計(jì)謀風(fēng)險(xiǎn)主如果指企業(yè)治理層做出了不得當(dāng)?shù)钠髽I(yè)信息化計(jì)謀決定計(jì)劃，導(dǎo)致企業(yè)信息化掉敗造成損掉或信息化打算不合理導(dǎo)致治理效力低下。所謂“企業(yè)不上信息化是等死，上了信息化是找死”，折射出企業(yè)對(duì)信息化期盼與驚駭。信息化是將來企業(yè)成長的大年夜趨勢，但企業(yè)經(jīng)歷信息化的過程，不可是一項(xiàng)重大年夜的投資，更是一個(gè)梳理企業(yè)現(xiàn)有營業(yè)流程和打算將來營業(yè)流程的機(jī)緣。稍有掉慎會(huì)導(dǎo)致企業(yè)信息化掉敗或產(chǎn)生了信息孤島、反復(fù)扶植的標(biāo)題問題。
若治理層對(duì)企業(yè)營業(yè)不體味，盲目采守信息化，就會(huì)使企業(yè)的信息化陷進(jìn)僵局，導(dǎo)致掉敗。別的，若治理層對(duì)企業(yè)將來的信息化計(jì)謀貧乏打算，會(huì)導(dǎo)致信息孤島或反復(fù)扶植。企業(yè)在分階段實(shí)施信息化時(shí)，尺度不合一是導(dǎo)致信息孤島的本源。例如各系統(tǒng)間信息編碼的關(guān)頭字不合，導(dǎo)致跨系統(tǒng)信息措置時(shí)，需要人工輔助轉(zhuǎn)換，增加了人力成本，降落了信息化的效力。
2.2信息化風(fēng)險(xiǎn)的辨認(rèn)編制
(1)本身辨認(rèn)編制——腦筋風(fēng)暴法的利用。
對(duì)企業(yè)而言，信息化風(fēng)險(xiǎn)的三個(gè)部門，即信息系統(tǒng)、節(jié)制人員和信息計(jì)謀，由上觸及企業(yè)的高管人員，自下觸及企業(yè)的通俗員工，企業(yè)的全部人員都介入到了企業(yè)信息化的過程中，是以對(duì)信息化風(fēng)險(xiǎn)辨認(rèn)的編制起首可以采取集思廣益的腦筋風(fēng)暴法。
在實(shí)際利用中可以將企業(yè)內(nèi)部各個(gè)部門設(shè)成集思小組，各部門的成員可以暢所欲言，經(jīng)由過程本身在企業(yè)信息化過程中的工作，闡述本身對(duì)企業(yè)信息化利用中風(fēng)險(xiǎn)點(diǎn)的熟諳;再經(jīng)由過程各部門內(nèi)部集體味商，構(gòu)成一致決定上報(bào)上級(jí)部門。上級(jí)部門對(duì)部屬各部門的不雅點(diǎn)進(jìn)行總結(jié)提煉，完成對(duì)企業(yè)信息化風(fēng)險(xiǎn)的辨認(rèn)。
通俗員工經(jīng)由過程把持信息系統(tǒng)可以發(fā)現(xiàn)信息系統(tǒng)中的風(fēng)險(xiǎn)點(diǎn);中層治理者，經(jīng)由過程利用信息系統(tǒng)決定計(jì)劃可以發(fā)現(xiàn)信息系統(tǒng)中的風(fēng)險(xiǎn)點(diǎn);高層治理者經(jīng)由過程通俗員工和中層治理者反饋的信息可以發(fā)現(xiàn)原定信息計(jì)謀的實(shí)現(xiàn)環(huán)境，并對(duì)將來的信息計(jì)謀進(jìn)行打算。是以，采取腦筋風(fēng)暴法，保持順暢的信息溝通渠道，完成對(duì)企業(yè)信息化風(fēng)險(xiǎn)的內(nèi)部辨認(rèn)。
(2)外部辨認(rèn)編制一德爾菲法的利用。
企業(yè)本身員工對(duì)信息化風(fēng)險(xiǎn)的辨認(rèn)常常只是從表象進(jìn)行辨認(rèn)，假定要辨認(rèn)風(fēng)險(xiǎn)的本質(zhì)還需借助專家定見。操縱專家對(duì)某范疇的體味和經(jīng)驗(yàn)，可以更準(zhǔn)確地掌控企業(yè)信息化風(fēng)險(xiǎn)點(diǎn)，專家凡是會(huì)設(shè)計(jì)指標(biāo)，量化風(fēng)險(xiǎn)大年夜小，其辨認(rèn)成果比企業(yè)員工的直不雅熟諳更有針對(duì)性。
不合種類的風(fēng)險(xiǎn)可以禮聘專門范疇的專家進(jìn)行評(píng)估。針對(duì)企業(yè)信息化中的信息系統(tǒng)風(fēng)險(xiǎn)，可以禮聘注冊(cè)信息系統(tǒng)審計(jì)師(CISA)進(jìn)行審計(jì)，注冊(cè)信息系統(tǒng)審計(jì)師存眷企業(yè)信息系統(tǒng)的安然性、不變性和有效性，經(jīng)由過程其審計(jì)的經(jīng)驗(yàn)和對(duì)系統(tǒng)的體味，可以有效辨認(rèn)出企業(yè)信息系統(tǒng)的風(fēng)險(xiǎn)點(diǎn);針對(duì)節(jié)制人員風(fēng)險(xiǎn)，可以禮聘人力資本治理師(HRP)，經(jīng)由過程考查企業(yè)的培訓(xùn)流程，跟蹤評(píng)價(jià)企業(yè)員工的進(jìn)修能力來辨認(rèn)企業(yè)信息系統(tǒng)節(jié)制人員的風(fēng)險(xiǎn);針對(duì)信息計(jì)謀風(fēng)險(xiǎn)，可以禮聘計(jì)謀咨詢師，經(jīng)由過程闡發(fā)企業(yè)治理層擬定信息計(jì)謀的過程和擬定根據(jù)，治理層的常識(shí)水安然安靜經(jīng)驗(yàn)?zāi)芰Ρ嬲J(rèn)企業(yè)信息計(jì)謀風(fēng)險(xiǎn)。
在具體采取專家定見時(shí)，可以將每類專家分成專家小組，為了不小組中專家定見受權(quán)勢巨子專家的影響，可以借助德爾菲法，即采取背對(duì)背的通信編制征詢專家小構(gòu)成員的猜想定見。企業(yè)可以禮聘相干專家深進(jìn)企業(yè)調(diào)研，然后采取函詢的編制收羅各方面專家的定見，各專家在互不通氣的J隋況下，按照本身的不雅點(diǎn)和編制進(jìn)行闡發(fā)，然后企業(yè)把各個(gè)專家的定見堆積在一路，經(jīng)由過程不記名的編制反饋給各位專家，請(qǐng)他們參考他人的定見批改本人本來的鑒定，如斯幾次多次與專家籌議肯定最終的專家定見成果。