银行IT建设与风险管理交流文档之一

workaholic

家住海淀 发表于 2011-12-21 11:56
你从项目管理主要理论，例如PMI的思路看，当然人力资源的风险当然属于项目风险了，但是这是从项目来看的 ...

又说错了， COBIT是IT治理的体系，ITIL是IT流程建设和管理的最佳实践，都不是什么IT治理的方向，虽然不是，但其亦是IT风险管理与控制的工具或手段，再摊开来说，变更、配置、问题、事件、SLA、容量管理、供应商管理等，实现的目标、价值和收益，也包含于此。

就不要再谈项目管理了，否则继续跑题，虽然我也承认你提到的项目管理中会，而且是一定会有人力资源的管理；

现代商业银行风险管理理论，这是另外一个话题，聊聊BaselII ？

家住海淀

workaholic 发表于 2011-12-21 13:12
又说错了， COBIT是IT治理的体系，ITIL是IT流程建设和管理的最佳实践，都不是什么IT治理的方向，虽然不是 ...

我都说了，你出发点就是还在项目内，而后二者都不是基于项目的视角看问题，不是我跳不出项目这个范畴，而是你始终站在项目之中转圈圈看风险。

workaholic

家住海淀 发表于 2011-12-21 14:25
我都说了，你出发点就是还在项目内，而后二者都不是基于项目的视角看问题，不是我跳不出项目这个范畴，而 ...

哈哈， 本来是我这么说你的， 你反而 ……   ，项目二字可是你最先说的啊，我还纳闷你怎么扯到项目身上了，老胡啊老胡    

去看看银监发文《商业银行信息科技风险管理指引》吧，我想我们再继续争执到底谁在项目中看问题没有任何意义。

银行信息科技风险管理工作的开展和落实，是应全面落实到流程、制度、规范、操作管理中，也就是说，应融入到工作的方方面面，既然你提到项目，我也配合一下，实际上，很多银行的做法，出发点恰恰也正是从“项目” 入手，例如： 请外部专业咨询公司，或者国家信息安全评测中心等国字号单位，进行评估、调研、形成报告，专项整治、专项自查，阶段性TRM等； 2008年奥运自查，国内很多银行做过此事，公安部下属公司甚至也有插手，该项工作完全可以以项目管理的方法，启动、推动、开展；  

shmichael

有人实际上根本不懂风险，还……，汗

家住海淀

workaholic 发表于 2011-12-21 13:12
又说错了， COBIT是IT治理的体系，ITIL是IT流程建设和管理的最佳实践，都不是什么IT治理的方向，虽然不是 ...

呵呵，我不和你争了，老虎无意说服你，各自理解吧

albertx

学习学习！

由于工作越来越忙，很久没有回来关注自己发的帖子了，昨天突然发现被置顶了，还是感到比较意外。

谢谢大家的关注、回复和意见。

其实我自己明白回复给人家的这篇文章，其内容已经不仅限于单纯意义上的IT风险范畴。由于自己工作环境的因素，我几乎接触了一家城商行IT的方方面面，并且可以从不同的层面和角度来观察我所在的这家银行的IT治理和管理，也在不断思考IT风险的范围与内容。

我自己的观点是：不能将IT风险与对IT的运用分离开，不能把IT风险管理看作与IT治理、IT日常运作管理相独立的一项任务，因为所有与IT相关的活动本身都包含了风险因素，所以到处都是IT风险。IT战略决策是一种IT风险，错误或者不完善的IT规划可能导致混乱的技术架构、重复投资；项目管理是一种IT风险，不考虑安全需求的系统建设会导致安全漏洞；IT人员是一种风险，复杂的人员构成会产生潜在的内部作案动机。也许是因为从事风险管理工作，所以总觉得什么都是风险，这可能也算一类职业病吧～

前面有朋友说得很对，任何一个组织在IT风险管理方面的有效性跟组织领导者对IT风险的意识和认识相关。我国许多银行的高管还是传统的银行家，不懂IT，而且许多银行还处于发展阶段或急于想要快速发展，业务的增长是其首要任务，管理能力的提升是次要的，所以风险管理不受重视。在一个轻松赚取巨额利润的环境中，谁会去真正关心自己的管理水平高低与否呢。只有当一家银行度过快速发展期，需要向管理要效率、要利润的时候，才会切实地去做好各方面的管理工作，包括IT风险管理工作。另一方面，近年来监管对银行IT建设的重视越来越大，使得过去一直被忽视的IT部门地位不断提升，CIO岗位的明确和人员的到位又进一步加大了IT的话语权，所以IT部门在银行里的地位提高了，但IT风险管理还等待着黎明的带来，因为现阶段的重心是提升IT对业务发展的响应能力，而不是去解决IT自身存在的问题。

基于以上的思考，我近一年的心态也平和多了，IT风险管理意识和能力的提升需要一个过程，不能一蹴而就，高管层和IT部门的成熟需要一个过程，有时候耐心比能力更加重要。

workaholic

jiyi_jack 发表于 2012-1-12 16:18
由于工作越来越忙，很久没有回来关注自己发的帖子了，昨天突然发现被置顶了，还是感到比较意外。

谢谢大 ...

严重同意，看来 Jiyi_jack 兄确实对风险管控及安全管理理解的非常深入，并在实际工作中有很深的体会和心得，希望能够常来分享，非常感谢。

louxl2008

不错的文章的，在其它行业同样也受用！

skyme123

好文章啊，值得学习和思考的地方很多