IT的风险
在IT所面临的风险里，比较重要的有这样几个：
第一个是IT治理风险。在我国，信息化做得好的一个重要原因是一把手重视，IT主管比较懂行，另外可能因为善于利用社会资源。有的单位做不好的重要原因之一在于把IT当成技术去处理了。而这突显了我国还处于人治时代，还没有达到真正的治理阶段，但实际上对这个社会来讲，靠人治已经远远不能满足要求，一定要把它变成制度化形式。因为不管换了哪届领导，企业和社会还是要往前发展的，IT应该是什么样就是什么样，不因为领导的重视不重视而重视或受到忽略。
而且IT不光是技术的问题，实际上还是战略的一方面，真正把IT制度建设起来，IT才能摆脱目前的这种人治状况。
第二是规划和架构的风险。每个企业或政府单位在做信息化的时候都在做规划，但很多规划实际上还不够具体不够标准化。
第三就是项目管理风险。IT架构规划好了以后，实际上要按照一个一个的项目去实施。有的项目实施周期很长，有的要历时半年到一年的时间，甚至两年以上。这样的风险非常大。据有人统计，就是在美国信息化那么发达的国家，项目的成功率也不太高。
第四是基础设施的风险。网络越来越复杂，补丁包越来越多，开发程度也越来越深，这也导致IT风险越来越大。另外，我们对IT基础设施的依赖性又特别强。前几年，有人做过统计，银行对IT的依赖，宕机时间最多不能超过两天。实际上到现在，忍耐度已经大大降低了——比如证券交易，交易所的网络停机不能超过半个小时，超过半个小时以上就是事故了。
第五个是应用系统的风险。应用系统的风险在于需求是否清晰。很多的情况下，人们的需求与实际脱节，搞软件的人不太懂业务，懂业务的人又不太懂软件开发里面的一些具体操作方法，导致需求混乱。
第六个是软件安全控制风险。日本一家证券公司委托人的指令，操盘进行证券买卖，其中一个操盘员把键敲错了，本来应该是一股61万日元，敲错了变成一日元61股，才十几分钟，这个证券公司就损失了270亿日元，相当于16亿元人民币。人们都在指责这个操盘员，但实际上我们作为风险管理人员去审视这件事，发现，换了谁去操作，某一天都可能出错，因为这实际是应用软件控制的缺失，这是一个巨大的缺陷。因为现在的软件开发商不会主动去给业务部门做，而实际上，除了功能的需求外，我们对软件还有安全和运营的需求。
第七个是IT服务交付风险。什么叫服务交付风险？即使服务商提供的软件系统没有漏洞，但也不等于说用户对系统百分百满意，因为他关注的是服务。他不管你的系统使用的是什么名牌，也不管采用的是什么技术，只管业务能不能很快完成、交易能不能更加迅速。
第八个信息安全风险，则比较常见。而且信息安全的形势越来越严峻。以前做木马写病毒的人大多还只是为了炫耀自己的技术，而现在，病毒已经成为一个产业链：有人专门写病毒，有人专门的抓取“肉鸡”（可以植入病毒的电脑），专门有人在偷信息……形成了一条黑色产业链。
第九个则是业务延续的风险。天灾人祸等都会导致业务的硬性中断，这个风险也要考虑在内。
第十个则是绩效风险。以前讲IT只讲投入不讲产出，但对IT到底投了多少钱这个概念我们需要有。2005年我国在信息化改造提升方面投入了2829亿，2006年是3227亿元。增幅非常快。企业里最讲究的是投入回报率，但对IT，我们很少有人去算投入产出，这就产生了黑洞。
第十一个就是合规性的风险。合规性以前只针对一般的企业风险，现在已经慢慢过渡到IT部分。如果国内企业到美国上市，就必须要遵从萨班斯法。萨班斯法的罚款额度非常大，针对个人可以罚款到500万美元，企业可以罚款到2000万。最重要的是，如果企业不合规，老板可能要面临牢狱之灾。我们国家财政部、证监会，及相关部门已经组织了一个专家组，正在研究中国式的萨班斯法，可能在未来的几年内也推行这方面的法律，要求所有的上市公司都要遵循。
这样的法案跟IT更是有着直接关系。比如财务报告保存在财务系统里，财务系统的数据从业务系统来，业务系统的数据也存放在相关的数据库里，数据库又是保存在服务器上，服务器还可能跟网络互联……因此，只要有漏洞，就可能被IT系统出卖。因此，合规的问题不再只是CEO、CFO的职责，IT部门在这方面也将渐渐承担主角。
