從一本暢銷書說起
2005年到2006年最具影響力的經(jīng)濟和管理類圖書是哪一本？筆者認為是托馬斯-弗里德曼的《世界是平的》。
在《世界是平的》這本書中，給讀者沖擊最大的就是該書作者弗里德曼總結(jié)出來的碾平世界的十大力量。這十大力量就是：
從弗里德曼總結(jié)的十大力量看，技術(shù)對世界的影響，特別是信息化技術(shù)的影響非常之深刻。其中，Windows操作系統(tǒng)、互聯(lián)網(wǎng)、瀏覽器、BBS論壇、博客、搜索引擎等等通過建立基礎平臺和上傳下達的信息知識渠道，已經(jīng)讓原先可能存在的貿(mào)易壁壘、文化壁壘、地理壁壘等等被越削越平。弗里德曼以印度成為美國的夜間辦公室為例闡述了外包的力量，以中國成為全球制造廠為例闡述了離岸經(jīng)營，將沃爾瑪闡述為一個超級供應鏈擁有者而不僅僅是一個零售商，當然UPS也不僅僅是一個快遞公司而是一個通過內(nèi)包模式經(jīng)營著的供應鏈企業(yè)。在這個過程中，移動技術(shù)、虛擬技術(shù)等也都起著催化劑的作用，助推著碾平世界的力量。這其中，都離不開信息技術(shù)和信息化。
信息化對于當今社會政治、經(jīng)濟、文化等方面的影響如此之大，作為一個現(xiàn)代企業(yè)，走上信息化之路可以說是必然的趨勢和不得不作的選擇。
當然，信息化不僅僅帶來了新的業(yè)務機會和挑戰(zhàn)，同時也帶來了很多我們不太喜歡的副產(chǎn)物。比如，讓家長們頭痛的孩子們難以戒掉的網(wǎng)游癮；再比如，全球都難以根治的網(wǎng)上色情；以及借助信息技術(shù)和網(wǎng)絡開展的犯罪行為等。信息化也是一把雙刃劍，在應用信息化來創(chuàng)造效益的同時，也要防止信息化給我們帶來危害。
面向企業(yè)業(yè)務，從風險防范到風險經(jīng)營
隨著現(xiàn)代企業(yè)管理制度在國內(nèi)企業(yè)中逐步完善，企業(yè)管理中各種先進的方法都得到了廣泛的應用，其中一個很重要的方法是“風險管理”。
幾乎，在所有的管理方法中，也都會包含“風險管理”這一環(huán)節(jié)。比如，在美國項目管理協(xié)會PMI的項目管理方法論中的9大要素中，有一個就是風險管理。再比如，發(fā)源于惠普公司的企業(yè)計劃十步方法中，其中的第八步就是“潛在問題和風險分析及運用”?？傮w來說，常說的風險都是一個負面的詞匯。而隨著大家對于風險的認識越來越深入，對于風險的理解也越來越全面。
2006年6月6日，國務院國有資產(chǎn)監(jiān)督管理委員會印發(fā)了《中央企業(yè)全面風險管理指引》（以下簡稱《指引》），指出企業(yè)全面風險管理是一項十分重要的工作，關(guān)系到國有資產(chǎn)保值增值和企業(yè)持續(xù)、健康、穩(wěn)定發(fā)展。并期望通過《指引》指導企業(yè)開展全面風險管理工作，進一步提高企業(yè)管理水平，增強企業(yè)競爭力，促進企業(yè)穩(wěn)步發(fā)展。
在《指引》的第三條，就旗幟鮮明地提出了對于風險的認識：
“第三條 本指引所稱企業(yè)風險，指未來的不確定性對企業(yè)實現(xiàn)其經(jīng)營目標的影響。企業(yè)風險一般可分為戰(zhàn)略風險、財務風險、市場風險、運營風險、法律風險等；也可以能否為企業(yè)帶來盈利等機會為標志，將風險分為純粹風險(只有帶來損失一種可能性)和機會風險(帶來損失和盈利的可能性并存)。”
這一條非常清楚地指出，從企業(yè)經(jīng)營者的角度看，不僅僅“可能遭到一些破壞”是我們所稱的風險，而“可能不能達到預期的經(jīng)營目標”也同樣是風險。當然，從正向的角度看，“可能超出預期的經(jīng)營指標”也是作為管理者需要關(guān)注的機會風險。
在這樣的形勢下，企業(yè)經(jīng)營者應當怎么做呢？就像《指引》第四條所說的那樣：
“第四條 本指引所稱全面風險管理，指企業(yè)圍繞總體經(jīng)營目標，通過在企業(yè)管理的各個環(huán)節(jié)和經(jīng)營過程中執(zhí)行風險管理的基本流程，培育良好的風險管理文化，建立健全全面風險管理體系，包括風險管理策略、風險理財措施、風險管理的組織職能體系、風險管理信息系統(tǒng)和內(nèi)部控制系統(tǒng)，從而為實現(xiàn)風險管理的總體目標提供合理保證的過程和方法?！?/EM>
按照這個大思路，全面風險管理就是讓企業(yè)從簡單的風險防范逐步向全面的風險經(jīng)營過渡，讓風險的意識和管理方法能夠貫徹到整個的企業(yè)組織中，讓風險管理的流程在組織中貫通，讓風險管理的工具和基礎設施能夠被有效地部署。當然，在向風險經(jīng)營過渡的過程中，做好全面的風險防范工作是必須的基礎。
不管從風險防范的角度看，還是從風險經(jīng)營的角度看，風險所針對的都是企業(yè)的業(yè)務。風險管理工作必須從業(yè)務風險出發(fā)，才能真正切合企業(yè)的需要。
從企業(yè)業(yè)務出發(fā)的信息化風險
信息化是企業(yè)一定要做的，而且已經(jīng)是正在進行的一項業(yè)務活動。那么信息化必然圍繞著企業(yè)風險有其突出表現(xiàn)。
1. 信息化風險是業(yè)務風險的組成部分
現(xiàn)在，很多行業(yè)中，信息系統(tǒng)和信息技術(shù)應用已經(jīng)成為了業(yè)務不可分割的部分。比如，電信運營商行業(yè)完全就是在經(jīng)營一個信息網(wǎng)絡及其上的增值服務。再比如，我國的商業(yè)銀行的日常業(yè)務已經(jīng)完全依賴信息系統(tǒng)和網(wǎng)絡才能展開，而且伴隨加入WTO后我國銀行業(yè)保護期的結(jié)束，信息化也將是中資銀行應對國外金融大鱷進攻的有力武器。大型的制造企業(yè)、資源型企業(yè)和物流企業(yè)等等，都在紛紛建設ERP系統(tǒng)以提高整體的運營效率和效果。
企業(yè)對于信息系統(tǒng)的依賴度越來越高。這個時候，信息系統(tǒng)本身所可能產(chǎn)生的信息風險，就會直接或間接地導致依賴于這些信息系統(tǒng)的業(yè)務產(chǎn)生風險。一個依賴于信息系統(tǒng)的資源調(diào)撥系統(tǒng)，在系統(tǒng)出現(xiàn)故障的時候，所有貨車可能就要停在倉庫前等待信息了；一個依靠無線網(wǎng)絡作為調(diào)度基礎平臺的港口，在網(wǎng)絡病毒泛濫的時候，可能整個港口的裝卸工作就要停頓了。
所以說，信息化風險是業(yè)務風險的組成部分。如果從《指引》第四條所闡述的戰(zhàn)略風險、財務風險、市場風險、運營風險和法律風險中看，信息系統(tǒng)的風險應當直接歸類到運營風險中。另外一個可以參考的例子就是國際上針對銀行業(yè)的新《巴塞爾資本協(xié)議》，其中將銀行的風險分為信用風險、市場風險和操作風險，而信息風險就在操作風險中體現(xiàn)。
2. 信息化是威脅的一種渠道
在一般的風險管理中，常常將威脅闡述為風險產(chǎn)生的外因。在全世界第一個風險管理標準——澳大利亞標準AS/NZS4360《風險管理》中，就提出評估風險主要是評估威脅和評估資產(chǎn)影響。
在大規(guī)模應用信息系統(tǒng)之前，威脅企業(yè)業(yè)務的方式主要在市場上（也就是交易過程和環(huán)境中）、組織上（比如人員流失）、物理環(huán)境上（比如自然災害）等等。而現(xiàn)在由于信息系統(tǒng)的廣泛應用，威脅企業(yè)核心業(yè)務的一個有效方式可以通過對信息系統(tǒng)的破壞來實現(xiàn)，比如：病毒傳播泛濫、通過網(wǎng)上滲透偷竊敏感資料、內(nèi)部人員通過郵件泄露核心機密等等。
3. 信息化具有放大作用
當今的信息系統(tǒng)已經(jīng)被網(wǎng)絡連接成一個大系統(tǒng)，一個大網(wǎng)。信息系統(tǒng)能夠為我們的業(yè)務能力產(chǎn)生放大效應應當不用多說，另一方面，信息系統(tǒng)也是負面作用的放大器。比如，一個學校食堂的衛(wèi)生事件，可能由于學生們在校內(nèi)論壇的傳播迅速成為學校內(nèi)的大事，再借由學生們的個人博客，媒體的推波助瀾，迅速借助互聯(lián)網(wǎng)和傳統(tǒng)媒體而成為一個社會事件。這種現(xiàn)象已經(jīng)不是奇聞了。
在業(yè)務風險管理，特別是信息風險管理的過程中要充分認識這種特點。
4. 信息化是控制風險的有效手段和必要工具
當然，信息系統(tǒng)和信息技術(shù)應用不僅僅可能帶來新的風險，另一方面，也能夠幫助我們控制風險。在《指引》中的第八章，就特意用相當?shù)钠鶎ｉT闡述“風險管理信息系統(tǒng)”。
現(xiàn)今，信息系統(tǒng)可以讓我們盡快地掌握企業(yè)各個環(huán)節(jié)的風險苗頭，通過網(wǎng)絡將風險數(shù)據(jù)收集在一起，進行綜合分析和數(shù)據(jù)挖掘。在國外的一些先進的商業(yè)銀行，當你向行長詢問銀行的風險狀況的時候，他會立刻打開桌上的電腦，給你展示由“集中風險監(jiān)控系統(tǒng)”顯示出來的風險分布圖、當前熱點風險事件等等。這樣的工具對于企業(yè)經(jīng)營者的感知和決策是非常非常重要的。在關(guān)鍵時刻，甚至于可以說是生死攸關(guān)的。
信息系統(tǒng)不僅僅可以成為一個風險監(jiān)控系統(tǒng)，也同樣可以成為一個風險應對和響應的支撐工具和平臺?，F(xiàn)在，在一些先進城市正在建設的公共事件應急響應平臺中，信息系統(tǒng)就是和交通、通信等系統(tǒng)一樣的關(guān)鍵基礎設施。
5. 信息風險管理的融合
總之，信息風險應當成為企業(yè)經(jīng)營者重點關(guān)注的風險之一。為了實現(xiàn)信息風險管理和業(yè)務風險管理的融合，一個最徹底的方式就是在組織上的保證。比如：世界十大銀行之一的瑞士聯(lián)合銀行，就設立了一個高管職位“首席風險官”。而首席風險官下屬的組織體系中，就有專門的高級管理人員和部門負責信息風險。
信息安全產(chǎn)業(yè)的支持
信息風險管理從根本方法上和業(yè)務風險管理是一致的。在風險管理中，只要抓住“資產(chǎn)—業(yè)務、威脅、防護措施”這三大要素，就抓住了風險管理的實質(zhì)，也就抓住了零亂的風險管理線索中的線頭。
當然，信息風險管理由于具備相當?shù)膶I(yè)性，和一般的風險管理還是有一定差異，這個專業(yè)性就是“信息安全”，也常常稱為網(wǎng)絡安全，《指引》中也同樣提到了這一點。信息安全風險管理的一些特殊性，可以簡單地用下面這個信息安全保障總體框架圖來表達：
當前已經(jīng)相當成熟的信息安全產(chǎn)品、服務和平臺都可以對應到這個框架中。信息安全產(chǎn)品如：防火墻、入侵檢測、漏洞掃描、防病毒、加密、身份認證、業(yè)務審計、存儲備份等等；信息安全服務如：系統(tǒng)風險評估和加固、信息安全管理體系咨詢服務、應急服務、安全事件監(jiān)控服務等等；信息安全平臺如：風險監(jiān)控平臺、綜合審計平臺、應急響應支撐平臺、集中身份認證平臺等等。
可喜的是，我國信息安全產(chǎn)業(yè)已經(jīng)經(jīng)歷了10年的發(fā)展歷程，在很多關(guān)鍵技術(shù)和管理領域掌握了核心能力，可以成為支撐我國國有大中型企業(yè)信息安全風險管理工作的主力軍。
相信，在黨中央的正確領導下，在國資委《中央企業(yè)全面風險管理指引》的推動下，在國內(nèi)信息安全產(chǎn)業(yè)的支持下，在各大企業(yè)經(jīng)營者的重視和落實下，我國大中型國有企業(yè)的全面風險管理工作一定可以取得卓有成效的成績，進而穩(wěn)步推動企業(yè)持續(xù)、健康、穩(wěn)定發(fā)展，使得國有大中型企業(yè)成為構(gòu)建和諧社會的最牢固基石。
