引言：
個人從事IT行業(yè)多年，早期作開發(fā)工作，后來做ERP實施，負責完成了多個大型企業(yè)的ERP項目，目前轉入到甲方單位做些項目管理的工作。在長期的軟件項目工作經(jīng)歷中，接觸到的客戶中或多或少的表現(xiàn)出對信息系統(tǒng)風險的錯誤認識，存在誤解的既有企業(yè)的普通員工，也有企業(yè)領導。
信息系統(tǒng)的風險和系統(tǒng)的應用是伴生的，風險是永遠客觀存在的，怎樣防范風險、怎樣控制風險，這是企業(yè)信息化建設過程中必須應對的問題。本文中結合我個人從事IT行業(yè)的經(jīng)歷和經(jīng)驗，面向即將實施信息系統(tǒng)或已經(jīng)建設了信息系統(tǒng)的企業(yè)，對信息系統(tǒng)風險管理中的問題提出我的觀點和相應的解決辦法。
正文：
當前各個行業(yè)的企業(yè)內(nèi)部各項信息化工作開展的如火如荼，ERP、電子商務、CRM，建設工作由點到面，從業(yè)務運營到企業(yè)管理、從單一應用到綜合治理，在企業(yè)內(nèi)部各個層面逐步展開。系統(tǒng)建設大多已初具規(guī)模，企業(yè)的信息化框架也逐步確立?？梢钥吹?，信息化為企業(yè)經(jīng)營帶來了明顯的經(jīng)濟效益，為企業(yè)管理改革提供了有力的支持。
凡事都具有兩面性，企業(yè)在收獲信息化成果的同時，也應該看到信息化帶來的巨大風險，應該對這類風險安排適當?shù)目刂拼胧?。但是在我的工作?jīng)歷中，大多數(shù)客戶，特別是IT建設剛剛起步的一些企業(yè)，對此風險問題都表現(xiàn)出不同程度的漠視，或者錯誤的認識。歸納一下，主要有以下幾種錯誤觀點：
1、 認為信息系統(tǒng)應該達到安全可靠，否則就是開發(fā)商的水平不高；
2、 要求系統(tǒng)提供商承諾軟件系統(tǒng)功能無差錯；
3、 要求系統(tǒng)提供商承擔系統(tǒng)錯誤造成的損失和影響；
信息系統(tǒng)風險分析：
上面提到的幾種觀點，其根本，還在于認為“信息系統(tǒng)可以做到安全可靠”，這實際是對信息系統(tǒng)風險問題的錯誤認識。
信息系統(tǒng)本身具有很大的“脆弱性”，信息系統(tǒng)依賴的硬件、信息系統(tǒng)應用的IT技術（軟件方面）、信息系統(tǒng)的建設和使用過程都存在著大量的風險因素，這類風險客觀長期存在，既有有形的風險（設備、環(huán)境）、也有無形的風險（行為、道德）。
下面，將從這些角度分析一下信息系統(tǒng)常見的風險因素：
1、 系統(tǒng)硬件環(huán)境風險
信息系統(tǒng)的運用，依賴于特定的硬件環(huán)境，例如服務器、網(wǎng)絡等等，這些環(huán)境依賴大量的硬件設備，這些設備自身都存在一定的故障率，這類故障發(fā)生時必然影響信息系統(tǒng)正常運行。這類故障比較常見，大多數(shù)人也都能理解。
2、 信息系統(tǒng)技術帶來的風險
信息系統(tǒng)的建設總是利用一定的技術手段進行實現(xiàn)，例如Dot NET、J2EE、VB、數(shù)據(jù)庫、應用服務器等，這些技術手段雖然都是商業(yè)化的，但其自身也是一個信息產(chǎn)品，受制于信息系統(tǒng)建設的客觀因素，依然不可能根除出現(xiàn)錯誤的可能，這些產(chǎn)品的廠商在推廣中強調(diào)的“安全性”、“可靠性”，更多的表現(xiàn)為一種營銷宣傳，根本不可能在購買合同中進行明確的承諾（這些供應商都會在合同中采用“責任限制”的條款對這樣的風險進行規(guī)避）。那么在這些技術手段之上構建的信息系統(tǒng)自然會受到這些風險的影響。
3、 信息系統(tǒng)建設過程中隱藏的風險
信息系統(tǒng)建設的過程，無論是自建還是采購，都必然經(jīng)歷需求調(diào)研分析、系統(tǒng)規(guī)劃設計、系統(tǒng)開發(fā)測試、系統(tǒng)實施等幾個過程，這些過程中都存在導致日后系統(tǒng)出現(xiàn)錯誤造成損失的風險。例如：
需求調(diào)研階段，技術人員對需求認識的局限性，將造成未來系統(tǒng)的局限性。在日后系統(tǒng)應用過程中，當這種局限性的條件滿足時，可能對系統(tǒng)的使用產(chǎn)生影響；
系統(tǒng)開發(fā)測試階段，每一項功能都是由技術人員編寫程序代碼實現(xiàn)，此項工作繁瑣且復雜，人非機器，錯誤是不可絕對避免，開發(fā)的質量需要測試工作來保證。測試工作只是模擬未來的使用方式來驗證系統(tǒng)，不可能對系統(tǒng)進行全方位的驗證，系統(tǒng)出錯的可