居安思危，防微杜漸。近日我參加了一個上市公司CIO的專題研討會，主題是如何建立IT內(nèi)控風(fēng)險預(yù)警體系。起因是2010年4月，財政部、證監(jiān)會、審計署、銀監(jiān)會、保監(jiān)會等五部門聯(lián)合發(fā)布了被稱為“中國版薩班斯法案”的《企業(yè)內(nèi)部控制配套指引》。指引文件在第37條中明確指出要把企業(yè)內(nèi)部IT風(fēng)險控制建設(shè)情況納入上市公司日常監(jiān)管的范圍，確保IT內(nèi)控風(fēng)險預(yù)警體系的執(zhí)行質(zhì)量。而且，為了確保上市公司IT內(nèi)控風(fēng)險預(yù)警體系的順利實(shí)施，財政部等五個部門還制定了IT內(nèi)控建設(shè)的實(shí)施時間表。

　　一.什么是IT內(nèi)控風(fēng)險預(yù)警體系？

　　風(fēng)險無處不在、而且還難以度量，這使到企業(yè)很難去評估和預(yù)防風(fēng)險。因此，很多時候企業(yè)在實(shí)施IT內(nèi)控和風(fēng)險管理時常常感到無從下手。從研討會上眾多CIO討論的情況來看，目前國內(nèi)大部分上市公司在IT內(nèi)控風(fēng)險預(yù)警和防范方面還存在很多模糊的認(rèn)識和誤解。

　　(1)什么是IT內(nèi)控風(fēng)險預(yù)警體系？

　　在風(fēng)險管理體系中，一般包括風(fēng)險管理計劃、風(fēng)險識別、風(fēng)險定性分析、風(fēng)險定量分析、風(fēng)險響應(yīng)和風(fēng)險監(jiān)控。風(fēng)險管理貫穿企業(yè)各項(xiàng)業(yè)務(wù)的整個過程，包括事前、事中和事后。統(tǒng)計資料表明越早發(fā)現(xiàn)風(fēng)險、越早采取措施，則風(fēng)險管理的成本就越低，給企業(yè)帶來的效益也就越大。按照1：10：100的理論，在第一個階段控制風(fēng)險的成本是1，那么如果到了第二個階段才采取措施，它的成本就會是10，而到了第三個階段時才采取措施的成本將會是100。因此，在風(fēng)險管理領(lǐng)域中普遍強(qiáng)調(diào)風(fēng)險管理的計劃性和預(yù)測性。也就是說，風(fēng)險預(yù)警系統(tǒng)可以為風(fēng)險識別、風(fēng)險分析、風(fēng)險監(jiān)控等提供強(qiáng)有力的手段，在整個風(fēng)險管理體系中具有極其重要的地位。

　　為此，2010年4月財政部等五部門聯(lián)合發(fā)布的“中國版薩班斯法案”《企業(yè)內(nèi)部控制配套指引》在第37條明確指出“企業(yè)應(yīng)當(dāng)建立重大風(fēng)險預(yù)警機(jī)制和突發(fā)事件應(yīng)急處理機(jī)制，明確風(fēng)險預(yù)警標(biāo)準(zhǔn)，對可能發(fā)生的重大風(fēng)險或突發(fā)事件，制定應(yīng)急預(yù)案、明確責(zé)任人員、規(guī)范處置程序，確保突發(fā)事件得到及時妥善處理”的規(guī)定。要求IT系統(tǒng)提供對風(fēng)險事件的預(yù)警，并能及時通過各種通訊方式通知相關(guān)崗位人員。因此，通過IT內(nèi)控風(fēng)險控制體系來防范和降低上市公司的IT違規(guī)風(fēng)險，是企業(yè)高層領(lǐng)導(dǎo)和CIO目前最迫切需要解決的難題。

　　(2)IT內(nèi)控風(fēng)險預(yù)警體系的具體內(nèi)容

　　任何風(fēng)險的出現(xiàn)都會有預(yù)兆，警兆是指風(fēng)險發(fā)生前的先兆。通常某些指標(biāo)會提前出現(xiàn)異常的波動，預(yù)警系統(tǒng)就是根據(jù)一定的原則捕捉到這些異常。因此，企業(yè)風(fēng)險預(yù)警系統(tǒng)主要包括警源分析和警兆辨識兩部分。警源分析著重分析風(fēng)險發(fā)生的根源性因素;警兆辨識主要通過定量的指標(biāo)體系分析法和定性描述分析法相結(jié)合的方式，提前向企業(yè)IT決策者發(fā)出預(yù)警信號。

　　具體來說，要實(shí)現(xiàn)對IT風(fēng)險警兆的辨識可通過兩方面來進(jìn)行：一是定性分析，即通過對有關(guān)IT項(xiàng)目從決策到運(yùn)營等方面的定性描述判別是否出現(xiàn)警兆;二是定量分析，即通過預(yù)警指標(biāo)體系的指標(biāo)計算來確定警兆是否出現(xiàn)。因此，風(fēng)險預(yù)警指標(biāo)體系包括定性指標(biāo)和定量指標(biāo)兩部分。其中風(fēng)險預(yù)警系統(tǒng)中的定性分析主要是通過對一些無法具體量化而又對IT項(xiàng)目的運(yùn)行起到?jīng)Q定作用的關(guān)鍵問題進(jìn)行是非判斷，從而決定是否發(fā)出預(yù)警。定量分析的主要內(nèi)容是對IT項(xiàng)目中的統(tǒng)計信息設(shè)立數(shù)量化指標(biāo)體系，是指通過建立和運(yùn)用數(shù)量化指標(biāo)體系從定量的角度來分析項(xiàng)目是否存在潛在的風(fēng)險，從而確定是否存在警兆。

　　一般來說，在IT內(nèi)控時可能會碰到很多的風(fēng)險，通常的做法是把可能的IT風(fēng)險劃分一個優(yōu)先級，對于優(yōu)先級高的風(fēng)險要給以更多的關(guān)注。例如，對財務(wù)違規(guī)的IT操作流程和可能會影響上市公司股價波動的IT流程給予高優(yōu)先級考慮。因此，IT體系風(fēng)險評估的目的是要辨別出潛藏的IT內(nèi)在風(fēng)險與殘存風(fēng)險。通常包括風(fēng)險判斷標(biāo)準(zhǔn)、風(fēng)險發(fā)生的可能性、風(fēng)險發(fā)生的危險度、風(fēng)險預(yù)防措施、風(fēng)險消除措施等幾個方面進(jìn)行評估。為了更加形象地標(biāo)識企業(yè)出現(xiàn)的IT風(fēng)險所處的級次，應(yīng)該把IT風(fēng)險預(yù)警區(qū)間分為安全區(qū)(綠區(qū))、預(yù)警區(qū)(黃區(qū))、危機(jī)區(qū)(紅區(qū))三個區(qū)域。指標(biāo)在安全區(qū)，表示發(fā)生危機(jī)的可能性較小;指標(biāo)在預(yù)警區(qū)，表示存在發(fā)生危機(jī)的可能性;指標(biāo)在危機(jī)區(qū)，表示發(fā)生危機(jī)的可能性較大。根據(jù)風(fēng)險評估得分，對照相應(yīng)的預(yù)警區(qū)間就可以快速的判斷出各企業(yè)的IT風(fēng)險預(yù)警警度。

　　在這次研討會上，眾多CIO關(guān)注的焦點(diǎn)是如何實(shí)現(xiàn)五部門聯(lián)合發(fā)布的“中國版薩班斯法案”《企業(yè)內(nèi)部控制配套指引》第37條。也就是：為使預(yù)警功能得到正常充分的發(fā)揮，企業(yè)應(yīng)如何建立預(yù)警機(jī)制。包括信息收集/傳遞機(jī)制、預(yù)警分析機(jī)制、危機(jī)分析機(jī)制以及危機(jī)處理機(jī)制?？偨Y(jié)這次研討會的發(fā)言，CIO們一致的認(rèn)為預(yù)警系統(tǒng)的建立有幾個關(guān)鍵核心：①是確定預(yù)警的指標(biāo)和判斷預(yù)警的警戒線，因?yàn)轭A(yù)警分析一般包括預(yù)警指標(biāo)和預(yù)警指標(biāo)的臨界點(diǎn)等兩個要素，一旦評測指標(biāo)超過臨界點(diǎn)，應(yīng)急計劃則應(yīng)馬上啟動。②IT預(yù)警系統(tǒng)的核心是高效的風(fēng)險分析機(jī)制，是指通過風(fēng)險分析迅速對影響的因素作出判斷，從而可以把主要精力放在有可能造成重大影響的警情上。③預(yù)先制定危機(jī)處理機(jī)制，主要包括應(yīng)急措施、補(bǔ)救方法、改進(jìn)方案，并在分析清楚危機(jī)后應(yīng)立即采取消除措施，以減少危機(jī)帶來的損失。

　　二.如何打造符合第37條的IT內(nèi)控風(fēng)險預(yù)警體系？

　　古希臘政治家伯利克利認(rèn)為：“提升風(fēng)險管理水平，并不是為了能夠準(zhǔn)確的預(yù)見未來的風(fēng)險，而是為了不可預(yù)知的風(fēng)險做好準(zhǔn)備”。這與中國的諺語“居安思危，有備無患”有異曲同工之妙。因此，中國版薩班斯法案《企業(yè)內(nèi)部控制配套指引》在第37條也明確指出企業(yè)必須要先打造一個預(yù)警式IT內(nèi)控體系。所以，構(gòu)建一個滿足企業(yè)業(yè)務(wù)發(fā)展需要的預(yù)警式IT內(nèi)控體系，是目前很多CIO在思考的問題。結(jié)合研討會上眾多CIO的意見和經(jīng)驗(yàn)，提供以下幾個建設(shè)高效IT內(nèi)控風(fēng)險預(yù)警體系的策略僅大家參考：

　　(1)確定IT內(nèi)控風(fēng)險預(yù)警范圍

　　第一步是先確定IT內(nèi)控風(fēng)險預(yù)警的范圍，它是指根據(jù)財政部等五部門在去年發(fā)布《企業(yè)內(nèi)部控制基本規(guī)范》的要求，再結(jié)合在今年4月發(fā)布的《企業(yè)內(nèi)部控制配套指引》的建議，從全局角度去考慮、分析、規(guī)劃需要控制的IT內(nèi)容和范圍。這是IT內(nèi)控風(fēng)險預(yù)警控制中最為關(guān)鍵的內(nèi)容，包括風(fēng)險形勢評估、風(fēng)險識別、風(fēng)險分析和風(fēng)險評價等幾部分。一般來說，確定IT內(nèi)控風(fēng)險預(yù)警體系的范圍可以分為這幾個步驟：首先確定IT風(fēng)險預(yù)警報告流程中的核心要素;其次，識別關(guān)鍵的IT內(nèi)控風(fēng)險預(yù)警流程;最后，是根據(jù)IT活動確定關(guān)鍵的IT風(fēng)險流程和IT風(fēng)險支持系統(tǒng)，從而確定IT內(nèi)控風(fēng)險預(yù)警范圍。

　　(2)對選定范圍進(jìn)行風(fēng)險識別和評估

　　對企業(yè)IT運(yùn)營中可能遇到的潛在IT風(fēng)險進(jìn)行正確評估其破壞力，是IT內(nèi)控風(fēng)險預(yù)警最為關(guān)鍵的內(nèi)容。因?yàn)橥ㄟ^對IT風(fēng)險的識別和評估可使企業(yè)更加清晰地認(rèn)識到IT意外事件的發(fā)生將會如何限制企業(yè)業(yè)務(wù)目標(biāo)的達(dá)成。所以，企業(yè)在構(gòu)建靈活安全的IT內(nèi)控風(fēng)險預(yù)警體系之前，需要先透徹地分析企業(yè)所面臨的潛在IT風(fēng)險的破壞力。也就是說，要對IT系統(tǒng)出現(xiàn)故障時對各關(guān)鍵業(yè)務(wù)的影響和破壞力作出正確的評估。因?yàn)橹挥姓_分析可能存在的各類IT風(fēng)險，并正確評估各類IT風(fēng)險可能造成的影響，才能采取正確有效的措施來規(guī)避IT風(fēng)險。這也是構(gòu)建高效IT內(nèi)控風(fēng)險預(yù)警體系的一個重要步驟。

　　(3)對潛在IT風(fēng)險實(shí)時監(jiān)控，并實(shí)施有效的控制措施

　　建立起全面IT風(fēng)險預(yù)警機(jī)制的核心一步，是根據(jù)風(fēng)險識別、評估的結(jié)果，針對相關(guān)IT風(fēng)險源制定統(tǒng)一的風(fēng)險管理戰(zhàn)略，加強(qiáng)實(shí)時監(jiān)控。例如，對IT風(fēng)險預(yù)警系統(tǒng)的有效運(yùn)行進(jìn)行持續(xù)監(jiān)控與個別評估，充分發(fā)揮對潛在IT風(fēng)險的實(shí)時監(jiān)控作用，實(shí)現(xiàn)對潛在風(fēng)險的實(shí)時監(jiān)控與內(nèi)部控制措施的有效結(jié)合，以改善IT風(fēng)險控制與管理的效果。

　　(4)組建責(zé)任明確的IT風(fēng)險內(nèi)控小組，完善監(jiān)控職能

　　《企業(yè)內(nèi)部控制配套指引》指出IT內(nèi)控風(fēng)險預(yù)警不應(yīng)只是IT部門一個部門的工作和責(zé)任，而應(yīng)該是要上升為全員參與。因此，在研討會上許多CIO紛紛表示，企業(yè)應(yīng)該要成立由公司領(lǐng)導(dǎo)和各部門負(fù)責(zé)人組成的責(zé)任明確的IT風(fēng)險內(nèi)控小組，該小組要制定出符合本企業(yè)需要的IT內(nèi)控風(fēng)險預(yù)警策略。例如，企業(yè)可定期組織跨部門IT內(nèi)控風(fēng)險預(yù)警工作會議，加強(qiáng)部門間IT內(nèi)控風(fēng)險預(yù)警工作的協(xié)同配合，保障企業(yè)IT內(nèi)控的高效率執(zhí)行和實(shí)施。這個小組除了擔(dān)任IT內(nèi)控風(fēng)險預(yù)警的日常工作外，還可負(fù)責(zé)對IT內(nèi)控、企業(yè)管控的質(zhì)量進(jìn)行協(xié)調(diào)和監(jiān)督。

　　(5)培訓(xùn)宣貫與運(yùn)行推廣實(shí)施

　　最后，建立IT內(nèi)控風(fēng)險預(yù)警體系還需要通過宣講、培訓(xùn)等方式，對企業(yè)各部門和人員進(jìn)行IT內(nèi)控風(fēng)險預(yù)警體系相關(guān)制度的介紹和學(xué)習(xí)，并根據(jù)事先制定好的IT控制框架體系進(jìn)行試運(yùn)行和推廣實(shí)施。也就是說，IT內(nèi)控風(fēng)險預(yù)警體系的建立和運(yùn)行的關(guān)鍵在于向全體人員宣傳和推廣。否則，IT風(fēng)險預(yù)警將成為空中樓閣，紙上談兵。