IT风险如何计算

在信息化实施过程中，风险不仅仅来源于企业，信息系统的实施方也是导致风险产生的一个重要来源。在实施的不同阶段，从开始到结束，实施方的消极态度会直接导致项目的失败。

"诚实的自我评估、确定目标并向着目标稳步前进，所有这些构成了一个连续的过程，而这也正是管理的趣味所在。"

管理者成功地解决难题之后，征服感油然而生。但在企业的管理工作中，可以抵消这种趣味的事情似乎和趣味一样多。

接触过信息化建设的人士都知道，一个信息系统的实施不是短时间内能够完成的，上一个比较完整的ERP系统，少则半年，多则一两年，甚至三四年。如此漫长的实施过程，已经足以把企业内人们对信息化最初的憧憬和热情消磨殆尽。中国有句俗话，叫"日久见人心"，所隐含的无非就是时间可以作为衡量事物真实性的最好的手段。同样的，放在信息系统实施里，一开始不成问题的事情，到了后来都会蜕变成问题，并且有可能随着时间的推移，糟糕程度也不断地增加。因此，如何有效地管理实施过程，降低企业的实施风险成为保障信息化建设成功的一个重要环节，这也就是我们在这里探讨的主题。

首先需要了解在实施过程中我们可能碰到哪些风险。按照一般意义，我们常常所说的风险分为两大类，一种是不可预知的，一种是可预知的。既然是不可预测的风险，有预防的想法，恐怕也是无从做起，只能是在风险到来的时候直接对问题做出反应。而这里我们主要针对的是那些能够预测的风险，在明晰它们的基础上，想办法去控制和降低它们。

信息化项目的项目特性，注定了实施过程中的风险有综合风险，也有阶段风险。

信息化项目的风险包括项目的综合性风险和阶段性风险

所谓综合风险，是指贯穿整个实施过程，甚至贯穿整个信息化项目过程的几大类风险。

根据我们的研究，归纳总结出这么几种：缺乏共识项目驱动力风险

信息不对称/欺诈风险财务风险人力资源风险

业务中断风险

接下来我们就缺乏共识和项目驱动力风险这两项来做个简单的介绍。

缺乏共识，是IT项目中最常见的风险，带来的后果各种各样。

对于IT建设来说，项目组内部（包括企业方与实施方）、企业内部能就关键问题达到共识，显得至关重要。有一句话是这么概括的，在一个解决方案上达成共识比这个解决方案本身的先进性重要得多。为什么共识会在IT项目中扮演了如此重要的一个角色呢？业内人士聚在一起讨论信息化建设，常常会说信息化建设风险很大，然而最难以预测和掌握的是人的因素，技术的问题总是会有解决方案。而达成共识其实就是解决人的问题，减轻或者降低项目实施过程中可能出现的，由于人而引起的不必要的阻力。再来看看项目驱动力风险。项目驱动力其实包含了两层意思，一个是指项目启动的诱因，例如是否是由业务需求驱动，还是出于别的一些原因的考虑；另一个隐含的意思是企业高层对IT项目的推动作用。大家都知道信息化建设是"一把手工程"，领导的支持程度直接影响到项目的成败。

对于阶段性风险，顾名思义，就是在信息化建设各阶段（如选型阶段，项目启动，需求调研等）中出现的、带有浓厚的阶段色彩的风险。

举例来说，在项目启动阶段，可能出现计划残缺，思维混沌的风险。对于任何一个项目来说，有明确的项目目标以及详细的项目计划是至关重要的。一个明确的项目目标，决定了整个项目的基调，一个详细的项目计划，使得后面的每项活动都易于控制和掌握。对于IT项目来说，更是如此，作为一个新兴的项目管理领域，IT项目的管理是不够成熟的，而IT的本身又是极难衡量的。在这样的情况下，在项目启动阶段就明确了IT项目的目标和计划显得犹为重要。

"项目不是在结束时失败，而是在开始时失败。"做过项目的人大概都会对这句话感触良深。在项目开始前，或者在项目的启动阶段，多做些工作并且把工作做踏实是非常必要的，也是提前杜绝一些可预测风险发生的一个有效手段。

在进入项目实施前，项目目标明晰和项目计划落实固然非常重要，然而仅仅这些措施是不够的。我们提倡，在项目启动阶段，企业应该对现状做一个评估，看看一旦启动信息化项目，各种风险发生的可能性有多大，对可能发生的困难要有预估，并提前做好防范措施。

对于项目启动之前的风险评估一般来说可以从两个方面来考量:

一方面评估信息化建设成功的可能性

另一方面需要评价项目实施的难易程度。

影响项目成功可能性的风险因素包括（我们通常称之为A类指标）：企业战略对信息化的需求、决策层的态度、信息化项目的准备情况以及企业信息化建设的现状。信息化项目之所以可能成功，在于业务的驱动力大小。

要让所有的事情都去掉主观性是很困难的，但是实践和经验可以提高项目经理预测风险的概率和影响的能力。通常的风险评估过程都由以下六个基本步骤构成。评估所有的方法。所有不同的方法都应该考虑到，所有影响风险的因素都必须考虑。头脑风暴法或其他的风险识别方法应该使用得透彻，所有可能影响风险发生的因素都应该考虑到。考虑风险态度。决策者的风险态度是需要重点考虑的。不同的人会用不同的态度估计风险，并且使用同样的数据做出不同的决定。一些决策者，与其他的决策者相比较，或多或少是厌恶风险的，并且会根据给定的数据，对风险的发生和影响做出不同的主观评估。考虑风险的特征。风险是否已经识别、它们是否可控和它们的影响将会怎样，这些都是需要考虑的。控制已经识别(例如内部可控的)的风险而不是其他的(例如外部不可控的)风险，这是可能的。所有可能的风险特征都需要识别。建立测量系统。风险需要用定量或定性(或综合的)方法测量和评估。一些方法是使用已经建立的模型，这些模型输入了风险的特征和风险面临的情况，这样，根据历史经验就可以做出预测。解释结果。测量中生产的数据需要解释。这种解释同样也有定性的或定量的。测量过程的结果给预测和可能的结果提供了一种暗示，但是这些仍需要解释。两个不同的解释人员可能用的是同样的数据和结果，但他们所做的评价却不相同。解释可能会根据观察到的数据用外推法对未来的结果做出预测。做决策。整个过程的最后阶段需要决定哪些风险会保留，哪些风险要转移出去。风险是否保留取决于组织的实际情况和决策者的态度。

风险可能性风险严重程度得分风险控制水平=风险系数

　IT战略规划是IT项目开始的首要活动，是实现企业和IT 目标的途径，也是进行后续项目的前提条件，所以我们就以IT规划为例，简要说明如何进一步预测IT风险。如下表所示，我们将IT战略规划进一步划分为6个小的问题，再分别计算出每一个小问题的风险系数，这样才能具体确认风险的具体来源。也只有这样，才能为下一步如何处置风险做出更精细的决策。

风险的自然属性。

通过对风险类型的了解，

可以确定应对风险的责任人和应对策略。

风险的

类型包括：

领导力（或称执行力）

业务

项目

资源

技术

变革管理

培训和文档

影响类型

如果不采取风险管理措施，该风险会影响项目的那些方面：

项目延迟

成本增加

质量下降

项目中止

对风险影响类型的评估会影响到规避策略使用的层度。

在不同的项目阶段，

对同一种风险影

响类型使用的规避策略层度不同，

并且规避策略之间可能会有妥协。

例如如果为了保证上线

日期，某些细小方面的质量下降可能会被接受；而在项目开始阶段，将会更注重于质量。

发生的可能性

风险发生的可能性，分为：高、中、低三类。

风险管理规划是在项目正式启动前或启动初期对项目的一个纵观全局的基于风险角度的考虑、分析、规划，也是项目风险控制中最为关键的内容。一　风险形势评估风险形势评估以项目计划、项目预算、项目进度等基本资讯为依据，着眼于明确项目的目标、战略、战术以及实现项目目标的手段和资源。从而实现：通过风险的角度审查项目计划认清项目形势，并揭示隐藏的一些项目前提和假设，使项目管理者在项目初期就能识别出一些风险。尤其是项目建议书、可行性报告或项目计划一般都是在若干假设、前提、预测的基础上完成的，这些假设、前提、预测在项目实施期间有可能成立，也有可能不成立。而这其中隐藏的风险问题又通常是被忽视的。一旦问题发生，往往造成项目管理方的措手不及和无一应对。例如项目计划中假设用户实施小组全力支援、脱産或几乎脱産投入IT项目的实施，但在实际过程中，用户方人员却不得不抽出大量时间处理塬有的业务，造成IT项目实施进度的拖延和实施效果不尽人意的风险。诸如此类的例子还有很多。为了找出这些隐藏的项目条件和威胁，就需要对与项目相关的各种计划进行详细审查，如人力资源计划、合同管理计划、项目采购计划等等。由此我们可以得出，风险形势评估一般应重视以下内容：项目的起因、目的、项目的范围、组织目标与项目目标的相互关系、项目的贡献、项目条件、制约因素等。二　风险识别在对项目的基础的风险形势评估之上，就需要对各种显露的和潜在的风险进行识别。风险识别实际上是对将来可能发生的风险事件的一种设想和猜测。因此，一般的风险识别结果应包括风险的分类、来源、表现及其后果、以及引发的相关项目管理要求。在具体识别风险时，一方面可利用一些常识、经验和判断，通过以前经历的项目中积累起来的资料、资料、经验和教训，或者请教相关的专家和资深从业人员，采用集体讨论的方式。另一方面，可以通过分解项目的范围、结构来识别风险，理清项目的组成和各个组成部分的性质、之间的关系、与外因的联系等内容，从而减少项目实施过程中的不确定性。除此之外，还可以利用一些技术和工具。比如，结合经验和教训，将项目成功和失败的塬因罗列成一张核对表，或者是项目的实施范围、质量控制、项目进度、采购与合同管理、人力资源与沟通等。以上都是风险识别常用的一些手段和方法，当然还有其他更多的途径，因项目而异，灵活运用。三　风险分析和评价在进行风险识别并整理之后，必须就各项风险对整个项目的影响程度做一些分析和评价，通常这些评价建立在以特性为依据的判断和以资料统计为依据的研究上。风险分析的方法非常多，一般采用统计学范畴内的概率、分布频率、平均数衆数等方法。但无论是哪一种工具，都各有长短，而且不可避免的会受到分析者的主观影响。可以通过多角度多人员的分析或者采取头脑风暴法等尽可能避免。此外，我们应当明确，风险是一种变化着的事物，基于这种易变条件上的预测和分析，是不可能做到十分的精确和可靠的。所有的风险分析都只有一个目的，即尽量避免项目的失控和为具体的项目实施中的突发问题预留足够的后备措施和缓冲空间。风险评价之后，项目面临着两种选择，即面临着不可承受风险和可承受风险。对于前者，或者终止项目，或者采取补救措施，降低风险或改变项目;对于后者，则需要在项目之中进行风险控制。

瞬息万变的市场环境和激烈的市场竞争压力 迫使企业利用有限的企业资源来缩短产品交货期、提高产品质量、降低生产成本，因此，孕育并产生“外包“在企业寻求IT外包时，面临一系列的管控和运营风险，特别是在信息安全风险方面!

任何服务都是一柄双刃剑外包与不例外，其好处是可以向企业灌输技术与人才，帮助企业摆脱繁琐的IT业务，有效的外包能让公司更好的专注于核心业务。但是如果处理不好，反而会变成一场噩梦和致命的灾难。

IT外包服务要成为一种商品，就必须形成一套规范和标准，以约束买卖双方。目前国内IT外包服务领域既无统一规范也无公认标准，对于如何评估、签合同、质量控制和定价等都是潜在的风险。此外，IT外包还面临着 IT管理的复杂性、软件缺失、知识产权以及IT外包服务提供商自身能否健康成长等风险。

在IT外包服务的过程中，IT外包服务商作为这项服务的承担者，中小企业以合同方式对其明确了服务内容和服务标准，但仍不能确定外包服务商最后是否能够提供合同约定的服务。从外包服务商的角度来说，主要会带来以下几方面风险。

IT外包服务商内部的不稳定性带来的风险。

在外包模式下，中小企业的IT应用在技术上依赖于外包服务商，服务商内部的不稳定性成为重要的风险来源。内部稳定性主要包括组织架构的稳定性、关键人员的稳定性和技术能力的稳定性。当前IT产业的高速发展使外包服务商的内部稳定性受到极大威胁，在合同执行期间，服务商的组织架构、关键人员、技术能力等方面的任何变化都有可能使IT外包服务陷入困境，最终导致服务商无力提供外包合同中规定的服务。

IT外包服务商对中小型企业业务需求理解不透彻带来的风险。

外包服务商的技术水平一般比较高，对IT的理解很透彻。但由于不了解行业，他们对企业的内部流程等业务需求有时不能充分了解。如果外包服务商没有和企业进行充分的沟通和交流，就容易导致在需求分析阶段无法进行高质量的需求分析，使后续阶段为改正需求分析阶段产生的错误付出高昂的代价。

使中小企业隐性成本增加的潜在风险。

选择IT外包的一个重要目标是减少IT运行和投资的费用。随着对外包服务商的依赖性越来越强，中小型企业付出的隐性成本会在不知不觉中增加，如选择服务商时发生的交易成本、将IT业务交给服务商时发生的转换成本等。更严重的是，如果服务商不断追求先进的IT技术，却不能使IT设备得到有效运行或运行质量难以达到合理水平，中小企业会由于业务停顿而蒙受巨大损失。在实际外包过程中，很多中小型企业往往忽略了隐性成本的核算。

信息泄漏及知识产权风险

在IT外包服务过程中，中小型企业将自己的部分或全部信息系统提供给外包服务商运行和管理，服务商及其员工就有了接触公司机密资料的机会，这样中小型企业的商业秘密及其相关信息就极有可能会泄漏给竞争对手。此外，在些核心项目外包的过程中，外包服务商往往比中小型企业更具有知识产权意识，可能将共同设计、开发的项目抢先占为己有，从而导致知识产权纠纷。

中小型企业必须清醒地认识到，IT外包过程中的信息泄露和知识产权风险有可能导致严重后果，使中小型企业蒙受巨大损失。

那么如何避免或者减少这些风险，权衡中间的利弊关系呢

当前，中小型企业的信息化建设不是很成熟，基础仍然比较薄弱，还不具备实施应用系统外包或者业务流程外包的条件。但是，行业各级单位将最底层的IT基础服务外包出去的条件已经成熟，而且需求非常迫切。

根据以上情况，中小型企业在制定IT外包服务战略规划时应首先明确信息化业务的主次之分，划分优先等级，区分核心业务和非核心业务。

中小型企业应以逐步推进的方式，首先选择IT知识培训、桌面终端维护、通信网络维护等外围项目进行外包，取得预期效果后再考虑防病毒系统维护、数据中心运作管理、数据备份和灾难恢复等系统的外包。

对于影响中小型企业关键业务的核心应用系统的外包要谨慎对待，要进行充分的考察和评估。

1、 全面评估IT外包风险

2、 科学选择外包服务商

3、 管理好外包合同外包合同

4、严格监控IT外包服务

5、做好IT外包服务的过程管理

—————— 北京海宇勇创科技

一个风险评估与排序的实用模型

摘 要

本文阐述了一个基于简单数学模型的实用且简便的风险评估与排序方法

什么是风险

风险即是以下三个要素发生的机会:

威胁--事件或行为，一般来自系统外部，可能在某些地方会影响固有的弱点，造成影响

弱点--系统内部考虑之中的弱点，可能在某些地方受到威胁所利用

影响--短期与长期组织影响，威胁碰巧利用弱点

由于要求一个或更多的不预测的威胁与弱点的巧合，负面影响发生的可能性是很难确定的一个系统可能很长一段时间运行有弱点(的程序)而未受影响，直到一些实际的威胁存在或利用它在给定的时间筐架内一些威胁可能比另一些威胁更可能发生(例如:简单的键盘错误比中断更易发生)类似的，一些弱点可能只在短期内存在(如:当保安从运钞车进入金库时)而别的可能会长期存在(如:银行金库警报系统没有覆盖所有入口点)影响的变化也很大:有些可能使整个组织或系统置于严重的危险之中(如火灾)；有些可能会对整体来说无关重要

保险公司也许有能力去计算某种威胁与弱点存在的可能性并预测可能受到影响的程序，但是，这也是不严密的--或许艺术性多于科学承保人赌其涵盖了所有风险:尽管给定的事件是不可预测的，但在一定时期的多数事件发生的可能性可以很大的可信度估计，大部分是基于早期的经验尽管如此，这种手段仍存在着两个重要的问题一些极度影响事件(如你的首席行政长官遭遇雷击)是很少发生以至人类的本性倾向于忽略这类事件，因此，承保人发现很难以理想的价格去销售相应政策进一步，新的条件导入新的风险，但经验不足甚至使他们预测更困难高技术主题的电子商务变化得非常快以至IT专家也要尽力跟起而不致落后承保人在风险方面做得不比猜测多

威胁与弱点的特定组合也许仅仅偶尔存在("坏运气")，十分显然，几乎没有弱点与/或威胁的系统就不大可能长期受到影响另一方面，一个脆弱的系统，一个具有许多大的潜在影响(的系统)更有可能遭到毁坏，这是风险管理的基本点，它本身是任何一个组织完好管理中的重要元素

管理者一般通过引导通缉资源转向风险缓和的活动如设置合适的控制框架，来寻求减少弱点、威胁与影响。

一个简易风险模型的来源

管理企业远远超过无风险活动。的确，承受可接受的风险（有些可能导致破产）能取得利润。正确管理的关键是知道缓和哪种风险以及何时把握机会。这就是为什么对风险有个良好的认识的重要这所在。在这里，提供一个简单的类数学模型以助计量风险。考虑风险的性质，你将得到如下的公式:

风险=威胁+弱点+影响

表面上看，该公式意味着具有高威胁、弱点或影响的系统是高风险的系统。尽管如此，是威胁与弱点的组合造成影响的存在。而对组织的破坏的程度依赖于一个事件的发生与影响的促使。用数学语言来说，逻辑与计算需要乘积而不是和，如:

风险=威胁弱点影响

包含至少两个重要因素（如:高威胁与弱点）的组合能产生比仅具较低或中等水平因素组合更高的风险。任何一个因素降为零风险将降得更大。

计算风险

为了使用模型去计算风险，你得检查与计量各单独组成要素（威胁、弱点与影响）。

最简单的方法是将这三个要素分成高（3分），中（2分），低（1分）或零（0分）。产生的风险分值在0 至27之间。作为替代，你也许宁愿用一个持续的百分数尺。如:

0% 25% 50% 75% 100% 受雷击

+- ---------- -+- ---------- -+- ---------- -+- ---------- -+ 的威胁

人受雷击 建筑物受雷击 被静电击死

使用百分数尺能得到的最大风险计分是1,000,000（100100100）。因而能为组织确定风险提供足够的详细（情况）。不论什么量度，过程是一样的。我们比较与对比风险因素，寻求一个企业价值合理延伸。一具厌风险管理者比喜风险管理者更可能估价风险，但是价值延伸应当更广泛地比较。正是这延伸赋予模型其真实的能量，允许我们去给风险排序。

实践中应用风险模型

本模型在实践环节中有许多效用，如风险评估与审计计划程序:

这个过程有两个重要的输出:一个风险排列（对组织管理者是有用的）与相匹配的排列过的审计计划（构造内部或与外部审计师工作）。“定期涮新”提供反映变化的风险因素分值更新的机会，如内部控制环境（养活弱点）的提高或新的市场压力（增加威胁）。

这个程序的理论基础使得计划审计工作与组织风险间的联系更清楚。

类似地，项目风险也能利用该模型评估以形成基本的项目风险管理。项目威胁依靠于项目的性质，但典型的包括政治、经济、社会与技术方面（被称为PEST分析）弱点包括不合适技能，刺激机制，财务或别的资源限制等。项目失败影响一般分为:

过多成本

推迟完成

顾客满意度低

该模型也能被用来联系这些因素与风险是否重要的建议，形成一个管理活动日程。风险计算应当随着取得新信息在项目过程中更新。

以上就是关于如何进行项目风险评估全部的内容，包括:如何进行项目风险评估、项目风险评估程序是什么，需要从哪方面写、IT风险如何计算等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！