银行IT业务外包都有哪些风险

建立管理机构，明确外包范围，严格审查制度，加强风险监控和激励机制建设，这些措施是商业银行IT外包风险防范的重要保障。 对外包风险的把握，直接决定着 信息技术外包的成功与否。从根本上来说，对信息技术外包风险的防范过程就是对外包活动实施全面有效的管理过程。

建立外包事务管理机构 要对外包实施全面有效的管理，必须首先建立外包事务管理机构。目前，商业银行外包过程中，仅在外包决策、外包商选择、或发生了法律纠纷时，才成立临时性机构，处理相应外包事务。管理组织的不稳定造成管理人员的频繁调动和流失，削弱对外包项目的充分理解，影响了合作双方感情的建立。人员的不稳定必将造成管理策略的不连续，削弱双方合作和信任基础，给外包项目的管理和监督带来不必要的麻烦，影响外包的服务质量和进度。

外包事务管理机构应该由银行战略规划专家、外包咨询专家、各部门熟悉本行业务信息流关系的代表、信息技术专业人员、费用预算人员、法律顾问、实施管理和协调人员组成。主要负责外包前对国内、外行业、竞争对手以及自身的信息化需求进行调查研究；识别信息技术的核心竞争能力；在收益、成本和风险之间进行平衡并进行外包决策；制定外包的建设技术标准；设计外包方案，避免重复投资与信息孤岛；评价外包商的技术等级、发展能力，选择承包商；签署外包合同；对外包服务过程进行全面监督、协调和控制；处理与现有外包商的外包关系；监督并审议通过外包商的技术决策；积累外包经验并帮助制定未来的外包决策；谈判并推行未来的外包合同；使IT整体战略与不断变化的银行的整体战略保持一致。

明确IT外包范围 哪些是构成核心竞争力的信息技术，哪些是可以外包的非核心技术，外包范围的确定是商业银行信息技术外包中面临的首要问题。 JP摩根公司通过对美国商业银行的电子化发展研究，提出M1-M2-M3层信息技术构架理论（如图1所示），M1是指计算机系统的硬件、系统软件、工具软件、网络设施和其他银行使用的专用机具；M2层主要由应用软件和人机接口组成；M3层的内容主要包括业务流程重组、策略规划、应用系统集成和现有应用系统的管理和维护。M1层的技术属于技术提供商而非银行，对于商业银行来说，M1层的竞争主要表现在合并分散的数据处理中心以追求更好的规模效益；在M2层的信息化建设上，美国商业银行走了一段曲折的道路，开始采取完全自主开发的方式，在支付巨额开发成本的同时，还要承担开发失败的风险，开发完成后发现各家银行基本雷同，是一种低水平的重复建。因此进入上世纪80年代，美国商业银行不仅共同投资建设网络，实现资源共享，而且逐渐与IT公司合作开发软件或直接使用商品化的软件。经过研究发现，美国商业银行在M1和M2层的开发投入，实际收获的只是M1和M2层的技术培训，在M1和M2层领先所产生的效益不如M3层快。 借鉴美国商业银行的电子化发展经验和摩根公司M框架理论，我国商业银行在进行信息技术外包的过程中，应将M1、M2层外包，利用外包商的规模效益，降低成本，集中力量建设M3层，才能培养核心竞争力，实现特色化经营。 建立对外包商资格审查制度 外包成功的关键因素之一是选择具有良好社会形象和信誉、相关金融行业系统实施经验丰富、能够引领或紧跟信息技术发展的外包商作为战略合作伙伴。因此，对外包商的资格审查应从技术能力、经营管理能力、发展能力这三个方面着手。 技术能力：外包商提供的信息技术产品是否具备创新性、开放性、安全性、兼容性，是否拥有较高的市场占有率，能否实现信息数据的共享；外包商是否具有信息技术方面的资格认证，如信息产业部颁发的系统集成商证书、认定的软件厂商证书等；外包商是否了解金融行业特点，能够拿出真正适合商业银行业务的解决方案；信息系统的设计方案中是否应用了稳定、成熟的信息技术，是否符合银行发展的要求，是否充分体现了银行以客户为中心的服务理念；是否具备对大型设备的运行、维护、管理经验，和多系统整合能力；是否拥有对高新技术深入理解的技术专家和项目管理人员。 经营管理能力：了解外包商的领导层结构、员工素质、客户数量、社会评价；项目管理水平，如软件工程工具、质量保证体系、成本控制、配置管理方法、管理和技术人员的老化率或流动率；是否具备能够证明其良好运营管理能力的成功案例；员工间是否具备团队合作精神，外包商客户的满意程度。 发展能力：分析外包服务商已审计的财务报告、年度报告和其他各项财务指标，了解其盈利能力；考察外包企业从事外包业务的时间、市场份额以及波动因素；考察银行的外包合同对外包服务商财务状况的重要性如何；评估外包服务商的技术费用支出以及在信息技术领域内的产品创新，确定他们在技术方面的投资水平是否能够支持银行的外包项目。 对外包实施进行风险监控 信息技术外包的目的在于通过整合信息技术合作伙伴的企业资源，快速实现服务手段和服务方式的信息化，满足客户的需要。信息技术外包中产生的任何风险都会严重影响银行的形象。因此，在信息外包的全过程中要实施风险管理。 风险管理应分为四个步骤：第一步是识别外包实施中各阶段的宏观、微观层面风险，设置监控点。宏观上密切关注信息技术、外包市场的发展，以及银行自身经营环境、竞争对手外包策略、外包商经营状况的变化，防范技术、市场风险。微观层面上，听取外包商在项目实施不同阶段的报告，评估外包商运行的信息系统和相应的控制措施（如资源安全性、完整性、保密性），定期审查外包商相关的内部控制、系统开发和维护、以及应急计划措施，以保证它们符合合同要求，并且与当前的市场和技术环境相一致；了解外包服务是否及时，服务质量、服务水平是否得到提高，防范交易和信誉风险。第二步是分析造成工作偏离预定标准的问题的实质，对产生问题的原因进行调查并做出结论；第三步是拟订解决问题的可行方案，并从中选择出最好的；实施选定的方案，使外包工作回到原定的、期望的标准上。 建立对外包商激励机制 外包商的经营目标是实现利润最大化，而银行希望以公平价格获得良好的服务，因此，商业银行应制订激励机制，将其经营绩效与外包服务要求挂钩，使合作双方目标一致。可采取以下激励措施： 优质优价：根据信息技术外包的范围，按照系统正常运转的时间、效率，制定合格、满意、优质三层标准，达到不同标准给予不同价格。标准的制定应该随着技术的发展而不断提高，如果外包商在技术方面的创新能够使银行实现某些业务盈利，应给予外包商一定的奖励。这样可以鼓励外包商使用新技术、持续改进服务。

级别管理：根据对外包商的资格审查、合作时间长短、合作过程中满意程度，制订相应的评级制度，将外包商划分为准入级、合作级、伙伴级。级别评定是能上能下的，如果外包商的服务水平下降、服务质量降低，就会被降级。级别管理是希望通过一系列连续的合同来加强银行与外包商的合作关系，提醒外包商通过优质服务建立良好声誉、获得收益的重要性。

数字化时代，银行业务的快速发展，计算机的系统数量和部署规模均呈快速增长态势，且加上应用系统的微服务化，系统间的关联更为复杂，也相应提升了对运维系统的要求与难度。虽然银行内建立了较为全面的监控体系，但是面对千百万的告警风暴时，故障定位解决问题十分困难，特别不利于系统安全、持续、稳定运行。

数字化转型中，以用户为中心是驱动金融行业的核心基础。所以，对于像银行、证券公司这样拥有海量运维数据的金融行业来说，智能运维势在必行。采用先进的运维手段（智能运维）则是企业不断前行的源源动力。

说一个我们正在服务的客户案例吧，客户是一家商业银行。

这家商业银行通过擎创科技提供的夏洛克AIOps解决方案，建设了一套智能运维数据分析系统，集中收集和分析十多个系统的运维数据，包括应用系统日志、告警、性能指标、交易指标和网络性能指标等，并通过机器学习算法实现指标异常检测、关联分析和告警收敛，以此加快问题定位效率，保障系统运行。为了有效提高对异常情况的监测和未来趋势预测，提前发现系统隐患，该商业银行通过擎创夏洛克AI实验室，训练并生成了基于业务场景的多类算法，实现系统的单指标异常检测，极大降低系统故障发生的概率。

与此同时，该商业银行还用了擎创夏洛克指标解析中心和告警辨析中心，通过此实现多维指标关联分析，帮助快速发现和定位系统问题，提升排障效率；实现告警收敛，降低告警风暴，加快定位时间。目前告警压缩率达到了80%以上，运维人员的告警处理效率明显提高。实现了IT系统运维的智能化，为业务健康运转提高强力保障。

其实，擎创科技此前便服务过众多银行类客户，如中国银联、交通银行、浦发银行和宁波银行等，帮助其构建了智能化的运维平台，提升了客户运维效率，且目前很多项目都进入到二期、三期建设阶段。

中小银行信息系统建设采取外包采购方式来完成。因此，做好IT业务外包风险与安全管理是银行业IT治理的一个重要内容。

IT业务外包风险分析1、从宏观层面分析，产生系统性风险。目前银行业使用的IT产品如计算机CPU、 *** 作系统、基础应用软件、互联网等技术都来自国外公司，因某种原因，承包商所在国家发生战争等不可抗拒性事件时，会造成IT供应商及其供应链上的公司不能正常经营，如果IT业务外包的是一些重要的核心业务，则会对银行信息系统安全造成重大影响。

2、从供应商方面分析，产生依赖性风险。目前，国内银行业普遍长期使用一些国内外知名厂商提供的软硬件产品，在熟悉供应商产品的同时，长期使用也形成了对某一供应商的依赖，也会因外包商自身或其供应链上某公司出现问题，造成外包商运营出现风险，如果银行没有自己掌握外包供应商产品技术，更换新外包商会带来成本高及影响银行业务正常运营。

3、从产品供应链分析，产生供应链风险。目前，很多IT厂商特别是跨国IT供应商，把用户订单分包给其他外包商生产，当该公司供应链企业合作关系因某种原因出现问题时，则会产生IT外包供应链风险。

4、从采购方面分析，出现选择性风险。在外包供应商招投标过程中，由于没有对外包供应商的服务能力、技术水平、才能力、行业信誉、安全保护措施等方面做全面的科学分析评估，并受到来自各方面关系因素影响，选择的IT外包商各方面能力不能满足银行自身业务发展需要，容易出现项目失败，造成损失。

5、从合规方面分析，产生合同风险。在与IT业务外包供应商签署合同时，因制定的合同文本中相关合同条款描述的不到位、不详细，权利与义务没有很好的说明，容易造成外包服务质量达不到预期目标甚至产生合同风险。转自项目管理者联盟

6、从道德方面分析，产生信息安全风险。由于外包供应商内部控制出现漏洞，本公司内部员工辞职，并利用到银行工作之便，或者与银行员工内外勾结，窃取银行客户信息和资产，给银行和客户造成损失。

7、从技术方面分析，产生技术风险。一些IT供应商因受到自身发展瓶颈的限制，资金和研发能力不足，不能紧密跟踪新技术应用，对软硬件产品及时进行升级改造，则对信息系统应用开发和安全运营产生影响。

9、从服务方面分析，存在服务质量风险。据2004年德勤发布的《外包调查报告》称：57%的调查者因为外包 服务提供商能够提供优质的服务和业务创新选择了外包，31%的调查者认为服务提供商处于更有利的位置。在合同不完全性和双边垄断的前提下，外包商处于更有 利的位置，致使服务质量得不到有效保障，组织效率得不到有效提升。

10、从内控管理分析，存在监督与审计缺失风险。在IT业务外包合同执行期间，银行管理部门往往忽视了对外包商的财务状况以及支持IT外包业务的技术和关键人员进行有效地监督和管理，忽视了对外包供应商及供应链公司的日常审计检查，容易造成IT外包业务服务水平下降。

11、从软件方面分析，存在后门的风险。在银行软件产品开发过程中，商业化的组件和中间件得到普遍应用，需求内容变更、版本升级、打补丁，很难做到每一次升级都对系统功能从头到尾全面完整的测试，这使的软件产品外包商及供应链的透明度和可追溯性追踪变得困难，会存在后门的风险。

发送给你10来篇相关论文了（网易和qq邮箱都发了），查收下哈~ 希望对你有帮助！

以后还需要检索论文的话可以再向我或者其他举手之劳队员提问哦，举手之劳助人为乐！

——百度知道 举手之劳团队 队长：晓斌11蓝猫

人力资源

人力资源管理中的风险管理是指在招聘、工作分析、职业计划、绩效考评、工作评估、薪金管理、福利/激励、员工培训、员工管理等各个环节中进行风险管理，防范人力资源管理中的风险发生。

风险分类：

招聘风险、绩效考评风险、工作评估风险、薪金管理风险、员工培训风险、员工管理风险等等。

风险识别：

要想防范风险，首先要进行风险识别。识别风险就是主动的去寻找风险。比如员工管理中，技术骨干离职风险可能会由以下几个方面产生：

1、待遇：他是否对他的待遇满意

2、工作成就感：他是否有工作成就感

3、自我发展：他是否在工作中提高了自己的能力

4、人际关系：他在公司是否有良好的人际关系

5、公平感：他是否感到公司对他与别人是公平的

6、地位：他是否认为他在公司的地位与他对公司的贡献成正比

7、信心：他是否对公司的发展和个人在公司的发展充满了信心

8、沟通：他是否有机会与大家沟通、交流

9、关心：他是否能得到公司和员工的关心

10、认同：他是否认同企业的管理方式、企业文化、发展战略

11、其他：他是否有可能因为结婚、出国留学、继续深造等原因离职

风险评估：

风险评估是对风险可能造成的灾害进行分析。主要通过以下几个步骤进行评估：

1、根据风险识别的条目有针对性的进行调研；

2、根据调研结果和经验，预测发生的可能性，并用百分比表示发生可能性的程度；

3、根据程度排定优先队列。

各个步骤

对于现代企业来说，风险管理就是通过风险的识别、预测和衡量、选择有效的手段，以尽可能降低成本，有计划地处理风险，以获得企业安全生产的经济保障。这就要求企业在生产经营过程中，应对可能发生的风险进行识别，预测各种风险发生后对资源及生产经营造成的消极影响，使生产能够持续进行。可见，风险的识别、风险的预测和风险的处理是企业风险管理的主要步骤。

风险的识别

风险的识别是风险管理的首要环节。只有在全面了解各种风险的基础上，才能够预测危险可能造成的危害，从而选择处理风险的有效手段。

风险识别方法很多，常见的方法有：

211◆生产流程分析法

生产流程分析法是对企业整个生产经营过程进行全面分析，对其中各个环节逐项分析可能遭遇的风险，找出各种潜在的风险因素。生产流程分析法可分为风险列举法和流程图法。

1风险列举法指风险管理部门根据该企业的生产流程，列举出各个生产环节的所有风险。

2流程图法指企业风险管理部门将整个企业生产过程一切环节系统化、顺序化，制成流程图，从而便于发现企业面临的风险。

212◆财务表格分析法

财务表格分析法是通过对企业的资产负债表、损益表、营业报告书及其他有关资料进行分析，从而识别和发现企业现有的财产、责任等面临的风险。

213保险调查法

采用保险调查法进行风险识别可以利用两种形式：

通过保险险种一览表，企业可以根据保险公司或者专门保险刊物的保险险种一览表，选择适合该企业需要的险种。这种方法仅仅对可保风险进行识别，对不可保风险则无能为力。

委托保险人或者保险咨询服务机构对该企业的风险管理进行调查设计，找出各种财产和责任存在的风险。

风险的预测

风险预测实际上就是估算、衡量风险，由风险管理人运用科学的方法，对其掌握的统计资料、风险信息及风险的性质进行系统分析和研究，进而确定各项风险的频度和强度，为选择适当的风险处理方法提供依据。风险的预测一般包括以下两个方面：

221预测风险的概率：通过资料积累和观察，发现造成损失的规律性。一个简单的例子：一个时期一万栋房屋中有十栋发生火灾，则风险发生的概率是1/1000。由此对概率高的风险进行重点防范。

222预测风险的强度：假设风险发生，导致企业的直接损失和间接损失。对于容易造成直接损失并且损失规模和程度大的风险应重点防范。

培训专家

谭 小 芳：国内知名上市公司最年轻的集团总裁，国内知名的风险管理培训专家，长期致力于企业风险管理的发展研究，收集了大量企业家风险管理的相关案例，在国内风险管理研究领域处于数一数二的地位。演讲费用比哈佛教授还高的中国管理专家，帮助5000多家企业解决了风险管理难题，培养了100，000多名企业高管、8000多名管理顾问和培训师，据统计，世界500强企业中超过300家接受过她的训练。

李绘芳：中国十大权威HR管理专家，知名风险管理培训专家，清华、北大等知名大学特邀培训师，李绘芳老师拥有10年左右风险管理工作经验，在长期的实践中，积累了丰富的人风险管理经验。在风险管理领域有一定影响，李绘芳老师的公开课、内训、论坛数百场，学员十万余人，广受好评。

胡一夫：赢在前沿特邀讲师，中国总裁培训网特邀讲师，权威风险管理培训专家，近十多年来，足迹遍布欧亚及中国大陆地区，在先后为国内外各类企事业单位提供了风险管理咨询项目，举行了上千场主题演讲与管理培训。

风险的处理

风险的处理常见的方法有：

231避免风险：消极躲避风险。比如避免火灾可将房屋出售，避免航空事故可改用陆路运输等。因为存在以下问题，所以一般不采用。

可能会带来另外的风险。比如航空运输改用陆路运输，虽然避免了航空事故，但是却面临着陆路运输工具事故的风险。

会影响企业经营目标的实现。比如为避免生产事故而停止生产，则企业的收益目标无法实现。

232预防风险：采取措施消除或者减少风险发生的因素。例如为了防止水灾导致仓库进水，采取增加防洪门、加高防洪堤等，可大大减少因水灾导致的损失。

233自保风险：企业自己承担风险。途径有：

小额损失纳入生产经营成本，损失发生时用企业的收益补偿。

针对发生的频率和强度都大的风险建立意外损失基金，损失发生时用它补偿。带来的问题是挤占了企业的资金，降低了资金使用的效率。

对于较大的企业，建立专业的自保公司。

234转移风险：在危险发生前，通过采取出售、转让、保险等方法，将风险转移出去。

历史

风险管理是一门新兴的管理学科。

萌芽

风险管理从1930年代开始萌芽。风险管理最早起源于美国，在1930年代，由于受到1929－1933年的世界性经济危机的影响，美国约有40%左右的银行和企业破产，经济倒退了约20年。美国企业为应对经营上的危机，许多大中型企业都在内部设立了保险管理部门，负责安排企业的各种保险项目。可见，当时的风险管理主要依赖保险手段。

形成

1938年以后，美国企业对风险管理开始采用科学的方法，并逐步积累了丰富的经验。1950年代风险管理发展成为一门学科，风险管理一词才形成。

1970年代以后逐渐掀起了全球性的风险管理运动。1970年代以后，随着企业面临的风险复杂多样和风险费用的增加，法国从美国引进了风险管理并在法国国内传播开来。与法国同时，日本也开始了风险管理研究。

发展

近20年来，美国、英国、法国、德国、日本等国家先后建立起全国性和地区性的风险管理协会。1983年在美国召开的风险和保险管理协会年会上，世界各国专家学者云集纽约，共同讨论并通过了“101条风险管理准则”，它标志着风险管理的发展已进入了一个新的发展阶段。

1986年，由欧洲11个国家共同成立的“欧洲风险研究会”将风险研究扩大到国际交流范围。1986年10月，风险管理国际学术讨论会在新加坡召开，风险管理已经由环大西洋地区向亚洲太平洋地区发展。

在中国的发展

中国对于风险管理的研究开始于1980年代。一些学者将风险管理和安全系统工程理论引入中国，在少数企业试用中感觉比较满意。中国大部分企业缺乏对风险管理的认识，也没有建立专门的风险管理机构。作为一门学科，风险管理学在中国仍旧处于起步阶段。

进入到上世纪90年代，随着资产证券化在国际上兴起，风险证券化也被引入到风险管理的研究领域中。而最为成功的例子是瑞士再保险公司发行的巨灾债券，和由美国芝加哥期货交易所发行的PCS期权。

分类

风险管理主要分为两类：

经营管理型风险管理，主要研究政治、经济、社会变革等所有企业面临的风险的管理。

保险型风险管理，主要以可保风险作为风险管理的对象，将保险管理放在核心地位，将安全管理作为补充手段。

研究方法

对风险管理研究的方法采用定性分析方法和定量分析方法。

定性分析方法是通过对风险进行调查研究，做出逻辑判断的过程。定量分析方法一般采用系统论方法，将若干相互作用、相互依赖的风险因素组成一个系统，抽象成理论模型，运用概率论和数理统计等数学工具定量计算出最优的风险管理方案的方法。

学说

纯粹风险说

纯粹风险说以美国为代表。纯粹风险说将企业风险管理的对象放在企业静态风险的管理上，将风险的转嫁与保险密切联系起来。该学说认为风险管理的基本职能是将对威胁企业的纯粹风险的确认和分析，并通过分析在风险自保和进行保险之间选择最小成本获得最大保障的风险管理决策方案。该学说是保险型风险管理的理论基础。

企业全部风险说

企业全部风险说以德国和英国为代表，该学说将企业风险管理的对象设定为企业的全部风险，包括了企业的静态风险（纯粹风险）和动态风险（投机风险），认为企业的风险管理不仅要把纯粹风险的不利性减小到最小，也要把投机风险的收益性达到最大。该学说认为风险管理的中心内容是与企业倒闭有关的风险的科学管理。企业全部风险说是经营管理型风险管理的理论基础。

体系

在20世纪七八十年代，因为事故和其它发生的风险导致了许多组织的破产，这一现象引起了一些跨国公司和大型联合企业股东的极大关注，为强化自己的社会关注力和最大地降低事故和其它事件的损失，这些企业开始引入了“损失控制”的理念，将管理的重点慢慢地从预防伤害转向预防和控制损失。从那时候，风险管理得到了世界上更大的关注，并逐步地得到的发展。

钻石体系就是在这一背景之下产生的，她由国际风险控制协会联盟创造人弗兰克伯德先生首创，其早期设计的目的仅仅是为了协助企业控制损失，降低事故，她是一个公共性的系统。但随着国际社会及企业对风险管理需求的不断增加以及对钻石体系表现出的日益增长的兴趣与关注，使得国际风险控制协会不得不升级了它的安健环质量保护体系以满足市场要求并符合国际标准，经过美国、南非、澳大利亚等联盟成员7次修编，钻石体系已被证实为一个随时可用的现成架构，是一个涵盖了所有职业安全、健康、环境、质量及社会等元素风险，符合ISO9001、ISO14001及OHSAS 18001/ AS/NZS 4801标准要求的整合系统。她是世界上最好的安健环质量综合风险管理体系之一。

南方电网风险管理体系建设(3张)

2004年，钻石体系由国际风险控制协会联盟成员安瑞祺国际风险管理顾问公司引进中国，并为诸多如南方电网公司等国内大型国有企业所采纳。

钻石体系强调“以人为本”的思想，它结合安全行为科学，通过行为干预技术，改善员工风险行为，无限度地提升商业机构底线的质和量，改善机构生产能力及员工士气，并最终为商业机构带来世界级的职业安全、健康、环境、质量及风险管理的成果。

钻石体系的设计具有较强的可塑性，它贴近企业 *** 作实践，具备兼容企业与当地行业特殊要求的能力，诸多国际及跨国公司在钻石体系上的成功运用充分说明它是一套科学的、完备的管理系统。

钻石体系由12个元素组成，这些元素代表好的管理实践，并与一些国际标准如ISO 14001、 ISO 9001:2000、OHSAS – 18001、英国标准8800及其他国际标准如AS/NZS4801相兼容。

软件项目风险管理

简介

软件项目风险管理是软件项目管理的重要内容。在进行软件项目风险管理时，要辩识风险，评估它们出现的概率及产生的影响，然后建立一个规划来管理风险。风险管理的主要目标是预防风险。

软件项目风险是指在软件开发过程中遇到的预算和进度等方面的问题以及这些问题对软件项目的影响。软件项目风险会影响项目计划的实现，如果项目风险变成现实，就有可能影响项目的进度，增加项目的成本，甚至使软件项目不能实现。如果对项目进行风险管理，就可以最大限度的减少风险的发生。但是，目前国内的软件企业不太关心软件项目的风险管理，结果造成软件项目经常性的延期、超过预算，甚至失败。成功的项目管理一般都对项目风险进行了良好的管理。因此任何一个系统开发项目都应将风险管理作为软件项目管理的重要内容。

在项目风险管理中，存在多种风险管理方法与工具，软件项目管理只有找出最适合自己的方法与工具并应用到风险管理中，才能尽量减少软件项目风险，促进项目的成功。

软件项目的风险管理是软件项目管理的重要内容。在进行软件项目风险管理时，要辩识风险，评估它们出现的概率及产生的影响，然后建立一个规划来管理风险。风险管理的主要目标是预防风险。本文探讨了风险管理的主要内容和方法，介绍了风险管理的经典理论，比较了几种主流的风险管理策略和模型。

风险分类

软件项目的风险无非体现在以下四个方面：需求、技术、成本和进度。IT项目开发中常见的风险有如下几类：

1 需求风险

①需求已经成为项目基准，但需求还在继续变化；②需求定义欠佳，而进一步的定义会扩展项目范畴；③添加额外的需求；④产品定义含混的部分比预期需要更多的时间；⑤在做需求中客户参与不够；⑥缺少有效的需求变化管理过程。

2 计划编制风险

①计划、资源和产品定义全凭客户或上层领导口头指令，并且不完全一致；②计划是优化的，是"最佳状态",但计划不现实，只能算是"期望状态";③计划基于使用特定的小组成员，而那个特定的小组成员其实指望不上；④产品规模(代码行数、功能点、与前一产品规模的百分比)比估计的要大；⑤完成目标日期提前，但没有相应地调整产品范围或可用资源；⑥涉足不熟悉的产品领域，花费在设计和实现上的时间比预期的要多。

3 组织和管理风险

①仅由管理层或市场人员进行技术决策，导致计划进度缓慢，计划时间延长；②低效的项目组结构降低生产率；③管理层审查 决策的周期比预期的时间长；④预算削减，打乱项目计划；⑤管理层作出了打击项目组织积极性的决定；⑥缺乏必要的规范，导至工作失误与重复工作；⑦非技术的第三方的工作（预算批准、设备采购批准、法律方面的审查、安全保证等）时间比预期的延长。

4 人员风险

①作为先决条件的任务（如培训及其他项目）不能按时完成；②开发人员和管理层之间关系不佳，导致决策缓慢，影响全局；③缺乏激励措施，士气低下，降低了生产能力；④某些人员需要更多的时间适应还不熟悉的软件工具和环境；⑤项目后期加入新的开发人员，需进行培训并逐渐与现有成员沟通，从而使现有成员的工作效率降低；⑥由于项目组成员之间发生冲突，导致沟通不畅、设计欠佳、接口出现错误和额外的重复工作；⑦不适应工作的成员没有调离项目组，影响了项目组其他成员的积极性；⑧没有找到项目急需的具有特定技能的人。

5 开发环境风险

①设施未及时到位；②设施虽到位，但不配套，如没有电话、网线、办公用品等；③设施拥挤、杂乱或者破损；④开发工具未及时到位；⑤开发工具不如期望的那样有效，开发人员需要时间创建工作环境或者切换新的工具；⑥新的开发工具的学习期比预期的长，内容繁多。

6 客户风险

①客户对于最后交付的产品不满意，要求重新设计和重做；②客户的意见未被采纳，造成产品最终无法满足用的审核 决策周期比预期的要长；④客户没有或不能参与规划、原型和规格阶段的审核，导致需求不稳定和产品生产周期的变更；⑤客户答复的时间（如回答或澄清与需求相关问题的时间）比预期长；⑥客户提供的组件质量欠佳，导致额外的测试、设计和集成工作，以及额外的客户关系管理工作。

7 产品风险

①矫正质量低下的不可接受的产品，需要比预期更多的测试、设计和实现工作；②开发额外的不需要的功能（镀金），延长了计划进度；③严格要求与现有系统兼容，需要进行比预期更多的测试、设计和实现工作；④要求与其他系统或不受本项目组控制的系统相连，导致无法预料的设计、实现和测试工作；⑤在不熟悉或未经检验的软件和硬件环境中运行所产生的未预料到的问题；⑥开发一种全新的模块将比预期花费更长的时间；⑦依赖正在开发中的技术将延长计划进度。

8 设计和实现风险

①设计质量低下，导致重复设计;②一些必要的功能无法使用现有的代码和库实现，开发人员必须使用新的库或者自行开发新的功能；③代码和库质量低下,导致需要进行额外的测试，修正错误，或重新制作；④过高估计了增强型工具对计划进度的节省量；⑤分别开发的模块无法有效集成，需要重新设计或制作。

9 过程风险

①大量的纸面工作导致进程比预期的慢；②前期的质量保证行为不真实，导致后期的重复工作；③太不正规（缺乏对软件开发策略和标准的遵循），导致沟通不足，质量欠佳，甚至需重新开发；④过于正规（教条地坚持软件开发策略和标准），导致过多耗时于无用的工作；⑤向管理层撰写进程报告占用开发人员的时间比预期的多；⑥风险管理粗心，导致未能发现重大的项目风险。

风险分析

在进行了风险辨识后，我们就要进行风险估算，风险估算从以下几个方面评估风险清单中的每一个风险：

(1）建立一个尺度，以反映风险发生的可能性；

(2）描述风险的后果；

(3）估算风险对项目及产品的影响；

(4）标注风险预测的整体精确度，以免产生误解。

对辨识出的风险进行进一步的确认后分析风险，即假设某一风险出现后，分析是否有其他风险出现，或是假设这一风险不出现，分析它将会产生什么情况，然后确定主要风险出现最坏情况后，如何将此风险的影响降低到最小，同时确定主要风险出现的个数及时间。进行风险分析时，最重要的是量化不确定性的程度和每个风险可能造成损失的程度。为了实现这点，必须考虑风险的不同类型。识别风险的一个方法是建立风险清单，清单上列举出在任何时候可能碰到的风险最重要的是要对清单的内容随时进行维护，更新风险清单，并向所有的成员公开，应鼓励项目团队的每个成员勇于发现问题并提出警告。建立风险清单的一个办法是将风险输入缺陷追踪系统中，建立风险追踪工具，缺失追踪系统一般能将风险项目标示为已解决或尚待处理状态，也能指定解决问题的项目团队成员，并安排处理顺序。风险清单给项目管理提供了一种简单的风险预测技术，下表事一个风险清单的例子：

风险

类别

概率

影响

资金将会流失

商业风险

40%

1

技术达不到预期效果

技术风险

30%

1

人员流动频繁

人员风险

60%

3

在风险清单中，风险的概率值可以由项目组成员个别估算通过先做个别估算而后求出一个有代表性的值来完成。对风险产生的影响可以对影响评估的因素进行分析。

一旦完成了风险清单的内容，就要根据概率进行排序，高发生率、高影响的风险放在上方，依次类推。项目管理者对排序进行研究，并划分重要和次重要的风险，对次重要的风险再进行一次评估并排序。对重要的风险要进行管理。从管理的角度来考虑，风险的影响及概率是起着不同作用的，一个具有高影响且发生概率很低的风险因素不应该花太多的管理时间，而高影响且发生率从中到高的风险以及低影响且高概率的风险，应该首先列入管理考虑之中。

在这里，我们需要强调的是如何评估风险的影响，如果风险真的发生了，它所产生的后果会对三个因素产生影响：风险的性质、范围及时间。风险的性质是指当风险发生时可能产生的问题。风险的范围是指风险的严重性及其整体分布情况。风险的时间是指主要考虑何时能够感到风险及持续多长时间。可以利用风险清单进行分析，并在项目进展过程中迭代使用。项目组应该定期复查风险清单，评估每一个风险，以确定新的情况是否引起风险的概率及影响发生改变。这个活动可能会添加新的风险，删除一些不再有影响的风险，并改变风险的相对位置。

在风险评估过程中，我们可以采取以下的步骤：

(1）定义项目的风险参考水平值。要使风险评估发生作用，就要定义一个风险参考水平值，对于大多数项目而言，通过对性能、成本、支持及进度等因素的分析，可以找出风险的参考水平值，对于性能下降、成本超支、支持困难或进度延迟（或者这四种的组合）等情况，超过这一参考水平值项目就会被终止。

(2）建立每一组（风险、风险发生的概率、风险产生的影响）与每一个参考水平值的关系。

(3）预测一组临界点以定义项目终止区域，该区域由一条曲线或不确定区域界定。

(4）预测什么样的风险组合会影响参考水平值。

风险驾驭

风险驾驭包括对策指定、风险缓解、风险监控、风险跟踪等内容。

所有风险分析活动都只有一个目的——辅助项目组建立处理风险的策略。如果软件项目组对于风险采取主动的方法，则避免永远是最好的策略。这可以通过建立一个风险缓解计划来达到即制定对策。

对不同的风险项要建立不同的风险驾驭和监控的策略比。如对于开发人员离职的风险项目开始时应作好人员流动的准备采取一些措施确保人员一旦离开时项目仍能继续；制定文档标准并建立一种机制保证文档及时产生；对每个关键性技术岗位要培养后备人员。对于技术风险，可以采用的策略有，对采用的关键技术进行分析，避免软件在生命周期中很快落后；在项目开发过程中保持对风险因素相关信息的收集工作，减少对合作公司的依赖尤其是对延续性强的项目应该尽可能地吸收合作公司的技术并变为自己的技术，避免因为可能发生的与合作公司合作的终止带来的影响和风险降低投入成本。

一个有效的策略必须考虑风险避免、风险监控和风险管理及意外事件计划这样三个问题。风险的策略管理可以包含在软件项目计划中，或者风险管理步骤也可以组成一个独立的风险缓解、监控和管理计划（RMMM计划）。RMMM计划将所有风险分析工作文档化，并且由项目管理者作为整个项目计划的一部分来使用，RMMM计划的大纲主要包括：主要风险，风险管理者，项目风险清单，风险缓解的一般策略、特定步骤，监控的因素和方法，意外事件和特殊考虑的风险管理等。一旦建立了RMMM计划，我们就开始了风险缓解及监控，风险缓解是一种避免问题的活动，风险监控则是跟踪项目的活动。它有三个主要目的：评估一个被预测的风险是否真的发生了；保证为风险而定义的缓解步骤被正确地实施；收集能够用于未来的风险分析信息。

软件开发是高风险的活动。如果项目采取积极风险管理的方式，就可以避免或降低许多风险，而这些风险如果没有处理好，就可能使项目陷入瘫痪中。因此在软件项目管理中还要进行风险跟踪。对辨识后的风险在系统开发过程中进行跟踪管理，确定还会有哪些变化，以便及时修正计划。具体内容包括：

(1）实施对重要风险的跟踪；

(2）每月对风险进行一次跟踪；

(3）风险跟踪应与项目管理中的整体跟踪管理相一致；

(4）风险项目应随着时间的不同而相应地变化。

通过风险跟踪，进一步对风险进行管理，从而保证项目计划的如期完成。

加强管理

简化支付流程是指精简组织内的，以及外部贸易和银行合作伙伴的交易。

这些效率可以分为两种类别：

·降低企业财务和银行合作伙伴之间的实体连接点数量。

·付款和现金报告采用行业标准消息格式（SMF）。

要实现这一点，所需的商业智能解决方案要超越 *** 作和技术孤岛，提高数据流之外的融合价值。任何商业智能创建的策略都是来衡量过去，监控现在并预测未来。所有这一切都可以通过确定和实施合适的关键绩效指标（KPI），为银行和客户端谋取利益。

这样的商业智能解决方案需要以下几部分组成：

·一个数据管理平台，可以全力使用来自内部和外部系统的各种信息资料、来自云端的流化数据和非结构化数据。

·一个分析组件，将原始数据转化为企业信息。

·自助服务配置，基于用户和合作使独特的数据可视化，安全地与他人共享和宣传效果。

以上就是关于IT外包有何风险及如何防范全部的内容，包括:IT外包有何风险及如何防范、银行IT系统运维风险控制有哪些手段、银行IT业务外包都有哪些风险等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！