要对所有影响IT项目目标的风险进行系统识别,评估,报告和处置,它必须考虑IT项目所有环节的活动,从战略规划和资源分配,到各业务单元的市场和产品管理,风险都应得到有效控制。
4 IT项目全面风险管理体系的模块与框架
IT项目全面风险管理体系应由相互联系的八个模块(要素)组成,这八个模块分别是风险管理环境,风险管理目标与政策设定,风险监测与识别,风险评估,风险定价与处置,内部控制,风险信息处理和报告,后评价和持续改进,各模块具体内容如下:
(1)风险管理环境。风险管理环境全面风险管理的基础,具体包括IT项目价值取向,管理风格,风险管理组织结构,风险管理文化等。其中,风险管理文化是全面风险管理的核心,它影响到目标设定,风险识别和评估,风险处置等各个层面的活动;风险管理组织结构是全面风险管理得以实施的组织保障和支撑,风险管理职能必须保持一定独立性。
(2)风险管理目标与政策设定。风险管理必须能为IT项目管理层提供一种设定目标的科学程序,IT项目要将风险管理的要求贯穿于IT项目各环节和始终,通过选定风险偏好和风险容忍度,制定明确统一的风险管理政策,包括风险管理政策,市场风险管理政策,操作风险管理政策等,以实现风险管理和项目目标的紧密结合。
(3)风险监测与识别。风险监测和识别包括通过项目开始后管理来监测和识别客户信用风险,跟踪国家宏观政策,行业状况,IT市场以及监管法规等有关情况识别市场风险和操作风险。对风险的识别是准确度量风险的前提,IT项目必须通过监测系统保持对内外部事件的敏锐性,
首先做出事件“是否是风险,是什么类型的风险”的判断,才能对风险程度和大小进行分析,并在此基础上进行风险预警和处置。
(4)风险评估。风险评估可从定性和定量两个方面进行,并且要尽量数据量化地确定受险程度。在建立客户类型内部评级系统的基础上,还应选择具体的风险评价模型做为核心度量方法建立市场风险评估系统,并努力将操作风险的内部计量包括进来,
建立一体化的风险管理体系,使风险分析的结果能相互比较以利于决策,合理地在不同业务间配置经济资本。
(5)风险定价。对于预期风险,可通过风险定价和财务处理来抵御,对于非预期风险必须通过资本管理来提供保护,对于异常风险可采取保险等手段解决。
(6)内部控制。项目管理方应建立健全的内部控制体系以防范操作风险,通过制定和实施一系列制度,程序和方法,对风险进行事前防范,事中控制,事后监督和纠正,确保国家法律规定和企业内部规章制度的贯彻执行,确保操作的规范性和得到有效监督。
(7)风险信息处理和报告。包括建立业务信息,资金风险损失,市场风险信息等在内的数据库,通过信息处理系统保持数据库更新,及时反应内外部风险信息等内容。要建立科学灵敏的风险报告制度,对项目的风险现状进行汇总,分析,对各种风险管理政策的实施效果进行分析,形成定期,不定期综合及专题报告,按照一定程序报送各级风险决策机构;要针对不同类型的风险来区分不同的报告渠道和风险报告的职责分工。
(8)后评价和持续改进。项目风险管理部门应该对全行规章制度,项目管理流程,风险管理流程的执行情况进行后评价,并建立相应的授权调整和问责制度,确保风险管理体系的运行。
同时,风险管理部门应根据外部环境,监管当局要求以及后评价中发现的问题,对风险管理体系中有关内容提出调整和完善意见,由项目决策层来对全面风险管理体系进行持续改进。
风险管理体系的八个模块相互独立,相互联系又相互制约,共同构成了全面风险管理这一有机体系风险管理环境是全面风险管理的平台,风险管理理念和风险偏好影响决定了风险管理目标和风险管理政策的制定;风险管理目标与政策设定是风险识别,风险评估和风险应对的前提,具体风险管理战略和流程都要符合风险管理政策的要求,实现风险管理的目标;
风险识别,风险评估,风险定价与处置是风险管理的具体实施流程,是对风险管理政策的细化和执行;内部控制是风险管理目标实现和风险管理流程有效运行的保障;风险信息处理和报告是保障项目全面实施风险管理的媒介,风险管理的各项活动都要形成风险信息并通过风险报告机制传递;后评价和持续改进是对风险管理体系进行再控制和再完善,以保持风险管理体系的科学性和适宜性。