企業(yè)IT外包風(fēng)險(xiǎn)評(píng)估研究綜述

丁冰潔

摘要：IT外包在過去這些年里得到了迅速的發(fā)展，但同時(shí)也隱藏著巨大的風(fēng)險(xiǎn)。為了更精準(zhǔn)地對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)估，對(duì)現(xiàn)有與IT外包風(fēng)險(xiǎn)評(píng)估相關(guān)的研究成果進(jìn)行了全面的梳理、歸納和提煉，選出此類別的典型代表性文章，使用兩種分類方法，將評(píng)估方法分為評(píng)估模型與分析算法或框架，或定性評(píng)估與定量評(píng)估，并對(duì)相關(guān)的風(fēng)險(xiǎn)評(píng)估案例文獻(xiàn)進(jìn)行了介紹。

關(guān)鍵詞：IT外包;風(fēng)險(xiǎn)評(píng)估;評(píng)估模型;風(fēng)險(xiǎn)分析

一、 引言

企業(yè)信息化的趨勢(shì)目前已愈演愈烈，IT的重要性逐漸提升。目前IT在企業(yè)中的作用已經(jīng)不僅僅是幫助處理一些基礎(chǔ)的提高效率的事務(wù)，而是具有重大的戰(zhàn)略價(jià)值。對(duì)于一些企業(yè)而言，由于資金、人力等資源以及時(shí)間的限制，可能企業(yè)自身沒有能力獨(dú)立完成IT項(xiàng)目，此時(shí)IT外包便應(yīng)運(yùn)而生，企業(yè)通過與服務(wù)商的合作得以完成自身的IT項(xiàng)目。

IT外包（IT Outsourcing，以下簡(jiǎn)稱ITO）是指公司將計(jì)算機(jī)或互聯(lián)網(wǎng)相關(guān)工作（包括實(shí)物、人力資源、基礎(chǔ)設(shè)施等）外包給外部服務(wù)商。IT外包對(duì)于控制和減少企業(yè)成本、使用新的技術(shù)與經(jīng)驗(yàn)、增強(qiáng)靈活性、提高工作效率、減少不確定性、消除累贅業(yè)務(wù)及提高可信度等方面有利。然而，IT外包在帶來利益的同時(shí)也隱藏著巨大的風(fēng)險(xiǎn)，較大的規(guī)模、較多的投入資金會(huì)帶來大量的不確定因素，導(dǎo)致復(fù)雜的多種風(fēng)險(xiǎn)產(chǎn)生。

很多學(xué)者對(duì)ITO風(fēng)險(xiǎn)進(jìn)行研究時(shí)，選擇繼續(xù)使用IT風(fēng)險(xiǎn)的定義。在IT風(fēng)險(xiǎn)中，除了IT項(xiàng)目本身的固有風(fēng)險(xiǎn)外，還有一些IT外包獨(dú)有的風(fēng)險(xiǎn)，如信息不對(duì)稱條件下供應(yīng)商的機(jī)會(huì)主義行為難以監(jiān)控等等。故本文采用Bahli（2002）的定義來描述ITO風(fēng)險(xiǎn)，他延續(xù)了Kaplan和Garrick（1981）的理念，使用風(fēng)險(xiǎn)因素、意外后果、風(fēng)險(xiǎn)作用目標(biāo)與機(jī)制的四元關(guān)系來定義風(fēng)險(xiǎn)。

在對(duì)外包風(fēng)險(xiǎn)進(jìn)行管控前，首先要對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)估。如果在管理外包風(fēng)險(xiǎn)時(shí)沒有著重對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)估，只在風(fēng)險(xiǎn)發(fā)生后才采取行動(dòng)，這種被動(dòng)的方式會(huì)導(dǎo)致IT外包項(xiàng)目質(zhì)量不高、項(xiàng)目的成本收益分析不理想等不良后果。對(duì)IT外包進(jìn)行風(fēng)險(xiǎn)評(píng)估，有助于了解風(fēng)險(xiǎn)的內(nèi)容及程度，便于在IT外包的之前、之中和之后對(duì)風(fēng)險(xiǎn)進(jìn)行有的放矢的控制，更好地完成IT外包項(xiàng)目。隨著IT外包風(fēng)險(xiǎn)評(píng)估重要性的逐漸揭示，如何評(píng)估這些風(fēng)險(xiǎn)也就成為了許多研究者研究的重點(diǎn)。

本文對(duì)現(xiàn)有的IT外包風(fēng)險(xiǎn)評(píng)估類研究成果做了全面的梳理、歸納和提煉，進(jìn)一步分類為評(píng)估模型與分析算法或框架，并從定性和定量的角度做了另一種分類。

本文旨在為建立IT外包風(fēng)險(xiǎn)研究的方法論提供良好的基礎(chǔ)，豐富IT外包風(fēng)險(xiǎn)管理相關(guān)理論和指導(dǎo)IT外包風(fēng)險(xiǎn)管理實(shí)踐。

二、 研究歷史

ITO風(fēng)險(xiǎn)方面的早期經(jīng)典論文，來自Lacity與Hirsc-hheim（1993）。他們表示，在柯達(dá)和IBM案例成功后，ITO已經(jīng)變得十分普遍。許多從業(yè)者、學(xué)者和顧問在建議高管將他們的IS外包，并從他們的IS支出中節(jié)省10%到50%。兩位作者在文中簡(jiǎn)要討論了外包風(fēng)險(xiǎn)，但表明這并不意味著外包是壞的，他們只是在探討如何防止外包失敗和定義風(fēng)險(xiǎn)的一些想法。

1996年，Earl發(fā)表文章表示，許多從業(yè)者和學(xué)者主張選擇性或“智能”外包，這可能是在提供IT服務(wù)的效率和有效性之間能取得平衡的合理方法。但同時(shí)，公司應(yīng)首先討論他們?yōu)楹尾蛔约禾峁㊣T服務(wù)。Earl對(duì)十一種他識(shí)別出的外包風(fēng)險(xiǎn)進(jìn)行了分析，這十一種風(fēng)險(xiǎn)是基于他于IT外包市場(chǎng)的供應(yīng)商和購(gòu)買者的討論得出的。Earl認(rèn)為，在IT外包開始前，一個(gè)公司必須能夠成功地管理IT服務(wù)。

但需要注意的是，早期的文獻(xiàn)并沒有對(duì)IT外包中的“風(fēng)險(xiǎn)”進(jìn)行嚴(yán)格的界定，只是給出了風(fēng)險(xiǎn)的常見形式與出現(xiàn)情況。

有以上兩位學(xué)者對(duì)風(fēng)險(xiǎn)的早期研究做鋪墊，在此之后，研究者們對(duì)IT外包的風(fēng)險(xiǎn)進(jìn)行了更深入的研究，也由此引入了對(duì)IT外包風(fēng)險(xiǎn)的評(píng)估。其中最為權(quán)威的是BA Aubert等人發(fā)表于1998年的Assessing the Risk of IT Outsourcing，在文中，作者對(duì)IT外包的風(fēng)險(xiǎn)評(píng)估進(jìn)行了基礎(chǔ)概念的定義，給出了較為普適性的對(duì)風(fēng)險(xiǎn)評(píng)估步驟和類型的概括，對(duì)后人的研究產(chǎn)生了深遠(yuǎn)的影響。

1999年，Willcocks與Lacity認(rèn)為ITO風(fēng)險(xiǎn)沒有得到學(xué)術(shù)界的足夠關(guān)注，盡管有越來越多的證據(jù)表明存在廣泛的失望和困難伴隨著外包ITO方面的些許進(jìn)步。他們對(duì)案例進(jìn)行了深入的探討，詳細(xì)介紹了從過往研究中提取的ITO的十個(gè)主要風(fēng)險(xiǎn)領(lǐng)域。

在此之后，ITO風(fēng)險(xiǎn)得到了學(xué)術(shù)界更多的重視，研究者們進(jìn)一步拓展了ITO風(fēng)險(xiǎn)的研究范圍，并嘗試使用不同的方法對(duì)ITO風(fēng)險(xiǎn)進(jìn)行評(píng)估。

當(dāng)前，對(duì)于ITO風(fēng)險(xiǎn)的研究仍在持續(xù)進(jìn)行著，學(xué)者們不斷嘗試使用新的方法對(duì)ITO風(fēng)險(xiǎn)進(jìn)行進(jìn)一步評(píng)估，這些方法有些來自于通用評(píng)估風(fēng)險(xiǎn)的方法，如模糊評(píng)價(jià)法、混合評(píng)價(jià)法，有些來自于與其他學(xué)科的結(jié)合。這些嘗試的目的，都是為了更精確全面地分析、評(píng)價(jià)風(fēng)險(xiǎn)，從而更好地管理風(fēng)險(xiǎn)、應(yīng)對(duì)風(fēng)險(xiǎn)。

三、 文獻(xiàn)分析

現(xiàn)有的文獻(xiàn)使用不同的方法對(duì)IT外包的風(fēng)險(xiǎn)進(jìn)行了評(píng)估，有些研究了普適性的ITO風(fēng)險(xiǎn)評(píng)估（e.g.Earl，M.J， 1996），有些對(duì)特定問題如銀行業(yè)的相關(guān)情況（如張成虎，張峰，2007;鐘園園，2007等）、離岸外包（Tsuji et al.，2007）等進(jìn)行了研究。

在對(duì)文獻(xiàn)主體進(jìn)行回顧時(shí)，本文發(fā)現(xiàn)ITO風(fēng)險(xiǎn)的類型非常之多?，F(xiàn)將最常見的風(fēng)險(xiǎn)與對(duì)應(yīng)的文獻(xiàn)，結(jié)合時(shí)間分布?xì)w總于表1中。

基于表1這些風(fēng)險(xiǎn)類別，學(xué)者們對(duì)IT外包的風(fēng)險(xiǎn)歸類進(jìn)行評(píng)估。

本文選用兩種角度將風(fēng)險(xiǎn)評(píng)估方法進(jìn)行分類。第一種角度將其分為2類，分別為評(píng)估模型和分析算法或框架，這兩種類型將分別在“1”和“2”節(jié)中介紹;第二種角度將其分為定量評(píng)估與定性評(píng)估，具體介紹在“3”節(jié)。此外，一些學(xué)者把IT外包的風(fēng)險(xiǎn)評(píng)估方法應(yīng)用于案例中進(jìn)行實(shí)踐，本文將此類文獻(xiàn)匯總在“4”節(jié)中進(jìn)行介紹。

1. 評(píng)估模型。評(píng)估模型是對(duì)IT外包風(fēng)險(xiǎn)進(jìn)行評(píng)估時(shí)較為常用的方法，它的好處在于方便理解與應(yīng)用，分析便捷。

風(fēng)險(xiǎn)矩陣分析法是評(píng)估模型的一種，這種方法需要的定量數(shù)據(jù)較少，可操作性高。鐘園園（2007）對(duì)銀行IT外包使用了風(fēng)險(xiǎn)矩陣法，包含波爾達(dá)值排序，結(jié)合了定性與定量?jī)煞N分析方式的優(yōu)點(diǎn)。這種方法同時(shí)將項(xiàng)目需求與技術(shù)可能考慮入內(nèi)，引入風(fēng)險(xiǎn)暴露的概念，風(fēng)險(xiǎn)矩陣的橫軸和縱軸分別為風(fēng)險(xiǎn)發(fā)生的概率和風(fēng)險(xiǎn)發(fā)生后對(duì)ITO的影響程度。此研究采用了三大類的模型結(jié)構(gòu)，提出針對(duì)銀行外包評(píng)估的三大類、七維度的評(píng)價(jià)量表，該量表包含了戰(zhàn)略、技術(shù)和業(yè)務(wù)等方面。此外，張學(xué)峰（2009）也是用風(fēng)險(xiǎn)矩陣法對(duì)銀行IT外包的風(fēng)險(xiǎn)進(jìn)行了評(píng)估。Lu等人于2014年分析了ITO的風(fēng)險(xiǎn)因素，并對(duì)風(fēng)險(xiǎn)矩陣進(jìn)行了評(píng)估，對(duì)Borda價(jià)格進(jìn)行計(jì)算以確認(rèn)風(fēng)險(xiǎn)的重要性。Hongbo與Xiaoguo（2010）將外包風(fēng)險(xiǎn)分為四個(gè)等級(jí)，使用風(fēng)險(xiǎn)矩陣法對(duì)外包風(fēng)險(xiǎn)進(jìn)行定量評(píng)價(jià)，且證實(shí)了風(fēng)險(xiǎn)矩陣是評(píng)估企業(yè)外包風(fēng)險(xiǎn)的一種可行且有效的方法。

風(fēng)險(xiǎn)解釋結(jié)構(gòu)模型是另一種評(píng)估模型，它在IT外包中的應(yīng)用由Wan， J等人（2008）首先提出，步驟是先識(shí)別風(fēng)險(xiǎn)因素，然后構(gòu)造概念模型和可達(dá)性矩陣，在等級(jí)劃分后建立重新排序的可達(dá)性矩陣，最后建立結(jié)構(gòu)模型。其中文章把風(fēng)險(xiǎn)因素劃分為五個(gè)原生因素，分別合同風(fēng)險(xiǎn)，需求定義和變化的風(fēng)險(xiǎn)，缺乏溝通，政策和法律環(huán)境的不同，以及匯率波動(dòng)的影響。

此外，張強(qiáng)林和邵麗萍（2010）結(jié)合COBIT（信息及相關(guān)技術(shù)的控制目標(biāo)）理論，建立了風(fēng)險(xiǎn)分析模型，以獨(dú)特的視角對(duì)IT外包的風(fēng)險(xiǎn)進(jìn)行評(píng)估。

2. 分析算法或框架。為了與評(píng)估模型進(jìn)行區(qū)分，此部分主要介紹使用算法或框架對(duì)ITO風(fēng)險(xiǎn)進(jìn)行概念性的識(shí)別及評(píng)估的方法。

評(píng)估算法方面，Aubert等人（1998）給出了風(fēng)險(xiǎn)評(píng)估的步驟：（1）由不良后果評(píng)估損失：①評(píng)估給定項(xiàng)目的潛在不良后果;②由每一個(gè)不良后果評(píng)估潛在損失的大小。（2）評(píng)估風(fēng)險(xiǎn)概率：①確定可能導(dǎo)致不良后果的風(fēng)險(xiǎn)因素;②識(shí)別危險(xiǎn)因素和不良后果之間的聯(lián)系;③評(píng)估在項(xiàng)目中每一個(gè)風(fēng)險(xiǎn)因素的程度。Aubert還在文章中提及了風(fēng)險(xiǎn)的動(dòng)態(tài)變化，指出對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)估時(shí)要以動(dòng)態(tài)的眼光看待具體案例，不能固化分析結(jié)果。

風(fēng)險(xiǎn)分析框架的分析法較為簡(jiǎn)單易上手，只需在識(shí)別風(fēng)險(xiǎn)后按照框架進(jìn)行歸類分析即可。Willcocks等人（1999）結(jié)合LISA的案例給出了一個(gè)ITO風(fēng)險(xiǎn)分析框架，Bahli， B.和Rivard， S.（2003）同樣建立了一套風(fēng)險(xiǎn)分析框架，提出了基于場(chǎng)景的IT外包風(fēng)險(xiǎn)概念化，其中風(fēng)險(xiǎn)被定義為四元組。Currie，W. L.（2003）建立了以隱形知識(shí)和顯性知識(shí)為基礎(chǔ)的風(fēng)險(xiǎn)分析框架，創(chuàng)新性地提出了五類關(guān)鍵績(jī)效指標(biāo)：交付和啟用，集成，管理和運(yùn)營(yíng)，業(yè)務(wù)轉(zhuǎn)型，以及和客戶/供應(yīng)商的關(guān)系。

3. 定量評(píng)估與定性評(píng)估。定量評(píng)估的好處在于較為精確，但數(shù)據(jù)不太容易取得，計(jì)算中的誤差也是導(dǎo)致評(píng)估失誤的一個(gè)重要原因。劉繼承（2005）使用風(fēng)險(xiǎn)值測(cè)定法進(jìn)行定量化的風(fēng)險(xiǎn)評(píng)估，其計(jì)算方式是：風(fēng)險(xiǎn)度=風(fēng)險(xiǎn)造成的損失*風(fēng)險(xiǎn)發(fā)生的概率，計(jì)算公式為V=C*P，其中V是風(fēng)險(xiǎn)大小的變量，C指風(fēng)險(xiǎn)帶來的損失，P指風(fēng)險(xiǎn)發(fā)生的概率。其中，C從“非常嚴(yán)重”到“可忽略”，被劃分為五個(gè)等級(jí)，而P會(huì)在實(shí)際操作中由量化調(diào)查結(jié)合加權(quán)平均得到。朱玥 （2008）建立了風(fēng)險(xiǎn)評(píng)價(jià)指標(biāo)體系來度量企業(yè)IT外包的風(fēng)險(xiǎn)，在問卷收集數(shù)據(jù)后，使用SPSS對(duì)數(shù)據(jù)進(jìn)行因子分析，建立因子得分模型，得出分析結(jié)果。

定性分析比定量分析更容易進(jìn)行，但可能偏差更大，對(duì)結(jié)果的人為影響更多。Bahli，B.，和Rivard，S.（2003），Currie，W.L.（2003），張強(qiáng)林和邵麗萍（2010）等都使用了定性分析的方法進(jìn)行研究，對(duì)風(fēng)險(xiǎn)評(píng)估的概念性界定作出了貢獻(xiàn)。

還有一些作者將定量評(píng)估與定性評(píng)估進(jìn)行了結(jié)合，綜合其二者的好處，如Tsuji（2007）使用調(diào)查問卷的方式，既有定性的分析，也進(jìn)行了定量的計(jì)算，得到了綜合的結(jié)果。

4. 案例研究。目前基于IT外包中風(fēng)險(xiǎn)的案例研究較少，研究主要著眼于IT外包中如何避免風(fēng)險(xiǎn)，而非風(fēng)險(xiǎn)評(píng)估。本文從文獻(xiàn)中找出了以下少數(shù)幾篇對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)估的文章。

Willcocks等人（1999）將修訂后的風(fēng)險(xiǎn)分析框架應(yīng)用于LISA，分階段對(duì)外包開始前、選擇供應(yīng)商、開始外包等階段分別進(jìn)行風(fēng)險(xiǎn)分析，并針對(duì)分析結(jié)果采取了減輕風(fēng)險(xiǎn)的措施。

鐘園園（2006）使用風(fēng)險(xiǎn)矩陣分析法和波爾達(dá)值排序作為主要方法對(duì)兩個(gè)商業(yè)銀行的信息技術(shù)外包項(xiàng)目進(jìn)行了風(fēng)險(xiǎn)評(píng)估，并對(duì)不同銀行、銀行與其他行業(yè)的風(fēng)險(xiǎn)評(píng)估方法進(jìn)行了比較。

張成虎，張峰（2007）對(duì)國(guó)內(nèi)外銀行業(yè)IT外包的典型實(shí)例進(jìn)行了介紹，并總結(jié)了銀行IT外包的國(guó)際經(jīng)驗(yàn)與啟示，對(duì)風(fēng)險(xiǎn)的評(píng)估作了大概的描述。

四、 未來研究方向

目前IT外包的風(fēng)險(xiǎn)評(píng)估方法很多，但普遍不能同時(shí)做到定量分析與全面因素權(quán)衡分析，未來的研究可著重平衡這兩點(diǎn)，提出新的評(píng)估方法。下面給出一些具體的研究方向：

結(jié)合中國(guó)本土案例對(duì)國(guó)外成型的風(fēng)險(xiǎn)評(píng)估理論作出修正;結(jié)合COBIT的風(fēng)險(xiǎn)分析模型還可以進(jìn)一步深化，可從發(fā)包方和承包方的角度分別對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)估;對(duì)ITO風(fēng)險(xiǎn)評(píng)估的定量分析仍較為粗糙，未來可對(duì)劉繼承（2005）的風(fēng)險(xiǎn)值測(cè)定法進(jìn)行進(jìn)一步的優(yōu)化，考慮多重變量的影響。

第三節(jié)中總結(jié)到，目前著眼于IT外包中風(fēng)險(xiǎn)控制的文章較多，但對(duì)風(fēng)險(xiǎn)評(píng)估的文章較少，建議以后的研究者在考慮風(fēng)險(xiǎn)控制時(shí)可將風(fēng)險(xiǎn)評(píng)估的設(shè)計(jì)納入研究范圍之內(nèi)，豐富自身的研究?jī)?nèi)容。

當(dāng)前蓬勃發(fā)展的軟件即服務(wù)（Software-as-a-Service，即SAAS）是對(duì)內(nèi)部部署軟件的極好補(bǔ)充，可以解決以前的按需軟件解決方案的缺點(diǎn)。SAAS會(huì)繼承部分ITO的風(fēng)險(xiǎn)，同時(shí)對(duì)部分ITO的風(fēng)險(xiǎn)點(diǎn)予以彌補(bǔ)。未來的研究者可以結(jié)合對(duì)ITO風(fēng)險(xiǎn)的研究，進(jìn)一步對(duì)SAAS的風(fēng)險(xiǎn)進(jìn)行評(píng)估，比較兩者的異同，幫助企業(yè)更好地利用信息技術(shù)取得進(jìn)一步發(fā)展。