見微知著-未雨綢繆——淺析信息系統(tǒng)項目的風險管理

見微知著，未雨綢繆淺析信息系統(tǒng)項目的風險管理“故圣人見微知著，睹始知終?！?漢·袁康越絕書·越絕德序外傳縮水的IT預算金融風暴的余威仍在，經濟衰退還在由金融行業(yè)向傳統(tǒng)行業(yè)漫延，企業(yè)面臨的經濟形勢和生存壓力正前所未有的嚴峻。幾乎是一夜之間，各家企業(yè)忽然意識到，是時候壓縮開支準備過冬了，甚至做好了“冬眠”的打算。在09年初各家企業(yè)的年度預算中，老板們有志一同的把目光瞄向了IT預算，一改往日的豪爽，開始“算計”著度日。在年景豐裕時，連年上漲的IT支出是可以令老板臉上貼金的投資。IT投入啊，多么高精尖的領域，投入越多越顯得老板高瞻遠矚遠見卓識。而到了年景堪憂時，IT預算卻一下子成了老板眼中急待瘦身的可壓縮性支出。這個時候還往無底洞里砸錢?也太不懂得輕重緩急艱苦樸素了!如此這般的“隨行就市”，致使IT投資成為企業(yè)在危機環(huán)境下最早被削減、同時也是縮水幅度最大的一項開支，也給負責信息化建設的CIO們出了一道難題。以往財大氣粗的CIO們突然搖身一變，成了捉襟見肘的小媳婦，兜里沒錢，活要照干!IT系統(tǒng)支撐著企業(yè)運營，一刻也耽誤不得，硬件要維護，軟件要升級，還有早就定好的IT規(guī)劃擺在那里，若干個新系統(tǒng)排著隊等待選型和實施，卻突然遭遇預算縮水唉，巧婦難為啊!IT風險好好管危機當前見仁見智，在IT系統(tǒng)已經全面融入企業(yè)運營的今天，盲目的削減合理的IT投入并非明智之舉。越是嚴峻的經濟形勢，市場競爭越是激烈，企業(yè)生存越要依靠信息系統(tǒng)來增強運營效率，降低管理成本和生產成本，提高滿足客戶需求的能力，增強適應市場的能力，成為許多有遠見的企業(yè)在經濟寒冬里的選擇。但是，畢竟今時不同往日，危機之下，企業(yè)對風險的耐受性更差，抗風險能力也更低，對企業(yè)經營決策的正確性和時效性要求更高，哪怕只有一點點的偏頗和失當，都可能引起不可挽回的后果。危機環(huán)境下的信息化建設，也因此而具有了一些新的、特定的、不容忽視的特點，尤其是那些大型的信息系統(tǒng)項目，因為投資規(guī)模大、功能復雜、用戶眾多，并且很多系統(tǒng)還涉及到了業(yè)務流程的重整和優(yōu)化，建設和實施的難度和風險更高，對實施者的業(yè)務素質和風險管理水平提出了更高的要求。信息系統(tǒng)建設要在當前的危機之下取得成功，必須加強項目的風險管理和控制。項目預算緊張、環(huán)境變化劇烈、業(yè)務流程不穩(wěn)，都增加了項目實施過程中的風險系數，而確保項目成功的重要保障，就是盡量降低項目實施的風險，避免風險的發(fā)生，如履薄冰的企業(yè)已經承受不起任何一次IT投資失誤的后果。因此，高風險的經濟環(huán)境下，如何加強信息系統(tǒng)項目，尤其是大型項目的風險管理，成為所有信息化工作者關注的共同話題。穩(wěn)扎穩(wěn)打降風險21世紀的商業(yè)環(huán)境，風險無處不在，沒有任何一個項目的負責人敢說自己的項目不會遇到任何風險。千錘百煉的墨菲定律明確的告訴我們，只要有變壞的可能，無論可能性多么的小，總是會發(fā)生。當然，墨菲的存在并不代表我們要對現(xiàn)實悲觀失望，它的作用在于承認風險的存在，并且不會目空一切的輕視它們。對待風險，我們同樣要學習李冰治水的經驗：疏堵結合，因勢利導。對信息化建設的項目來說，風險管理的本質是見微知著在風險成為危機之前，消滅其于萌芽當中;也是未雨綢繆在風險發(fā)生之前，準備好應對之策。只有穩(wěn)扎穩(wěn)打的做好風險管理的每一步，才能使項目的風險可控，贏得從容應對風險的時間，把損失降到可以承受的范圍之內。第一步，提高認識正確認識項目可能遇到的各種風險，是加強項目風險管理的基礎，是制定風險應對預案的基礎，是及時預警風險信號的基礎。既然是基礎，其重要性也就不言而喻，然而真正能夠做到這一點的卻并不多。許多項目經理的風險管理計劃完全是敷衍了事既然有風險列表可以參考，那么隨便選出三五個風險因素，然后照抄一下以往的應對措施，再隨意琢磨出幾個概率和強度，一份有模有樣的風險管理計劃就新鮮出爐了。至于如此一份“因繁就簡”的風險管理計劃，對防范和應對當前項目中可能遇到的風險到底有多大的用處，就可想而知了。所以，只有當組織的所有成員都誠懇的意識到風險的破壞性和風險管理的迫切性，從思想上充分重視項目風險的識別、監(jiān)控和應對，風險管理才可能發(fā)揮其應有的作用，成為促進信息化項目成功的重要保障。第二步，有備無患實施風險管理的第一步是風險識別。項目經理要在制定項目計劃的同時，制定出風險管理計劃，根據項目的特點，明確在項目進程中可能遇到的風險，并對不同的風險內容分別制定可行的應對策略。風險的識別有很多種方法，信息化項目中最常用的是風險列表分析法。具體的作法可以是，組織把以往項目中曾經發(fā)生過的風險整理到一起，并按照項目的類型、規(guī)模和特點進行分類，分別編制成適用于不同種類項目的風險列表，供項目組評估和分析當前項目所面臨的風險時使用。當然，這個列表不應該限制項目經理發(fā)現(xiàn)項目中新的風險，而只是讓項目的風險識別有的放矢，讓組織的歷史經驗得到重用。信息化項目當中，不斷積累起來的項目經驗和組織過程資產，是保證新項目順利執(zhí)行的寶貴資產。無論是整理出來的風險識別列表，還是以往曾經采取的處理方法，或是各種不同方法的實施效果，對于新的項目來說都是極珍貴的參考資料，對整個項目的風險管理更是意義非凡。無論采用何種方法，準確的識別出當前項目的風險，是有效管理項目風險的前提，也是后續(xù)各步驟的基礎。第三步，精確度量每種風險發(fā)生的概率和造成的損害各不相同。一個項目需要關注的東西很多，不可能對每一個風險都給予同等的注意，必然會對發(fā)生概率高、危害大的風險投入更多的關注。這樣就帶來了一個問題，如何才能確定某個風險發(fā)生的概率和強度?關于風險發(fā)生的概率，可以通過歷史數據的分析來獲得。對歷史項目中這類風險發(fā)生的頻度進行統(tǒng)計，可以大致估算出這類風險發(fā)生的概率，當然，在評估具體項目中某個風險的概率時，也要考慮到該項目的特點，只有對具有可比性的項目數據進行統(tǒng)計，才會對風險的概率度量有所幫助。風險的強度系數，主要依靠對假設的風險發(fā)生狀態(tài)下，可能會給組織造成的直接損失和間接損失。對信息化項目來說，最常用的衡量損失的指標就是進度和質量，這是最直接的損失，當然還會有間接的比如滿意度等方面的損失。無論是概率系數還是強度系數，都是為了衡量某個風險的重要性服務的，并不要求絕對精確，只要能夠找到項目中最可能發(fā)生的、危害程度最大的風險，并加以重點防范，以避免給項目造成重大損失。第四步，重點監(jiān)控羅馬不是一天建成的，風險也不是突然出現(xiàn)的。在風險演化為后果嚴重的危機之前，總會有蛛絲馬跡可尋，風險監(jiān)控的意義就在于此。只要我們足夠的細心，給予足夠的重視，很多情況下是可以化危機于無形的，或者，至少可以降低所造成的危害。前面幾步明確了風險的內容、概率和強度，接下來我們需要對優(yōu)先級最高的風險進行重點監(jiān)控，把有限的精力放在最有價值的工作上。信息化建設的項目有許多信息和指標反映項目的進展狀態(tài)，比如項目進度是否落后，項目質量是否波動，需求是否又有變動，功能點完成了多少?項目的風險管理者(比如項目經理、項目度量員等角色)應該時刻關注這些項目信息，并從各種狀態(tài)評估報告、項目進展報告等文件中收集所需的信息，利用這些信息拼湊成一幅完整的項目現(xiàn)狀圖。掌握了全面的項目狀態(tài)信息之后，風險管理者需要根據風險管理計劃中提供的風險列表，對其中的異常信息進行重點分析，及時發(fā)出風險預警，提醒項目組成員確認風險并采取相關的風險應對措施，達到風險管理的目標。防微杜漸是風險監(jiān)控的目的，見微知著是風險監(jiān)控的原則，無論計劃制定的多么完美，沒有及時準確的風險監(jiān)控和預警體系，項目的風險管理就實實在在的成了一句空話。第五步，沉著應對最可怕的不是風險本身，而是當風險成為事實后的驚慌失措。既然墨菲存在，那么風險變?yōu)楝F(xiàn)實也就沒什么好奇怪的，重點是我們應該怎樣面對已成事實的風險，怎樣努力降低風險造成的損失。如果我們認真做到了前面的幾個步驟，那么即使風險真的發(fā)生，其嚴重程度也不會太離譜，因為早在風險萌芽之初，已經采取了預防措施。但如果很不幸的，風險來得異乎尋常的猛烈，或者預防措施效果不佳，也沒有必要驚慌，還有計劃中的應急預案可以幫我們度過難關。如果更加不幸的，遍尋不到可用的應對預案，那么我們只好檢討制定風險管理計劃時敷衍了事了。風險處理的方法有很多種。比如“躲避風險”，采取其它途徑繞開遭遇風險的環(huán)節(jié)，當然這是一種消極的應對策略，很可能由于采用了計劃外的方法而引入新的風險。還有“承擔風險”，當發(fā)生風險的環(huán)節(jié)無法規(guī)避，那么只有硬著頭皮上了，當然，這么做的前提是損失在項目可以承受的范圍內，或者不這么做就會引起更大損失的情況下，不得已而為之。最后，“轉嫁風險”也是一種手段，把風險轉移給其它組織或個人，避免自己的損失，只不過這種自掃門前雪的做法，未免有些不厚道。風險應對是當所有預防措施失效之后才采取的，是項目的風險管理計劃中的最后一道防線，通過措施得力的風險應對，可以盡量降低風險所造成的損失，避免遭遇致命性的打擊，提高風險過后的恢復能力。提升抗風險系數單個項目的成功并不代表所有項目都會成功，即使在同一組織內，也會有成功和失敗的項目同在。但是，當組織的項目管理水平得到提升后，組織所承擔的項目成功率就會得到提升，項目的結果變得可以預期。同樣，對于項目的風險管理的成功，除了需要項目組成員的努力之外，也需要提高組織的風險管理水平，使整個組織的抗風險系數得到提升，增加項目的整體成功概率。提高組織的風險管理水平，可以從以下這幾個方面加以嘗試。首先，提高組織成員對風險管理的重視程度思想決定行為。只有讓組織成員清醒的認識到缺乏管理的風險和可能給項目造成怎樣不可挽回的損失，提高他們的風險管理意識，才能從思想上接受項目風險管理的必要性，進而從行動上支持風險管理的活動。沒有思想上的接受，即使被分派了風險管理的任務，也可能敷衍了事，無法取得預期的效果。其次，制定完備的風險管理制度制度是保證組織行為穩(wěn)定和可預見的前提。風險管理作為一項重要和復雜的項目管理任務，只靠個人的熱情和某個項目組的努力是不夠的，組織必須制定出清晰完備的制度，來保證風險管理的過程可監(jiān)控、可預測、可管理。有了可遵循的制度，風險管理的行為就會變成組織的標準行為，收到效果顯著而且穩(wěn)定的成效。再次，建立完善的人員配備組織的行為是通過合理的角色分配和完善的組織架構來保障的。良好的風險管理需要全面的信息，也需要合適的人員。例如準確度量風險、分析項目信息、及時發(fā)出預警等任務，都需要有能力、有經驗的風險管理人員來承擔。沒有合理的角色分配和組織架構，組織的風險管理水平是無法得到保證的。最后，積累有價值的過程資產只有積累下來的才是可用的。每個項目都會面臨不同類型的風險，每個風險都會有不同形式的表現(xiàn)，每次處理都會有不同程度的效果，只有當這些流水般的經驗在組織里積累和沉淀下來，才能成為有用的組織知識，為以后的項目提供寶貴的風險管理經驗。當組織慢慢的積累了足夠的風險管理經驗，制定了完備的風險管理制度，配備了恰當的風險管理人員，具備了充分的風險管理意識，組織的風險管理水平也就達到了一個新的臺階。