企業(yè)信息化風(fēng)險(xiǎn)的識(shí)別與評(píng)估

閆華紅，董 旭

(首都經(jīng)濟(jì)貿(mào)易大學(xué)會(huì)計(jì)學(xué)院，北京 100070)

1 引言

目前關(guān)于企業(yè)信息化風(fēng)險(xiǎn)研究的熱點(diǎn)集中在信息系統(tǒng)安全方面的風(fēng)險(xiǎn)評(píng)估，這也與當(dāng)今世界探討網(wǎng)絡(luò)安全的熱點(diǎn)相一致［1－2］。企業(yè)一旦發(fā)生信息安全問(wèn)題，會(huì)給企業(yè)帶來(lái)災(zāi)難性后果，這也是企業(yè)信息化進(jìn)程中所重視的“硬件條件”。但對(duì)于企業(yè)而言，信息化風(fēng)險(xiǎn)不只局限于信息系統(tǒng)的安全風(fēng)險(xiǎn)，而是上升到企業(yè)信息化管理層面的風(fēng)險(xiǎn) (即人員問(wèn)題的“軟件條件”)。因此本文從企業(yè)信息化管理的鏈條出發(fā)，識(shí)別每一環(huán)節(jié)可能存在的風(fēng)險(xiǎn)。

2 信息化風(fēng)險(xiǎn)的識(shí)別

信息化風(fēng)險(xiǎn)的識(shí)別是進(jìn)行風(fēng)險(xiǎn)管理的第一步程序，是指采用一種系統(tǒng)的方法，來(lái)識(shí)別企業(yè)信息化過(guò)程中各個(gè)方面的潛在風(fēng)險(xiǎn)，并識(shí)別各個(gè)方面較為重大的風(fēng)險(xiǎn)。只有明確識(shí)別了信息化的風(fēng)險(xiǎn)點(diǎn)才能有后續(xù)的風(fēng)險(xiǎn)評(píng)估及應(yīng)對(duì)措施。

2.1 信息化風(fēng)險(xiǎn)的內(nèi)容

信息化風(fēng)險(xiǎn)是指企業(yè)實(shí)施信息化所帶來(lái)的風(fēng)險(xiǎn)，企業(yè)在實(shí)施信息化的進(jìn)程中，一方面要有足夠的“硬件條件”，即先進(jìn)的設(shè)備設(shè)施以及安全的防護(hù)措施。另一方面，像員工能力、高層管理能力等“軟件條件”，同樣是確保企業(yè)信息化進(jìn)程順利實(shí)施的保障。按照信息化風(fēng)險(xiǎn)可能對(duì)企業(yè)造成損失的關(guān)鍵環(huán)節(jié)，我們將信息化風(fēng)險(xiǎn)分為信息系統(tǒng)風(fēng)險(xiǎn)、控制人員風(fēng)險(xiǎn)和信息戰(zhàn)略風(fēng)險(xiǎn)三種。

(1)信息系統(tǒng)風(fēng)險(xiǎn)。

信息系統(tǒng)風(fēng)險(xiǎn)是指企業(yè)所依賴的信息管理系統(tǒng)本身存在缺陷，導(dǎo)致系統(tǒng)不能正常運(yùn)行所造成的損失，它又分為系統(tǒng)缺陷風(fēng)險(xiǎn)和系統(tǒng)安全風(fēng)險(xiǎn)。

信息系統(tǒng)的數(shù)據(jù)處理流程包括數(shù)據(jù)的輸入、處理和輸出。系統(tǒng)內(nèi)部缺陷風(fēng)險(xiǎn)是在這三個(gè)環(huán)節(jié)中，因系統(tǒng)設(shè)計(jì)缺陷導(dǎo)致數(shù)據(jù)處理結(jié)果的錯(cuò)誤。當(dāng)企業(yè)采用信息系統(tǒng)進(jìn)行數(shù)據(jù)處理，替代手工數(shù)據(jù)處理時(shí)，自數(shù)據(jù)被錄入系統(tǒng)開(kāi)始，之后系統(tǒng)的處理以及結(jié)果的輸出就取決于系統(tǒng)設(shè)計(jì)是否正確。一方面，在進(jìn)行系統(tǒng)設(shè)計(jì)環(huán)節(jié)之前，必須要對(duì)現(xiàn)有系統(tǒng)以及擬構(gòu)建系統(tǒng)進(jìn)行系統(tǒng)分析，了解企業(yè)的業(yè)務(wù)處理流程，并隨時(shí)與企業(yè)人員進(jìn)行溝通，以確保擬構(gòu)建系統(tǒng)數(shù)據(jù)處理、輸出的正確性。另一方面，系統(tǒng)在接受用戶數(shù)據(jù)處理請(qǐng)求時(shí)，需要設(shè)計(jì)數(shù)據(jù)有效性校驗(yàn)?zāi)K，確保用戶輸入數(shù)據(jù)的正確性，并能夠被處理。

隨著企業(yè)規(guī)模的擴(kuò)大，系統(tǒng)接入用戶的逐步增加，系統(tǒng)也越來(lái)越依賴企業(yè)的intranet網(wǎng)絡(luò)。如果intranet遭到攻擊或者破壞，會(huì)導(dǎo)致企業(yè)數(shù)據(jù)處理中斷，影響企業(yè)的日常運(yùn)營(yíng)。信息資產(chǎn)風(fēng)險(xiǎn)面臨的主要問(wèn)題是故障保護(hù)和保全［3］，而在系統(tǒng)安全中，用戶識(shí)別和數(shù)據(jù)加密則是核心。系統(tǒng)將企業(yè)業(yè)務(wù)流程電子化、數(shù)據(jù)資料電子化、操作人員電子化，增加了無(wú)關(guān)人員訪問(wèn)的可能性。需要采用用戶登錄密碼實(shí)現(xiàn)不相容職責(zé)分離，同時(shí)對(duì)數(shù)據(jù)資料進(jìn)行加密，甚至在數(shù)據(jù)傳遞前將數(shù)據(jù)轉(zhuǎn)換為不可讀格式，以確保企業(yè)經(jīng)營(yíng)資料的安全。

(2)控制人員風(fēng)險(xiǎn)。

系統(tǒng)控制人員包括操作企業(yè)信息系統(tǒng)的操作人員和使用信息系統(tǒng)報(bào)告的管理人員。在企業(yè)信息化初期，由于操作人員對(duì)信息系統(tǒng)的不了解，錯(cuò)誤的操作可能致使系統(tǒng)數(shù)據(jù)處理錯(cuò)誤甚至丟失，無(wú)法生成正確的信息，為企業(yè)管理造成損失。而管理人員因不信任系統(tǒng)生成的信息，或因不理解系統(tǒng)處理流程造成錯(cuò)誤使用信息，同樣會(huì)導(dǎo)致企業(yè)發(fā)生損失。但該項(xiàng)風(fēng)險(xiǎn)可能會(huì)隨著系統(tǒng)使用期限的增長(zhǎng)，控制人員的經(jīng)驗(yàn)曲線效應(yīng)而逐步降低。此外，控制人員風(fēng)險(xiǎn)還涉及對(duì)企業(yè)信息化內(nèi)部控制各方案的設(shè)計(jì)合理性和執(zhí)行有效性。如果企業(yè)對(duì)信息化后系統(tǒng)日常運(yùn)行、權(quán)限管理、災(zāi)難恢復(fù)等沒(méi)有制定合理的內(nèi)部控制制度或者內(nèi)控執(zhí)行無(wú)效，即使再完備的系統(tǒng)也會(huì)導(dǎo)致風(fēng)險(xiǎn)的發(fā)生。

(3)信息戰(zhàn)略風(fēng)險(xiǎn)。

信息戰(zhàn)略風(fēng)險(xiǎn)主要是指企業(yè)管理層做出了不恰當(dāng)?shù)钠髽I(yè)信息化戰(zhàn)略決策，致使企業(yè)信息化失敗造成損失或者信息化規(guī)劃不合理致使管理效率低下［4］。所謂“企業(yè)不上信息化是等死，上了信息化是找死”，折射出企業(yè)對(duì)于信息化期盼與恐懼。信息化是未來(lái)企業(yè)發(fā)展的大趨勢(shì)，但企業(yè)經(jīng)歷信息化的過(guò)程，不僅是一項(xiàng)重大的投資，更是一個(gè)梳理企業(yè)現(xiàn)有業(yè)務(wù)流程和規(guī)劃未來(lái)業(yè)務(wù)流程的機(jī)遇。稍有不慎會(huì)導(dǎo)致企業(yè)信息化失敗或產(chǎn)生了信息孤島、重復(fù)建設(shè)的問(wèn)題。

若管理層對(duì)企業(yè)業(yè)務(wù)不了解，盲目采用信息化，就會(huì)使企業(yè)的信息化陷入僵局，導(dǎo)致失敗。此外，若管理層對(duì)企業(yè)未來(lái)的信息化戰(zhàn)略缺乏規(guī)劃，會(huì)導(dǎo)致信息孤島或重復(fù)建設(shè)。企業(yè)在分階段實(shí)施信息化時(shí)，標(biāo)準(zhǔn)不統(tǒng)一是導(dǎo)致信息孤島的根源［5］。例如各系統(tǒng)間信息編碼的關(guān)鍵字不同，導(dǎo)致跨系統(tǒng)信息處理時(shí)，需要人工輔助轉(zhuǎn)換，增加了人力成本，降低了信息化的效率。

2.2 信息化風(fēng)險(xiǎn)的識(shí)別方法

(1)自身識(shí)別方法——頭腦風(fēng)暴法的應(yīng)用。

對(duì)于企業(yè)而言，信息化風(fēng)險(xiǎn)的三個(gè)部分，即信息系統(tǒng)、控制人員和信息戰(zhàn)略，由上涉及企業(yè)的高管人員，自下涉及企業(yè)的普通員工，企業(yè)的全體人員都參與到了企業(yè)信息化的進(jìn)程中，因此對(duì)于信息化風(fēng)險(xiǎn)識(shí)別的方法首先可以采用集思廣益的頭腦風(fēng)暴法。

在實(shí)際應(yīng)用中可以將企業(yè)內(nèi)部各個(gè)部門(mén)設(shè)成集思小組，各部門(mén)的成員可以暢所欲言，通過(guò)自身在企業(yè)信息化進(jìn)程中的工作，闡述自己對(duì)企業(yè)信息化應(yīng)用中風(fēng)險(xiǎn)點(diǎn)的認(rèn)識(shí);再通過(guò)各部門(mén)內(nèi)部集體討論，形成一致決議上報(bào)上級(jí)部門(mén)。上級(jí)部門(mén)對(duì)下屬各部門(mén)的觀點(diǎn)進(jìn)行總結(jié)提煉，完成對(duì)企業(yè)信息化風(fēng)險(xiǎn)的識(shí)別。

普通員工通過(guò)操作信息系統(tǒng)可以發(fā)現(xiàn)信息系統(tǒng)中的風(fēng)險(xiǎn)點(diǎn);中層管理者，通過(guò)使用信息系統(tǒng)決策可以發(fā)現(xiàn)信息系統(tǒng)中的風(fēng)險(xiǎn)點(diǎn);高層管理者通過(guò)普通員工和中層管理者反饋的信息可以發(fā)現(xiàn)原定信息戰(zhàn)略的實(shí)現(xiàn)情況，并對(duì)于未來(lái)的信息戰(zhàn)略進(jìn)行規(guī)劃。因此，采用頭腦風(fēng)暴法，保持順暢的信息溝通渠道，完成對(duì)企業(yè)信息化風(fēng)險(xiǎn)的內(nèi)部識(shí)別。

(2)外部識(shí)別方法—德?tīng)柗品ǖ膽?yīng)用。

企業(yè)自身員工對(duì)信息化風(fēng)險(xiǎn)的識(shí)別往往只是從表象進(jìn)行識(shí)別，如果要識(shí)別風(fēng)險(xiǎn)的本質(zhì)還需借助專家意見(jiàn)。利用專家對(duì)于某領(lǐng)域的了解以及經(jīng)驗(yàn)，可以更準(zhǔn)確地把握企業(yè)信息化風(fēng)險(xiǎn)點(diǎn)，專家通常會(huì)設(shè)計(jì)指標(biāo)，量化風(fēng)險(xiǎn)大小，其識(shí)別結(jié)果比企業(yè)員工的直觀認(rèn)識(shí)更有針對(duì)性。

不同種類的風(fēng)險(xiǎn)可以聘請(qǐng)專門(mén)領(lǐng)域的專家進(jìn)行評(píng)估。針對(duì)企業(yè)信息化中的信息系統(tǒng)風(fēng)險(xiǎn)，可以聘請(qǐng)注冊(cè)信息系統(tǒng)審計(jì)師 (CISA)進(jìn)行審計(jì)，注冊(cè)信息系統(tǒng)審計(jì)師關(guān)注企業(yè)信息系統(tǒng)的安全性、穩(wěn)定性和有效性，通過(guò)其審計(jì)的經(jīng)驗(yàn)以及對(duì)系統(tǒng)的了解，可以有效識(shí)別出企業(yè)信息系統(tǒng)的風(fēng)險(xiǎn)點(diǎn);針對(duì)控制人員風(fēng)險(xiǎn)，可以聘請(qǐng)人力資源管理師(HRP)，通過(guò)考察企業(yè)的培訓(xùn)流程，跟蹤評(píng)價(jià)企業(yè)員工的學(xué)習(xí)能力來(lái)識(shí)別企業(yè)信息系統(tǒng)控制人員的風(fēng)險(xiǎn);針對(duì)信息戰(zhàn)略風(fēng)險(xiǎn)，可以聘請(qǐng)戰(zhàn)略咨詢師，通過(guò)分析企業(yè)管理層制定信息戰(zhàn)略的過(guò)程以及制定依據(jù)，管理層的知識(shí)水平和經(jīng)驗(yàn)?zāi)芰ψR(shí)別企業(yè)信息戰(zhàn)略風(fēng)險(xiǎn)。

在具體采用專家意見(jiàn)時(shí)，可以將每類專家分成專家小組，為了避免小組中專家意見(jiàn)受權(quán)威專家的影響，可以借助德?tīng)柗品?，即采用背?duì)背的通信方式征詢專家小組成員的預(yù)測(cè)意見(jiàn)。企業(yè)可以聘請(qǐng)相關(guān)專家深入企業(yè)調(diào)研，然后采用函詢的方式征求各方面專家的意見(jiàn)，各專家在互不通氣的情況下，根據(jù)自己的觀點(diǎn)和方法進(jìn)行分析，然后企業(yè)把各個(gè)專家的意見(jiàn)匯集在一起，通過(guò)不記名的方式反饋給各位專家，請(qǐng)他們參考別人的意見(jiàn)修正本人原來(lái)的判斷，如此反復(fù)多次與專家磋商確定最終的專家意見(jiàn)結(jié)果［6］。

3 信息化風(fēng)險(xiǎn)的評(píng)估模型構(gòu)建

風(fēng)險(xiǎn)的評(píng)估是在識(shí)別出風(fēng)險(xiǎn)的基礎(chǔ)上，通過(guò)系統(tǒng)的評(píng)估方法和評(píng)估指標(biāo)，確定風(fēng)險(xiǎn)發(fā)生的概率和可能損失的金額。只有經(jīng)過(guò)風(fēng)險(xiǎn)評(píng)估后，才能確定企業(yè)所面臨的重大風(fēng)險(xiǎn)，并針對(duì)重大風(fēng)險(xiǎn)采取相應(yīng)的應(yīng)對(duì)措施。根據(jù)對(duì)企業(yè)信息化風(fēng)險(xiǎn)的分類，本文采用層次分析法建立企業(yè)信息化風(fēng)險(xiǎn)評(píng)估模型，信息化風(fēng)險(xiǎn)的總目標(biāo)層如圖1所示。

圖1 信息化風(fēng)險(xiǎn)總目標(biāo)層

3.1 信息化風(fēng)險(xiǎn)因素的識(shí)別

(1)信息系統(tǒng)風(fēng)險(xiǎn)因素識(shí)別。

對(duì)于一般企業(yè)而言，信息系統(tǒng)的構(gòu)建通常是外聘專業(yè)的系統(tǒng)設(shè)計(jì)團(tuán)隊(duì)來(lái)進(jìn)行。那么對(duì)信息系統(tǒng)內(nèi)部缺陷的風(fēng)險(xiǎn)程度的評(píng)估，外部因素可以評(píng)估系統(tǒng)設(shè)計(jì)團(tuán)隊(duì)成員的專業(yè)勝任能力、成功經(jīng)驗(yàn)、專長(zhǎng)領(lǐng)域以及對(duì)企業(yè)業(yè)務(wù)流程和財(cái)務(wù)流程的理解程度，團(tuán)隊(duì)與企業(yè)之間的溝通效果，系統(tǒng)設(shè)計(jì)進(jìn)度安排;內(nèi)部因素可以評(píng)估系統(tǒng)的出錯(cuò)頻率，例外報(bào)告，以及出錯(cuò)后的修改質(zhì)量與效率。而信息系統(tǒng)的安全性則通過(guò)使用的防病毒軟件的廠商信譽(yù)，數(shù)據(jù)信息備份情況，信息系統(tǒng)災(zāi)難恢復(fù)能力，信息傳輸加密情況進(jìn)行評(píng)估。

(2)控制人員風(fēng)險(xiǎn)因素識(shí)別。

操作人員風(fēng)險(xiǎn)因素的識(shí)別，控制人員風(fēng)險(xiǎn)中的人員錯(cuò)誤，無(wú)論是操作人員錯(cuò)誤還是管理人員錯(cuò)誤，可以通過(guò)培訓(xùn)的次數(shù)，培訓(xùn)考試成績(jī)，結(jié)合人員的學(xué)歷水平，人員的信息安全意識(shí)，操作人員或管理人員的錯(cuò)誤頻率等指標(biāo)進(jìn)行評(píng)估。而管理制度的有效性，可用針對(duì)信息化的內(nèi)部控制范圍合理性，內(nèi)部控制流程完備性，違規(guī)操作或使用信息的情況，內(nèi)控的出錯(cuò)頻率等指標(biāo)進(jìn)行評(píng)估。

(3)信息戰(zhàn)略風(fēng)險(xiǎn)因素識(shí)別。

信息戰(zhàn)略風(fēng)險(xiǎn)無(wú)論是信息化失敗還是信息孤島或重復(fù)建設(shè)，都是由于管理層的信息戰(zhàn)略規(guī)劃不合理，因此評(píng)估信息戰(zhàn)略風(fēng)險(xiǎn)可以將信息化失敗和信息孤島或重復(fù)建設(shè)合并為一個(gè)問(wèn)題進(jìn)行。評(píng)估戰(zhàn)略風(fēng)險(xiǎn)可以通過(guò)信息化戰(zhàn)略目標(biāo)，管理人員自身風(fēng)險(xiǎn)認(rèn)識(shí)，可行性分析報(bào)告，信息化項(xiàng)目進(jìn)度計(jì)劃，資金預(yù)算，資金監(jiān)控，信息化效果評(píng)估來(lái)完成。

3.2 信息化風(fēng)險(xiǎn)因素的評(píng)估

在對(duì)信息化風(fēng)險(xiǎn)進(jìn)行評(píng)估時(shí)，可以借用德?tīng)柗品▽?duì)層次分析法中的各影響因素權(quán)重進(jìn)行打分，對(duì)不同層次的子問(wèn)題權(quán)重進(jìn)行打分，并綜合兩項(xiàng)打分結(jié)果計(jì)算各因素相對(duì)于總問(wèn)題X的總權(quán)重，并在獲得權(quán)重的基礎(chǔ)上評(píng)估各影響因素的得分，乘以權(quán)重?cái)?shù)，計(jì)算企業(yè)信息化風(fēng)險(xiǎn)得分 (見(jiàn)圖2)。

圖2 信息化風(fēng)險(xiǎn)評(píng)估圖

表1 因素權(quán)重分值表

(1)對(duì)于各因素權(quán)重的打分。

在本文中所對(duì)各因素權(quán)重打分時(shí)，需要對(duì)所有因素進(jìn)行兩兩比較，將比較的結(jié)果按重要性大小，用表1的得分形式予以量化，量化值越大，說(shuō)明前一個(gè)因素相比后一個(gè)因素越重要。

將兩兩比較結(jié)果用判斷矩陣Y列出，便于計(jì)算各因素相對(duì)權(quán)重，其中uij表示第i個(gè)因素相對(duì)于第j個(gè)因素的重要性得分。

Y=［┋?┋］

(2)對(duì)于同層次各子問(wèn)題權(quán)重的打分。

對(duì)不同層次各子問(wèn)題權(quán)重的打分方法與對(duì)于各因素權(quán)重的打分方法相同，可以直接進(jìn)行，只不過(guò)將兩兩因素之間打分替換成對(duì)同層次兩兩子問(wèn)題之間打分。

(3)總權(quán)重的計(jì)算。

在本文中所運(yùn)用層次分析法分析信息化風(fēng)險(xiǎn)時(shí)，凡處于同一層次的所有子問(wèn)題或子問(wèn)題下屬因素，全部是不相關(guān)的，因此可以直接用最底層影響因素的自身權(quán)重乘以該因素所對(duì)應(yīng)上一層次子問(wèn)題的權(quán)重。舉例:假設(shè)為評(píng)估信息化風(fēng)險(xiǎn)X，根據(jù)德?tīng)柗品▽?duì)各層次問(wèn)題進(jìn)行評(píng)分，根據(jù)層次分析法分配權(quán)重 (見(jiàn)圖3)。那么對(duì)于“數(shù)據(jù)備份”這一因素在企業(yè)信息化風(fēng)險(xiǎn)中所占比重為30% ×60% ×20%=3.6%。

(4)各影響因素得分及總得分的計(jì)算。

按照德?tīng)柗品ǎ瑓⒃u(píng)專家按照其自身經(jīng)驗(yàn)、企業(yè)的現(xiàn)狀以及行業(yè)的現(xiàn)狀綜合考慮，將影響企業(yè)信息化風(fēng)險(xiǎn)的各因素予以評(píng)價(jià)，評(píng)價(jià)與對(duì)應(yīng)分值如表2所示。

表2 因素評(píng)價(jià)分值

將各因素得分乘以各因素占企業(yè)信息化風(fēng)險(xiǎn)的總權(quán)重再相加，計(jì)算出企業(yè)信息化風(fēng)險(xiǎn)的最終得分如圖3所示。

圖3 信息化風(fēng)險(xiǎn)評(píng)分體系

4 研究結(jié)論

4.1 信息化風(fēng)險(xiǎn)的分類

企業(yè)在實(shí)施信息化的過(guò)程中，起點(diǎn)是企業(yè)高層管理者的信息戰(zhàn)略，成果是企業(yè)構(gòu)建的信息系統(tǒng)，再通過(guò)控制人員的日常使用反饋信息，以供高層管理者進(jìn)行進(jìn)一步的信息戰(zhàn)略決策。因此企業(yè)在進(jìn)行信息化管理中，必然會(huì)受到“硬件條件”和“軟件條件”兩方面影響。從“硬件條件”而言，信息系統(tǒng)本身存在的錯(cuò)誤或安全風(fēng)險(xiǎn)是風(fēng)險(xiǎn)因素之一;從容易被忽略的“軟件條件”而言，操作或管理人員的風(fēng)險(xiǎn)亦是風(fēng)險(xiǎn)因素之一。因此我們認(rèn)為企業(yè)信息化過(guò)程中，信息化風(fēng)險(xiǎn)是企業(yè)因?yàn)樾畔⑾到y(tǒng)本身、系統(tǒng)操作人員和信息化戰(zhàn)略三方面的問(wèn)題導(dǎo)致產(chǎn)生損失的可能性。

4.2 信息化風(fēng)險(xiǎn)評(píng)估模型

我們認(rèn)為應(yīng)以信息化風(fēng)險(xiǎn)三大分類為基礎(chǔ)，再對(duì)每一個(gè)大類進(jìn)一步細(xì)分，總結(jié)出風(fēng)險(xiǎn)的具體影響因素，借助層次分析法構(gòu)建影響因素判定矩陣，計(jì)算各影響因素的分?jǐn)?shù)和相對(duì)總風(fēng)險(xiǎn)的權(quán)重，構(gòu)建企業(yè)信息化風(fēng)險(xiǎn)評(píng)估模型，從而為企業(yè)對(duì)自身信息化風(fēng)險(xiǎn)進(jìn)行動(dòng)態(tài)監(jiān)測(cè)提供借鑒。企業(yè)在治理信息化風(fēng)險(xiǎn)時(shí)，既要重視技術(shù)因素又要重視人的因素，信息化風(fēng)險(xiǎn)的控制是技術(shù)與制度、軟件與硬件、信息與道德等方面的綜合控制，需要企業(yè)多方面的配合，要注意克服目前有些企業(yè)片面重視技術(shù)在風(fēng)險(xiǎn)管理中的地位，導(dǎo)致技術(shù)越發(fā)達(dá)，風(fēng)險(xiǎn)損失越居高不下的惡性循環(huán)。

［1］Fenz Stefan，Ekelhart Andreas，Neubauer Thomas．Information security risk management:in which security solutions is it worth investing?［J/OL］［J］．Communications of AIS，2011，(28):329 －356．

［2］金光華．風(fēng)險(xiǎn)管理型會(huì)計(jì)控制信息系統(tǒng)研究——會(huì)計(jì)信息化發(fā)展的新階段［J］．會(huì)計(jì)之友．2008，(4)(中):5－12．

［3］Yang，Huanchun．Risk evaluation model on enterprises'complex information system:a study based on the BP neural network［J］．Journal of Software，2009，Vol 5，No 1:99 －106．

［4］陳志斌．信息化生態(tài)環(huán)境下企業(yè)內(nèi)部控制框架研究［J］．會(huì)計(jì)研究，2007，(1):30－37．

［5］卞保武．論企業(yè)信息化中的“信息孤島”問(wèn)題［J］．中國(guó)管理信息化，2007，(4):22 －25．

［6］孫宏才，田平，王蓮芬．網(wǎng)絡(luò)層次分析法與決策科學(xué)［M］．北京:國(guó)防工業(yè)出版社，2011．35－45．