某银行大厦信息系统监理项目中的风险管理

范 蔚

（中国海洋大学经济管理学院 山东青岛 266000）

一、概述

某银行大厦信息系统建设投资额五千万元，与建筑土建工程和强电工程交叉作业，总建设期为二年。总体目标是要采用现代信息技术，通过信息资源、信息共享平台、重点领域业务应用系统和安全保障体系建设，实现业务管理部门的互联互通和信息共享；促进业务管理部门间的业务协同与互动，提高业务管理信息化和科学决策水平，增强调控能力、驾驭市场变化、应对突发事件、总揽全局的能力。

项目信息系统分为六个子系统，分别由六个分包商承担。综合布线子系统（青岛恒华机房设备工程有限公司），有线电视子系统及监控子系统（北京盛世全景科技有限公司），A级机房子系统（中国建筑技术集团有限公司），多媒体会议子系统（山东华埠特克智能机电工程有限公司），楼宇自动化控制子系统（北京世纪先锋科技有限公司），通信子系统（潍坊联通公司）等。所有信息系统都与装修部分有工作面和时间点交叉，相互之间更是涉及众多。对于这样一个涉及面广、建设周期长、共建部门多、建设涉及的技术面宽（包涵软件工程、网络工程、主机系统、标准化建设、信息共享和挖掘、信息安全以及机房建设等）、参建单位多等问题的信息工程项目，通过监理对工程的实施进行规范管理和科学评价，是非常必要的。

作为信息工程的监理方，根据该工程的需求，制定了详细的《监理规划》和《监理实施细则》，内容涉及标准体系、基础平台、安全平台、应用系统、机房等各个环节。本文仅以针对该项目监理风险管理的几个要点为例来阐述。

二、风险识别

本监理项目风险识别实际就是一个多目标系统，总目标很难具体量化，要借助可量化的多个子目标，甚至借助子目标下的次目标。因此，运用层次分析模型，有利于更好地实现对风险的识别。根据整个银行信息系统工程监理项目的风险构成，本项目运用层次分析模型法得到对应的风险层次分析模型如图1：

图1 某银行大厦信息系统工程监理风险层次分析模型

依据风险层次分析模型，把头脑风暴法、德尔菲法以及面谈法进行综合运用，来对项目风险进行识别。图2是各种风险识别方法和技术的综合运用，重点是其中的迭代过程。

图2 风险识别的方法及技术运用

完成风险识别过程后，风险表和风险矩阵就创建了。应该知道，风险并不是在特定的时候存在，而是整个项目建设过程中都充满着风险，而且会随着风险因素的改变而改变，所以要对项目进行定期风险评估，及时了解风险的情况，做到早发现早处理，防止风险扩大化。

三、风险评估

与其它一般工程项目的风险评估不同，在信息系统监理项目的风险评估中，还必须遵循一系列的技术标准和规范，包括质量、成本、进度等。各个控制过程中，针对本项目的信息安全风险评估中所遵循的国际和国内安全标准有ISO13335《信息安全管理方针》，ISO 15408《信息技术安全性通用评估准则》，SSE-CMM《系统安全工程成熟度模型》，ISO17799《信息安全管理体系标准》，GB-17859《安全保护等级划分准则》等等。

在本项目中，风险评估所选用的输入元素有：风险管理计划，风险清单，项目状态，项目类型，假定等内容，可用一个表格涵盖。选用的技术主要是定性风险分析方法，如风险概率及影响，项目假定测试等，输出内容就是有优先级排列的风险列表，并作出定性风险分析的趋势结果。

当然理论上风险评估得到的输出文档是非常多的，在实际应用中可以使用原先相似项目的经验形成的模版，而且输出文档不是必须都要形成，根据项目的特性和不同的监理方式，可选用不同的文档。对于本项目中，主要使用了风险影响表，风险排序表。

四、风险应对

项目风险应对应首先制定一个风险应对计划，通过相应的程序和技术减少威胁。一般对发生可能性较高的风险以及产生后果严重的风险制定风险应对计划。列出当风险发生时将采取哪些措施。风险管理计划中还包括风险原因、责任者及其职责、风险应对所需的预算和时间等。

降低技术风险最主要的方法是在项目计划阶段通过细化WBS（工作分解结构，Work Breakdown Structure）工作包，消除技术风险的根源，实现降低技术风险的目的。降低成本风险的策略最主要的是提高项目经理的权限。而降低进度风险最主要的策略是任用有经验的项目经理。

风险应对其实就是针对项目本身，选择合适的风险处理方式（包括规避方式、转移方式和降低方式），并说明选择的理由以及被选中的处理方式的使用方法和注意事项等，并记录风险处理的过程及结果。

五、风险监控

它贯穿于风险管理的所有步骤，并有相应的监控记录，内容包括监控的范围、对象、时间、过程、结果和措施等。

本项目检查与监控过程：对采购的设备、软件、定制开发的软件和系统进行检查并正确配置，即检查采购产品是否有国家主管部门的生产和销售许可证，是否通过国家有关部门的测评和认证；检查采购的产品、定制的软件和系统所具备的安全功能和安全特性；按说明书正确配置，确保符合设计要求；如果在系统实施的过程中增加了新的安全处理措施，对新增加的措施给原系统带来的风险进行分析，确保增加的措施与原有设计协调一致。

安全测试：系统安全测试是对系统特定部分的测试和整个系统的测试，内容有：采购和定制产品各部分安全功能和安全特性的测试；集成后整个系统的整体安全测试；对安全管理、物理设施、人员、流程、业务或内部服务（如网络服务）的使用，以及应急计划等进行测试。安全测试可由施工方内部实施，而监理方监督，也可监理方实施。测试之前应制定测试计划，并对测试过程和结果记录。

人员培训：培训对象包括系统的使用人员、系统维护人员和安全管理人员。监理要监控培训内容，系统的操作流程和操作方法；安全意识、基本安全技术知识和安全管理知识；系统维护和安全功能的使用；安全管理制度和管理流程；系统安全事件的应急处理流程和恢复流程。

授权系统运行：信息系统在投入运行前进行审批。这部分通过监理的监控，施工单位应与系统安全员、系统管理人员、系统使用人员进行充分沟通，必要时聘请专家进行咨询，以便对系统是否投入运行做出正确决策。

在此风险监控过程中，纠正措施就是变更。因为风险应对计划的使用，使原先制定的基准发生相应变化，这时候的权变措施、纠正措施都是对原计划的变更。本项目中变更控制的流程情况见图3：

图3 监理监控变更流程

六、风险管理具体实施过程总结

在该项目的风险管理中，依据风险管理的四个迭代过程，综合运用了风险管理中的多种技术和工具。简单的总结如下：

第一步：监理项目组成员参与头脑风暴会议，列出潜在风险的清单，并依据头脑风暴会议的议题，邀请专家进行德尔菲法调查。随后有针对性的进行管理人员的面谈。

第二步：收集并汇总所有列出的风险。

第三步：评估风险汇总清单上每个风险的可能性、影响及监测的难易程度。

第四步：通过项目风险汇总清单识别监理要点或监控点，同时还要求列出监理方法，即该监理点的监理工程师是旁站还是进行数据测量？通常情况下每个风险至少列出三个监控要点。

第五步：建立应急计划及变更措施。包括风险发生是监理采取的行动。风险管理计划中为所有风险设立评估临界点，只要超过临界点的风险就采取控制行动。

第六步：责任到位。确定风险发生时监理师能适时做出回应。

这些步骤中，监控要点的设置是整个风险管理过程中至关重要的部分。完成这项工作后，监理人员具有更好地可操作性依据，明白在操作项目的过程中，哪些是需要注意的，所以他们更主动地捕捉变化或问题，更积极的面对风险。

结语

本文以信息系统监理项目风险管理理论为基础，通过对某银行大厦信息系统监理项目的实证研究，选择恰当的风险评估方法，建立信息系统工程监理项目风险分析模型及风险处置策略，使监理项目风险管理工作走向规范化。但是，由于对风险管理的系统理解、把握和运用方面还处于起步阶段，本文仅对各个风险因素进行定性分析，研究出处置措施，而措施的制定应该突出重点且有量化的依据。今后还要充分学习信息系统监理项目风险评估的方法，尤其要加深对定量分析方法的研究。

[1]信息产业部.信部信[2002]570号，信息系统工程监理暂行规定[S].2002.

[2]张友生，林晓飞，陈志风.信息系统监理师辅导教程[M].北京：电子工业出版社，2008.

[3]王卓甫，等.工程项目管理——理论、方法与应用[M].北京：中国水利水电出版社，2003.

[4]周小桥.项目管理工具与模板[M].北京：清华大学出版有限公司，2005.

[5]毕成.基于软交换架构的3G核心网建设项目风险管理[D].北京：北京邮电大学，2008.