论企业风险管理模型.pptVIP

* February 2002 休斯顿大学 信息系统研究中心 Dan Starta (Dan.Starta@ATKearney.Com) 企业风险管理模型 执行者的概括 最近恐怖分子对美国的袭击目标已经转向了商业和IT管理者、风险管理和灾难恢复等问题引起人们的关注 灾难和安全事件对财政的影响每年高达数十亿美元，影响的范围波及到90%的企业 商业连贯与安全组织BCS（Business Continuity and Security) 将继续作为一个能预测未来的管理者发挥着自己的作用 绝大多数企业已经投资于BCS 并将专注于如何提高该领域中所用的资金数额 预期的投资额将是2002年到2005年间投资额的3倍 Strategic BCS的战略规划将使组织能避免开销过大的灾难，从而保护业务和潜在的新资源的商业价值 BCS应该成为一个业务的使能原动力，而IT只是解决方案的一个组成部分 适应BCS的企业将使其被关键资产和核心业务得到保护 就象BCS目前所增长的开销一样——明智的投资能在降低成本的同时提高企业对业务关键方面的保护 更新的BCS将能加速新技术的开发，使其对潜在的企业运作、客户和股东产生附加的价值 今日主题 风险的概括 业务连贯性与安全规划 规划的价值所在 方法 风险的概括 世界正在日新月异地发生着改变，新生的难以预料的各种风险在业务和技术领域层出不穷。 国家 人口 商业 人口的增长 城市区域内人口的不断增长 越来越便捷的旅行使世界越来越小 全球化程度的不断提高 因商业分类的趋势而愈演愈列的商业合并风潮 (Wal-Mart Home Depot) 全球化趋势的演化(联合国与WTO) 自由贸易区(WTO, NAFTA EU) 在过去十年里，商业风险已经发生了巨大改变 1900 1850 时间(not to scale) 1950 1970 1990 2000 1980 商业气候 技术普及 政治、经济的动荡 自然灾害 生物技术 全球变暖造成的气候变化 全球自由贸易区WTO, NAFTA, EU) 日益提高的专业化程度 第一台商用电脑的出现 冷战的结束 生物技术的出现 恐怖分子开始使用生化武器 工业化的进程使人口密度越来越大 越来越频繁的气候现象： 地震、洪水、飓风和厄尔尼诺现象等 规模经济开始通过高效的制造流程得以实现 Internet的出现使人们之间的沟通更便捷 第2世界和第三世界的政治动荡 独立的更严峻的风险 新风险 更大更专业化的目标 信息目标 对未知领域的恐慌 1997年-2001年间统计的电脑被袭击事件 数据来源: 计算机安全学会（Computer Security Institute） 外国政府 外国企业 美国企业 黑客 内部人士 百分比 以下是因计算机病毒引起的世界范围内的经济损失统计 资料来源: Richard Power, Tangled Web 1990 “业路撒冷”病毒 1995 “概念”病毒 1999 “Melissa”病毒 2000 “Love Bug”病毒 单位：百万美元 大多数美国公民认为美国的企业都过分相信自己的商品是坚不可摧的。 美国的企业真的足够强大吗? 肯定 63% 否定 30% 弃权 7% 资料来源: ABC News 绝大多数企业都很可能被列入毁灭性打击的目标 基础架构 石油 汽油 电信 交通设施 核心流程 汽车 消费品 医疗卫生 高科技 医药 加工业 可视化 娱乐业 游戏 休闲 媒体 体育 属性 是经济的基础， 如果受到毁灭性打击，那么整个国家将限于瘫痪 属性 GDP的关键所在 与经济的其他方面联系紧密 属性 高度的可视性和交互性，与商业和消费者息息相关 涉及到消费者的安全，所以风险最大 可能遭受毁灭打击企业的要害 商业连贯性与安全规划就是要对上述存在的各种威胁、影响作出预案，即便及时应对。 威胁 潜在影响 反应 灾难 网络 操作 规则 客户需求 股票的价值 成本的增加 利润的降低 新机遇的出现 商业连贯性与安全规划化 减缓风险 时间恢复 成本管理 新机遇 业务连贯性与安全规划 业务连贯性与协作安全问题的妥善解决对保护企业运作、资产和维持企业处于某个级别都是很有益的。 操作 保证连贯性的关键操作 服务的最小化 确保服务中断后能重新恢复 资产 保护信息资产 将财务损失降至最低 降低风险 确保职员安全 级别 维持住大众客户 保持客户对企业的信心 业务连贯性 “业务的连贯性”是指：事先安排好的处理过程与企业处理实际的具体事务时能以一种关键业务功能不被打断和改变的连续一致方式来处理。 协作安全 对企业中那些在关键操作中起作用的物质资产和潜在资产实施保