Управление рисками при составлении ИТ-стратегии
В современных условиях компаниям становится все сложнее достигать целевых показателей, а неопределенность несет в себе серьезные риски.
Санкции, атаки и уход иностранных игроков явились катализаторами роста внимания к управлению рисками, но при этом, многие компании до сих пор придерживаются мнения “решаем проблемы по мере их возникновения”.
Суть такого подхода отлично передают события 2020 года, когда произошла утечка нефтепродуктов под Норильском, создавшая угрозу для экосистемы Северного Ледовитого океана. Эта экологическая катастрофа продемонстрировала один из самых убедительных кейсов о целях, задачах и эффекте управления рисками: лучше потратить несколько миллионов и предотвратить чрезвычайное происшествие, чем направлять впоследствии миллиарды на устранение его последствий и уплату штрафов.
Очередной пример — пожар в дата-центре в Страсбурге 10 марта 2021 года, когда сгорел дата-центр хостинг-провайдера OVH — крупнейшей хостинговой компании в Европе и третей в мире. Из-за инцидента частично или полностью прекратили работу web-ресурсы по всей Европе.
Всего один выгоревший дотла ЦОД привел к тому, что тысячи сайтов Германии, Италии, Испании, Польши и других стран оказались недоступны для пользователей. Перестали загружаться страницы страсбургского аэропорта, официальные страницы множества населенных пунктов Франции, портал SecurityLab, а также были затронуты сервисы Google и «Яндекса» — более половины пользователей не могли получить доступ к сервисам. Согласно данным издания JDN, пострадало свыше 3,5 млн веб-ресурсов. Оценить урон в денежном эквиваленте не представляется возможным, но колоссальный ущерб очевиден.
При этом, наблюдая эти примеры, российский бизнес зачастую не предпринимает действий. Главный аргумент для компаний — неопределённость. Бизнес не знает, что делать и предпочитает ждать.
В июне 2022 года мы провели опрос среди 200 компаний, с целью определения стратегии в ИТ-инфраструктуре. Вот, что мы спросили:
«Оборудование покупать все сложнее. Срок поставок вырос. Цена поднимается с каждой партией. Крупные игроки скупают остатки. Коллеги, как решаете вопрос?»
9% — Закупаем, стиснув зубы
10% — Смотрим на облака или уже там
77% — Работаем с тем, что есть и ждём
Из этого исследования видно, как рисковая стратегия русского “авось” действует сильнее чем любые проверенные “бест практис”.
Мы наблюдаем, как ожидание аккумулирует риски и ещё больше увеличивает неопределённость.
При этом риск — неотъемлемая часть бизнеса. Чем выше доходность, тем выше и риски. И тем больше важность управления ими.
ИТ-риски делятся на три категории:
I кат.— это риски, вызванные действиями персонала. Сюда относится управление доступом к ресурсам, обеспечение его в строгом соответствии с выполняемыми сотрудником функциями и контроль использования ресурсов.
II кат. — риски технологические, куда относятся сбои или отказы оборудования. В рамках управления этим видом рисков обеспечивается непрерывность предоставления пользователям ИТ-сервисов надлежащего качества.
III кат. – риски, связанные с использованием нелегального программного обеспечения. В рамках управления этим видом рисков обеспечивается оптимизация использования программного обеспечения, предотвращения юридических, технологически, деловых рисков.
Процесс работы с рисками структурирован:
1 — выявление рисков
2 — анализ и оценка рисков
3 — разработка мероприятий для работы с рисками, которые вы можете разделить с поставщиками или взять на себя.
4 — мониторинг текущей ситуации, чтобы быть в курсе, насколько эффективны мероприятия. Это отражено в ГОСТ Р ИСО 31 000 о менеджменте рисков.
Подробнее о том, как просчитать риски и разработать план мы писали здесь.
Сервисная модель в управлении рисками — это способ делегирования и разделения рисков, при котором подрядчик оказывает услуги в соответствии с бизнес-задачами заказчика и обеспечивает требуемый уровень качества сервиса. Исполнитель несёт за это финансовую ответственность.
Такая организация работы обеспечивает эффективное управление бюджетом. По оценкам Intelligent Technical Solutions, сервисная модель помогает повысить эффективность на 45–65% , а также снизить затраты на ИТ на 25–45 %.
Поставщик услуг гарантирует заявленный уровень доступности в SLA, который вы определяете совместно. В случае наступления инцидента, команда поставщика заинтересована в сокращении времени решения задачи. Как было уже указано выше — так как отвечает “рублём” за исполнение SLA. Подрядчик идёт на этот риск и управляет им в рамках собственной рисковой модели, опираясь на узкую специализацию, глубокую отраслевую экспертизу и многолетнюю практику решения инцидентов у многих компаний.