當(dāng)然良多企業(yè)治理者已發(fā)現(xiàn)安然風(fēng)險(xiǎn)治理的意義，可是并不是所有的風(fēng)險(xiǎn)治理機(jī)制都可以杜盡風(fēng)險(xiǎn)，正相反，一旦引進(jìn)不良的風(fēng)險(xiǎn)措置編制例可能會(huì)使企業(yè)危機(jī)重重。為了更好的理解企業(yè)在安然風(fēng)險(xiǎn)治理方面的誤區(qū)，本文按照CSO們的切身經(jīng)歷總結(jié)了六大年夜掉誤，相信會(huì)給您帶來一些開導(dǎo)。
企業(yè)治理者們深知本身面對(duì)安然風(fēng)險(xiǎn)，但他們常常不清晰這些風(fēng)險(xiǎn)事實(shí)是甚么，或說會(huì)給營業(yè)帶來如何的影響。安然風(fēng)險(xiǎn)治理機(jī)制的感化恰好在于消弭主不雅揣度，幫忙企業(yè)以更明智的編制擬定決定計(jì)劃。正如信息風(fēng)險(xiǎn)闡發(fā)師協(xié)會(huì)(簡稱SIRA)副總裁Jay Jacobs所說，“安然風(fēng)險(xiǎn)治理對(duì)企業(yè)而言只是一種決定計(jì)劃輔助系統(tǒng)，它的存在是為了指導(dǎo)營業(yè)決定計(jì)劃始終保持在準(zhǔn)確軌道之上?！?/P>
遺憾的是，專家們發(fā)現(xiàn)大年夜大都企業(yè)出于善意的盡力都其實(shí)不合適尺度，乃至可能因?yàn)椴涣剂?xí)慣的引進(jìn)而進(jìn)步企業(yè)面對(duì)的風(fēng)險(xiǎn)。
SIRA總裁Jeff Lowder奉告我們，“有一種弊端的不雅念，即安然專業(yè)常識(shí)劃一于風(fēng)險(xiǎn)治理專業(yè)常識(shí)。事實(shí)上，我見過良多自稱風(fēng)險(xiǎn)治理專家的安然手藝人員，但他們底子不具有措置風(fēng)險(xiǎn)治理工作的能力。安然治理與風(fēng)險(xiǎn)治理是兩個(gè)自力的學(xué)科，一般環(huán)境下安然風(fēng)險(xiǎn)治理專家能勝任安然治理工作，但安然治理專家則不克不及勝任風(fēng)險(xiǎn)治理工作?！?/P>
為了更好地輿解企業(yè)在哪些方面犯下過掉，筆者咨詢了幾位業(yè)界專家，探聽他們切身經(jīng)歷過的安然風(fēng)險(xiǎn)治理掉誤?！拔覀冇H眼目擊良多企業(yè)從弊端的角度解纜選擇內(nèi)部安然風(fēng)險(xiǎn)治理框架。如許做還不如拋硬幣來決定，那樣起碼有二分之一的準(zhǔn)確機(jī)率，”Lowder回想道。
下面我們就一路來看看那些最多見的、導(dǎo)致好心辦壞事的風(fēng)險(xiǎn)治理掉誤：
風(fēng)險(xiǎn)治理掉誤一：一切從頭開端？別迷信專家!
良多安然專家都?？茨軓念^開端重塑安然風(fēng)險(xiǎn)治理軌制。
榮幸的是，風(fēng)險(xiǎn)闡發(fā)的根基內(nèi)容已相當(dāng)規(guī)范，此中包含若何收羅專家定見及若何對(duì)沒法肯定的風(fēng)險(xiǎn)模式提出質(zhì)疑等。但是正如Jacobs與Lowder所詮釋，良多人仍然沒成心想到準(zhǔn)確切施才是獲得杰出結(jié)果的關(guān)頭。推倒重來的粗莽方案不但沒能成立起更好的新機(jī)制，反而保留了良多本來就沒法降服的嚴(yán)重錯(cuò)誤謬誤。
“最馳名的治理模式在于遴選幾種仿佛比較首要的‘風(fēng)險(xiǎn)’身分，按照其首要程度進(jìn)行排序并打分，然后經(jīng)由過程根基的推算或矩陣模型推導(dǎo)厥后果，”Jacobs指出。但事實(shí)上，如許的推算成果很可能底子靠不住，除非決定計(jì)劃擬定者具有豐碩的治理經(jīng)驗(yàn)和思疑一切的謹(jǐn)慎立場(chǎng)，不然企業(yè)必定會(huì)由此遭到嚴(yán)重影響。
風(fēng)險(xiǎn)治理掉誤二：照搬審計(jì)部門流程?謹(jǐn)慎雞同鴨講!
作為某家大年夜型企業(yè)運(yùn)營風(fēng)險(xiǎn)及治理事務(wù)主管，Alex Hutton與我們分享了他的經(jīng)驗(yàn)。某些企業(yè)會(huì)照搬審計(jì)部門的運(yùn)作流程，并以此作為安然風(fēng)險(xiǎn)治理打算的骨干，這一樣沒法達(dá)到預(yù)期結(jié)果。
“當(dāng)然二者之間存在類似的地方，但企業(yè)風(fēng)險(xiǎn)治理團(tuán)隊(duì)與審計(jì)部門之間仍然屬于完全不合的角色定位”Hutton指出。審計(jì)部門的存眷重點(diǎn)在于變亂是不是會(huì)導(dǎo)致安然節(jié)制機(jī)制陷進(jìn)癱瘓，而風(fēng)險(xiǎn)治理團(tuán)隊(duì)則需要存眷IT風(fēng)險(xiǎn)的暗藏產(chǎn)生頻度與影響。別的，審計(jì)部門的角色在于幫忙企業(yè)理解節(jié)制機(jī)制的實(shí)施編制，而風(fēng)險(xiǎn)治理團(tuán)隊(duì)則需要決定若何才能讓針對(duì)安然節(jié)制及相干流程的投資達(dá)到抱負(fù)結(jié)果。
“大年夜大都企業(yè)的風(fēng)險(xiǎn)治理打算都沒法實(shí)現(xiàn)這一方針，因?yàn)樗麄儍H僅負(fù)責(zé)履行政策、而沒能幫忙企業(yè)體味哪些節(jié)制機(jī)制有效哪些沒有”Hutton暗示。
“審計(jì)部門本身其實(shí)不必然關(guān)心安然威脅，也不需要操心體味風(fēng)險(xiǎn)陳述與整體狀況。對(duì)威脅、資產(chǎn)、節(jié)制及影響等身分的全局掌控才是風(fēng)險(xiǎn)治理團(tuán)隊(duì)的工作。”Hutton總結(jié)稱。
風(fēng)險(xiǎn)治理掉誤三：誰說沒法將安然風(fēng)險(xiǎn)回結(jié)為數(shù)字?別將準(zhǔn)確與切確混為一談!
良多安然專家都沒法將IT安然風(fēng)險(xiǎn)與縫隙回結(jié)為直不雅數(shù)字。
“我們常常聽到人們埋怨稱本身沒法拿出切確的匯總報(bào)表，或沒有足夠的數(shù)據(jù)來構(gòu)成一份有價(jià)值的評(píng)估材料，”Lowder指出?！八麄兠黠@是把準(zhǔn)確與切確兩個(gè)概念給弄混了。要讓評(píng)估成果切確到必然程度當(dāng)然是想入非非，但我們完全可以給出一個(gè)比較準(zhǔn)確的數(shù)值浮動(dòng)范圍。”
供給具有可把持性的信息，其實(shí)不料味著安然風(fēng)險(xiǎn)治理人員需要對(duì)呈現(xiàn)負(fù)面狀況的可能性做出切確猜想。
“數(shù)字的感化在于準(zhǔn)確指導(dǎo)決定計(jì)劃，從而幫忙企業(yè)獲得較為清晰的進(jìn)步標(biāo)的目標(biāo)，”Lowder暗示。“我們完全可以經(jīng)由過程有力的論據(jù)證實(shí)當(dāng)前機(jī)制產(chǎn)生不測(cè)的概率為60%到90%，如許足矣?！?/P>
風(fēng)險(xiǎn)治理掉誤四：過度夸大年夜風(fēng)險(xiǎn)掛號(hào)冊(cè)的感化!別總盯著百年一遇的風(fēng)險(xiǎn)!
Hutton奉告我們，良多企業(yè)在對(duì)當(dāng)前風(fēng)險(xiǎn)進(jìn)行評(píng)估時(shí)城市執(zhí)著于列出一份包含所有暗藏標(biāo)題問題標(biāo)清單，這就是所謂風(fēng)險(xiǎn)掛號(hào)冊(cè)。
“成立風(fēng)險(xiǎn)掛號(hào)冊(cè)的標(biāo)題問題在于，人們底子不知道應(yīng)當(dāng)記到哪里才算結(jié)束。他們會(huì)不竭發(fā)掘暗藏風(fēng)險(xiǎn)，乃至將那些極其罕有的環(huán)境包含在內(nèi)?？浯簏c(diǎn)說，有些人乃至?xí)扬w機(jī)從屋頂墜進(jìn)數(shù)據(jù)中間這類荒誕的例子作為考量對(duì)象”他無奈地指出。
“可能性極低的環(huán)境當(dāng)然也會(huì)構(gòu)成風(fēng)險(xiǎn)，但我們其實(shí)沒需要把這些千載難逢的局勢(shì)也掛號(hào)起來”他暗示。Hutton建議企業(yè)成立一分安然標(biāo)題問題掛號(hào)冊(cè)，將所有碰著過的不測(cè)環(huán)境列進(jìn)此中，這可以或許加倍真實(shí)地反應(yīng)實(shí)際環(huán)境、同時(shí)幫忙企業(yè)正視那些產(chǎn)生頻率最高的安然風(fēng)險(xiǎn)。
風(fēng)險(xiǎn)治理掉誤五：曲解風(fēng)險(xiǎn)級(jí)別和等第分類：別靠想像來理解風(fēng)險(xiǎn)等第
安然風(fēng)險(xiǎn)治理者們常常將威脅與縫隙以幾項(xiàng)簡單的尺度加以衡量：低、中、高——如許粗放的劃分編制其實(shí)過分兒戲，并且同樣成了激發(fā)故障的導(dǎo)火索。
回根結(jié)底，低、中、高事實(shí)是甚么意思?“這只是三個(gè)量級(jí)，并且沒有任何直不雅表示情勢(shì)，”Lowder評(píng)價(jià)道。
“當(dāng)我們要求大年夜家按照事務(wù)的產(chǎn)生頻率為其進(jìn)行高、中、低尺度界按時(shí)，仿佛沒人能給出準(zhǔn)確的謎底。如許一來，大年夜家對(duì)結(jié)論就只能經(jīng)由過程想象來理解。這的確比硬性定結(jié)論加倍危險(xiǎn)，”Lowder指出。
舉例來講，當(dāng)我們發(fā)現(xiàn)某事務(wù)的產(chǎn)朝氣率為低，有些治理者會(huì)覺得其機(jī)率應(yīng)當(dāng)在10%擺布，但有些則覺得這一門檻應(yīng)當(dāng)是33%?！爱?dāng)然我們沒需要對(duì)數(shù)字過分叫真，但要讓交換能在清晰的根本長進(jìn)行，我們?nèi)允菓?yīng)當(dāng)拿出一些有說服力的數(shù)字”Lowder總結(jié)道。
談到等第分類，Lowder暗示：“這又是一項(xiàng)需要嚴(yán)格杜盡的掉誤。”舉例來講，假定船A最早達(dá)到終點(diǎn)、船B位列第二，船C則最后抵達(dá)，那么僅靠這些信息我們底子沒法獲得三艘船完成比賽的平均時(shí)候。我們所體味的只是船A最快而船C最慢?！斑@也恰是等第分類機(jī)制的最大年夜弱點(diǎn)，僅憑第1、第2、第三或高、中、低這類恍惚的說法底子不足以幫忙企業(yè)進(jìn)行風(fēng)險(xiǎn)評(píng)估。”
等第分類只對(duì)數(shù)值進(jìn)行簡單排序，但對(duì)這些數(shù)值所代表的含義只字不提?！叭缭S的劃分機(jī)制的確毫無用處。甚么高、中、低如許的尺度底子沒法幫忙我們計(jì)較出風(fēng)險(xiǎn)治理身分的具體環(huán)境”Lowder詮釋道。
風(fēng)險(xiǎn)治理掉誤六： 貧乏風(fēng)險(xiǎn)智能打算：隨時(shí)監(jiān)控狀況改變
“這是個(gè)相當(dāng)嚴(yán)重的標(biāo)題問題，”Hutton暗示?！凹俣▽T安然風(fēng)險(xiǎn)按照信息類型分為四種——即威脅、節(jié)制、資產(chǎn)與影響——那么此中任何一項(xiàng)狀況的改變都可能會(huì)給企業(yè)的風(fēng)險(xiǎn)情勢(shì)帶來影響?！边z憾的是，今朝的風(fēng)險(xiǎn)治理尺度還沒有給出一套明白的風(fēng)險(xiǎn)智能打算或功能的首要程度界定。風(fēng)險(xiǎn)治理人員也沒法給出有效的風(fēng)險(xiǎn)智能來歷或?qū)赡苡绊懫髽I(yè)風(fēng)險(xiǎn)情勢(shì)的新信息進(jìn)行準(zhǔn)確措置。
Hutton指出，實(shí)現(xiàn)智能化治理功能的路子比企業(yè)想象的加倍簡單，我們需要做的只是監(jiān)控那些可以或許對(duì)風(fēng)險(xiǎn)產(chǎn)生影響的改變身分。
“舉例來講，一旦進(jìn)侵檢測(cè)/防御方面的專家決定告退，那么這方面的手藝鴻溝一時(shí)之間生怕很難彌補(bǔ)，這就相當(dāng)于增加了企業(yè)的安然風(fēng)險(xiǎn)。與此類似，對(duì)大年夜量采取OSX系統(tǒng)平臺(tái)的企業(yè)而言，該平臺(tái)曝出新型歹意軟件的動(dòng)靜也可能衍生出安然威脅，”Hutton詮釋稱：假定大年夜家不存眷這些改變，也就沒法對(duì)風(fēng)險(xiǎn)進(jìn)行有效節(jié)制。
總之，風(fēng)險(xiǎn)治理工作難度很高，但肆意胡來釀成的后果可能比袖手旁不雅加倍卑劣。“企業(yè)治理者可能會(huì)按照弊端的信息、弊端的流程和弊端的計(jì)較編制擬定決定計(jì)劃，三者連絡(luò)起來必定會(huì)讓最終解決方案變得一塌胡涂，”Jacbos奉告我們。