在风险管理中找机会

信息系统在推动业务发展的过程中日渐扮演着中心角色，分布式计算环境的流行，技术进化的脚步日益加快，这些因素都迫使企业改变他们研究、管理与计算机相关风险的方式。因为，无论一家公司是对纳税人负责，还是对股东负责，最终都必须避免的事情便是将钱投进不成功的信息系统中去。 由于预算超支、进度延迟以及浪费增加，联邦航空局的一个旨在升级其空中交通管理系统的项目被纽约时报头版加以奚落。纽约时报说，这个项目浪费纳税人的钱财，是典型的管理失误的代表。这个预算耗资高达数十亿美元，名为“高级自动系统”的项目是由联邦航空局在上个世纪80年代开始规划，它的本意是希望加强联邦航空局的空中交通业务，提高效率，节约钱财的。15年以后，联邦航空局承认，这一项目在软件开发方面就浪费了5亿美元，原因很简单，他们要放弃一些项目组成部分。另外，这个项目不能给现有的，已经有25年以上历史的主干系统带来切实的改进。即便到了升级完成的那一天，原先规划的卫星技术也很难就位。要知道，卫星技术早在这一项目起草的时候就已经出现。具有讽刺意味的是，联邦航空局并没有对这一庞大项目进行风险管理，以及执行成本收益分析。 尽管这一案例可能证明风险管理被人们忽视，但它本身也很好地说明了管理风险的重要性与困难性；它为我们演示了评估风险的危险性。风险管理远不是一种抽象的科学，它是一种由常识、细致分析、深谋远虑以及直觉构成的魔力体。 就像有很多种不同的方法去修补一个项目一样，对风险管理的定义也有很多方式。一些公司在评估项目的重要度时，凭借的是一个问题清单以及直觉判断；另外一些公司则遵循自己的严格步骤；少数公司使用正规的方法。但是，IT官员在考虑风险管理的重要之处时，他们却存在着很多相同的地方。 分析项目是否值得投资风险管理有一个基本的出发点：成本，盈余以及潜在的新收入。位于芝加哥市的印刷巨头RR Donnelley & Sons Co公司使用的是一种正式的流程评估方法，他们将项目分成为几段，各个项目段都需要获得许可及其预算。在初始阶段，由一个项目经理负责来自市场、制造、信息系统、通讯、财务等部门的经理以及集团的总裁、技术高级官员构成的项目小组计算项目的成本以及各个部门从这一项目获得的好处。Donnelley公司的项目经理Glenn Ferrell说，某个项目段的决策需要很多人参与。 Ferrell曾经参与过一个项目，这个项目要添加新的程序以及培训，以便提供两个业务部门印刷工人的生产力。一般来讲，RRDonnelley的客户自己处理需要印刷的手册、书本、海报或者其他想要印刷的材料电子文件，然后RR Donnelley会处理这些需要印刷的材料。但Ferrell说，很多情况下，客户的电子文件当中包含了技术错误，这会导致印刷错误。新系统的主要目的是为了在印刷工人的错误出现之前，充当错误检查员的角色。这一项目的一个关键难题在于，它首先需要通过公司“内部回报率”（IRR）的审计批准，这个标准是建立在一系列资产、负债成本的指标之上的，比如30年的债券率、公司的股票业绩等等。这个被提议的项目后来被评估为，在3年内的回报率为30%到118%，这是公司制定标准的3倍。Ferrell说：“这表明这个项目可行，也不太昂贵，它也获得了很好的回报。评估阶段，所有的问题都围绕成本展开。” 评估延迟或失败的风险风险管理往往超越了简单的成本收益范畴，而是去衡量不启动一个项目或者启动项目陷入失败的成本。纽约的Ernst & Young LLP公司的技术咨询主任David Shpilberg说，自从上个世纪80年代以来，大约有三分之一的大公司已经改变了他们的IT分析手段，开始综合考虑收支风险和战略回报，包括Shpilberg的客户在内的许多公司已经改变了针对IT投资的战略风险调整率或回报评估率。 “风险调整后收益”（Risk-adjusted returns）将被提议系统的战略性收益同未能实现希望目标的成本相比较。例如，一套客户服务系统可能让客服人员为客户提供更加快速的讯息服务，相应的，也会留住客户。根据测试和原型，公司评估这套系统不能发挥作用时的概率，以及这套系统失败时对业务造成的负面影响，然后从预期收益当中减去这些负面数字。Shpilberg说，一套系统可能为企业提供高回报，但同时也存在高风险，这些因素可能使它成为一个中间性质的解决方案。另外一套系统可能无法提供如此高的回报，但它的低风险令它成为一种更好的选择。 Shpilberg说，评估当中的数字相当的关键。另外，有效的评估需要IT和业务单位之间有着和以往不同的一种密切关系才行。即使如此，当所有的模型和数值都反映出风险与潜在收益的面貌，结果也包含了很多的臆测工作。因为这个原因，尽管曾经在原型与分析里投下了资金，位于伯明顿的The Toro公司仍然在投资一套价值数百万美元的SAP集成商业系统之前没有部署任何的正式性质的风险分析。公司的首席财务官Gerald T. Knight说，要精确的评估初期的战略回报几乎是不可能的，IT官员们必须具有比以往更好的理解其公司业务的能力。 Knight说：“你能够从数字上将其分析为0。但是，无论数字上的回报是20%或是50%，这些都没有意义。你谈论的是市场份额的问题。你不知道市场份额是多少，或者利用SAP能够取得的额外销售又是多少，你永远没法计算现实的情况。但是，我非常的清楚，使用了这套系统，我们有能力对我的客户做出更加快速的反应，SAP系统和现有的系统相比，它更好，更可靠，成本也相当的低廉。” 聪明地进行采购风险管理的困难不仅仅停留在项目批准阶段。对于许多公司来说，他们风险管理的障碍存在于一个项目启动之后的问题处理阶段。这包括对某个项目风险性因素的专注，找到减小失误造成的影响的方法。 在和厂商谈判以及管理随后的合同方面，首席信息官们正变得越来越熟练。IT官员们在考虑和一个厂商打交道之前，需要考虑以下这些重要的因素，厂商的财务健康状况、市场表现、重新投资的倾向、技术方向、客户关系以及全球性能力。即使一家公司全部符合这些标准，合并、收购以及产品的终止都能够让这家公司处于风险之中。费城的Rohm and Haas Co公司是一家价值35亿美元的化学公司，这家公司的经理们对此深有体会。新英格兰的一家大型的软件公司曾经卖给Rohm and Haas 一套应用软件，它可以帮助这家化学公司的销售人员在出差的时候，从公司的中央服务器中抽取客户信息。当合同签署好，初期的项目开始启动，Rohm and Haas公司准备在全球范围部署这套系统时，对方忽然将这套产品从其出售的产品清单中去除，这直接导致这一项目地停止。Rohm and Haas公司的IT架构、财务及行政经理John Berezny说：“这让我们处于尴尬的境地。” 由于诸如此类的风险存在，Berezny后来在签署合同时，总是要求对方，如果出现产品被取消的情况，也要保证合同条款的继续执行。例如，他在和供应商谈判时就说，一旦产品被取消，自己的公司保留对源代码的权利。另外，他还从合同条款上明确保证自己未来对产品的采购权。后来，Rohm and Haas从冠群（CA）公司那里采购到了相应的系统，才解决了问题。CA明确表示，将严格按照合同条款来办事。Berezny说：“如果你被蛇咬过，你就会更加的小心。” 对于一些公司来讲，将备选方案保留到最后一分钟也可以减小风险。费城的Elf Atochem北美有限公司的信息服务与规划部门的主任Claude Marais说，在一个决策实施的初期，考虑几种选择并不是一种稀有的做法。他管理这家价值17亿美元的化学品制造公司的IT风险的最重要做法，便是至少和两家公司商谈全部的合同细节，然后从中挑选出最合适的一家。利用这种方法，这家公司很好地规避了一些风险。Marais说，如果一家公司只和一家供应商谈判的话，这个供应商就会知道，你承认他的产品，这样你的谈判余地会很小。 正确地进行开发由于一个项目当中，软件开发占据了很大一部分风险空间，因此，许多IT项目经理将很大的一部分精力放在管理软件开发上面。提高软件开发成功率的途径包括，制定明确的业务目标、执行模块化的项目、缩短开发的周期、增加用户的参与度，更多地使用非定制性的软件。 和许多公司一样，Rohm and Haas公司现在更多地采取“购买和自行开发”（buy-versus-build）的软件策略去减少和客户开发有关的风险。为了适应套件系统的要求，这家公司甚至不惜改变自己的业务惯例。如果一家公司写了很多的定制化的补丁给商业软件，那么，当厂商升级的时候，公司就面临重新补丁的风险，因此Berezny说：“我们购买套装软件，并且完全地使用他们。” RR Donnelley公司也曾经为是否利用自身的力量开发软件而犹豫不决。随着书籍、杂志印刷变得日益电子化，这家公司的经理们意识到，他们需要更加专业的数据库去管理图像数据文件。利用最新的目标导向及人工智能技术，公司的研发小组花了大约50万美元开发出了一个图像管理数据库的原型。RR Donnelley公司技术小组的成员Bruce Bukiet说，这个原型能够发挥作用，但评估小组却决定不对它进行投资，因为客户开发方面存在高额成本的风险。相反，公司最后挑选了一套商业系统来完成这一任务。那么，原型开发浪费钱财吗？Bukiet认为，这是帮助业务单位领导判断风险的必要投资。 在过去，被提议的软件开发很少经过详细地评估。Bukiet说：“我们需要它就行了。审查往往增加了官僚作风，影响了事情的进度，但是它确实能让你细致洞察到投资的回报。富有经验地领导，不断地监控也是减小失败的重要因素。”麻萨诸塞州丹尼斯市The Standish国际集团公司的总裁Jim Johnson说，不断地监控能够很快地将失败的项目清理出去。他说：“现在人们可能取消了很多的项目，因为他们辨别失败项目的速度更快了。” 让项目持续可行失灵的设备、错误的代码、日渐临近的期限，这些都是首席信息官们可能预见到的风险。但是，如果首席信息官们和同事或者上级的沟通不畅，那么项目受到的威胁有多大？如果他们无法给IT资源进行业务目标沟通，事情又会变得怎样？从初期的投资到解决问题的阶段，风险管理的一个重要组成部分是问问题、倾听、学习以及沟通交流。 Tom Charbonneau在这些方面很有经验。几年前，他在马塞诸塞州Framingham音响设备公司的工作是评估一套新的计算机系统。这套系统一般可以实行一个单一的功能区域的自动化，因此，它的影响比较有限。在计算了裁员成本以及减掉其他设备的影响之后，这家公司调整了系统计划。Tom说：“它不是一桩很值得的采购。” 现在，这家公司安装了SAP美国有限公司的集成系统，它能够覆盖财务、工程、制造、人力资源以及全球的各个部门。系统预期给这家公司带来战略性的收益是对变化的市场做到更灵活地反应等。但是由于增加了规模，投入了数百万美元，Charbonneau不得不花一年的时间和各个功能部门的官员一起协作，共同去判断由于网络失败所造成的影响。他说：“那些日子，找到各个部门的官员认为的重要之处以及他们希望得到的东西成为分析工作的主要构成部分。否则的话，这套信息系统的提案可能在会议室就会被搁置。” Ferrell也同意确保采购的安全以及正确的行政沟通工作对于风险管理相当的重要。他认为，让一个项目在行政事务当中得以完成是风险管理中最困难的风险。他说：“头号危险是，一旦一个项目启动，你继续维持决策的能力。管理当中的任何一个变化都能够将一个项目付之东流。” 风险管理是否起作用？专家都很难回答，这是因为衡量成功的标准具有主观性。风险管理的困难之处在于，除非一个项目已经失败，否则一家公司很难知晓这一点，就像联邦航空局的例子一样。另外，就像几位专家指出的那样，为了宣布成果是成功的，企业官员喜欢对项目名词进行重新定义。 虽然如此，许多首席信息官们仍然感觉对IT风险提高意识已经帮助他们的公司取得了不错的成绩。加拿大皇家银行的前信息与技术部门副总裁James C. Grant就说，自从1985年以来，加拿大皇家银行就已经对每个价值在几千美元以上的IT项目进行了风险评估。现为安大略C.G. James and Associates有限咨询公司总裁的Grant说，他执行过240个IT项目，其中有25%的项目在实施之前进行过调整，因为经过评估发现它们都存在风险。但由于一些项目后来仍然失败了，因此要对风险管理评估的成功率进行定量统计非常的困难。Grant表示，虽然衡量标准具有主观性，但结果确是实实在在的。他说：“我认为，我们更好地管理提高了股东的资产价值。”