در جهان كنونى، عناوين و پارامترهاى مختلفى در امر مديريت مطرح است كه اداره آنها نيازمند شناخت و درك صحيح و دانش مخصوص به خود است.

پرداخت به هريك از اين عناوين و تعيين وجه اشتراك و افتراق هر كدام، نيازمند فرصت كافى به خود است، اما آنچه كه امروزه مهم تر از همه عناوين مديريتى، به عنوان اصلى ترين عامل در تعيين برنامه ها و تصميم گيرى ها در محيط هاى پر فرآيند تاثير گذار است، بكارگيرى و استفاده از تكنينك هاى مديريت ريسك و به همان ميزان سيستم هاى مبتنى بر IT,ICT است. فن آورى اطلاعات، به نحو فزاينده اى بر چگونگى عملكرد و نحوه كارآيى سازمانها، ارگانها، شركت هاى دولتى و خصوصى اثر گذاشته است، و نقش سيستم هاى مبتنى بر فن آورى اطلاعات در انجام كارآمد امور ادارى و تجارى انكار ناشدنى جلوه مى كند.

تنوع و گستره فعاليتها موجب مى گرددتا امكان پرداختن به همه امور ميسر نباشد فلذا طبقه بندى كردن امورو اولويت دادن به برخى امورمهم نسبت به برخى ديگراز اهميت زيادى برخوردار نمى باشندضرورت پيدا مى كند. امروزه بهره گيرى از فن آورى اطلاعات در مديريت ريسك حديث متفاوتى را باز مى گويد و تاثيرى عميق بر چگونگى سر و سامان دادن به فعاليتهاى اتوماسيون سازمانها و مديريت چرخه ايجاد سيستم هاى مكانيزه مى گذارد.

مديريت ريسك، يك مديريت مهم و ضرورى محسوب مى شود كه تصميم گيرى دقيقى را بر اساس ميزان ريسك و خطر ميسر مى سازد و در اكثر نقاط دنيا توسط پرسنل اجرايى IT مورد بهره بردارى قرار مى گيرد. ريسك در معناى عام عبارت است از تاثير منفى ناشى از يك آسيب پذيرى و در نظر گرفتن احتمال وقوع و اثر آن در فرآيندهاى يك سيستم. فلذا بايستى سطح ريسك پايين ؛متوسط ؛ بالاو احتمال وقوع آن و پيامدهاى آن مورد شناسايى قرار گيرد تا بتوان براى رفع آن تصميم گيرى كرد. ريسك يعنى : ميزان و امكان سرپيچى از قانون كه به خسارت و زيان عليه تجارت ؛ صنعت و مردم منجر خواهد شديا به تعبير ديگر ر! يسك امكان وقوع يك خسارت و زيان اعم از مالى و يا غير مالى در نتيجه انجام يك كار است. مديريت ريسك، فرآيند تشخيص و ارزيابى ريسك و كاهش آن تا يك سطح قابل قبول مى باشد و با هدفگذارى امكان پذير است. هدف از اجراى مديريت ريسك اين است كه سازمان بتواند به اهداف ذيل جهت سيستم هاى مبتنى بر ‏فن آورى اطلاعات خود دست يابد : تامين امنيت بيشتر براى سيستم هاى مبتنى بر ذخيره سازى، پردازش و انتقال اطلاعات سازمانى. اعمال مديريت براى توجيه و بهينه سازى هزينه هاى IT. تصويب و تائيد سيستم ها.

مديريت ريسك داراى سه مرحله است : مديريت ريسك، ارزيابى ريسك و كاهش ريسك.

مديريت ريسك : مديريت ريسك يعنى شناسايى؛ ارزيابى ؛ تجزيه و تحليل ؛ چگونگى رفتار و اداره كردن آن. مديريت ريسك فرآيندى است كه به مديران امكان مى دهد تا هزينه هاى اقتصادى و عملياتى مورد نظر را مقايسه كنند و با بهره گيرى و حمايت از سيستم هاى IT، امكانات و قابليتهاى آنها را بهينه سازندو يا به تعبير ديگر مديريت ريسك روشى است براى استفاده بهينه از امكانات و منابع موجود. اين روند تنها منحصر به محيط IT نيست و در تمام تصميم گيرى هاى روزانه ما تاثير بسزايى دارد. به عنوان مثال، امروزه بسيارى از مردم تصميم به نصب دزدگير مى كنند و بر اين اساس هزينه اى را به شركت مربوط مى پردازند تا اين سيستم ها را جهت حفاظت بهتر از اموال و دارايى هاى خود به كار گيرند. مسلمء افراد هزينه نصب و كنترل اينگونه سيستم ها را به نسبت اسباب و دارايى خود مى پردازند و به همان مقياس تامين امنيت را براى خانواده خود فراهم مى آورند.

• بهره گيرى از مديريت ريسك در چرخه ايجاد يك سيستم : كاهش اثر منفى درسيستم و سازمان و رسيدن به يك پايه اساسى در تصميم گيرى، دلايلى هستند كه كه سازمان را وادار به اجراى روند مديريت ريسك براى سيستم هاى مبتنى بر IT مى سازند. چرخه ايجاد يك سيستم مكانيزه داراى 5 مرحله است : شروع، ايجاد و تهيه سيستم، اجراى سيستم، بازبينى مجدد، حفاظت و واگذارى. ارزيابى ريسك : ارزيابى ريسك اولين قدم در روش مديريت ريسك به شمار مى آيد. سازمانها با استفاده از ارزيابى ريسك، مى توانند محدوده تهديدات احتمالى و ريسك مربوط به يك سيستم مبتنى بر IT را در سراسر چرخه ايجاد سيستم مشخص كنند. بازده و نتيجه اين امر به تعيين كنترل هاى مربوطه جهت كاهش يا حذف ريسك در طول روند كاهش ريسك كمك مى كند. ارزابى ريسك خود داراى 9 مرحله اساسى است كه عبارت است از : تعيين سيستم، تشخيص تهديد، تشخيص آسيب پذيرى، تحليل كنترل، تعيين احتمال، تحليل اثر سوء، تعيين ريسك، ارائه نظريه و پيشنهاد جهت كنترل سيستم و نهايتا مستند سازى نتايج. كاهش ريسك : كاهش ريسك عبارت است از اولويت دادن، ارزيابى و اجراى كنترل هاى كاهش ريسك كه در روند ارزيابى ريسك پيشنهاد شده اند.

از آنجايى كه از بين بردن تمامى ريسك ها عملا امكان ندارد، مديران با اعمال كنترل هاى مناسب، كاهش ريسك را تا يك سطح قابل قبول به انجام مى رسانند. كاهش ريسك را از طريق موارد ذيل مى توان انجام داد.

الف- تقبل ريسك : پذيرفتن ريسك احتمالى و ادامه عمليات سيستم IT جهت پياده سازى كنترل ها تا رسيدن به يك سطح قابل قبول.

ب- اجتناب از ريسك : دور كردن ريسك با از ميان برداشتن عامل و پيامدهاى ريسك.

ج- برنامه ريزى ريسك : كنترل ريسك از طريق ايجاد يك برنامه كاهش ريسك كه به كنترل ها اولويت بخشيده و آنها را اجرا و اداره مى كند.

د- تصديق و تحقيق : قبول نقطه ضعف يا آسيب پذيرى و تحقيق در خصوص كنترل ها جهت اصلاح آسيب پذيرى.

ه- انتقال ريسك : انتقال ريسك براى جبران خسارت، به طور مثال بيمه كردن سيستم. سازمانها مى توانند حدود كاهش ريسك را بر حسب احتمال يا تاثير تخفيف تهديد (دو عاملى كه سطح كاهش يافته ريسك را در يك عمليات سازمانى تعيين مى كنند) بررسى كنند.

به ريسكى كه بعد از اجراى كنترل هاى جديد مى ماند، ريسك باقى مانده مى گويند. عملا هيچ سيستم IT بدون ريسك نيست و تمام كنترل هاى صورت گرفته را ريسك برطرف نمى كند. چنانچه ريسك باقى مانده تا يك سطح قابل قبول تقليل نيابد، چرخه مديريت ريسك بايد تكرار گردد تا روشى را كه براى كاهش ريسك باقى مانده مشخص سازد.

هنگامى كه مسئولان و مديران اعلام كنند كه ريسك به سطح مناسبى رسيده، بايد گزارشى را كه بيانگر قبول ريسك باقى مانده است، قبل از تائيد و معتبر سازى سيستم، قبول و به امضا رسانند. نكات اصلى در مديريت موفق ريسك : از فوايد مديريت ريسك به طور خلاصه مى توان به افزايش كارآئى ؛ موثر بودن ؛ تسهيلات و روان سازى ؛ كاهش هزينه ؛ سرعت عمل ؛كاهش زمان انجام عمليات اشاره نمود. اما يك برنامه موفق در مديريت ريسك بستگى به موارد ذيل دارد:

1- تعهد مديريت ارشد در خصوص زمان و منابع ضرورى

2- پشتيبانى و همكارى همه جانبه گروه

IT 3- صلاحيت تيم مديريت ريسك.

اين گروه بايد مهارت لازم را در پياده سازى روش مديريت ريسك در يك سيستم را دارا باشند. ريسك و احتمال خطر عمليات را تشخيص دهند و بر آن اساس، حمايت هاى مقرون به صرفه اى را جهت رفع احتياجات سازمان ارائه نمايند.

4- آگاهى و مسئوليت پذيرى گروه كارى كه بايد از روش ها و آئين نامه ها پيروى كرده و كنترل هاى اجرا شده در خصوص حمايت از عمليات سازمانشان را بپذيرند.

منبع: www.itkar.com

نوع مطلب : مهندسي فناوری اطلاعات
نوشته شده در دوشنبه ۲۵ بهمن ۱۳۸۹ توسط SMSM |           |