رویکرد دوگانگی ریسک I&T در چارچوب ایساکا

رویکرد دوگانگی ریسک I&T در چارچوب

در سازمان، فعالیت‌های مرتبط با I&T (مانند انتخاب تکنولوژی، تعمیرات، حل مشکلات نرم‌افزاری و توسعه برنامه‌ها) به‌صورت مداوم در حال انجام است. هر یک از اقدامات سازمان و هر رویداد (Event)، هم تهدید (Threat) و هم فرصت (Opportunity) به دنبال دارد.

ریسک، ترکیبی از احتمال وقوع رویدادها و تأثیر آن‌ها بر سازمان است. بنابراین، ریسک می‌تواند هم فرصت‌هایی برای کسب منافع و سود (جنبه مثبت) ایجاد کند و هم می‌تواند در بر گیرنده تهدیدهایی برای موفقیت (جنبه منفی) باشد.

برای ایجاد ارزش برای ذی‌نفعان، سازمان باید در فعالیت‌ها و ابتکارات مختلف (فرصت‌ها) مشارکت نماید این فعالیت‌ها با عدم قطعیت همراه‌اند و بنابراین همگی درجات نامعلومی از ریسک را به همراه دارند. لذا مدیریت این ریسک‌ها و فرصت‌ها، استراتژیک کلیدی برای موفقیت سازمان است.

بنابراین I&T می‌تواند نقش‌های متفاوتی را ایفا کند، هم به‌عنوان یک توانمندساز ارزش و هم به‌عنوان یک مانع ارزش:

توانمندساز ارزش (Value Enabler)

ابتکارات تجاری جدید تقریباً همیشه به نوعی به مشارکت I&T وابسته هستند. در این نقش I&T می‌تواند:

• پروژه‌های موفق I&T را امکان‌پذیر کند، ابتکارات جدید را پشتیبانی کند و بنابراین ارزش ایجاد کند.
• فناوری جدید را به شیوه‌های نوآورانه به کار گیرد و از این طریق ارزش ایجاد کند.
• دارایی‌ها و منابع را در برابر تهدیداتی که ممکن است بر تحویل محصولات و خدمات تأثیر بگذارد، محافظت کند.

مانع ایجاد ارزش (Value Impediment)

مجموعه‌ای از پیامدهای منفی ممکن است از فعالیت‌ها و فرآیندهای مرتبط با I&T ناشی شود:

• پروژه‌ها یا سرمایه‌گذاری‌های تجاری مبتنی بر I&T اغلب نتیجه مورد انتظار را به همراه ندارند، بنابراین ارزش مورد انتظار ایجاد نمی‌شود.
• سازمان ممکن است فرصت‌های جدید برای ابتکارات تجاری ناشی از فناوری جدید را شناسایی یا بهره‌برداری نکند.
• I&T ممکن است نتواند شرایط یا تهدیدات سایبری را که می‌توانند اختلالات عملیاتی خفیف تا جدی ایجاد کنند (مانند قطعی‌های سیستم یا شبکه برای مدت زمان کوتاه یا طولانی، یا از دست رفتن، افشا یا فساد اطلاعات) پیشگیری یا تشخیص دهد.

بر اساس این چارچوب، سازمان تفکر آگاه از تهدید و فرصت را در ارزیابی و پایش همه ابتکارات I&T (نه فقط فعالیت‌های دپارتمان IT) در نظر می‌گیرد.

برای مثال، هنگامی که یک سرمایه‌گذاری مهم در زیرساخت پیشنهاد می‌شود، سازمان باید عوامل زیر را در تصمیم‌گیری خود در نظر بگیرد:

• ریسک مرتبط با سرمایه‌گذاری، مانند ریسک پروژه
• مزایای ابتکار جدید از نظر کاهش ریسک
• منافع کسب‌وکار حاصل از زیرساخت جدید
• فرصت‌هایی که دارایی‌های فناوری جدید ایجاد می‌کنند

هنگامی که فناوری جدیدی ظهور می‌کند، سازمان باید معیارهای زیر را در تعیین اینکه آیا این فناوری را بپذیرد یا نه، در نظر بگیرد:

• تأثیر پذیرش فناوری جدید (قابلیت پشتیبانی، سازگاری، ادغام آسان)
• ریسک‌های بهره‌برداری از فناوری جدید (امنیت، پایداری، قابلیت اطمینان)
• پیامدهای عدم پذیرش (عقب ماندن از رقبا، فرسودگی فناوری)
• مزایای کسب و کار فناوری جدید (مانند پشتیبانی از ابتکارات تجاری جدید، افزایش اثربخشی و کارایی)

پس از اینکه سازمان ارزیابی اولیه خود را از تهدیدها و (یا) فرصت‌ها تکمیل کرد، باید تعیین کند که چگونه به آن‌ها پاسخ دهد.