2021-4-10 | 风险管理论文
1企业IT风险类型
(1)IT治理风险。IT治理风险的宏观体现是最高管理层对信息化理解的不确定性、以及企业领导力影响的不确定性;微观体现是缺乏制度化与标准化的约束，缺乏部门之间及流程之间协调、沟通的机制，造成IT系统与业务需求的脱离，以及IT系统和企业信息资源间的孤立。
(2)遵从性风险。指企业内部IT策略与外部法律法规的遵从(Compliance)所导致的风险。伴随信息技术的发展，国内外出台大量法律法规加强了对信息系统的监管。例如，2002年美国国会发布的《萨班斯—奥克斯利法案》虽然没有直接明确对信息系统的要求，但据统计，企业在实施符合法案要求的工作中，信息系统方面的工作量占比超过40%;2006年中国银监会发布《电子银行业务管理办法》和《电子银行安全评估指引》，也直接对技术风险较大的电子银行提出了进行独立的或相对独立的信息系统审计的要求。
(3)信息安全风险。企业信息系统不断开放和复杂，使得信息安全面临来自内外部的严峻挑战。针对企业信息系统的攻击方式简单易学、攻击对象身份隐匿，造成企业信息安全风险极易转化为现实的业务威胁，如支持员工移动办公给企业资产安全性和可用性带来的压力倍增，许多敏感机密信息被轻易泄露。
(4)可用性风险。可用性风险主要来自三个方面，一是IT平台系统自身漏洞导致的系统停机事件越发难以掌控;二是由于事件管理、变更管理、配置管理、连续性计划等IT服务管理流程缺失或不到位，导致IT系统不可用;三是来自自然的灾害威胁着IT系统的可用性。
(5)绩效风险。若IT投资行为不能带来合理的回报，如规划不当、控制不严等，将使组织面临巨大财务风险。同时，如果对IT的投资绩效和运行绩效不能进行有效测量，就不能有效地发现存在的问题，并采取针对性的改进措施。随着信息系统日益成为企业经营成功的核心，且贯穿在完整的流程过程中，企业业务和支撑业务的信息系统愈加无法分割，形成有机的整体。因此，IT风险带来的挑战不仅影响到信息系统本身，也同时会影响到业务的稳定运行及发展，更有可能影响到外部的业务客户。在应对这些IT风险时，传统的方式大多是采用事后反应式的控制措施，使得技术人员疲于应付各种层出不穷的风险，且在面对制度、流程、人员行为等方面带来的风险时，传统的控制方法存在明显不足，而降低企业IT风险的关键是需要有一个主动、科学的风险管理体系。
2企业IT风险管理及其标准指南
企业IT风险管理是围绕企业信息化战略目标，通过在信息系统的规划、开发、运行、维护、监控与评价的各个阶段中降低企业风险的科学化管理流程，包括风险管理的策略制定、风险的识别、风险的评估、风险的处置等环节，以达到企业信息化可持续发展的目标。一个科学的IT风险管理体系是一个具有前瞻性、全局性的控制机制，能综合防范和应对IT治理、法规遵从、系统可用、信息安全、IT外包、业务连续性、IT绩效等诸多方面的企业风险，并能使企业IT战略与企业综合战略相融合，以实现有效益、可持续的信息化发展。信息社会环境下，无论何种规模、什么类型的企业，都需要面临围绕信息系统制定一套管理体系和控制指南，有效地管理企业面临的各种各样的风险，并随着业务环境的变化和新技术的发展及时更新。
在此方面，国内外已经有一些较为成熟的企业IT风险管理的标准或指南。例如美国反虚假财务报告委员会(COSO)于2004年颁布的《COSO企业风险管理框架》，此框架要求企业管理者以风险组合的观点看待企业风险，对包括IT风险在内的所有风险进行识别，并采取措施使企业所承担的风险在风险容纳量(ＲiskAppetite)的范围内。而美国信息系统审计与控制协会的COBIT标准自1996年诞生以来已经更新到了第四版，已成为全球通用的信息系统审计标准，该标准每一次更新都在不断强化IT风险控制的目标内容，为企业信息系统安全审计提出了具体指导。此外，国际知名的信息安全标准也都提出了各自的IT风险管理控制框架，包括ITIL(Infor-mationTechnologyInfrastructureLibrary，信息技术基础架构库)、ISO27001(信息安全管理使用规则)、CMMI(CapabilityMaturityModelIntegration，能力成熟度模型集成)、Prince2(ProjectsINControlledEn-vironments，受控环境下的项目)等。
近年来，我国的信息化主管部门以及各行业也积极加强了企业风险管理。以金融业为例，2004年9月银监会发布了《商业银行内部控制评价试行办法》，其中包括了对银行计算机系统的IT风险控制要求;2009年银监会出台了《商业银行信息科技风险管理指引》，2011年银监会发布了《商业银行业务连续性监管指引》。与此同时，其他行业监管部门也已经或计划出台类似的风险管理措施。上述标准或指南为企业IT风险管理提供了原则指导和对策框架，如何将这些原则性建议与企业自身的工作实际相结合，如何将IT风险管理融入常态化的企业管理机制，仍然是企业管理实践中的难点。因此，本文以我国企业IT风险管理的先行行业———金融业的管理实践为例，详细探讨企业IT风险管理的体系结构及其关系，并就企业IT风险管理的实施提出具体建议。
3企业IT风险管理的体系框架
企业IT风险管理框架通过对企业信息安全各个层面实际需求和风险的分析，引入恰当的安全控制措施，并且同信息系统审计相结合，从而保证企业信息资产的安全性、完整性和可用性。企业IT风险管理框架可分为风险治理、风险评估和风险应对三个主要的方面，并通过风险沟通和监控等手段将三方面有效结合。该体系框架遵循PDCA(Plan、Do、Check、Act)的管理模式，能确保企业IT风险管理始终保持在可持续发展的轨道上，并通过阶段性地进行信息系统审计，以发现存在的偏离，及时调整到信息化的最终目标上来。
3.1风险治理
主要内容包括建立基于风险的信息科技决策、定义风险策略、建立风险组织和风险整合等内容。例如宣传IT风险对于决策的价值、将IT风险考虑纳入业务和IT决策、整合IT风险策略和业务风险策略等都属于风险治理的内容。
3.2风险评估
主要内容包括风险识别、风险分析和风险维护等内容。诸多国际标准都提出了信息安全风险评估的标准，如ISO27001(信息安全管理体系规范)、ISO/IECTＲ13335(信息技术安全管理指南)、NISTSP800－30(信息技术系统风险管理指南)等，可作为企业实施风险评估实践的参考。风险评估包括识别具体的风险管理对象、识别风险、根据模型进行评估、识别现有控制、分析剩余风险等步骤。风险维护就是对企业识别出的风险进行管理，跟踪风险处置情况，更新风险清单，可通过创建和维护风险数据库来实现。风险维护也是风险评估的重要内容，以实现对风险的持续管理和改进。
3.3风险应对
风险应对就是对已识别的风险进行评估后，制定并落实相应的措施和整体策略，使剩余风险处于可控的范围。风险应对措施包括接受风险、转移风险、避免风险和降低风险。风险应对活动包括确定风险处置方案、实施风险处置、响应和处理风险事件等。
3.4风险监控/沟通
风险监控/沟通是链接企业IT风险管理各要素的关键环节，是企业IT风险管理体系得以运转的重要方面，包括建立和运行风险指标体系、IT风险内部监督体系、风险报告体系以及风险沟通渠道等。风险管理需要从管理层到普通员工的共同参与，这需要将风险直观准确地展现、横向和纵向的沟通、并持续进行监控。
4企业IT风险管理的实施步骤
为了推进企业IT风险管理体系的实施，本文在总结金融企业信息系统安全风险管理的实施过程，得出企业IT风险管理可行的实施步骤，具体包括识别管理对象、风险识别、风险分析评估、风险应对、风险监控/沟通等五大关键步骤。
4.1管理对象识别
明确风险管理对象是企业实施风险管理的首要步骤，本文提出风险地图(ＲiskMap)的概念，即实现风险评估对象的可视化，明确识别出全部或特定领域的所有管理对象，只有保证企业风险地图的全面性和准确性，才能准确识别并标示出IT风险所在的位置，从而进行有效的管理，一个全面的IT风险管理可从如下三大维度进行风险管理对象的识别:(1)从资产的角度进行识别，即对组成信息系统的系统、设备和数据等信息资产进行全面识别和统计，具体实施细则可参照ISO27001。(2)从管理领域的角度进行识别，如变更管理、事件管理、配置管理等，具体实施细则可参照COBIT。(3)从服务的角度进行识别，具体实施细可参照ISO20000执行。
4.2风险识别
风险识别是通过科学方法了解企业所面临的IT风险，分析风险的来源、性质，并进行风险处置和风险管理。风险识别通常采用以下方法:(1)头脑风暴;(2)德尔菲方法;(3)故障树分析法，又称分解分析法;(4)业务流程分析法;(5)情景分析法;(6)专家预测法，包括个人经验法、专家会议等形式;(7)筛选、监测、诊断法;(8)资产财务状况分析法。其中，德尔菲方法是最常用的IT风险分析方法之一，具体是指采用“背对背”的沟通方式征询专家小组成员的预测意见，经过几轮征询，使专家小组的意见趋于集中，最后做出合理的预测结论，利用德尔菲法进行IT风险分析的具体流程如下。除了按照上述方法识别风险，也可直接从风险来源入手建立企业的IT风险清单，如行业公认的风险清单、监管要求、监管机构风险提示、过往事件、自我或外部风险评估结果、内部审计发现、管理层和内部员工在工作中的认识等。
4.3风险分析评估
IT风险分析评估是根据一定的评估模型，评估企业IT固有风险值、控制风险值，再根据固有风险值和控制风险值计算出剩余风险值。风险分析是IT风险管理中较难实施的一个环节，尤其是评估模型的制定，可以采用较易开展的定性方式，也可采用准确度较高的定量计算，也可以定量和定性综合使用。以下是一种较为通用的风险分析模型和流程，可以对风险进行量化评估，具体流程包括:(1)计算固有风险值。从影响程度和发生可能性两个维度进行评分，可得出固有风险分值。如下是风险评估的量化模型和公式。其中风险评分从影响程度和发生可能性两方面进行计算，并给出影响程度和发生可能性两方面的评估参数示例。(2)计算控制风险值。结合现有控制评估的结果，从设计、执行、补偿性控制三个层面，参照衡量标准，最终确认控制风险分值。(3)计算剩余风险评估。在获得每一个风险的固有风险等级和控制风险等级后，可根据矩阵获得剩余风险等级值。
4.4风险应对
首选需要确定管理层的风险偏好等级。风险偏好是为了实现目标，企业在承担风险的种类、大小等方面的基本态度。然后根据剩余风险评估结果及风险偏好，依据内外部需求，并结合实际情况，针对剩余风险提供恰当的控制改进建议，以将剩余风险降低到可接受的水平。风险处置措施包括接受风险、转移风险、避免风险和降低风险。在风险处置计划方面，一方面需要体现可操作性，如分为短期(半年)，中期(1年)，长期(2－3年)，同时也需要考虑多个维度，如组织架构、人员、制度流程和技术等。
4.5IT风险监控/沟通
风险指标是有效进行风险监控和沟通的重要手段。指标是一种可量化的、被事先认可的、用来反映组织目标实现程度的重要标识，是绩效管理的有效手段。企业IT风险管理引入指标体系，可以促进整个活动的有效开展。指标的功能主要表现在以下三个方面:(1)在准备阶段，可以清楚的反映目前企业的信息安全现状，并为制定目标提供依据;(2)在实施过程中，阶段性地反映进展情况;(3)便于各层人员把握活动的进展情况:使高层领导清晰地了解关键要素的进展和改进情况;使管理者集中精力于对活动中的重要和关键要素，及时诊断活动中出现的问题并采取措施。在实践中，应针对关键的风险领域，即根据企业及领导层的风险偏好，建立可监控、可量化的IT关键风险指标。IT关键风险指标来源可包括内外部监管机构数据、自动监控平台数据、IT风险检查果、IT风险自报结果等。关键风险指标可分为风险指标(KＲI)、控制指标(KCI)。以变更管理的风险管理指标，可设置紧急变更次数、变更失败比例、变更导致的事件数量等，针对每个变更管理风险管理指标，制定出相应的控制指标，如预警阀值和容忍阀值。
5结语
本文从IT风险管理框架和风险评估实践两个方面，分别阐述了企业实施IT风险管理的重点和实施方法。通过直观的图表清晰地展现了企业IT风险管理体系的结构、关联和主要活动。同时结合多年对信息安全风险管理理论和实践的研究，较为全面和具体地提出了企业IT风险管理实施的步骤建议，旨在为企业提供切实可行的风险管理实践参考。限于篇幅，本文无法对IT风险管理的所有环节进行深入探讨，且不同的企业有不同的安全需求和偏好，因此在实施IT风险管理的过程中还需根据自身的实际情况应地制宜、灵活应用。
作者：惠志斌 单位：上海社会科学院信息研究所