（管理科学与工程专业论文）电信运营商收入相关it系统风险评估.pdf

北京邮电大学硕士毕业论文 电信运营商收入相关it 系统风险评估 摘要 目前我国四大电信运营商已经全部在美国上市，随着电信企业 信息化水平的不断提高，业务流程对i t 流程的依赖性也逐步加强， 重视及完善i t 内部控制不仅是萨班斯法案的要求，也是企业自身发 展的需求。 在电信企业内部，收入相关的i t 系统涉及生产、销售等多个环 节，因此与收入相关的i t 系统的风险控制点数目庞大，给企业带来 巨大的成本。如何有效地对相应的风险进行评估以确定各个风险事 件的优先级方面尚缺乏有效的理论依据。 本文首先将收入相关的i t 系统分解为采集系统、计费系统、 结算系统和营帐系统，其次在e t o m 的指导下运用流程图法识别并 简化风险点，最后根据计费及风险管理的理论原理构建收入相关 的i t 系统风险评估模型。通过问卷调查等方法收集了1 8 5 份有效 问卷，经过分析，对影响收入失真的风险事件进行排序，前三名 依次是一次批价失真、缴费失真和话单采集失真。 本论文主要做了以下3 方面的工作： ( 一) 、对风险管理、风险识别和风险评估等学术领域已 经形成的权威理论、文献资料进行综述，同时完成对收入生成 及其相关i t 系统界定的内容学习和研究。 ( 二) 、在e t o m 理论的指导下，通过与f a b 过程关联的 三个最为本质的流程元素，将收入相关i t 系统的风险按流程 分为以下十个阶段，分别是开户、信用控制、话单采集及生成、 一次批价、漫游处理、二次批价、帐务优惠、出账、缴费、结 算处理，并找到每个阶段的风险点。 ( 三) 、建立收入相关i t 系统风险评估模型，采用问卷 调查、数据分析的实证分析方法获得结论，主要包括各个风险 事件对收入失真的贡献度排序，由此对运营商内部收入相关i t 系统风险控制提出相应的建议。 关键字：收入信息系统一次批价缴费话单采集风险评估 北京邮电大学硕士毕业论文 r i s kv a l u a t l o no fi n c o m e r e l a t e d i ts y s t e m so ft e l e c o mo p e r a t o r s a b s t r a c t a tp r e s e n t ，f o u rm a j o rt e l e c o mo p e r a t o r so fc h i n ah a v ee n t e r e d i n t oc a p i t a lm a r k e ti nt h eu s s u c c e s s f u l l y a l o n gw i t hc o n s t a n t i m p r o v e m e n to ft h e 1 e v e lo fi n f o r m a t i o ni nt e l e c o m m u n i c a t i o n e n t e r p r i s e s ，b u s i n e s sp r o c e s s e sb e c o m ei n c r e a s i n g l yd e p e n d e n to ni t p r o c e s s e s ，s o t o i m p r o v e i n t e m a lc o n t r o li ti sn o to n l yt h e r e q u i r e m e n t so ft h es a r b a n e s o x l e ya c t ，b u ta l s ot h en e e d so ft h e i r o w nd e v e l o p m e n t i nt h et e l e c o mo p e r a t o r s i n c o m e r e l a t e di n f o r m a t i o ns y s t e m sa r e r e l a t e dt o p r o d u c t i o n ，m a r k e t i n g a n d m a n y o t h e r a r e a s ，s o i n c o m e r e l a t e di n f o r m a t i o ns y s t e m si n c l u d e sl a r g en u m b e ro fr i s k c o n t r o lp o i n t sw h i c hl c a dt oe n o r m o u sc o s t s b u th o wt oa s s e s st h e c o r r e s p o n d i n gr i s k se f f e c t i v e l ya n dh o wt oi d e n t i f yp r i o r i t yo f a l lr i s k s l a c k so fe f f e c t i v et h e o r y t h i sp a p e rd e v i d e si n c o m e r e l a t e di n f o r m a t i o ns y s t e m si n t od a t a c o l l e c t i n gs y s t e m ，b i l l i n gs y s t e m s ，s e t t l e m e n ts y s t e ma n do p e r m i o n a n da c c o u n ts y s t e m ，a n du s e sf l o wc h a r tt oi d e n t i f ya n ds i m p l i f yt h e r i s kp o i n t su n d e rt h eg u i d a n c eo ft h ee t o m t h e nr i s ka s s e s s m e n t m o d e lo fi n c o m e r e l a t e di n f o r m a t i o n s y s t e m s i sc o n s t r u c t e di n a c c o r d a n c ew i t ha c c o u n t i n gp r i n c i p l e sa n dr i s km a n a g e m e n tt h e o r y t h ep r o p o s e dm o d e lw a se m p i r i c a l l ye v a l u a t e du s i n gs u r v e yd a t a c o l l e c t e df r o ml8 5r e s p o n d e n t s o v e r a l l ，t h er e s u l t sr e v e a lt h a tt h e f i r s t s t a g er a t i n g ，p a y m e n ta n dc a l ld e t a i lr e c o r d ( c d r ) c o l l e c t i o n a n df o r m a th a v et h em o s te n o r m o u si m p a c to nt h ei n c o m e 2 北京邮电大学硕士毕业论文 t h e r ea r e3m a j o rr e s u l t si nt h i sp a p e ra sl i s t e db e l o w ： 1 ) s u m m a r i z i n gt h ea u t h o r i t yt h e o r e t i ca n dl i t e r a t u r ei nt h e f i e l d so fr i s km a n a g e m e n t ，r i s ki d e n t i f i c a t i o na n dr i s ka s s e s s m e n t ； s y u d y i n gt h ep r o c e s so fg e n e r a t i n gi n c o m ea n dh o wt od e f i n er e l a t e d i n f o r m a t i o ns y s t e m s 2 )u n d e rt h eg u i d a n c eo fe t o m ，d e v i d i n gt h r e eo ft h em o s t e s s e n t i a lp r o c e s s e sa s s o c i a t e dw i t ht h ef a bi n t ot h ef o l l o w i n g10 s t a g e s ，o p e n i n ga na c c o u n t ，c r e d i tc o n t r o l i n g ，c a l l d e t a i lr e c o r d ( c d r ) c o l l e c t i o na n df o r m a t ，t h ef i r s t - s t a g er a t i n g ，r o a m i n gp r o c e s s ， t h e s e c o n d s t a g er a t i n g ，b i l ld i s c o u n t ，b i l l i n g ，p a y m e n t ，a n d s e t t l e m e n t 3 ) t h ee s t a b l i s h m e n to fr i s ka s s e s s m e n tm o d e lo f i n c o m e - r e l a t e di n f o r m a t i o ns y s t e m s ，u s i n g s u r v e y , d a t aa n a l y s i s m e t h o d st of i n dt h ec o n c l u s i o n s i n c l u d i n gt h ec o n t r i b u t i o ns o r to f d i s t o r t i o no fv a r i o u sr i s ki n c i d e n t st o w o r d st h ei n c o m e ，a n dg i v i n g r e c o m m e n d a t i o n sa b o u tt h ec o r r e s p o n d i n gr i s kc o n t r 0 1 k e yw o r d ：i n c o m e i t t h ef i r s t s t a g er a t i n g p a y m e n t c a l ld e t a i lr e c o r d ( c d r ) c o l l e c t i o na n df o r m a t r i s kv a l u a t i o n 北京邮电大学硕上毕业论文 图表1 - 1 图表1 - 2 图表2 - 4 图表2 - 1 图表2 - 2 图表2 - 3 图表3 - 1 图表4 - 1 图表5 - 1 图表5 - 2 图表5 - 3 图目录 电信运营商收入流失图【5 】3 文章结构图。5 风险管理过程图【3 1 1 1 3 电信运营商收入流程图【3 4 】1 7 二次批价流程图【 j 19 与收入相关的i t 系统图【3 4 】2 1 e t o m 的o 级视图2 3 风险评估概念模型2 9 电信运营商收入相关i t 系统风险评估模型路径图3 7 电信运营商收入相关i t 系统风险评估模型4 7 修正后的电信运供应商收入相关i t 系统风险评估模型4 9 3 北京邮电人学硕上毕业论文 表格3 - 1 表格3 - 2 表格3 - 3 表格3 - 4 表格3 - 5 表格3 - 6 表格3 - 7 表格3 - 8 表格3 - 9 表格3 - 1o 表格4 - 1 表格4 - 2 表格4 - 3 表格5 - 1 表格5 - 2 表格5 - 3 表格5 - 4 表格5 - 5 表格5 - 6 表格5 - 7 表格5 - 8 表格5 - 9 表格5 - 1o 表格5 - 1 1 表格5 - 1 2 表格5 - 1 3 表格6 - 1 表格6 - 2 表格6 - 3 表目录 开户风险点列表2 4 信用控制风险点列表2 4 话单采集及生成风险点列表2 5 一次批价风险点列表2 5 漫游处理风险点列表2 5 二次批价风险点列表2 6 账务优惠风险点列表2 6 出账风险点列表2 6 缴费风险点列表2 6 结算处理风险点列表2 7 风险识剐清单( 筛选后) 2 8 各种变量之间的关系2 9 电信运营商收入相关i t 系统风险评估模型的相关研究假设3 0 模型变量对应问题3 4 有效问卷数4 1 c r o n b a c h sa l p h a 信度标准4 1 问卷c r o n b a c h sa l p h a 值统计4 2 总的问卷信度表4 3 自变量和中间变量的k m o b a r t1 e tt 球形检验4 3 各个自变量和中间变量的因素负荷表4 4 各个自变量和中间变量的总体解释度4 5 结构方程有效样本数4 5 模型的评估4 7 各个变量之间的显著性关系4 8 各个自变量和各个中间变量对收入失真影响效果5 0 电信运营商收入相关i t 系统风险评估模型相关研究假设验证5 0 一次批价风险点描述5 4 缴费风险点描述5 5 话单采集风险点描述5 6 4 北京邮电大学硕i ：毕业论文 独创性( 或创新性) 声明 本人声明所呈交的论文是本人在导师指导下进行的研究工作及取得的研 究成果。尽我所知，除了文中特别加以标注和致谢中所罗列的内容以外，论 文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得北京邮电 大学或其他教育机构的学位或证书而使用过的材料。与我一同工作的同志对 本研究所做的任何贡献均已在论文中作了明确的说明并表示了谢意。 申请学位论文与资料若有不实之处，本人承担一切相关责任。 本人签名： 丕弛磊 日期： 臣廑：兰筮 关于论文使用授权的说明 学位论文作者完全了解北京邮电大学有关保留和使用学位论文的规定， 即：研究生在校攻读学位期间论文工作的知识产权单位属北京邮电大学。学 校有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许学位论 文被查阅和借阅；学校可以公布学位论文的全部或部分内容，可以允许采用 影印、缩印或其它复制手段保存、汇编学位论文。( 保密的学位论文在解密后 遵守此规定) 保密论文注释：本学位论文属于保密在一年解密后适用本授权书。非保 密论文注释：本学位论文不属于保密范围，适用本授权书。 本人签名： 导师签名： 日期：坦墨：兰：塑 日期：“扭名一 1 1研究背景 第1 章绪论 1 1 1 萨班斯法案对电信运营商提出的要求 2 0 0 1 年安然事件后，美国又爆发了世界通信和全球有限通信等一连串上市 公司财务欺诈事件，致使这些全球性跨国公司相继倒闭破产，也促使了全球五 大会计师事务所之一的安达信解体。这些舞弊案件严重地挫伤了投资者的信 心，打击了资本市场，影响了美国经济的发展。为了恢复民众、股民对美国上 市公司、股市的信心，2 0 0 2 年7 月，美国国会出台了( 2 0 0 2 年上市公司会计改 革和投资者保护法案。该法案由美国参议院银行委员会主席萨班斯和众议院 金融服务委员会主席奥克斯利联合提出，因此又被称作萨班斯一奥克斯利法 案( s a r b a n e s o x l e y a c t o f 2 0 0 2 ，以下简称“s o x 法案”) 。该法案对美国1 9 3 3 年证券法、1 9 3 4 年证券交易法做了不少修订，在会计职业监管、公司治理 证券市场监管等方面做出了许多新的规定。因为该法案出台时没有规定特别豁 免的情况，因此在美国上市的外国公司同样需要遵守该法的各项规定。【l 】 3 0 2 条款和4 0 4 条款是( s o x 法案的核心条款，也是对企业影响最大的条 款。 3 0 2 条款主要是强调上市公司财务报告的真实性。这种强调来自于上市公司 首席执行官和首席财务官的签字：他们必须在每一年度报告或季度报告中保证 已审阅过该报告；并认为报告中不存在重大的错报、漏报；且认为在所有重大 方面，报告中的会计报表及其他财务信息都公允地反映了公司在该报告期术的 财务状况及该报告期内的经营成果。一旦提出了j 下式的自我评价报告和审核报 告，公司管理层和注册会计师就要对其承担法律责任。3 0 2 条款还规定：公司 首席执行官和首席财务官必须对财务报告的真实性宣誓，并签署书面声明。如 果公司出现舞弊的情况，s e c 可以根据该公司c e o 、c f o 签署的书面声明，以 “伪证罪一直接对他们进行起诉。1 2 】 4 0 4 条款则是萨班斯法案中最难操作、最复杂、耗费成本最高的一个条款。 第1 页共6 5 页 该条款规定：在美上市企业要建立内部控制体系，内部控制活动的记录不仅要 细化到像产品付款时间这样的细节，而且对重大缺陷都要予以披露。4 0 4 条款 要求企业对“过程 进行控制，而不是出了事再收拾残局。要求企业从源头管 理，从而避免人为舞弊的可能。4 0 4 条款涉及企业经营、i t 系统控制、投融资 管理、财务监控、法律法规监督等1 3 个大类、3 8 个细项，在投入实施过程中， 将引起企业整体管控流程的重组、人员岗位职责的改变。1 2 j 萨班斯法案的核心要求是规避风险、完善内部控制，以确保财务信息披露 的准确性。因而萨班斯法案集中在一个公司的财务报表上，如收入、费用、清 算帐目和负债等记录以及围绕这些记录的控制措施，所以高层管理者要有针对 财务信息的生成、访问、收集、存储、处理、传输和使用的严密控制。 当前越来越多的业务经营活动采用i t 系统进行自动化处理，在建立与保持 有效的财务报告内部控制方面也j 下在发挥着越来越重要的作用，但是i t 在给企 业带来竞争力的同时，也带来了极大的风险。因此利用i t 技术加强内部控制， 并对信息系统自身加强管理控制，成为公司内控必不可少的组成部分，这决定 了遵循萨班斯法案的程序也包括基于i t 系统的控制程序。 鉴于it 系统在财务报告内控体系中的重要作用，上市公司会计监管委员会 ( 简称p c a o b ) 第二号审计标准要求了解i t 在内部控制环境中的重要性。它特 别指出：公司在其信息系统中运用信息技术的状况，影响着公司财务报告的内 部控制。l z u j 目前我国四大电信运营商全部在美国上市，他们现在j 下在构建法案要求的 内控系统，i t 内部控制系统构建及评审是无法绕过的工作。完善内控，特别是 电信企业信息化水平很高、业务流程依赖于i t 流程的背景下，重视i t 内部控制， 完善r r 内部控制十分迫切。 同时，萨班斯法案要求公司建立内部控制体系，包括控制环境、风险评估、 控制活动、信息沟通以及监督5 个部分，其中风险评估被认为是提高企业内部 控制效率和效果的关键之一。 1 1 2 电信运营商收入流失的现状 收人流失是指运营商已经产生的，但在核算入账前被漏掉的那部分收人。 收人流失的形式可以表现为：服务已经提供，但是少计费或者漏计费，或者进 行了错误的信用处理、账务调整等。 据报道，2 0 0 4 年电信咨询公司a n a l y s y s 对全球各地5 0 家运营商进行了电话 和面对面调查，发现平均每一家运营商由于计费错误、欺诈和流程的缺陷所损 第2 页共晒贞 失的收入占其潜在收入的1 3 7 。全球电信服务收入目前为1 万亿美元，由此得 知收入流失的总量高达每年1 3 7 0 亿美元。这项调查发现，随着地理区域的不同， 收入流失的现状也不同。亚太地区的收入流失最为严重，达到年收入的3 1 。 中欧和东欧为1 8 5 ；拉丁美洲为1 6 ；非洲为1 2 。比较好的地区是北美，收 入流失为5 3 和西欧7 6 。1 3 】【4 】 报告还发现，损失的收入有逐年上升的趋势，收入流失问题越来越受到关 注。造成了如此严重流失的主要原因有流程问题、信用管理问题、不完整或不 正确的呼叫详细记录、网问结算错误和系统集成问题。1 5 】 p b im e d i a 统计的国际电信运营商的收人流失的主要方面，如下图所示： 占总收入 的比例 2 0 魂失臻因 图表1 - 1电信运营商收入流失图i b q 目前电信行业的市场化程度较高，企业的市场份额相对固定。单纯的追求 客户数量和市场份额已经不再是运营商的目的，通过精益化运营，减少流失来 达到利润率，达到稳定持续发展的运营目标，才是各运营商所追求的。 减少收入流失即确保收入形成的流程，相关的系统和操作，以及处理结果 的准确性。其中识别并评估收入相关i t 系统的风险，发现运营商收入过程中出 现的漏洞，通过弥补这些漏洞来增加运营商的收入是当务之急。 综上所述，不管是源于萨班斯法案的要求，还是运营商自身运营的需求， 对收入相关信息系统进行风险评估是各运营商发展的必经之路。 1 1 3 电信运营商收入相关i t 系统风险评估的困难 由于电信运营商信息化水平较高，与收入相关的信息系统环节众多，如何 第3 页共够页 有效地识别其中的风险，并对相应的风险进行评估存在一定的困难。 l 、电信运营商的管理办法多是基于k p i 驱动的管理办法，公司通过考核指 标的设计和每年对考核重点的变动，实现对公司整体的驱动。执行人员日常的 工作主要是为了完成自己的考核指标，但在如何完成指标的方法上并没有太大 的限制。这就造成了公司的实际运营工作被分成了若干个点，而仅在这些点上 评估和分析可能遇到的风险，显然是不够的。 2 、目前运营商内部缺乏对风险的有效评估，风险事件没有优先级，相应的 内部控制措施也就没有了重点和非重点之分。 尽管各运营商业务重点和管理基础有所差异，在i t 内控的设计方面各有侧 重，但就与收入有关的信息系统的控制点的数目而言，都是较大的。毫无疑问， 这给企业带来巨大的成本。根据国际财务执行官( f e i ) 对3 2 1 家企业的调查结 果，每家需要遵守“萨班斯法案”的美国大型企业第一年实施第4 0 4 节的总成本 将超过4 6 0 万美元。p j 1 2 主要的概念 本文主要对电信运营商收入相关信息系统的固有风险进行评估，根据各风 险事件对收入的影响程度排序，最终为运营商筛选收入相关信息系统的风险控 制点提供建议。因此，本文主要涉及到以下概念： 1 电信运营商收入流程：从客户使用服务到帐务的整个端到端的处理过程； 2 与收入相关的i t 系统：与收入紧密相关的信息系统，主要指采集系统、计 费系统、结算系统和帐务系统； 3 固有风险：管理当局没有采取任何措施来改变风险的可能性或影响的情况 下，一个主体面临的风险； 4 i t 系统应用风险：指信息系统存在于业务流程中的应用风险，例如完整性、 准确性等。 5 风险识别：企业管理人员就企业经营过程中可能发生的风险进行感知、预 测的过程。 6 风险评估：风险识别之后，通过对风险事件的分析，确定收入的各种风险 发生的可能性以及发生之后的损失程度。 1 3 论文结构框架 本文试图通过对与收入有关的信息系统风险的分析，分类提炼风险点，建 立路径图，运用结构方程，验证并调整路径图，得出风险排序。 第4 贝共艏贝 1r i 第六章结论与展望 图表卜2 文章结构图 第一章、绪论。总括本文的研究背景、主要研究概念、论文结构框架、研 究方法、研究成果。 第二章、文献综述。首先对电信运营商收入流程进行一个基本的介绍，包 括业务类型、计费方式、计费时间及各收入阶段的工作内容；其次介绍各与收 入相关的信息系统；最后详细介绍风险管理理论的发展以及风险识别和风险评 估的方法等。 第三章、风险识别。在e t o m 的指导下，运用流程图法分析整个收入流程， 提出i t 应用风险清单。 第四章、风险评估。这是本文的核心内容。首先对风险点进行初步筛选， 建立风险事件的关系路径图。设计研究方法，并通过问卷调查所得数据检验假 设。 第五章、数据分析。首先对问卷的信度和效度进行分析；然后验证第四章 提出的风险评估模型，验证各个变量之问的相互关系，对影响收入的各个风险 事件的贡献度进行排序。 第六章、本论文结论和展望。总结前面分析的结果。同时指出本文研究不 足和进一步研究的方向。 1 4 研究方法 本论文采取的研究方法：文献阅读法， 文献，找出本文的理论基础和研究突破口。 实证定量法。通过阅读大量的相关 通过对问卷所得数据的数理分析， 第s 页共6 5 页 验证本文的假设。 1 5 研究成果 1 论文对风险管理、风险识别和风险评估等学术领域已经形成的权威理论、 文献资料进行综述，同时对收入相关信息系统发展和功能等内容也进行了 学习和研究。 2 跳出基于k p i 的点式风险管理模式，在e t o m 理论的指导下基于流程识别收入 相关信息系统的应用风险。 3 建立收入相关信息系统风险评估模型。利用实证检验获得结论，其中包括 影响收入可靠性的众多因素，得出各风险事件对收入影响的重要性排序， 提出相应的建议。 1 6 本文创新点 1 本文深入的研究和分析了各风险事件对收入形成的影响，提出了影响收入 准确、及时、正确的形成的风险评估模型。 2 收集资料并对影响收入形成的风险评估模型进行实证。 3 对风险事件进行排序，为内部控制点的设置以及相应内部控制措施的实施 提供参考。 第6 贞共6 5 负 2 1理论综述 2 1 1 风险相关理论 2 1 1 1 风险的含义 第2 章文献综述 在现实世界中，自然灾害和意外事故客观地存在着，但这些不幸事件何时 何地发生、致害于何人、造成何种程度的损失，通常是无法预之的。因而，对 于特定的事物而言，人们对自己是否会遭遇不幸事件、受到多大的损失，处于 一种不确定的状态。于是，特定的事物对于特定的人们就构成了风险。【6 】 风险的含义可以从多种角度来考察。首先，风险同人们有目的的活动有关。 人们从事活动，总有一定的预期结果，如果对于预期的结果没有十分的把握， 人们就会认为该项活动有风险。第二，风险同将来的活动和事件有关。已经结 束了的活动或项目，既成事实，后果己无法改变。对于将来的活动、事件或项 目，总是有多种行动方案可供人们选择，但是没有哪一个行动方案可确保达到 预期的结果。那么，应该采取何种办法和行动才能不受或少受损失，并取得预 期的结果呢? 这就是说，风险和行动方案的选择有关。第三，如果活动或项目 的后果不理想，甚至是失败，人们总是要想：能否改变以往的行为方式或路线， 把以后的活动或项目做好。另外，当客观环境，或者人们的思想、方针或行动 路线发生变化时，活动或项目的结果也会发生变化。这样，风险还与上述变化 有关。若世界永恒不变，人们就不会有风险的概念。 美国学者海恩斯在他的著作( r i s k 嬲觚e c o n o m i cf a c t o r ) ) 一文中最早提出 了风险的概念并加以分类，他认为“风险一词在经济学中和其他学术领域中， 并无任何技术上的内容，它意味着损失或损失的可能性( c h a n c eo fd a m a g eo r l o s s ) ，偶然性的因素是用以划分风险的不同性质，某种行为能否产生有害的 后果应以其不确定性来确定。如果某种行为具有不确定性时，其行为就反映了 风险的负担。一i i 从近代保险业产生以来，特别是上世纪6 0 年代以来，风险研究出现了大量 第7 页共岱页 的文献，涉及自然科学、社会科学中的诸多学科。塞尔顿科里姆斯基与多米 尼克古尔丁说，对风险的研究一度只局限在学术团体和保险业狭小的领域， 但现在已经在公共政策需求的推动下发展起来，迅速成为一个多学科的研究领 域。0 0 1 这些学科从各自的角度，对风险进行了定义。其中有代表性的有： 统计学、精算学、保险学等学科把风险定义为一件事件造成破坏或伤害的 可能性或概率。通用的公式是风险( r ) = 伤害的程度( h ) 木发生的可能性( p ) 。这 个定义带有明显的经济学色彩，采用的是成本收益的逻辑。 以玛丽道格拉斯和维尔达沃斯基为代表的人类学者、文化学者把风险定 义为一个群体对危险的认知，它是社会结构本身具有的功能，作用是辨别群体 所处环境的危险性。道格拉斯认为：知识是不断变化的社会活动的产物，并总 处于建构过程中。因此，尽管风险在本质上有其客观依据，但必然是通过社会 过程形成的。“风险总是社会产物”是“集体建构物”。而由于环境的不同，“每 一种社会生活形态都有自身特有的风险列表。【1 2 】 社会学家卢曼的定义与道格拉斯等人的类似，也认为风险是一种认知或理 解的形式，但强调风险并非一直伴随着各种文化，而是在具有崭新特征的2 0 世 纪晚期，因为全新问题的出现而产生的。更重要的是，风险是具有时问规定性 的概念。它是一种非常不同的时间限制形式( af o r mo f t i m e b i n d i n g ) ，或者说是 一种“意外( 偶然) 出现的图式”( c o n t i n g e n c ys c h e m a ) 。这种偶然性是由人的认 知决定的，有的人认为是危险，有的则认为是风险。【i3 】艾瓦尔德认为，“任何 事情本身都不是风险，世界上也本无风险。但是在另一方面，任何事情都能成 为风险，这端赖于人们如何分析危险，考虑事件。 因此，风险的重要性不在 于风险本身，而在于风险的附着对象。 由于风险存在于自然科学、政治、军事以及经济生活诸多方面，人们至今 还未能给风险一个统一的定义。现代汉语字典把风险定义为“可能发生的危 险”，韦伯字典中将风险定义为“遭到伤害或损失的可能性”。国内外学者对风 险的概念也有多种解释和规定，美国学者h f e l i xk l o m a n 认为“风险是偶然性 的频率，严重程度和公众感知度的综合估计，它没有虚假的学术界限。”【1 4 j 美国的威雷特在他的博士论文风险与保险的经济理论中定义风险是“关于 不愿意发生的实际萨省的不确定性的客观体现。”1 9 2 1 年，美国经济学家奈特 在其名著风险，不确定性和利润中，定义j x l 险是“可测定的不确定性 ， 将风险与不确定性加以重要区分。0 s 1 1 9 8 3 年，日本学者武井勋在其著作风险 理论中，对各种理论进行了总结和归纳，认为风险定义本身应具有三个基本 的因素：风险与不确定性有所差异；风险是客观存在的；风险可以被测算。在 此基础上，他提出了一个新的定义：“风险是在特定环境中和特定期间内自然 第8 页共砖贝 存在的导致经济损失的变化。美m c o o p e rd f 和c h a p m a nc b 在大项目风险 分析一书中给出了较权威的定义：“风险是由于从事下某项特定活动过程中 存在的不确定性而产生的经济或财务的损失，自然破坏或损失的可能性。一 6 j r o b e r tc h a r e t t e 在他关于风险管理的著作中对风险给出了如下定义：“首先， 风险关系到未来发生的事情。我们今天收获的是以前的活动播下的种子，问题 是，能否通过改变今大的活动为我们自身的明天创造一个完全不同的充满希望 的美好前景；其次，风险会发生变化，就像爱好、意见、动作或地点会变化一 样；第三，风险导致选择，而选择本身将带来不确定性。因此，风险就像死亡 那样，其生命周期很好确定性的东西。 【1 7 】中国学者赵署明、杨忠在国际企 业：风险管理一书中定义风险为“在一定环境和期限内客观存在的，导致费 用，损失与损害产生的，可以认识与控制的不确定性。具有以下特征：风险 是客观存在的，是不以意志为转移的；风险是相对的，变化着的；风险是可以 识别的，因而也是可以控制的；风险与收益是一体的，共生的。【1 8 】其他定义还 有：风险是指未来结果的不确定状态；风险是对目前所采取的行动，在未来没 有达到预期结果( 失败) 的可能性；风险是遭受损失的可能性，风险是等待发生 的问题；风险是指损失的可能；风险是对发生某一经济损失的不确定性；风险 是对特定情况下未来结果的客观疑虑；风险是一种无法预料的，实际后果可能 与预测后果存在差异的倾向；风险是损失出现的机会或概率；风险是指潜在损 失的变化范围等等。 本文将风险定义为：风险是一个事项将会发生并给目标实现带来负面影响 的可能性。 2 1 1 2 风险的特征 风险的一般性质是风险本质的外延表现形式。正确认识风险的表现特征， 有助于对风险的深入理解，有助于根据风险的特征点建立和完善风险管理机 制。风险具有以下一般特征： 1 不确定性。不确定性是风险产生的前提条件，是风险最重要的外在表现形 式。由于不确定性是风险产生的前提条件，控制不确定性也就成为了控制 风险的入口和关键。 2 客观性。风险的客观性来源于产生风险的原因是客观存在的，产生风险的 前提条件在完全消除之前，风险的发生具有必然性。但是人们在风险面前 是具有主观能动性的，主观能动性的效果取决于主观的判断和选择是否与 客观变化规律相符合。 第9 页共6 s 页 3 可度量性。风险源于不确定性，又有别于不确定性，风险强调未来结果发 生的可能性，风险表现为可测定发生可能性程度的不确定性，风险可以根 据以往类似事件的统计资料，运用一定的技术方法，对各种结果发生的机 率作出主观估计和判断。如果风险程度不能加以度量，便失去了风险管理 的意义。 4 时间性。事件的风险与未来的时间是正向变化的，未来的时间越长，事件 的风险越大。从这一点来看，风险价值在性质上也属于时间价值的范畴。 5 潜在性。风险是客观存在的，但也只是可能发生的。认识风险的潜在性特 征，有助于风险管理者通过一定的方式和措施来控制引发风险的客观条件， 阻止或促进风险的潜在性转化为现实性，避免风险损失或谋取风险收益。 6 转移性。随着诱发风险的客观条件的变化和风险管理措施的采取，风险的 形态、后果、性质在一定条件下会发生变化。 2 1 1 3 风险的分类 按照风险发生的形态，风险可划分为静态风险和动态风险。 所谓静态风险是社会经济正常情况下的风险：动态风险是以社会经济的变 动为直接原因的风险。换言之，静态风险是自然力的不规则作用和人们的错误 判断和错误行为导致的风险；动态风险是由于人们欲望的变化、生产方式和生 产技术的变化，以及企业组织的变化导致的风险。两者的区别可以归纳为：动 态风险的不确定性，结果表现为是否创造利益；而静态风险的不确定性，结果 表现为是否造成伤害。0 9 1 按风险后果划分，风险可划分为纯粹风险和投机风险。 纯粹风险是当发生风险时，仅仅会造成损害的风险：而投机风险是当发生 风险时，可能造成利润也可能造成损失的风险。 纯粹风险可细分为人的风险、财产风险和责任j x l 险，同时还可以按可保和 不可保风险细分；投机风险分为市场风险、经营风险、投资风险等。纯粹风险 和投机风险的主要区别在于：纯粹风险可以适用大数定理，而投机风险不适用： 在纯粹风险发生时，企业蒙受损害往往对社会有害，在投机风险发生时，企业 蒙受损害往往对社会有利。 根据管理当局对风险的行为，可以将风险分为固有风险和剩余风险。其中， 固有风险是指当管理当局没有采取任何措施来改变风险的可能性或影响的情 况下，一个主体面临的风险：剩余风险是指在管理当局的风险应对以后所残余 的风险。l 剐 第l o 贞共硒贞 对于i t 风险，根据系统与业务的结合程度，可划分为i t 总体风险和i t 应用 风险。其中，r r 总体风险存在于r r 过程和服务中的风险，例如存在于系统开发、 变更等过程中的风险；i t 应用风险指存在于业务流程中的应用风险，例如完整 性、准确性等的风险。【4 i 】 本文研究的重点是收入相关信息系统的静态风险、纯粹风险、固有风险和 应用风险。 2 1 2 风险管理相关理论 2 1 2 1风险管理的起源和发展 风险管理问题最先起源于第一次世界大战后的德国。1 9 3 1 年美国管理协会 首先倡导风险管理，并在以后的若干年里，以学术会议及研究班等多种形式集 中探讨和研究风险管理问题。风险管理问题逐渐得到了理论探讨和一些大企业 的初步实践，但风险管理问题真正在美国工商企业中引起足够的重视并得到推 广则始于5 0 年代。1 9 6 3 年，美国出版的企业的风险管理一文，引起欧美各 国的普遍重视。此后，对风险管理的研究逐步趋向系统化，专门化，使风险管 理成为企业管理中- f - j 独立学科。【2 l 】【2 2 】 在西方发达国家，各企业中都相继建立风险管理机构，专门负责风险的分 析和处理方面的工作。美国还成立了全美范围的风险研究所和美国保险与风险 管理协会等专门研究工商企业风险管理的学术团体，拥有3 5 0 0 多家大型工商企 业为会员。 风险管理协会的建立和风险管理教育的普及，表明风险管理己渗透到社会 的各个领域。美国的风险与保险管理协会( r i m s ) 和美国风险与保险协会( a r i s ) 是美国最重要的两个风险管理协会。1 9 7 8 年日本风险管理协会( j r _ m s ) 成立。英 国建立有工商企业风险管理与保险协会( a i r m i c ) 。风险管理方面的课程及论著 数量大增。7 0 年代中期，全美大多数大学工商管理学院普遍开设风险管理课。 1 2 3 美国还设立了a r m ( a s s o c i a t ei nr i s km a n a g e m e n t ) i 正书，授予通过风险管 理资格考试者。协会的活动为风险管理在工商企业界的推广、风险管理教育的 普及和人才培养诸方面做出了突出的贡献。 1 9 8 3 年在美国风险与保险管理协会年会上，云集纽约的各国专家学者，讨 论并通过了“1 0 1 条风险管理准则 ，作为各国风险管理的一般原则。这标志着 风险管理己达到一个新的水平。1 9 8 6 年1 0 月在新加坡召开的风险管理国际学术 第l l 页共硒页 讨论会表明，风险管理运动已经走向全球，成为全球范围的国际性运动。【2 3 】 到目前为止世界各国已经发布了若干风险管理标准，有“澳大利亚新西兰” 于1 9 9 5 年发布的a s n z s 4 3 6 0 ：1 9 9 5 、加拿大1 9 9 7 年发布的 c a n c s a q 8 5 0 1 9 9 7 ，以及英国于2 0 0 0 年发布的b s 6 0 7 9 3 ：2 0 0 0 。在2 0 0 1 年 c o s o 将全面风险管理框架研究项目立项经过长时f b j 的探讨终于在2 0 0 4 年9 月 发布了全面风险管理集成框架。【8 】【9 】 风险管理在其形成和发展的过程中，由于对风险管理出发点、目标、手段 和管理范围等强调的侧重点不同，学者们对风险管理提出了不同的学说。其中 较有代表性的学说有美国和英国两种学说。 美国学者通常狭义地解释风险管理，他们把风险管理的对象局限于纯粹风 险，重点也放在风险处理上。巴格利尔( b 珂i n in o r m a n a ) 在其著作跨国公 司的风险管理( r i s km a n a g e m e n ti ni n t e r n a t i o n a lc o r p o r a t i o n s ，19 7 6 ，n e wy o r k ) 中提出“风险管理的目的是在保持公司财务状况稳定的同时，尽量减少因各种 风险损害支出的总费用”。【2 4 】梅尔和赫奇斯在他们的著作风险管理：概念与应 用( r i s km a n a g e m e n t ：c o n c e p t sa n da p p l i c a t i o n s ，19 7 4 ，h o m ew o o d ) - - 书中 提出，风险管理的目的与经营( 运作) 的目的是一致的，经营( 运作) 的目的包括 生存、效益、发展、摆脱困境和履行社会责任等；风险管理的目的是控制实际 的损失( 包括非潜在的和潜在的损失) 。【2 5 】 英国学者关于风险管理的定义则把侧重点放在经济控制方面。迪泰克在他 的文章“r i s km a n a g e m e n ti nu n i t e dk i n g d o mc o m p a n i e s 中认为“风险管理就 是确认、评估和经济控制威胁企业( 组织) 的资产和收益能力的一切因素的行 为”。英国伦敦保险学会的风险管理教材中把风险管理定义为“为了减少不定 事件的影响，计划、安排和控制各种业务活动和资源。” 在我国，学者们强调风险管理是一种管理的活动。我国学者何文炯认为： 风险管理( r i s km a n a g e m e n t ) 是指经济单位( e c o n o m i cu n i t ) 通过对风险的识别、 衡量，采用合计的经济和技术手段对风险加以处理，以最小的成本获得最大的 安全保障的一种管理活动。1 2 6 j 于川和潘振锋在他们的著作风险经济学导论 中提出“风险管理是风险主体旨在避免和减少风险的一种认识风险、分析风险、 决定冒风险的程度、控制风险和处理风险损失的管理活动的总称”。【2 7 】 2 1 2