范 蔚

（中國(guó)海洋大學(xué)經(jīng)濟(jì)管理學(xué)院 山東青島 266000）

一、概述

某銀行大廈信息系統(tǒng)建設(shè)投資額五千萬元，與建筑土建工程和強(qiáng)電工程交叉作業(yè)，總建設(shè)期為二年?？傮w目標(biāo)是要采用現(xiàn)代信息技術(shù)，通過信息資源、信息共享平臺(tái)、重點(diǎn)領(lǐng)域業(yè)務(wù)應(yīng)用系統(tǒng)和安全保障體系建設(shè)，實(shí)現(xiàn)業(yè)務(wù)管理部門的互聯(lián)互通和信息共享；促進(jìn)業(yè)務(wù)管理部門間的業(yè)務(wù)協(xié)同與互動(dòng)，提高業(yè)務(wù)管理信息化和科學(xué)決策水平，增強(qiáng)調(diào)控能力、駕馭市場(chǎng)變化、應(yīng)對(duì)突發(fā)事件、總攬全局的能力。

項(xiàng)目信息系統(tǒng)分為六個(gè)子系統(tǒng)，分別由六個(gè)分包商承擔(dān)。綜合布線子系統(tǒng)（青島恒華機(jī)房設(shè)備工程有限公司），有線電視子系統(tǒng)及監(jiān)控子系統(tǒng)（北京盛世全景科技有限公司），A級(jí)機(jī)房子系統(tǒng)（中國(guó)建筑技術(shù)集團(tuán)有限公司），多媒體會(huì)議子系統(tǒng)（山東華埠特克智能機(jī)電工程有限公司），樓宇自動(dòng)化控制子系統(tǒng)（北京世紀(jì)先鋒科技有限公司），通信子系統(tǒng)（濰坊聯(lián)通公司）等。所有信息系統(tǒng)都與裝修部分有工作面和時(shí)間點(diǎn)交叉，相互之間更是涉及眾多。對(duì)于這樣一個(gè)涉及面廣、建設(shè)周期長(zhǎng)、共建部門多、建設(shè)涉及的技術(shù)面寬（包涵軟件工程、網(wǎng)絡(luò)工程、主機(jī)系統(tǒng)、標(biāo)準(zhǔn)化建設(shè)、信息共享和挖掘、信息安全以及機(jī)房建設(shè)等）、參建單位多等問題的信息工程項(xiàng)目，通過監(jiān)理對(duì)工程的實(shí)施進(jìn)行規(guī)范管理和科學(xué)評(píng)價(jià)，是非常必要的。

作為信息工程的監(jiān)理方，根據(jù)該工程的需求，制定了詳細(xì)的《監(jiān)理規(guī)劃》和《監(jiān)理實(shí)施細(xì)則》，內(nèi)容涉及標(biāo)準(zhǔn)體系、基礎(chǔ)平臺(tái)、安全平臺(tái)、應(yīng)用系統(tǒng)、機(jī)房等各個(gè)環(huán)節(jié)。本文僅以針對(duì)該項(xiàng)目監(jiān)理風(fēng)險(xiǎn)管理的幾個(gè)要點(diǎn)為例來闡述。

二、風(fēng)險(xiǎn)識(shí)別

本監(jiān)理項(xiàng)目風(fēng)險(xiǎn)識(shí)別實(shí)際就是一個(gè)多目標(biāo)系統(tǒng)，總目標(biāo)很難具體量化，要借助可量化的多個(gè)子目標(biāo)，甚至借助子目標(biāo)下的次目標(biāo)。因此，運(yùn)用層次分析模型，有利于更好地實(shí)現(xiàn)對(duì)風(fēng)險(xiǎn)的識(shí)別。根據(jù)整個(gè)銀行信息系統(tǒng)工程監(jiān)理項(xiàng)目的風(fēng)險(xiǎn)構(gòu)成，本項(xiàng)目運(yùn)用層次分析模型法得到對(duì)應(yīng)的風(fēng)險(xiǎn)層次分析模型如圖1：

圖1 某銀行大廈信息系統(tǒng)工程監(jiān)理風(fēng)險(xiǎn)層次分析模型

依據(jù)風(fēng)險(xiǎn)層次分析模型，把頭腦風(fēng)暴法、德爾菲法以及面談法進(jìn)行綜合運(yùn)用，來對(duì)項(xiàng)目風(fēng)險(xiǎn)進(jìn)行識(shí)別。圖2是各種風(fēng)險(xiǎn)識(shí)別方法和技術(shù)的綜合運(yùn)用，重點(diǎn)是其中的迭代過程。

圖2 風(fēng)險(xiǎn)識(shí)別的方法及技術(shù)運(yùn)用

完成風(fēng)險(xiǎn)識(shí)別過程后，風(fēng)險(xiǎn)表和風(fēng)險(xiǎn)矩陣就創(chuàng)建了。應(yīng)該知道，風(fēng)險(xiǎn)并不是在特定的時(shí)候存在，而是整個(gè)項(xiàng)目建設(shè)過程中都充滿著風(fēng)險(xiǎn)，而且會(huì)隨著風(fēng)險(xiǎn)因素的改變而改變，所以要對(duì)項(xiàng)目進(jìn)行定期風(fēng)險(xiǎn)評(píng)估，及時(shí)了解風(fēng)險(xiǎn)的情況，做到早發(fā)現(xiàn)早處理，防止風(fēng)險(xiǎn)擴(kuò)大化。

三、風(fēng)險(xiǎn)評(píng)估

與其它一般工程項(xiàng)目的風(fēng)險(xiǎn)評(píng)估不同，在信息系統(tǒng)監(jiān)理項(xiàng)目的風(fēng)險(xiǎn)評(píng)估中，還必須遵循一系列的技術(shù)標(biāo)準(zhǔn)和規(guī)范，包括質(zhì)量、成本、進(jìn)度等。各個(gè)控制過程中，針對(duì)本項(xiàng)目的信息安全風(fēng)險(xiǎn)評(píng)估中所遵循的國(guó)際和國(guó)內(nèi)安全標(biāo)準(zhǔn)有ISO13335《信息安全管理方針》，ISO 15408《信息技術(shù)安全性通用評(píng)估準(zhǔn)則》，SSE-CMM《系統(tǒng)安全工程成熟度模型》，ISO17799《信息安全管理體系標(biāo)準(zhǔn)》，GB-17859《安全保護(hù)等級(jí)劃分準(zhǔn)則》等等。

在本項(xiàng)目中，風(fēng)險(xiǎn)評(píng)估所選用的輸入元素有：風(fēng)險(xiǎn)管理計(jì)劃，風(fēng)險(xiǎn)清單，項(xiàng)目狀態(tài)，項(xiàng)目類型，假定等內(nèi)容，可用一個(gè)表格涵蓋。選用的技術(shù)主要是定性風(fēng)險(xiǎn)分析方法，如風(fēng)險(xiǎn)概率及影響，項(xiàng)目假定測(cè)試等，輸出內(nèi)容就是有優(yōu)先級(jí)排列的風(fēng)險(xiǎn)列表，并作出定性風(fēng)險(xiǎn)分析的趨勢(shì)結(jié)果。

當(dāng)然理論上風(fēng)險(xiǎn)評(píng)估得到的輸出文檔是非常多的，在實(shí)際應(yīng)用中可以使用原先相似項(xiàng)目的經(jīng)驗(yàn)形成的模版，而且輸出文檔不是必須都要形成，根據(jù)項(xiàng)目的特性和不同的監(jiān)理方式，可選用不同的文檔。對(duì)于本項(xiàng)目中，主要使用了風(fēng)險(xiǎn)影響表，風(fēng)險(xiǎn)排序表。

四、風(fēng)險(xiǎn)應(yīng)對(duì)

項(xiàng)目風(fēng)險(xiǎn)應(yīng)對(duì)應(yīng)首先制定一個(gè)風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃，通過相應(yīng)的程序和技術(shù)減少威脅。一般對(duì)發(fā)生可能性較高的風(fēng)險(xiǎn)以及產(chǎn)生后果嚴(yán)重的風(fēng)險(xiǎn)制定風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃。列出當(dāng)風(fēng)險(xiǎn)發(fā)生時(shí)將采取哪些措施。風(fēng)險(xiǎn)管理計(jì)劃中還包括風(fēng)險(xiǎn)原因、責(zé)任者及其職責(zé)、風(fēng)險(xiǎn)應(yīng)對(duì)所需的預(yù)算和時(shí)間等。

降低技術(shù)風(fēng)險(xiǎn)最主要的方法是在項(xiàng)目計(jì)劃階段通過細(xì)化WBS（工作分解結(jié)構(gòu)，Work Breakdown Structure）工作包，消除技術(shù)風(fēng)險(xiǎn)的根源，實(shí)現(xiàn)降低技術(shù)風(fēng)險(xiǎn)的目的。降低成本風(fēng)險(xiǎn)的策略最主要的是提高項(xiàng)目經(jīng)理的權(quán)限。而降低進(jìn)度風(fēng)險(xiǎn)最主要的策略是任用有經(jīng)驗(yàn)的項(xiàng)目經(jīng)理。

風(fēng)險(xiǎn)應(yīng)對(duì)其實(shí)就是針對(duì)項(xiàng)目本身，選擇合適的風(fēng)險(xiǎn)處理方式（包括規(guī)避方式、轉(zhuǎn)移方式和降低方式），并說明選擇的理由以及被選中的處理方式的使用方法和注意事項(xiàng)等，并記錄風(fēng)險(xiǎn)處理的過程及結(jié)果。

五、風(fēng)險(xiǎn)監(jiān)控

它貫穿于風(fēng)險(xiǎn)管理的所有步驟，并有相應(yīng)的監(jiān)控記錄，內(nèi)容包括監(jiān)控的范圍、對(duì)象、時(shí)間、過程、結(jié)果和措施等。

本項(xiàng)目檢查與監(jiān)控過程：對(duì)采購(gòu)的設(shè)備、軟件、定制開發(fā)的軟件和系統(tǒng)進(jìn)行檢查并正確配置，即檢查采購(gòu)產(chǎn)品是否有國(guó)家主管部門的生產(chǎn)和銷售許可證，是否通過國(guó)家有關(guān)部門的測(cè)評(píng)和認(rèn)證；檢查采購(gòu)的產(chǎn)品、定制的軟件和系統(tǒng)所具備的安全功能和安全特性；按說明書正確配置，確保符合設(shè)計(jì)要求；如果在系統(tǒng)實(shí)施的過程中增加了新的安全處理措施，對(duì)新增加的措施給原系統(tǒng)帶來的風(fēng)險(xiǎn)進(jìn)行分析，確保增加的措施與原有設(shè)計(jì)協(xié)調(diào)一致。

安全測(cè)試：系統(tǒng)安全測(cè)試是對(duì)系統(tǒng)特定部分的測(cè)試和整個(gè)系統(tǒng)的測(cè)試，內(nèi)容有：采購(gòu)和定制產(chǎn)品各部分安全功能和安全特性的測(cè)試；集成后整個(gè)系統(tǒng)的整體安全測(cè)試；對(duì)安全管理、物理設(shè)施、人員、流程、業(yè)務(wù)或內(nèi)部服務(wù)（如網(wǎng)絡(luò)服務(wù)）的使用，以及應(yīng)急計(jì)劃等進(jìn)行測(cè)試。安全測(cè)試可由施工方內(nèi)部實(shí)施，而監(jiān)理方監(jiān)督，也可監(jiān)理方實(shí)施。測(cè)試之前應(yīng)制定測(cè)試計(jì)劃，并對(duì)測(cè)試過程和結(jié)果記錄。

人員培訓(xùn)：培訓(xùn)對(duì)象包括系統(tǒng)的使用人員、系統(tǒng)維護(hù)人員和安全管理人員。監(jiān)理要監(jiān)控培訓(xùn)內(nèi)容，系統(tǒng)的操作流程和操作方法；安全意識(shí)、基本安全技術(shù)知識(shí)和安全管理知識(shí)；系統(tǒng)維護(hù)和安全功能的使用；安全管理制度和管理流程；系統(tǒng)安全事件的應(yīng)急處理流程和恢復(fù)流程。

授權(quán)系統(tǒng)運(yùn)行：信息系統(tǒng)在投入運(yùn)行前進(jìn)行審批。這部分通過監(jiān)理的監(jiān)控，施工單位應(yīng)與系統(tǒng)安全員、系統(tǒng)管理人員、系統(tǒng)使用人員進(jìn)行充分溝通，必要時(shí)聘請(qǐng)專家進(jìn)行咨詢，以便對(duì)系統(tǒng)是否投入運(yùn)行做出正確決策。

在此風(fēng)險(xiǎn)監(jiān)控過程中，糾正措施就是變更。因?yàn)轱L(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃的使用，使原先制定的基準(zhǔn)發(fā)生相應(yīng)變化，這時(shí)候的權(quán)變措施、糾正措施都是對(duì)原計(jì)劃的變更。本項(xiàng)目中變更控制的流程情況見圖3：

圖3 監(jiān)理監(jiān)控變更流程

六、風(fēng)險(xiǎn)管理具體實(shí)施過程總結(jié)

在該項(xiàng)目的風(fēng)險(xiǎn)管理中，依據(jù)風(fēng)險(xiǎn)管理的四個(gè)迭代過程，綜合運(yùn)用了風(fēng)險(xiǎn)管理中的多種技術(shù)和工具。簡(jiǎn)單的總結(jié)如下：

第一步：監(jiān)理項(xiàng)目組成員參與頭腦風(fēng)暴會(huì)議，列出潛在風(fēng)險(xiǎn)的清單，并依據(jù)頭腦風(fēng)暴會(huì)議的議題，邀請(qǐng)專家進(jìn)行德爾菲法調(diào)查。隨后有針對(duì)性的進(jìn)行管理人員的面談。

第二步：收集并匯總所有列出的風(fēng)險(xiǎn)。

第三步：評(píng)估風(fēng)險(xiǎn)匯總清單上每個(gè)風(fēng)險(xiǎn)的可能性、影響及監(jiān)測(cè)的難易程度。

第四步：通過項(xiàng)目風(fēng)險(xiǎn)匯總清單識(shí)別監(jiān)理要點(diǎn)或監(jiān)控點(diǎn)，同時(shí)還要求列出監(jiān)理方法，即該監(jiān)理點(diǎn)的監(jiān)理工程師是旁站還是進(jìn)行數(shù)據(jù)測(cè)量？通常情況下每個(gè)風(fēng)險(xiǎn)至少列出三個(gè)監(jiān)控要點(diǎn)。

第五步：建立應(yīng)急計(jì)劃及變更措施。包括風(fēng)險(xiǎn)發(fā)生是監(jiān)理采取的行動(dòng)。風(fēng)險(xiǎn)管理計(jì)劃中為所有風(fēng)險(xiǎn)設(shè)立評(píng)估臨界點(diǎn)，只要超過臨界點(diǎn)的風(fēng)險(xiǎn)就采取控制行動(dòng)。

第六步：責(zé)任到位。確定風(fēng)險(xiǎn)發(fā)生時(shí)監(jiān)理師能適時(shí)做出回應(yīng)。

這些步驟中，監(jiān)控要點(diǎn)的設(shè)置是整個(gè)風(fēng)險(xiǎn)管理過程中至關(guān)重要的部分。完成這項(xiàng)工作后，監(jiān)理人員具有更好地可操作性依據(jù)，明白在操作項(xiàng)目的過程中，哪些是需要注意的，所以他們更主動(dòng)地捕捉變化或問題，更積極的面對(duì)風(fēng)險(xiǎn)。

結(jié)語

本文以信息系統(tǒng)監(jiān)理項(xiàng)目風(fēng)險(xiǎn)管理理論為基礎(chǔ)，通過對(duì)某銀行大廈信息系統(tǒng)監(jiān)理項(xiàng)目的實(shí)證研究，選擇恰當(dāng)?shù)娘L(fēng)險(xiǎn)評(píng)估方法，建立信息系統(tǒng)工程監(jiān)理項(xiàng)目風(fēng)險(xiǎn)分析模型及風(fēng)險(xiǎn)處置策略，使監(jiān)理項(xiàng)目風(fēng)險(xiǎn)管理工作走向規(guī)范化。但是，由于對(duì)風(fēng)險(xiǎn)管理的系統(tǒng)理解、把握和運(yùn)用方面還處于起步階段，本文僅對(duì)各個(gè)風(fēng)險(xiǎn)因素進(jìn)行定性分析，研究出處置措施，而措施的制定應(yīng)該突出重點(diǎn)且有量化的依據(jù)。今后還要充分學(xué)習(xí)信息系統(tǒng)監(jiān)理項(xiàng)目風(fēng)險(xiǎn)評(píng)估的方法，尤其要加深對(duì)定量分析方法的研究。

[1]信息產(chǎn)業(yè)部.信部信[2002]570號(hào)，信息系統(tǒng)工程監(jiān)理暫行規(guī)定[S].2002.

[2]張友生，林曉飛，陳志風(fēng).信息系統(tǒng)監(jiān)理師輔導(dǎo)教程[M].北京：電子工業(yè)出版社，2008.

[3]王卓甫，等.工程項(xiàng)目管理——理論、方法與應(yīng)用[M].北京：中國(guó)水利水電出版社，2003.

[4]周小橋.項(xiàng)目管理工具與模板[M].北京：清華大學(xué)出版有限公司，2005.

[5]畢成.基于軟交換架構(gòu)的3G核心網(wǎng)建設(shè)項(xiàng)目風(fēng)險(xiǎn)管理[D].北京：北京郵電大學(xué)，2008.