《企业风险管理模型》由会员分享，可在线阅读，更多相关《企业风险管理模型（25页珍藏版）》请在金锄头文库上搜索。
1、February 2002休斯顿大学 信息系统研究中心Dan Starta (Dan.StartaATKearney.Com)企业风险管理模型2执行者的概括n最近恐怖分子对美国的袭击目标已经转向了商业和IT管理者、风险管理 和灾难恢复等问题引起人们的关注 灾难和安全事件对财政的影响每年高达数十亿美元，影响的范围波 及到90%的企业 商业连贯与安全组织BC&S（Business Continuity and Security) 将继续作为 一个能预测未来的管理者发挥着自己的作用n绝大多数企业已经投资于BC&S 并将专注于如何提高该领域中所用的资 金数额 预期的投资额将是2002年到2005年间投
2、资额的3倍nStrategic BC&S的战略规划将使组织能避免开销过大的灾难，从而保护业 务和潜在的新资源的商业价值 BC&S应该成为一个业务的使能原动力，而IT只是解决方案的一个组 成部分 适应BC&S的企业将使其被关键资产和核心业务得到保护 就象BC&S目前所增长的开销一样明智的投资能在降低成本的同 时提高企业对业务关键方面的保护 更新的BC&S将能加速新技术的开发，使其对潜在的企业运作、客户 和股东产生附加的价值3今日主题n风险的概括n业务连贯性与安全规划n规划的价值所在n方法4风险的概括5世界正在日新月异地发生着改变，新生的难以预料的 各种风险在业务和技术领域层出不穷。国家人口商业
3、人口的增长 城市区域内人 口的不断增长 越来越便捷的 旅行使世界越 来越小 全球化程度的 不断提高 因商业分类的 趋势而愈演愈 列的商业合并 风潮 (Wal-Mart & Home Depot) 全球化趋势的演化(联合国与WTO) 自由贸易区(WTO, NAFTA & EU)6在过去十年里，商业风险已经发生了巨大改变19001850 时间 (not to scale)19501970199020001980商业气候技术普及政治、经济 的动荡自然灾害生物技术全球变暖造成的气候 变化全球自由贸易区 WTO, NAFTA, EU)日益提高的专业 化程度第一台商用电脑的 出现冷战的结束生物技术的出现恐
4、怖分子开始使用 生化武器工业化的进程使人 口密度越来越大越来越频繁的气候现象： 地震、洪水、飓风和厄尔尼诺 现象等规模经济开始通过高效的 制造流程得以实现Internet的出现使 人们之间的沟通 更便捷第2世界和第 三世界的政治 动荡独立的更严 峻的风险新风险更大更专业 化的目标信息目标对未知领域 的恐慌71997年-2001年间统计的电脑被袭击事件数据来源: 计算机安全学会（Computer Security Institute）外国政府外国企业美国企业黑客内部人士百分比8以下是因计算机病毒引起的世界范围内的经济损失统计资料来源: Richard Power, Tangled Web1990
5、 “业路撒冷”病毒1995 “概念”病毒1999 “Melissa”病毒2000 “Love Bug”病毒单位：百万美元9大多数美国公民认为美国的企业都过分相信自己 的商品是坚不可摧的。美国的企业真的足够强大吗?肯定 63%否定 30%弃权 7%资料来源: ABC News10绝大多数企业都很可能被列入毁灭性打击的目标基础架构石油& 汽油 电信 交通设施核心流程汽车 消费品 医疗卫生 高科技 医药 加工业 可视化娱乐业 游戏 休闲 媒体 体育属性 是经济的基础， 如果受到毁灭性打 击，那么整个国家 将限于瘫痪属性 GDP的关键所在 与经济的其他方面 联系紧密属性 高度的可视性和交 互性，与商业
6、和消 费者息息相关 涉及到消费者的安 全，所以风险最大可能遭受毁灭打击企业的要害11商业连贯性与安全规划就是要对上述存在的各种威胁、影响作出 预案，即便及时应对。威胁潜在影响反应灾难网络操作规则客户需求股票的价值成本的增加 利润的降低新机遇的出现商业连贯性与安全规划化减缓风险时间恢复成本管理新机遇12业务连贯性与安全规划13业务连贯性与协作安全问题的妥善解决对保护企业运 作、资产和维持企业处于某个级别都是很有益的。n操作 保证连贯性的关键操作 服务的最小化 确保服务中断后能重新 恢复n资产 保护信息资产 将财务损失降至最低 降低风险 确保职员安全n级别 维持住大众客户 保持客户对企业的信心业务
7、连贯性 “业务的连贯性”是指：事先安排好的处 理过程与企业处理实际的具体事务时 能以一种关键业务功能不被打断和改 变的连续一致方式来处理。协作安全 对企业中那些在关键操作中起作用的 物质资产和潜在资产实施保护措施， 将其面临的威胁降到最低。定义目标14从技术层面分析，合作和运作方面的融合已经在不断增加， 所以业务所承担的失败风险也越来越引起关注。 传统的业务操作已经 越来越复杂，越来越 有可能失败 系统保护已经十分典 型地不能与业务的关 键性保持步调一致了 企业与外界的连通性 和设备方面的不断深 入使企业很容易遭受 破坏供应商r 合作商销售仓储获取t商品条目 系统仓储&物流销售系统基础架构We
8、b 接入POS 设备便携 设备业务运作模型培训中心法律l关键管理财务人力资源客户15当前的威胁和将来发展的趋势越来越使人们专注于如 何制定保证企业健壮性的业务连贯性规划上来。典型威胁n自然灾害 火灾 洪水 台风 飓风 地震 雪灾n人祸 黑客 病毒 数据不一致性 数字签名 非法获取数据 恐怖主义袭击重大发展趋势n扩展企业的不断发展n企业间的兼并、破产 与重组n全球化趋势的加剧n对信息越来越依赖n技术的普及nInternet的普遍接入n电子商务的不断完善 与环境的日趋规范n客户自我服务意识的 提高16业务领导和IT管理人员已经重新把注意力集中于业务的连 贯性、风险管理和灾难恢复等问题方面。n有超过
9、 90% 的企业受到过袭击 金融灾难和安全性事件给企业运作带来树 十亿美元的损失n绝大多数企业已经不在徘徊 很多企业在未来几年的预算中附加了提高 企业抵抗灾害能力的资金。n投资将是 2000年到2005年间预算的3倍17业务连贯性与协作安全问题的解决应该重点从下列问 题着手：n风险与保护措施 我的企业是否面临风险？它们存在于哪里？ 在我所面临的风险中我的合作商和客户是否也存在问 题? 我该怎样才能保护自己的业务? 要做到怎样的程度才算是保护了自己的企业了呢?n成本 当我停止开销后所需的成本是多少?n生存 如果遇到破坏，我的企业如何继续运作下去?如何幸存 下来呢? 遇到破坏该如何应对呢?18规划
10、的价值所在19BC&SP的一个基本主题就是了解成本、可能出现的 破坏及其对业务的影响之间的关系。事件保护方面的投资恢复成本常规操作恢复操作破坏发生的 可能性 数量级 预防 / 准备措施 计划与应对预案 保护范围 开销的增加 恢复措施 所用时间 恢复范围 危机管理 风险/影响 服务需求业务影响 利润的损失 客户/合作商的信任度是否受影响 法律/法规20通过联合来避免风险，或者是通过预案等准备措 施来降低企业的风险。对业务 的影响风险的可能性通过在破坏事件中提供 提供恢复操作来减少企 业所受的影响通过提高预防措施 和冗余手段来降低 风险预防准备风险高风险的 高影响21从业务连贯性与协作安全规划中获
11、得价值的关键：n制定计划并通过变革来实施该计划 没有认真审视的规划有40%会立即失败，而它们在5年内的成活率 只有 8% 网络犯罪是过去四年里增长最快的6个因素之一n在关键领域预防和减轻问题的严重性 在心中设计好遭受灾难时业务操作 在任何适合的情况下制定出可选的措施n提高企业的应变、预防能力 要求人们在有失败迹象出现时，必须能有效地团结组织起来 要有意识培训人们能够有一定的应变能力 规划的制定和危机管理要做在最前面 通过沟通和高层管理来确保这些关键因素22方法23我们所提供的方法检测了风险中的关键要素，同时也评价了 业务连贯性中要权衡的方法与准备性之间的关系。业务连贯性程序管理 风险及其对业务
12、影响 的分析制定规划扩展企业的准备措施安全规划评价业务连贯性和恰当 投资的价值为准备措施和变革制定可操作的有 序的方法规划的批准规划的实施规划的测试规划的发布24一个最初的评价将最终通过企业领导对业务连贯性和安全性 方面的战略价值的理解程度来体现。当前准备就绪对关键业务流程 的优化义务 & 从属关 系对关键业务流程 的风险管理任务业务影响分析可选的解决方案解决方案策略报告 重新审视业务现有 的连贯性规划 评价现有规划 最初的决策 将战略中优先的 东西映射到具体 的业务流程中 确定关键流程的 任务 划分关键流程的 优先顺序 决定出构成要素 和依赖条件 评价业务中所 射击的客户、 合作商和供应 商
13、 重新审视现有 和协议 考虑法规方面 的要求 明确风险的因素 评估出奉贤对企业 的影响战略优先关系 管理层 / 领导能力风险及其对企业的影响分析 (6-8周时间完成) 定量地分析所 造成的 相互见的依赖 性 区分影响的轻 重缓急程度和 造成的后果 明确保证连贯性的 可选的各种方法 评估这些方法的战 略价值 当前哪些工作已经 就绪 未来情况如何 业务案例 建议的提高 得到所需的连贯性 规划25业务与技术资源的混合是BC&SP 中满足业务价值需要的产 物，是一种提高了的方法。n驱动业务保持连贯性并安全的方法n策略、操作与技术经验的结合n对欺诈、安全、隐私和风险管理领域的进一步探索n在任何开始改变的时候就采用生命周期的方法来保护企业免受危害n将业务连贯性嵌入在新流程和技术设计之中综合考虑业务连贯性程序管理制定规划扩展企业的准备措施安全规划规划的实施规划的测试业务的焦点技术方面的焦点风险及其对业务影 响的分析
