云采用框架 >运营治理 >风险治理方法论 >风险治理的方法论

企业需要进行风险治理

风险是指尚未发生但可能发生的问题，这些问题最终或多或少会造成业务的损失。此处所说的“风险”，特指因IT系统相关问题可能造成的业务损失。比如：

• IT系统中存放的业务数据被恶意盗取致使客户个人隐私数据泄露，这将使企业面对客户流失、舆论危机、法律责任和巨额罚款。
• IT系统因无法承载突发的业务流量而瘫痪，又因缺乏基础的灾备恢复机制致使整个业务长时间中断，这将使企业遭受巨大的业务损失和后续的客户流失。
• 经过第三方认证机构评定，IT系统不符合行业基础安全标准，商务合作伙伴认为该企业存在较大的潜在风险，决定终止商务合作。

对于业务需重度依赖IT系统的企业，如游戏、在线教育、直播、电商等，IT风险治理就更加重要，否则可能就要遭受企业收益和名誉的双重损失，严重时甚至需要承担法律责任。

企业面对的风险

企业面对的风险环境非常复杂和严峻。在企业内部，IT运维操作或突发的业务高峰均可能带来风险。在企业外部，来自第三方审计机构的测评或来自外网的恶意攻击也可能使企业陷入困境。尤其当企业从云下迁移上云的过程中，面对IT框架、网络架构、数据处理方式的变化，使风险进一步扩大。企业可从以下几个方面排查上云过程中可能存在的风险：

• 业务风险：一切可能对业务收益造成损失的潜在问题，比如数据泄露、服务中断、成本溢出等。
• 合规风险：因无法获得第三方合规机构的资质认证，导致企业无法与合作伙伴完成商务合同，或无法继续维持企业运营的资质。
• 流程风险：因企业内部管理流程的缺失，使管理决策和管理基线难以被强制执行和实时监督。

风险治理的工作思路

企业应配备专门的团队（或人员）负责风险治理的工作。风险治理团队应站在管理者的角度考虑整个企业的风险治理决策，输出清晰的风险定义、风险治理策略、治理策略的实施制度，并建立一定的监管流程来监督策略的实施，确保风险治理的可监督、可强制。

风险治理团队要充分采纳一线业务团队和运维团队的风险提案，再从战略上判断是否要形成对应的风险决策、风险治理策略，从上而下地实施治理监管。实施过程中，应与一线业务团队和运维团队紧密合作，共同协定业务风险的评估机制、风险治理的实施办法和效果SLA（Service-level Agreement）。

风险治理是在与一线业务团队和运维团队达成共识并充分协作的前提下不断迭代升级的，是一项长期的工作。

风险治理的步骤

• 风险识别&评估：充分考察企业在每个阶段面对的潜在风险，并通过量化风险可能造成的损失来评定风险等级，针对不同的风险等级制定不同程度的治理决策。
• 治理策略：将治理决策转化为治理策略，治理策略是可被系统化实现的规则，在实际的工作中对于IT管理行为能起到禁止或告警的作用。
• 持续监督：成熟的企业会追求用技术手段落地管理决策，阿里云平台也提供了相应的服务能力。云上系统化的治理可以分为如下两部分：
  • 事前拦截：可以通过启用阿里云的安全防护产品主动防御恶意攻击，还可以通过管控策略（Control Policy）默认禁止某些管控行为和变更的发生
  • 事后发现：可以基于阿里云配置审计（Cloud Config）服务设置对资源配置的检测条目，及时发现违规资源的出现并及时修正。