Lean(精益) vs. GRC(治理、风险和合规),一件纠结的事

在差不多2010年左右开始我向国内IT组织推介DevOps(开发运维一体化)抑或是敏捷管理的时候,碰到大公司,无一例外,最大的顾虑都是认为会破坏和影响公司的合规、安全、风险管理。比如在IT合规需求中,典型的一条,开发人员不能拥有生产系统的帐号,即访问、管理权限;而DevOps或者说精益IT管理中则可能要求开发人员直接在生产系统上部署新版本,又或者提倡开发人员和运维人员一起为用户提供一线支持。这样看上去,都有悖GRC要求。


Lean(精益) vs. GRC(治理、风险和合规),一件纠结的事_第1张图片

其实这首先是对GRC的一个误解,或者说把风险管理简单的理解成是满足一些教条的检查表(checklist),没有真正理解风险管理的原则。风险管理本身在企业中处于战略位置,风险偏好(risk appetite)是企业战略层面定义,也影响着企业战略规划。但在大部分企业风险管理工作中把这个环节丢失了,直接从运营层面进行检查、审计、评估、改进等。通俗一点,也就是忘了“为什么出发”。

企业管理层要做的一个决定就是“愿意承担哪些风险”,风险的另外一面就是收益,控制了某些风险,也随即会影响了某些收益。在上述例子中,限制了开发人员对生产系统的访问、操作,的确降低了生产系统的安全风险和稳定运行风险,但同时却会导致产品/服务交付延期、time to market时间加长的后果风险,从而降低了企业的营收。那管理层就需要在这里做出取舍,这是一个基于战略的折衷。

当然在这里,有一点需要强调的是,如果是法律法规的合规(compliance)的要求的话,通常是难以妥协的。打个比方,如果银监会要求银行IT禁止开发人员访问生产系统,作为银行业合规需求,那意味着此项控制措施对银行风险等级再次升高,比如可能会导致大额罚款、暂停某些业务等等,自然在风险对策制定的时候会做出不同的决策。但仔细想想,风险管理的原则并没有变,只是对此风险的评估不一样而已。

另外,风险管理是一个动态演进的过程,当环境、技术、过程、组织等因素发生变化时,风险识别和风险偏好也会变化。在我们采纳了指纹识别技术后,我们降低了对物理访问的风险等级;在wifi技术完全普及时成为业务必不可少时,我们调整对无线网络的风险偏好。任何风险管理必须放在时间、空间、市场、竞争者/合作伙伴、员工构成等环境下去进行认知。这一点就不展开了。也因此,风险管理也需要在未来精益企业环境下进行考量。

我们回到精益企业的价值流概念,把GRC也放到整个组织的价值流中去进行评估和管理,切忌发生把GRC独立游离在外进行孤立的控制点评估和控制措施设计。这样你会发现,风险和价值其实是统一的,就是我常说的,控制风险是为了产生价值,风险点也是价值点。

不幸的,我的观察是大部分企业,尤其是大型企业,把GRC工作职能依然是孤立的(silo)建立和执行。

那精益企业环境下,GRC是不是有很多变化呢,的确是,毕竟精益环境下采纳了不同的技术手段和组织过程,就如上述分析,风险管理也是会有变化。这些包括:

$ 精益秉承的不浪费原则,即做正确的事和正确的做事,即控制了企业最大的风险。精益本身就是一种有效的风险控制。 所以精益并不像很多人直觉认为的与GRC冲突,而是提升了风险管理水平。

$ 精益企业中建议采取尽可能的自动化而非人工的过程,从人工到自动系统,很自然风险的属性和等级也发生变化。我们可以将大量的风险控制措施以代码的方式设计在过程系统中,风险也相可控和降低。(我们有时把这种自动化定义为“infrastrucure as code”)

$ 精益强调以团队聚焦模式进行工作协同,而非按职能/部门割裂开流程和人员,这样对于大大有利于风险的识别和控制。

$ 精益企业提升了组织学习,自然也利于管理层和员工对于风险的认知,可以更有效的进行风险的持续评估和管理。

$ 精益企业强调一线人员的自主性,将GRC的工作落实到日常的营运中,可以在风险的尽早期阶段进行分析、识别和响应。


Lean(精益) vs. GRC(治理、风险和合规),一件纠结的事_第2张图片

最后我再重点谈一下风险控制手段与精益的关系。我们都晓得,风险控制的一种分类方法是定义为预防性控制(preventive control)、检查性控制(detective control)和纠正性控制(corrective control)三种类型。在精益企业中,我们的确要审慎采用预防性控制,在组织中大量采用预防性控制将可能导致:

> 人员因为预防性控制而被束缚住手脚,从而影响大家的主动性和创造性,这是与精益文化背道而驰

> 员工会因预防性控制要求而等待僵硬的审批流程,而导致交付速度大打折扣

> 员工会为了预防性控制而完成大量的未来被证实是无谓的、不产生价值的paper work

也就是说,我们要适当限制预防性控制措施,而尽可能使用检查性控制和纠正性控制,包括补偿控制。事实上,即便是使用预防性控制,我们尽可能使得这些控制自动化。

你可能感兴趣的:(Lean(精益) vs. GRC(治理、风险和合规),一件纠结的事)