第四，確定可能的防御措施，用它們來平衡風(fēng)險(xiǎn)。一旦你擁有一張可能的防御清單，就按照四個(gè)標(biāo)準(zhǔn)來檢討取舍：成本；與企業(yè)目標(biāo)的一致程度或偏離程度；對業(yè)務(wù)流程的影響，包括成本——這取決于是否需要對流程進(jìn)行重新設(shè)計(jì)；以及對當(dāng)前和未來風(fēng)險(xiǎn)管理行動(dòng)的影響。最后一項(xiàng)可能取決于：你是否需要一直使用昂貴的、難以獲取的技巧和知識(shí)；這是否會(huì)限制靈活性或緩解其他風(fēng)險(xiǎn)的能力；這是否有利于促進(jìn)長期、而非暫時(shí)的風(fēng)險(xiǎn)管理。

　　最后，你還必須執(zhí)行這些防御措施，并對你的成功進(jìn)行評(píng)估。而且，你還要定期匯報(bào)識(shí)別出來的風(fēng)險(xiǎn)的狀態(tài)，以及你所采取的風(fēng)險(xiǎn)管理措施。在公司的每一級(jí)，管理層應(yīng)該大致關(guān)注五至七個(gè)主要的風(fēng)險(xiǎn)，并且定期地向更上一級(jí)管理層匯報(bào)。

　　在風(fēng)險(xiǎn)管理流程方面，英國電信批發(fā)公司（BT Wholesale)就是一個(gè)很好的例子。

　　該公司是英國電信公司（BT）下屬的一家公司，為英國電信公司和其他通信公司提供網(wǎng)絡(luò)服務(wù)和全面解決方案。公司CIO菲爾·丹斯（Phil Dance）和他的團(tuán)隊(duì)認(rèn)為，不完善的語音網(wǎng)絡(luò)是　公司的主要風(fēng)險(xiǎn)。這種不完善，將對公司的股價(jià)、信譽(yù)以及未來的業(yè)務(wù)會(huì)帶來不可估量的損害。由于這種風(fēng)險(xiǎn)的成本非常巨大，公司因此決定，把IP網(wǎng)絡(luò)根據(jù)運(yùn)行在當(dāng)前網(wǎng)絡(luò)上的各種應(yīng)用進(jìn)行分割，負(fù)責(zé)數(shù)據(jù)處理的網(wǎng)絡(luò)部分，和管理像路由器、交換機(jī)那樣的硬件系統(tǒng)、維持網(wǎng)絡(luò)運(yùn)行的網(wǎng)絡(luò)部分必須分開。這樣做，使得公司很好地保護(hù)了交換網(wǎng)，極大地降低了危及網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)。英國電信批發(fā)公司對風(fēng)險(xiǎn)管理的這種態(tài)度，充分說明了網(wǎng)絡(luò)和信息安全對提高網(wǎng)絡(luò)效率也非常重要。

　　正如大多數(shù)CIO們所知，風(fēng)險(xiǎn)管理代價(jià)不低。但值得關(guān)注的是，相對于那些不夠自信的管理者們，高度自信的風(fēng)險(xiǎn)管理者們的平均支出只增加了20%。而從占公司收入的百分比看，這點(diǎn)差異幾乎可以忽略不計(jì)。

　　我們把這一點(diǎn)告訴了那些正在努力爭取風(fēng)險(xiǎn)管理預(yù)算的CIO們。如果你的情況也類似，那么請記住，風(fēng)險(xiǎn)管理問題不是IT問題，是企業(yè)問題，因此，你也要用針對企業(yè)問題的辦法來對待它。

　　你應(yīng)該確保你的同事及董事會(huì)，不僅充分理解這些風(fēng)險(xiǎn)，而且理解為了緩解風(fēng)險(xiǎn)而采取的各種努力是符合企業(yè)風(fēng)險(xiǎn)管理標(biāo)準(zhǔn)的。然后，在企業(yè)層面上做出決策，分配預(yù)算和資源，并確定什么級(jí)別的風(fēng)險(xiǎn)是可以接受的。

　　一位CIO在我們近期的座談會(huì)上談到，在一個(gè)IT預(yù)算會(huì)議上，他的團(tuán)隊(duì)提交的預(yù)算完全圍繞IT安全，根本沒有涉及任何具體技術(shù)。他的團(tuán)隊(duì)簡單說明了一些敏感數(shù)據(jù)存在的安全隱患，以及可能付出的安全代價(jià)，接著就討論如何把錢花在降低風(fēng)險(xiǎn)上，并指出，這些開支要大大低于潛在風(fēng)險(xiǎn)所帶來的破壞。結(jié)果，預(yù)算請求不僅獲得了批準(zhǔn)，而且公司首席財(cái)務(wù)官和首席運(yùn)營官還為該項(xiàng)目增加了額外的預(yù)算。

　　企業(yè)的風(fēng)險(xiǎn)管理不僅僅是為了IT，它將會(huì)成為新型CIO日常工作的一部分。如果你還不怎么熟悉風(fēng)險(xiǎn)管理的步驟和程序，那么，從今天起就開始練習(xí)。你是一個(gè)領(lǐng)導(dǎo)者，你必須領(lǐng)導(dǎo)和教育其他管理者，哪些是和技術(shù)有關(guān)的重大風(fēng)險(xiǎn)。很顯然，成為企業(yè)的風(fēng)險(xiǎn)管理的領(lǐng)導(dǎo)人，對提升新型CIO的威信將具有非常重要的作用。

　　新型CIO

　　CIO們正站在一個(gè)十字路口。

　　由于對IT存在兩種不同的觀點(diǎn)，他們的角色正發(fā)生變化。一方面，網(wǎng)絡(luò)泡沫破滅后，很多人對IT一直感到不滿意，很多對技術(shù)的資本投入結(jié)果都打了水漂。業(yè)界一些比較流行的觀點(diǎn)認(rèn)為，IT與競爭優(yōu)勢無關(guān)，很多公司因此紛紛把與IT有關(guān)的職位轉(zhuǎn)移到海外。另一方面，由于全球經(jīng)濟(jì)出現(xiàn)回暖，一些公司對IT開始重新感興趣，許多企業(yè)管理者拼命追求創(chuàng)新。同樣，不斷改變的監(jiān)管環(huán)境，也更強(qiáng)調(diào)公司披露及時(shí)、完整和精確的信息，技術(shù)在各種產(chǎn)品或服務(wù)中，扮演了即使不是主要的角色，也一定是基礎(chǔ)的角色。

　　觀望不是一種選擇。

　　根據(jù)我們出版的《新型CIO》（哈佛商學(xué)院出版社 2004年12月出版）一書的研究，我們發(fā)現(xiàn)每位CIO對以上兩種觀點(diǎn)擇一而行。受IT與競爭優(yōu)勢無關(guān)說影響的CIO，扮演的角色 是首席技術(shù)機(jī)械師（Chief Technology Mechanic）；而另一種CIO，受到了IT將在重大商業(yè)活動(dòng)和革新，以及企業(yè)成功中起重要核心作用的觀點(diǎn)影響，我們將這類CIO稱之為新型CIO。事實(shí)上，這將為他們邁向首席運(yùn)營官（COO）和首席執(zhí)行官（CEO）打下基礎(chǔ)。

　　要成為一個(gè)新型CIO，就必須在技巧、方法和處事優(yōu)先性上做出改變。一個(gè)CIO不做這些改變，就只能稱為一個(gè)技術(shù)機(jī)械師，而不是企業(yè)執(zhí)行官。區(qū)別你是否是一個(gè)新型CIO，有以下十個(gè)條件：

　　● 領(lǐng)導(dǎo)，而不僅僅管理：管理是執(zhí)行，而領(lǐng)導(dǎo)是變革，特別是指影響他人做出改變。通過影響來領(lǐng)導(dǎo)這一點(diǎn)非常重要。
　　● 對外界環(huán)境充分了解：CIO們需要了解競爭環(huán)境，用主要決策人和股東的語言開展工作。
　　● 建立一種“IT推動(dòng)公司成功”的理念。
　　● 營造一種對充滿IT活力企業(yè)的期望，并讓每個(gè)人都知道。CIO們需要與同事們一起，甄別企業(yè)主要的業(yè)務(wù)需求、策略和驅(qū)動(dòng)因素，然后針對那些需求，明確IT的指導(dǎo)方針。
　　● 創(chuàng)建清晰的、適當(dāng)?shù)腎T管理制度。有效的管理讓CIO們能通盤考慮商業(yè)和IT策略，并能不斷增強(qiáng)可信度和信任感。
　　● 把商業(yè)策略和IT策略融合在一起：在某個(gè)確定時(shí)間段內(nèi)，主要IT領(lǐng)域和IT部署的核心就是IT策略。合理的IT策略，意味著IT能夠不斷發(fā)展，并且得到積極的管理。
　　● 構(gòu)建一個(gè)新型的IT機(jī)構(gòu)，比傳統(tǒng)上更偏向和重視業(yè)務(wù)需求。
　　● 建立并培養(yǎng)一個(gè)優(yōu)秀的IT團(tuán)隊(duì)：新型IT組織會(huì)更依賴于內(nèi)外部關(guān)系，因此CIO們應(yīng)該聘用具有這方面能力的員工，并對員工進(jìn)行新技能的培訓(xùn)。
　　● 對新型的企業(yè)和IT風(fēng)險(xiǎn)進(jìn)行管理。
　　● 用商業(yè)語言來描述IT表現(xiàn)。CIO們必須告訴大家，IT是如何為股東和企業(yè)價(jià)值做出貢獻(xiàn)的。

　　90天行動(dòng)計(jì)劃

　　CIO們正被要求去管理企業(yè)面對的新型IT風(fēng)險(xiǎn)。絕大多數(shù)商業(yè)流程依賴IT，使得IT問題帶來的后果的嚴(yán)重性與日俱增，CIO們的責(zé)任無比巨大。該計(jì)劃能夠讓你主動(dòng)地啟動(dòng)一個(gè)風(fēng)險(xiǎn)管理。

　　第一個(gè)30天：集合人員，制定議程，獲取工具

　　● 創(chuàng)建一個(gè)風(fēng)險(xiǎn)管理團(tuán)隊(duì)，這個(gè)團(tuán)隊(duì)中應(yīng)該包括向首席執(zhí)行官或首席財(cái)務(wù)官匯報(bào)工作的高級(jí)經(jīng)理。他們的不同、 他們的影響力應(yīng)該跨越整個(gè)IT組織，并應(yīng)該擴(kuò)大到盡可能多的業(yè)務(wù)流程。
　　● 確保該團(tuán)隊(duì)關(guān)注緩解風(fēng)險(xiǎn)，發(fā)揚(yáng)一種開放、分享、團(tuán)隊(duì)責(zé)任的文化氛圍，不要回避風(fēng)險(xiǎn)，因?yàn)檫@樣會(huì)帶來一種閉塞和相互責(zé)備的文化氛圍。
　　● 對那些與主要業(yè)務(wù)流程相關(guān)的風(fēng)險(xiǎn)進(jìn)行檢查；把有形的和無形的損失，用同事們都能理解的經(jīng)濟(jì)術(shù)語描述出來。

　　第二個(gè)30天：制訂計(jì)劃，培訓(xùn)團(tuán)隊(duì)

　　● 對企業(yè)業(yè)務(wù)連貫性規(guī)劃進(jìn)行回顧，或者創(chuàng)建這樣一個(gè)計(jì)劃。許多CIO已經(jīng)成功地采用業(yè)務(wù)連貫性作為識(shí)別和管理風(fēng)險(xiǎn)的平臺(tái)。
　　● 和業(yè)務(wù)管理層一起審核風(fēng)險(xiǎn)管理團(tuán)隊(duì)列出的風(fēng)險(xiǎn)清單。
　　● 對你的團(tuán)隊(duì)進(jìn)行培訓(xùn)，讓他們認(rèn)識(shí)所面臨的各種各樣的風(fēng)險(xiǎn)，尤其是那些新出現(xiàn)的風(fēng)險(xiǎn)因素。
　　● 制訂清晰、適當(dāng)?shù)陌踩芾碇贫?，明確誰對決策負(fù)責(zé)，誰對出現(xiàn)的風(fēng)險(xiǎn)問題負(fù)責(zé)。

　　第三個(gè)30天：測試上述計(jì)劃，并預(yù)測未來

　　● 對業(yè)務(wù)連貫性計(jì)劃進(jìn)行完整的、真實(shí)的測試，在“財(cái)富500強(qiáng)（Fortune 500）”企業(yè)中，只有50%能夠做到。
　　● 與業(yè)務(wù)管理層一起審核并完成緩解風(fēng)險(xiǎn)計(jì)劃。
　　● 根據(jù)對企業(yè)因?yàn)镮T問題而可能出現(xiàn)的成本的分析，開始制定下一年的風(fēng)險(xiǎn)管理預(yù)算。

　　不能把IT風(fēng)險(xiǎn)管理與業(yè)務(wù)風(fēng)險(xiǎn)管理綜合起來進(jìn)行整體考慮，將使企業(yè)陷入愈發(fā)危險(xiǎn)的境地。

　　好的風(fēng)險(xiǎn)管理流程包含五個(gè)步驟：識(shí)別、分析、計(jì)算、防御計(jì)劃，以及執(zhí)行/評(píng)估。

　　相對于那些不夠自信的管理者們，高度自信的風(fēng)險(xiǎn)管理者們的平均支出只增加了20%。