IT治理與風(fēng)險(xiǎn)管理到底離你有多遠(yuǎn)？

當(dāng)筆者以這么多問(wèn)號(hào)做開(kāi)頭的時(shí)候，也很想問(wèn)問(wèn)所有看到此篇文章的讀者你對(duì)IT治理和風(fēng)險(xiǎn)管理的認(rèn)知到底有多深？“IT治理？沒(méi)聽(tīng)過(guò)�！碑�(dāng)一位省級(jí)移動(dòng)公司網(wǎng)絡(luò)負(fù)責(zé)人侃侃而談IT管理之后，在回答“是否聽(tīng)說(shuō)過(guò)IT 治理”時(shí)，卻給出了這樣的回答。這家移動(dòng)公司正在提升IT 管理水平，以準(zhǔn)備接受塞班斯法案的相關(guān)審計(jì)。沒(méi)想到管理著300余名IT 員工的網(wǎng)絡(luò)部負(fù)責(zé)人盡管參與了IT內(nèi)控工作，卻對(duì)“IT治理”聞所未聞。這與一些業(yè)內(nèi)人的預(yù)想相去甚遠(yuǎn)。一個(gè)負(fù)責(zé)上百I(mǎi)T員工的負(fù)責(zé)人尚且如此，可想而知IT治理在中國(guó)的普及化道路還很漫長(zhǎng)。

提起IT治理與風(fēng)險(xiǎn)管理這個(gè)名詞從2003年引入中國(guó)，并于2004 年引入了ITIL，開(kāi)始進(jìn)行SOX 內(nèi)控項(xiàng)目，幾年過(guò)去了，實(shí)施的結(jié)果又如何呢？IT負(fù)責(zé)人的回答就是很好的明證，他根本就不知道IT風(fēng)險(xiǎn)無(wú)處不在他的左右，這是一個(gè)很危險(xiǎn)的信號(hào)，也給中國(guó)IT治理與風(fēng)險(xiǎn)管理普及認(rèn)知上敲響了警鐘。

那么我們來(lái)看看最近由于IT的失敗給商業(yè)帶來(lái)影響的例子，切身體會(huì)IT風(fēng)險(xiǎn)離我們距離。

首先舉一個(gè)例子，有一個(gè)工程師給一個(gè)大的某化工制造廠商工作，最后他被認(rèn)定有罪，因?yàn)樗�偷了公司價(jià)值4億美元的秘密，想給他新的雇主。他從公司的網(wǎng)上下載了大量的摘要以及16700多個(gè)文件，這是他們公司研究數(shù)據(jù)庫(kù)里面下載的大部分的數(shù)據(jù)跟他研究的內(nèi)容是沒(méi)有太大的關(guān)系。

這些是公司對(duì)于他的電腦進(jìn)行例行檢查的時(shí)候發(fā)現(xiàn)的，從這個(gè)案例看出來(lái)要保護(hù)企業(yè)的關(guān)鍵數(shù)據(jù)和知識(shí)產(chǎn)權(quán)是多么重要。

另外一個(gè)案例是零售公司的例子，大量的信用卡、借記卡被個(gè)人所偷盜，主要是通過(guò)電腦的系統(tǒng)，他們直接在零售商的總部接入電腦偷走了客戶資料，四千萬(wàn)美國(guó)人信用卡被盜。

上述案例中說(shuō)明了IT風(fēng)險(xiǎn)無(wú)處不在，他不僅考驗(yàn)企業(yè)對(duì)IT風(fēng)險(xiǎn)的管控能力，也在考驗(yàn)用戶在合規(guī)的情況下規(guī)避IT風(fēng)險(xiǎn)。

中國(guó)IT治理現(xiàn)狀

在這次高峰論壇會(huì)議開(kāi)始的宣傳片引起了我的注意，這部大片不禁使我想起了六百年前我們偉大的先人——鄭和曾經(jīng)七下西洋，率領(lǐng)著上千艘的艦隊(duì)以及上萬(wàn)人組成的龐大規(guī)模的艦隊(duì)。據(jù)現(xiàn)在的研究發(fā)現(xiàn)，他可能是歷史上最早到達(dá)南極的人，在他之后60年，四艘小船隨風(fēng)飄蕩很幸運(yùn)地發(fā)現(xiàn)了印度大陸。在十七世紀(jì)的時(shí)候最大的風(fēng)險(xiǎn)是在海洋上面。我們至今都沒(méi)有搞明白在這樣一個(gè)由數(shù)百艘、數(shù)萬(wàn)人組成的龐大的艦隊(duì)里面，又沒(méi)有今天的通訊手段，他們用什么方法達(dá)成鄭和的業(yè)務(wù)目標(biāo)的，這件事情至今我們沒(méi)有想明白。但是至少表明了在六百年前鄭和七下西洋的壯舉，彰顯了中國(guó)卓越的風(fēng)險(xiǎn)管理與控制能力。

為了抗擊倭寇明代的天才軍事家戚繼光在海邊修建一座海岸長(zhǎng)城，這是古人為了降低風(fēng)險(xiǎn)所采取的防御措施，那么今天我們IT治理所面臨情況如何呢？

在本次峰會(huì)上中國(guó) IT 治理研究中心主任兼首席專家孫強(qiáng)先生，就中國(guó)目前IT治所處現(xiàn)狀給予了回答：

現(xiàn)狀之一：政府和監(jiān)管機(jī)構(gòu)出臺(tái)大量合規(guī)的法規(guī)和要求，各方都遵從法規(guī)下治理和內(nèi)部控制方面尋找更大的保障。

現(xiàn)狀之二：中國(guó)的政府部門(mén)和企業(yè)的信息化建設(shè)大規(guī)模的進(jìn)行，進(jìn)入到整合應(yīng)用和加強(qiáng)IT運(yùn)維服務(wù)管理為主要特征的運(yùn)行維護(hù)階段，從建設(shè)階段向建設(shè)與應(yīng)用并重以及與應(yīng)用和運(yùn)行維護(hù)主要特征這樣一個(gè)階段轉(zhuǎn)型。

現(xiàn)狀之二：中國(guó)的政府部門(mén)和企業(yè)的信息化建設(shè)正在大規(guī)模進(jìn)入到整合應(yīng)用和加強(qiáng)IT運(yùn)維服務(wù)管理為主要特征的運(yùn)行維護(hù)階段，第二個(gè)現(xiàn)狀就是治理型的運(yùn)維管控體系成為IT服務(wù)管理的發(fā)展趨勢(shì)。治理型的IT服務(wù)管理有以下幾個(gè)特征：

第一個(gè)特征：就是高層參與，高層要意識(shí)到它對(duì)業(yè)務(wù)的可持續(xù)性，IT如何為業(yè)務(wù)交付價(jià)值負(fù)責(zé)任。

第二個(gè)特征：基于IT治理模式?jīng)Q定我們管理的模式，比如這種管理模式有可能是集中的運(yùn)維管理模式。基于這種管理模式會(huì)決定我們的管理體系，比如流程的管理體系、規(guī)章制度的管理體系、績(jī)效的管理體系、運(yùn)維費(fèi)用的管理體系、技術(shù)體系等等。在確定了管理體系之后，才會(huì)確定我們的技術(shù)體系，也就是說(shuō)把以前第一步就做的工作現(xiàn)在放到最后一步。因?yàn)槲覀兇_定技術(shù)選型的方案再確定我們選用哪一家公司的軟件產(chǎn)品。這是IT服務(wù)管理在這個(gè)時(shí)代的顯著的特征。

現(xiàn)狀之三：就是信息化管理機(jī)制問(wèn)題成為制約信息化快速發(fā)展的主要障礙之一。現(xiàn)在我們國(guó)家的信息化建設(shè)工作不是信息技術(shù)和設(shè)備的升級(jí)再造，而是業(yè)務(wù)流程的重組和利益的再分配，這相當(dāng)于我們國(guó)家的行政體制改革一樣，它已經(jīng)進(jìn)入到深水區(qū)，涉及到體制和利益的調(diào)整，制約了一些部門(mén)和崗位的自由載量權(quán)，有些部門(mén)推進(jìn)的積極性不高，造成業(yè)務(wù)與IT兩張皮，使得地區(qū)間、部門(mén)間發(fā)展不均衡，影響了跨部門(mén)、跨地區(qū)應(yīng)用的開(kāi)展。

IT治理面臨的挑戰(zhàn)

在IT治理現(xiàn)狀中看到中國(guó)還處在一個(gè)發(fā)展階段，在本次峰會(huì)上，各位專家也提到了中國(guó)IT治理路上的困難和挑戰(zhàn)：

第一，國(guó)內(nèi)外對(duì)信息資產(chǎn)的監(jiān)管目前沒(méi)有標(biāo)準(zhǔn)，但是對(duì)財(cái)務(wù)的監(jiān)管是有標(biāo)準(zhǔn)的。

第二，在信息化生命周期的最源頭就是IT治理的標(biāo)準(zhǔn)，IT服務(wù)管理的標(biāo)準(zhǔn)有了一個(gè)非常好的全球最佳的ITIL，從最近幾年的發(fā)展勢(shì)頭來(lái)看，在IT服務(wù)領(lǐng)域已經(jīng)處于了絕對(duì)的壟斷地位，在這種情況下，中國(guó)的企業(yè)和中國(guó)的政府部門(mén)需要基于最佳時(shí)間發(fā)展出來(lái)有中國(guó)特色的符合中國(guó)企業(yè)特點(diǎn)的IT服務(wù)管理知識(shí)體系和管理規(guī)范。

以北京市為例，所有的政府機(jī)構(gòu)共有信息化工作人員789人，這些人員當(dāng)中，百分之九十以上的人員對(duì)運(yùn)維的國(guó)際標(biāo)準(zhǔn)，ITIL和ISO20000表示未聽(tīng)說(shuō)過(guò)。從事運(yùn)維的人員基本上都沒(méi)有國(guó)際公認(rèn)的從事運(yùn)維的上崗證書(shū)，就是ITIL的認(rèn)證。百分之七十一的部門(mén)領(lǐng)導(dǎo)認(rèn)為運(yùn)維比建設(shè)更重要，另外一方面懂運(yùn)維的人非常少，全市的運(yùn)維工作大多數(shù)是外部企業(yè)承擔(dān)的，共有130多家，外包的能夠提供運(yùn)維工作的有130多家。提供安全管理工作的有30多家，在所有的運(yùn)維服務(wù)企業(yè)中，僅有一家擁有ISO20000的證書(shū)。百分之八十九的企業(yè)集中提供簡(jiǎn)單的技術(shù)設(shè)備、網(wǎng)絡(luò)和系統(tǒng)的運(yùn)維，這也是一個(gè)很大的挑戰(zhàn)。

目前每個(gè)人都越來(lái)越意識(shí)到運(yùn)維工作的重要性，但是這件事情到底應(yīng)該怎么去干，沒(méi)有知識(shí)體系、沒(méi)有管理規(guī)范去遵循，所以并不知道如何去做？

第三，就是信息化管理的體制和機(jī)制層面的障礙導(dǎo)致了以下問(wèn)題面臨著極大的挑戰(zhàn)：IT戰(zhàn)略與業(yè)務(wù)戰(zhàn)略的融合，IT能力與業(yè)務(wù)價(jià)值去協(xié)調(diào)，從而核心競(jìng)爭(zhēng)力使IT投資獲得最大的回報(bào)。

上述基于IT治理的現(xiàn)狀、挑戰(zhàn)是否真的如孫強(qiáng)先生所言雷聲大雨點(diǎn)小，《I T 經(jīng)理世界》做了一次小型調(diào)查，調(diào)查結(jié)果表明41%的人根本不知道IT 治理，比較了解IT 治理的受訪者不足20%；有60%的人不知道IT 治理和IT 管理之間的區(qū)別；僅有1%的調(diào)查者參與過(guò)IT 治理的實(shí)踐。從調(diào)查報(bào)告中可以看出國(guó)內(nèi)的IT治理之路任重而道遠(yuǎn)。