Информатизация бизнеса. Управление рисками Авдошин Сергей

1.1. Информатизация бизнеса и специфика ИТ-отрасли

В любом бизнесе построение современной системы управления организацией требует внедрения качественных, признанных на международном рынке информационных технологий. Информатизация бизнеса предполагает систематическое использование информации и информационных технологий в бизнесе. Под информационной технологией будем понимать все средства обработки, передачи и использования информации, включая в том числе и компьютерные технологии. Это совокупность аппаратного обеспечения, программного обеспечения, технологий хранения информации, сетевых технологий, обеспечивающих коммуникации и связь компонент системы в единое целое. Информационная система содержит данные о различных объектах, необходимые для конкретной организации. При этом она использует информационные технологии для преобразования набора данных в поток информации, который может быть использован пользователем системы. Получается, что информационные технологии – это прежде всего высокая скорость передачи и обработки информации, а также практически не ограниченные по объему и одновременно компактные хранилища данных.

При информатизации бизнеса, как правило, задействованы колоссальные бюджеты. В крупных компаниях масштабы проектной деятельности в области информационных технологий измеряются миллионами долларов. Большие бюджеты, в свою очередь, подразумевают больший уровень рисков, ответственности и компетенции тех людей, которые управляют информатизацией бизнеса. Естественно, что организацию и управление рисками необходимо осуществлять на основе известных существующих стандартов и методологий разработчиков программных продуктов и информационных технологий, лучших практик ИТ-корпораций, личного опыта менеджеров ИТ-проектов.

Единственного правильного алгоритма управления рисками при информатизации бизнеса и реализации программных проектов просто не существует. Однако проектный характер разработки ПО, а также необходимость управления рисками в связи с высокой степенью уникальности и неопределенности программных проектов обусловили развитие специализированных методов управления рисками, которые описаны в учебном пособии.

Нужно отметить, что принятие решений при информатизации бизнеса характеризуется высокими рисками и требует от руководителя глубоких знаний методики проектного управления и понимания особенностей ее применения в сфере информационных технологий, коммуникационных навыков и умения работать с крупной командой ИТ-специалистов. Большое влияние «человеческого фактора» обусловлено тем, что при информатизации бизнеса должны создаваться определенные условия для взаимодействия сторон, и стороны, участвующие в нем, несут равную ответственность за результаты проекта. То есть здесь нельзя возложить ответственность за успех проекта только на ИТ-специалистов, точно так же, как нельзя говорить, что исключительно бизнес-заказчик виновен в том, что проект не удался.

Управляя деятельностью организации, особенно важно четко спланировать стратегию развития общей информационной инфраструктуры, конкретные этапы реализации этой стратегии и пути минимизации рисков и затрат на каждом из этих этапов. Таким образом, для сокращения издержек и повышения эффективности деятельности современные компании могут использовать автоматизацию основных процедур деятельности и сокращение издержек на ручную обработку и анализ информации либо сокращение сотрудников интеллектуального труда за счет использования компьютеров и вычислительных сетей, более рациональных алгоритмов расчетов, реализованных в виде программного обеспечения.

Можно сформулировать следующие утверждения, которые помогут более полно осознать проблематику информатизации бизнеса и влияние информационных технологий на деятельность предприятия:

1) работа предприятий и их экономическая деятельность находятся в прямой зависимости от работоспособности средств автоматизации и общего уровня ИТ внутри предприятия;

2) качество ИТ определяет оперативность управлением – скорость обмена актуальной информацией, верность расчетов экономических показателей, возможности быстро принимать стратегические и прочие решения под воздействием внешних факторов, влияющих на экономическую систему;

3) требования к предоставляемому уровню безопасности внутри экономической системы могут быть обеспечены только за счет современных информационных технологий и средств защиты информации, шифрования данных и прочего.

Используя информационные технологии, организации могут пересматривать и модернизировать свои бизнес-процессы для повышения скорости и качества представляемых услуг и снижения издержек. Новые информационные системы могут в корне изменить структуру всей организации, оказав влияние на способы функционирования организации или даже направления ее деятельности. Средства анализа, входящие в ИТ-системы, позволяют с высокой скоростью обрабатывать гигантские массивы данных и на основе полученных результатов производить/предлагать корректирующие действия в соответствии со сложившейся ситуацией.

Решение об информатизации бизнеса и переходе на новую информационную технологию должно приниматься на основе эффективности использования ИТ в данной области. В мировой практике затраты на информационные технологии связываются с оборотами компании и оцениваются в пределах 10–30 % от оборота. Естественно, что такой подход не дает ответа на главный вопрос: какие выгоды получит предприятие от использования анализируемых ИТ, – и не освобождает специалистов от необходимости расчета стоимости внедрения.

Для грамотного управления любой деятельностью по информатизации бизнеса, связанной с изменением, внедрением и созданием ИТ, следует объединять работы в рамках единого ИТ-проекта. Термин «проект» рассматривается как некая задача с заранее определенными исходными данными, преследующая конкретные цели, подверженные имеющимся у компании ресурсам. Под ИТ-проектом будем рассматривать любые работы в области аппаратного обеспечения, программного обеспечения, технологий хранения информации, сетевых технологий, обеспечивающих коммуникации, и информационных систем.

Необходимость комплексного анализа и расчета эффективности внедряемых ИТ, их значительное влияние на дальнейшую деятельность предприятия заставляют относиться к ИТ-проекту как к самостоятельному инвестиционному проекту. Такой подход означает необходимость экономического обоснования требуемых капитальных вложений, то есть сопоставления предполагаемых затрат и эффектов для принятия решения о его целесообразности.

Успех ИТ-проекта зависит от многих факторов. Но из их числа можно выделить три основных: время, качество, ресурсы. Сбалансировать их между собой всегда трудно, поэтому популярна поговорка «Выбери два из трех». Если во главу угла ставится высокое качество исполнения всех работ по проекту, то это потребует либо много времени, либо большого числа ресурсов. Главная задача руководителя проекта – уложиться в выделенный бюджет и заданные сроки и обеспечить требуемое качество имеющимися трудовыми ресурсами. Любое нарушение этих ограничений чревато различного рода рисками, которые могут также привести как к негативным, так и к позитивным последствиям.

Говоря о качестве ИТ-проектов, необходимо стремиться к достижению высокого уровня даже при специфичных особенностях ИТ-индустрии – возрастающей сложности программных систем, постоянной нехватке ресурсов, часто изменяющихся требованиях, устаревании технологий, высоких темпах разработки и высокой конкуренции поставщиков.

Рынок ИТ подразумевает большую скорость изменений. Быстроизменяющиеся внешние обстоятельства и непредсказуемые нагрузки осложняют задачу соответствия уровню сервиса.

Для поддержки современных бизнес-процессов организации вынуждены расширять и усложнять свои ИТ-инфраструктуры. При этом стоимость управления, как правило, значительно превышает закупочную стоимость инфраструктуры. В добавок управление в ИТ-области усложняется со стороны законодательства, которое ужесточает требования к безопасности, защите информации, возможностям контроля.

Учитывая специфику ИТ-проектов, можно сформулировать основные принципы управления при информатизации бизнеса, которые позволят минимизировать (или избежать) наиболее распространенные риски при внедрении ИТ:

 избегать крупных проектов, то есть разбивать крупные проекты на более мелкие (принцип «Дельфины вместо китов»). При этом обязательно должен быть человек (как правило, директор программы), который управляет всеми проектами в целом и нацелен на успех реализации не отдельного проекта, а решения в целом;

 привлекать для управления проектами профессионалов в управлении, а не технических специалистов. Технические специалисты видят проект в первую очередь с технической точки зрения и забывают об управленческой составляющей;

 привлекать независимых экспертов (не включенных в проектную команду) для оценки рисков. Если все решения по рискам проекта принимаются только людьми, которые мотивированы на успех проекта, многие технические и технологические трудности могут рассматриваться как несущественные;

 учитывать риски, связанные с организационной составляющей проекта (согласование документов, обучение пользователей и т. п.), а не только технологические.

Говоря о проектах информатизации бизнеса и внедрении ИТ, нужно отметить, что любые новые технологии реализуются в условиях большой неопределенности и негативного воздействия окружающей среды. Это вызвано тем, что осуществление и реализация большинства проектов внедрения, особенно крупных, происходят в условиях, когда трудно применить стандартные методы управления. Уникальность целей проекта и отсутствие подобных практик в компании порождают неопределенность относительно выбора и внедрения новых технологий, определения методов и средств достижения поставленной цели, принятия той или иной методологии. Менеджеры ИТ-проектов подбирают и анализируют альтернативные решения, зачастую основанные на собственной интуиции и рекомендациях консалтинговых фирм, что связано с приемом на себя значительного риска.

В основном риски ИТ-проектов рассматриваются без стандартизированной методики управления рисками и общей системы управления рисками проекта ИТ.

На фоне постоянно улучшающихся технологий, создания новых методик разработки ПО рост успешности проектов из года в год незначительный – динамика успешности проектов за последние 14 лет практически не изменилась. Согласно статистике по поводу проектов ИТ и автоматизации предприятий, собранной международным агентством ИТ-услуг The Standish Group. СHAOS Summary 2009 (рис. 3):

• 32 % проектов завершились успешно;

• 44 % испытали различные трудности (превысили бюджет, выпали из сроков и прочее);

• 24 % проектов просто провалились;

• во всех завершенных проектах только 61 % требуемых свойств были реализованы.

Рис. 3. Статистика ИТ-проектов. The Standish Group. СHAOS Summary 2009

Практика западных и отечественных исследований в области автоматизации промышленных предприятий показывает, что риск неудачи проектов ИТ пропорционален его размеру. Очень большие, очень дорогие, сложные и долговременные проекты везде и всегда терпят неудачу чаще, чем даже средние. Риск провала крупного проекта усиливается, поскольку постоянные изменения свойственны ему намного в большей степени. Меняются законы, сдвигаются приоритеты, а следом неизбежно корректируется спецификация ИТ-системы, плывет бюджет и меняются поставщики. Даже очень незначительные политические перемены могут стать причиной серьезных изменений в структуре всего проекта ИТ и его краха.

Причин провала ИТ-проекта может быть множество. Одной из серьезных могут стать неудачная формулировка и планирование проекта на стадии его инициации. Поскольку неудачи закладываются в проект еще на начальной стадии, желательно как можно раньше проследить, чтобы требуемые результаты были описаны с достаточной точностью, проект рассматривался не с точки зрения ИТ, а как часть всего процесса, направленного на достижение поставленных задач. Уже на этапе инициации и планирования необходимо заложить ключевые цели, выполнить четкую формулировку стадий выполнения проекта, расставить контрольные точки для проверки промежуточных результатов, определить критерии оценки успешности проекта. Начальная стадия проекта имеет ключевое значение для его завершения.

Еще одной очевидной причиной неудач в области ИТ-проектов является недостаточное внимание руководства к задаче управления рисками. Плохо выполненные задачи по идентификации и оценке рисков, отсутствие плана управления рисками, плана действий в случае возникновения непредвиденных обстоятельств, ответственных за тот или иной риск – все это негативно сказывается на реализации проекта внедрения информационных технологий.

Зачастую причиной неудач ИТ-проектов являются разные взгляды на успех исполнителя и заказчика. Нередко исполнитель считает проект завершенным при выполнении всех формальных признаков, заложенных в техническом задании. Заказчик, в свою очередь, считает работы выполненными, если систему можно полноценно использовать для решения задач, ради которых и был задуман проект. При этом, с точки зрения заказчика, причина неработоспособности ИТ-системы – это недоработки исполнителя. С позиции исполнителя, причиной неработоспособности системы могут служить недостаточная квалификация персонала, наличие ошибок в учете, отсутствие единой методологии использования системы, то есть те факторы, за которые полностью отвечает заказчик.

В действительности методологические ограничения могут стать еще одной причиной неудач ИТ-проектов. По статистике Standish Group, с нехваткой технических знаний связано не более 10 % проблем в ИТ-проектах, остальные 90 % сводятся к неправильно организованному производственному процессу. К организационным и методологическим ограничениям можно отнести следующие:

• не используются стандарты управления;

• нет общей системы понятий и терминов;

• процессы проектной деятельности не определены;

• нет четких правил распределения ответственности в процессах проектной деятельности;

• опыт проектного управления не обобщается и не сохраняется.

Отсутствие методологической базы и недостаточная квалификация ИТ-руководителей влекут за собой определенные ошибки управления, которых можно легко избежать, используя грамотное управление ИТ-проектом в соответствии с выбранной методологией или на основе предыдущего успешного опыта. К типичным ошибкам управления относятся: нечеткое определение целей проекта, изменение требований и спецификаций, ошибки в планировании сроков и бюджета, неэффективное использование ресурсов, плохое взаимодействие команды проекта.

Также среди распространенных причин неудач ИТ-проектов выделяют недостаточную вовлеченность и нереалистические ожидания заказчиков, конфликты с интересами функциональных подразделений, нехватку ресурсов, недостаточную поддержку высшего руководства, технологическую некомпетентность персонала.

1.2. Риски в ИТ: термины и определения

На сегодняшний день использование информационных технологий рассматривается как обязательное условие для эффективного управления промышленным предприятием и повышения его конкурентоспособности на рынке. В связи со стремительным развитием информационных технологий, которое отмечают большинство российских компаний в области ИТ, и желанием компаний не потерять место на рынке можно говорить о стремлении компаний автоматизировать свою деятельность, идти в ногу со временем и тратить драгоценное время не на решение рутинных вопросов, а на новые стратегические планы и их реализацию. Автоматизация деятельности предприятия всегда подразумевает создание новой системы управления и новых бизнес-процессов в компании, переход на другой качественный уровень работы с информацией и внедрение информационных систем (ИС), что представляет собой достаточно трудоемкий и болезненный процесс, сопровождающийся множеством рисков и непредвиденных ситуаций.

Процесс управления рисками можно определенно назвать актуальным и необходимым для реализации успешных ИТ-проектов. В условиях развивающегося рынка и спроса на ИТ-услуги их поставщики должны бороться за качество услуг, которое они могут контролировать, только учитывая и анализируя все возможные риски. Кроме того, в числе рисков можно отметить непонимание акционерами роли и места информационных технологий, сомнения в окупаемости ИТ-проектов, низкую степень готовности персонала к использованию новых технологий вообще и информационных в частности, слабую материально-техническую базу многих предприятий, которая препятствует созданию фундамента для развития ИТ.

Понятие «риск» известно с давних времен. В отечественной экономике исследование вопросов теории риска было в определенной степени востребовано лишь до конца 20-х годов XX века. В дальнейшем по мере становления социалистической системы хозяйствования усиливалась роль командно-административных методов управления. Все это в соединении с устранением рыночной мотивации экономики привело к отрицанию проблемы хозяйственного и социального риска. Отдельные же разработки по вопросам производственных, хозяйственных рисков не могли претендовать на право считаться научным направлением.

На сегодняшний день существует множество определений риска. Наиболее часто риск понимается в нескольких различных аспектах: риск как возможность, риск как опасность или угроза, риск как неопределенность. Так, в частности:

• риск как возможность – концепция существования взаимосвязи между риском и доходностью. Чем выше риск, тем выше потенциальный доход, но также выше и вероятные убытки;

• риск как опасность или угроза – концепция, которая рассматривает негативные события, такие как финансовые потери, мошенничество, хищения, угроза репутации, ущерб или банкротство, участие в судебных процессах и т. д. С точки зрения риска, мы имеем в виду некоторое негативное событие, которое может повлиять на успешное выполнение нашего проекта. Мы не уверены заранее в том, что это событие произойдет, но твердо знаем, что его возникновение скажется на стоимости, сроках или качестве проекта, то есть снизятся качество управления и надежность проекта. Цель управления – распределение ресурсов для сокращения вероятности нежелательных событий;

• риск как неопределенность – концепция, связанная с возможностью возникновения в ходе реализации проекта неблагоприятных ситуаций и последствий, которые зависят от вероятностных распределений возможных исходов. Цель управления – сокращение разрывов между принятым и действительным исходом.

Согласно стандарту (PMBoK) Института управления проектами США, определением риска является неопределенное событие или условие, наступление которого может иметь как положительное, так и отрицательное влияние на проект, что представляет собой комбинацию вышеперечисленных концепций.

Говоря о риске, мы имеем в виду некоторое негативное событие, которое может повлиять на успешное выполнение нашего проекта. Зачастую позитивная составляющая риска отбрасывается, и тогда рассмотрению и управлению подвергается оставшаяся часть. Мы не уверены заранее в том, что это событие произойдет, но твердо знаем, что его возникновение скажется на стоимости, сроках или качестве проекта, то есть снизятся качество управления и надежность проекта. Однако принятие риска может принести проекту определенную выгоду. Например, решение об ускорении темпа выполнения работ по проекту довольно рискованно, но в случае успеха сроки реализации проекта будут существенно сокращены.

В различных источниках можно встретить несколько определений риска, так, например:

 риск – потенциальная, численно измеримая возможность неблагоприятных ситуаций и связанных с ними последствий в виде какого-либо ущерба, связанная с неопределенностью;

 риск – это вероятностное событие, связанное с неопределенностью, которое негативно влияет на проект;

 риск – это взвешенная линейная комбинация вариации и ожидаемой величины (математического ожидания) распределения всех возможных исходов;

 риск – это действие, выполняемое в условиях выбора, когда в случае неудачи существует возможность оказаться в худшем положении, чем до выбора;

 риск – это как вероятная опасность, действие наудачу в надежде на счастливый исход (словарь Ожегова) и др.

На основе анализа многих определений риска для ИТ-риска наиболее подходит следующее: «Риск – это вероятность наступления события, которое может привести к опасности или негативным последствиям, таким как недополучение прибыли, снижение эффективности процессов и качества деятельности, угрозы безопасности, возникновение потерь, убытков».

В классических работах по управлению проектами понятия «неопределенность» и «риск» отождествляются. Однако в ряде западных современных работ в этой области различают понятия риска («Risk»), неопределенности («Uncertainty») и неизвестности («Ignorance»).

Согласно концепции Института программной инженерии (SEI), «риск сам по себе не плох; риск необходим для прогресса, и неудача – часто ключевой момент для обучения. Но надо научиться соотносить возможные негативные последствия риска с потенциальными выгодами от возможностей, которые с ним связаны».

Обобщение различных точек зрения позволило выявить следующие отличия между понятиями «риск» и «неопределенность»:

• неопределенность существует в тех случаях, когда вероятность последствий определяется субъективно, исходя из ограничений лиц, принимающих решения; риск определяется на основании объективного признания потерь;

• неопределенность связана с отсутствием стохастических данных за предшествующие периоды; риск характерен для экономических систем с массовыми событиями или предсказуемой вероятностью;

• неопределенность связана с незнанием, случайностью, противодействием; причинами риска являются конкуренция, политические и экономические кризисы, социальные конфликты, изменение рыночных условий, нестабильность экономики.

Причинами неопределенности могут являться:

• недостаток информации об условиях реализации проекта (например, из-за ограниченного времени на этапе планирования или сложности получения информации);

• наличие элемента случайности в условиях реализации проекта (например, состояние погоды в конкретный день);