不得不被迫接受法律稽查，公司形象也由此受損。
化解風(fēng)險，一般有四種主要的方法：緩解，轉(zhuǎn)移，接受和避免?！熬徑狻笔侵附档惋L(fēng)險，或降低風(fēng)險可能帶來的后果。要讓“緩解”起作用，企業(yè)必須擁有足夠的控制力，以減少風(fēng)險時間出現(xiàn)的可能性，或消除風(fēng)險事件帶來的可能影響。
“轉(zhuǎn)移”是指把風(fēng)險轉(zhuǎn)嫁給另一個有能力并愿意承擔(dān)風(fēng)險的載體，比如保險公司。“接受”是指企業(yè)有意識地去設(shè)想幾種風(fēng)險，這稱為自我保險。為了讓“接受”發(fā)揮作用，風(fēng)險發(fā)生的幾率必須足夠小，或其重要性微不足道，對企業(yè)來說能夠承受?！氨苊狻眲t是指消除風(fēng)險事件發(fā)生的可能性。對于大多數(shù)企業(yè)而言，“避免”意味著從某項業(yè)務(wù)或某個市場中退出，或放棄某個產(chǎn)品。要做到那樣，企業(yè)必須具備自由退出的能力，還必須甘愿放棄與風(fēng)險同時存在的市場機(jī)會。
在CIO的職責(zé)范圍內(nèi)出現(xiàn)的絕大部分新型IT風(fēng)險，唯一可行的管理策略就是“緩解”。
雖然很難對風(fēng)險管理的成功進(jìn)行客觀的量化評價，但你必須證明，是你終止了某項從未發(fā)生過的事件。Gartner公司對CIO們識別風(fēng)險并采取有效措施緩解風(fēng)險的信心進(jìn)行了研究。我們把這些CIO稱為高度自信的經(jīng)理人。Gartner公司發(fā)現(xiàn)，這些高度自信的經(jīng)理人可能只是略微增加了在風(fēng)險管理上的投入，但是，他們在改善業(yè)務(wù)關(guān)系、提高IT可靠度、緩解風(fēng)險等方面，卻獲得了高得多的回報。
這些高度自信的經(jīng)理人，一般都采用了緩解風(fēng)險的三種方法中的一種，當(dāng)然，對另外兩種也沒有忽視。這三種方法分別是：風(fēng)險管理的流程，簡化配置的系統(tǒng)和個人經(jīng)驗。后兩個方法比較通俗易懂：系統(tǒng)復(fù)雜性降低了，風(fēng)險自然也就降低了，而且可以消滅出現(xiàn)錯誤點(diǎn)的可能。個人經(jīng)驗方法則是在團(tuán)隊中保留一名擁有豐富風(fēng)險管理經(jīng)驗的員工。因此，我們將著重關(guān)注風(fēng)險管理的流程這一方法。
制訂流程
根據(jù)卡內(nèi)基-梅隆大學(xué)軟件工程學(xué)院(Carnegie Mellon University Software Engineering Institute)的研究結(jié)果，一個好的風(fēng)險管理流程包含五個步驟：識別、分析、計算、防御計劃，以及執(zhí)行/評估。
首先，要識別目標(biāo)和威脅。要識別風(fēng)險，就先得把你的企業(yè)勾畫為一個整體。對你的業(yè)務(wù)來說，什么策略是最重要的？公司制定的每項策略的主要障礙在哪里？是否存在單獨(dú)的錯誤點(diǎn)？在數(shù)據(jù)、資金、原材料，或其他價值較高的公司資產(chǎn)中，公司策略的重心在哪里？把這些因素與業(yè)務(wù)流程結(jié)合起來，判斷哪些業(yè)務(wù)流程會面臨風(fēng)險，或會受到風(fēng)險的影響。對這些問題，要盡可能地明確。
例如，在盧森堡綜合銀行(Banque Générale du Luxembourg)，公司CIO邁克爾·道芬(Michel Dauphin)和他的同僚就識別出以下對業(yè)務(wù)來說非常關(guān)鍵的IT風(fēng)險：
● 如果系統(tǒng)不可用或用戶界面不友好，會對業(yè)務(wù)人員的效率產(chǎn)生影響；
● 由于系統(tǒng)不靈活，使得公司對新的商業(yè)機(jī)會不能做出快速反應(yīng)；
● 數(shù)據(jù)支離破碎；
● 由于對用戶接入管理不善，將導(dǎo)致欺詐行為的出現(xiàn)；
● 如果IT無法提供合適的報告方法，企業(yè)就無法按照法律要求進(jìn)行充分的信息披露；
● 如果IT系統(tǒng)運(yùn)轉(zhuǎn)不正常，會使員工情緒緊張。
高度自信的風(fēng)險管理者們總是把對風(fēng)險的評估當(dāng)作一項任務(wù)來對待，從整個企業(yè)的角度定期進(jìn)行回顧檢討。正如前文所述，如果把所有IT風(fēng)險進(jìn)行分類，就不能對他們進(jìn)行有效管理。首先叫你的資深I(lǐng)T經(jīng)理們識別出最重要的風(fēng)險，以及他們所參與的可能的重要業(yè)務(wù)流程。要有效地做到這一點(diǎn)，他們很可能需要與他們的合作伙伴通力協(xié)作。
其次，分析威脅。給各種資產(chǎn)賦予風(fēng)險價值，從業(yè)務(wù)流程、市場，到數(shù)據(jù)庫。價值的形式可以是營業(yè)收入的減少或者