如何建立完善的風險制度管理
| 3 |
| |
 
|
|
|
| |
|
| 相關標籤 |
|
| |
|
回覆會員暱稱：
點數：
等級：初學者 榮譽勳章：
發文篇數：236
回文時間：2009-11-21 00:51:27
|
thank you
|
| |
|
回覆會員暱稱：
點數：
等級：初學者 榮譽勳章：
發文篇數：500
回文時間：2009-11-20 13:01:49
|
感謝您提供寶貴的知識
|
| |
|
回覆會員暱稱：玉米
點數：7050
等級：知識長 榮譽勳章：
發文篇數：344
回文時間：2009-11-20 13:01:40
|
謝謝大大的分享
|
| |
|
回覆會員暱稱：菜鳥
點數：5900
等級：知識長 榮譽勳章：
發文篇數：272
回文時間：2009-11-20 13:01:28
|
回覆的真詳細，3Q3Q
|
| |
|
回覆會員暱稱：薩克強
點數：5530
等級：知識長 榮譽勳章：
發文篇數：271
回文時間：2009-11-20 13:01:07
|
這篇介紹的真詳細 多謝
|
| |
|
回覆會員暱稱：
點數：
等級：初學者 榮譽勳章：
發文篇數：514
回文時間：2009-05-10 23:53:41
|
達成最佳IT 風險管理 (Ashley)
雖然目前有很多的理論架構與標準，都能夠提供良好的開端，但是企業都必須針對自身的風險環境與企業目標，加入並細分適合的優先順序與流程。以下是賽門鐵克2007提出的IT風險管理報告，IT風險也是企業營運中最大的風險所在，也能作為企業整體風險管理之參考。
企業組織要如何使IT 風險管理由佳進步到極佳？對於嘗試有效管理IT 風險的組織而言，面對的挑戰包括瞭解其IT 風險組合、依組織的風險概況將風險量化並排定優先順序，以及開發有效矯治活動的計劃。
一個標準五步驟(階段) 的流程可協助組織評估其IT 風險水準、開發矯治準則，最後建立有效而持續的IT 風險管理計劃。這些步驟(詳述於圖11) 看起來可能相當眼熟，支援這些步驟之特定工具與任務相當有價值，且各階段的環扣，可協助保持聚焦與維持組織的承諾。
步驟1 – 發展IT 風險意識
IT 風險減緩開始於全面性的探索(評估診斷)，包括：
• 建立計劃範圍(IT 風險觀點的適當範圍為何？)
• 根據組織整體優先順序，建構組織的風險概況
• 找出IT 風險的主要區域
對許多公司而言，探索的挑戰同時包括找出新的風險領域，通常透過與IT最佳實務做標竿比較來達成風險概況之評估。另外，將目前現有已劇烈感受到的數十或數百個IT 風險加以組織歸類。此階段常見的問題是：「如何將已知的問題組合成一個全面化、結構式架構，以便評估與排定優先順序？」需透過找出關鍵IT 資產及瞭解這些IT 資產如何支援關鍵業務流程來建立清楚的架構。關鍵資產包括企業營運所需之技術基礎架構、具有資訊存取管理者權限的人員及組織的IT 作業流程。
評估診斷亦應考慮組織目前的需求、能力和漏洞。需求包括法規、合約及服務水準協議等法律義務，以及企業資訊的隱私權、可用性及完整性等業務需求。最後，此階段牽涉到找出威脅、問題、漏洞及弱點並加以分類，根據風險指派每一項的優先順序。漏洞與弱點之搜尋應涵括應用程式、基礎架構、作業及組織。
步驟2 – 量化業務影響
對業務影響之量化通常最具挑戰性，也是最重要的步驟。在量化欲處理的IT 風險區域所帶來之正負向影響前，IT 主管可能無法吸引組織其他同事對IT 風險的注意，或取得進行風險減緩所需的資金。
表達量化所使用之「幣值」將根據業務與風險領域而有所不同。網站當機對零售商而言，意謂著營收或銷售額損失，對媒體公司而言，意謂著負面影響品牌或損失觀眾，而對製造商而言，則是損失生產力... 等等。關鍵係採用對當地具有合理解釋性的幣值，不管此幣值何。
業務影響的量化通常會採用兩階段的方法。首先，完整的風險組合是根據對業務可能造成影響之程度(以組織風險概況來看) 與風險減緩的難易度(以耗費多少時間、人員資源與投資來衡量)先粗略排定優先順序。第二階段則是僅針對這些辨識為高影響領域的風險建立詳細的業務影響論述。此模型可為迭代式，且應為週期性，並與組織與IT 規劃週期相連接。
步驟3 – 設計解決方案
此時，組織已瞭解其風險管理計劃的範圍與構成要素、其目前狀態，以及各IT 風險區域的優先順序與量化值。
下一步是設計一套矯治方案，擴及人員、流程與技術等典型要素，個別訂定要求、規格、目標和功能。對一些組織來說，僅須專注於處理即將發生且最迫切的風險區域，但是就其它組織而言，則須較長期且分波斷之計劃。
此階段也包括詳細的成本分析，以使所建議提案的成本與效益，可符合組織目標。例如，為不同類型資料與部分業務之優先順序，可能需設計可提供多層次服務的模型。
降低風險的解決方案，通常也會降低複雜度和成本。特別是因模糊或遵循度不佳的流程，組織模式校準不良或不明確的要求或政策所帶來之風險。
步驟4 – 校準IT 與企業價值並實施解決方案
雖然量化是最困難的步驟，但大部份計劃的成功取決於實施的有效性。它決定風險減緩提案是否在人員、流程與技術間成功的推展，並且使組織所偶利害關係人密切參與，或者移轉為當地IT 專案(透過軟體或配合推行及受過訓練的管理員)。
迴路式的衡量與持續改善是十分重要的。透過一個具連貫性之量化衡量系統與績效管理能力，組織可設定恰當之時機來進行基準資料收集、績效追蹤以及與原來的效益目標相比來評估計劃的實施之有效性。
步驟5 – 建立及管理整合的能力
當一開始展開第一波IT 風險解決方案，組織便應制定其IT 風險管理的持續改善與管理計劃。如同大部份的變革管理計劃，IT 風險管理隨後會發展成一成熟的模型，是以基本之戰略技巧開始，再進化為標竿績效表現者。對大部份的組織來說，在此成熟度模型所處的位置，視其IT 風險概況與在達成其目標前須透過數波組織、流程及技術變革的進度。在經驗及有效性趨向成熟過程中調整努力的方向與重點，組織可避免或克服在實際執行時最常見的挑戰，包括：
• 對IT 風險管理之努力和投資予以量化並訂定優先順序，來取代猜測
• 以提供長期一致之改善計劃取代斷斷續續、被動反應式的專案
• 針對一致的目標，以清楚的進度取代臆測，以保護IT 風險減緩所需之長期投資
資料來源：
賽門鐵克，2007，IT風險管理報告
http://www.symantec.com/zh/tw/business/theme.jsp?themeid=itrisk_report |
