Материалы по дисциплине «Информационный менеджмент»
реклама
Материалы по дисциплине «Информационный менеджмент» (для специальности «Документоведение и управление информацией на предприятии») 1 Содержание Роль информации и знания в условиях становления и развития экономики знаний ..............................................3 Основные тенденции развития мирового рынка информационных и коммуникационных технологий ............... 12 Основы электронной торговли товарами и услугами. .......................................................................................... 18 Информационные системы управления предприятием ....................................................................................... 21 Инвестиции в ИТ: понятие, классификация, правила, критерии эффективности................................................... 33 Управление ИТ-рисками....................................................................................................................................... 44 2 Роль информации и знания в условиях становления и развития экономики знаний 1. Информация и знания как экономические категории. Информация – сведения об объектах и явлениях ОС, их параметрах, свойствах и состояниях, которые уменьшают имеющуюся о них степень неопределенности, неполноты знаний. Следует помнить, что: информация существует вне ее создателя; информация является сообщением, как только выражена на определенном языке. Знание — форма существования и систематизации результатов познавательной деятельности человека. Знание помогает людям рационально организовывать свою деятельность и решать различные проблемы возникающие в еѐ процессе. Знание в широком смысле — совокупность понятий, теоретических построений и представлений. Знание в узком смысле — признак определѐнного объѐма информации, определяющий еѐ статус и отделяющий от всей прочей информации по критерию способности к решению поставленной задачи. Классификация знаний 1.1 По природе 1.1.1 Декларативные (собственно знания) 1.1.2 процедурные (о том, как получить новые знания) 1.2 По степени научности 1.2.1 Научные 1.2.1.1 эмпирическими (на основе опыта или наблюдения) 1.2.1.2 теоретическими (на основе анализа абстрактных моделей). 1.2.2 Вненаучные 1.2.2.1 паранаучными 1.2.2.2 лженаучными 1.2.2.3 антинаучными 1.2.2.4 псевдонаучными 1.2.2.5 обыденно-практическими 1.2.2.6 личностными 1.3 По местонахождению Формализованные – кодифицированные знания, которые могут быть выражены в виде формул и всеобщих правил. – эквивалент информации Неформализованные – субъективные знания, которые связаны с действием и опытом, которые не являются четко выраженными. – сложно передать Отличия информации и знаний: Информация доступна широкому кругу людей, знания – только создателю, т.к. их передача изменяет их первоначальные качества. 3 Информация обладает способностью к тиражированию, информации стремится к 0. Создание знаний требует все большего объема данных Знания обладают свойством бесконечного возрастания. стоимость копирования Отличия управления знаниями от управления информацией Хотя оба процесса направлены на сбор и распространение знаний – как выражаемых («явных»), так и не выражаемых словами («неявных»), – в рамках всей компании, управление информацией имеет дело лишь с первым видом знаний, т.е. со знаниями, которые можно выразить словами и записать. Не выражаемые словами знания, также называемые «неявными» знаниями, невозможно, в отличие от явных знаний, документировать и учесть, и они глубоко и неразрывно вплетены в практику работы предприятия. Эту практику работы часто называют «корпоративной культурой». Неявные знания включают в себя взаимоотношения между людьми, нормы поведения, общепринятые ценности и стандартные оперативные процедуры. Повышение внимания к управлению знаниями вызвано произошедшими в последнее время изменениями в следующих областях. На практическом уровне осуществлен переход от индустриальной экономики к экономике, движимой знаниями, в которой доминирующее положение занимают предприятия, движимые знаниями, и отрасли, интенсивно использующие информацию. На теоретическом уровне популярность завоевала ресурсная модель развития бизнеса, основанная на знаниях, и взгляд на компании как на обучающиеся организации. 2. Информационный менеджмент: понятие, сущность, виды. Понятие «информационный менеджмент» появилось относительно недавно – в конце 70-х годов прошлого столетия. Исторической точкой возникновения ИМ как понятия можно назвать 1957 г. В этом году в США число работников отрасли обработки информации сравнялось по численности с числом работников занятых в материальном производстве. Далее в США работники области обработки информации стали доминировать по численности. Последние десятилетия они составляют более 50% работоспособного населения, тогда как производственные рабочие составляют менее 20%, а сельского хозяйственные – менее 5%. Особенностью дисциплины «Информационный менеджмент» то, что данная отрасль знания зародилась относительно недавно и является развивающейся. По существу ИМ не имеет пока ни устоявшейся терминологии, ни ставших классическими методик и решений. Под ИМ понимают широкий спектр: от технического обслуживания ИС до стратегического планирования. Сегодня в процессе внедрения в практику и развития информационных систем могут быть выделены следующие этапы: 1. Применение компьютерной техники, прикладного программного обеспечения, сетевых технологий является для компании вопросом престижа, «продвинутости» руководства. Никто не требует от информационной системы какой-либо отдачи, и тем более экономической эффективности. 4 2. Информационные технологии, информационные системы применяются на уровне оперативного управления предприятием, организацией – накопление, хранение, классификация, первичная обработка информации. 3. Информационные системы применяются для решения бизнес задач предприятия, организации. Сфера информационного менеджмента: в узком смысле – круг задач управления производственного и технологического характера в сфере основной деятельности организации, в той или иной мере использующих ИС и реализованные в ней ИТ; в широком смысле – совокупность задач управления на всех этапах жизненного цикла организации, включающая действия и операции как с информацией в различных ее формах и состояниях, та к и с организацией в целом на основе информации. ИМ- это управление работой предприятия, осуществляемое на основе комплексного использования всех видов информации, имеющихся на самом предприятии и за его пределами. ИМ- совокупность известных методов управления информацией, поддерживаемых развитием инф. Технологий, а также потребностями конечного пользования. Концепция информационного менеджмента объединяет следующие подходы: 1. экономический, рассматривающий вопросы привлечения новой документированной информации, исходя из соображений полезности и финансовых затрат; 2. аналитический, основанный на анализе потребностей пользователей в информации и коммуникациях; 3. организационный, рассматривающий информационные технологии в их влиянии на организационные аспекты; 4. системный, рассматривающий обработку информации на основе целостного, системно ориентированного, всеохватывающего процесса обработки информации в организации и уделяющий особое внимание оптимизации коммуникационных каналов, информации, материальных средств и других затрат, методов работы. ИМ- управление информацией и управление с помощью информации Цель информационного менеджмента: повышение эффективности деятельности предприятия на основе использования информационных систем (ИС) и технологий (ИТ). Предмет информационного менеджмента: процессы создания, эксплуатации и развития ИС предприятия. Объекты ИМинформация (основной производственный материал) ИТ (последовательность действий по преобразованию информации) ИС (совокупность спец.средств по преобразованию информации, среда предприятия, менеджмент) 5 Информационные технологии (ИТ) – совокупность методов и программно-технических средств, объединенных в технологическую цепочку, обеспечивающую сбор, обработку, хранение, распределение и отображение информации с целью снижения трудоемкости процессов использования информационных ресурсов, а также повышения их надежности и оперативности. Информационная система (ИС) включает всю инфраструктуру организации, задействованную в процессе управления всеми информационными, документальными потоками. Информатизация – организованный социально-экономический и научно-технический процесс создания оптимальных условий с целью удовлетворения информационных потребностей на основе формирования и использования информационных ресурсов посредством современных информационных технологий и развитой инфраструктуры. Информатизация ведется путем тесного взаимодействия между собой процессов совершенствования создания документированной информации, методов улучшения порядка и технологии ее сбора, накопления и хранения, процессов потребления обработки, поиска и распространения информации; механизмов создания и развития средств обеспечения (программных, технических, лингвистических, правовых, организационных по документированию информации, организационных по выполнению информационных процессов). Виды ИМ Стратегический Операционный Стратегический – планомерное определение долгосрочных целей и выбор путей их достижения: Управление персоналом Управление технологической средой Управление развитием и обслуживанием Управление планированием и контролем Управление защищенностью инф. Операционный ИМ включает Оперативное ситуационное планирование Управление информационными потоками на предприятии, их систематизацию предоставление информационных услуг. и Задачи информационного менеджмента 1. Формирование технологической среды ИС. Имеются в виду не проектные решения по созданию ИС, а решения менеджера как заказчика, по созданию технического задания для специалистов области ИТ и как исполнителя, по созданию технико-экономического обоснования для высшего менеджмента компании. С позиции стратегического менеджмента для формирования технологической среды ИС компании необходимо решить вопросы: всегда ли стремиться использовать новейшие средства в области ИТ; возникает риск получения незавершенных технологических решений 6 выбор степени децентрализации ИС выбор норм проектирования и эксплуатации ИС – международные нормы, отраслевые нормы, нормативы одного определенного изготовителя критерии (глобальные) выбора поставщика технологической составляющей ИС. 2. Развитие и обслуживание ИС. Существует очевидная взаимосвязь развития-обслуживания. Растущий объем обслуживания усложняет развитие ИС, приводит к росту невыполнимых планов на развитие ИС. Это связано как с затратами финансовых ресурсов, потерями возникающими в результате простоев ИС, так и с затратами человеческих ресурсов. Поэтому в рамках ИМ следует принимать решения о соотношении готовых ИС и собственных разработок; а также об их обслуживании. 3. Планирование в среде ИС. Различают стратегический ИМ, оперативный ИМ. Между уровнями менеджмента существуют отношения подчиненности. Цели, определяемые на стратегическом уровне менеджмента, реализуются на оперативном. Задачи оперативного ИМ решаются исходя из глобальных задач стратегического планирования и текущих задач ИС компании. 4. Формирование организационной структуры ИС. Организационная структура ИС должна однозначно соответствовать основной деятельности предприятия и во многих случаях структуре самого предприятия. Общепринятой основой для решения задач проектирования и организации области ИС является структурный подход. Изменение в структуре функционирования компании может приводить к существенным изменениям в структуре организации области ОИ. Основные тенденции в организационной структуре ИС: децентрализация техническая, технологическая внедрение типовых рабочих мест, использование мощных стандартных проблемноориентированных пакетов возникновение информационных центров, занимающих полным комплексом вопросов функционирования ИС развитие так называемой «самоподдержки» пользователей; повышение роли ИС и соответственно информационных центров в иерархии компаний. 5. Использование и эксплуатация ИС. Использование ИС должно быть максимально эффективным с точки зрения использования мощностей ИС и занятости персонала. Эксплуатация ИС должна максимально удовлетворять интересы пользователей. Тенденции в эксплуатации ИС: смещение интересов пользователей от вычислительных функций отдельных компьютеров в сторону использования информационных сетей повышение требований к защищенности информации и ИС в целом снижение интенсивности необходимого текущего обслуживания ИС. 6. Формирование инновационной политики. Задачей ИМ динамично развивающейся компании является выявление перспективных направлений в развитии и преобразования их в инновационные проекты. Реализация инновационных проектов происходит на оперативном уровне в соответствии со стратегическими планами компании. 7 7. Управление персоналом в сфере ИС. Объектом управления для информационного менеджера является не только персонал ИС, а весь персонал омпании. Основная задача – сделать рядового сотрудника-пользователя союзником в процессе эксплуатации и развития ИС. В этой ситуации задачами ИМ в сфере управления персоналом являются: максимально использовать кадровый ресурс предприятия планирование повышения квалификации пользователей ИС создания специальных программ повышения квалификации персонала области ИТ и ОИ учетом инновационных программ предприятия 8. Управление финансами в области ИС. Финансовые средства, затрачиваемые на создание ИС, как правило весьма значительны. При этом финансовые затраты должны быть эффективны. Задачей ИМ является рассмотреть вопросы финансов информационных систем в двух направлениях: инвестиции в информационные технологии, создание и развитие информационных систем; оценка совокупной стоимости информационных систем. Главной задачей информационного менеджмента является информационная поддержка основной деятельности организации. 3. ИТ как фактор трансформации современной экономики. В настоящее время информация превратилась в один из важнейших ресурсов предприятия. От качества данного ресурса и эффективности его использования во многом зависит и эффективность, и жизнеспособность предприятия в целом. В этом лежит причина важности роли информационного менеджмента в современных условиях. Основными проблемами, возникающими при внедрении ИС, являются следующие: 1) дополнительная нагрузка для персонала в процессе внедрения, так как какое-то время приходится вести как новую, так и старую информационные технологии; 2) изменение функциональных обязанностей лиц, принимающих решения в системе управления, вследствие внедрения информационных технологий. В результате у них либо появляются дополнительные обязанности (оптимистический вариант), либо они сокращаются, что вызывает увольнение сотрудников (пессимистический вариант). Влиянияе ИТ на экономические процессы прослеживается на микро и макро уровнях. Микроуровень: Обеспечение повышения объема продаж Позволяют использовать сравнительные конкурентные преимущества Поддерживают и выравнивают бизнес-стратегию предприятия Инструмент повышения производительности и эффективности вследствие снижения издержек Макроуровень Глобализация экономики Возрастание роли информации и знаний 8 Рост международных потоков капитала Развитие сетевых систем и увеличение объемов происходящих в экономике изменений. Основные концепции, основанные на возрастающей роли информации в развитии общества Классическая постиндустриальная теория (Дэниел Белл) Важной характеристикой является производство знаний Акцент на информации и знаниях как основной причине происходящих изменений Приоритет сервисного сектора над производством товаров Трансформация соц.структуры Концепция информационного общества (Мануэль Кастельс, У.Мартин и др.) Информационное общество — теоретическая концепция постиндустриального общества; историческая фаза возможного развития цивилизации, в которой главными продуктами производства становятся информация и знания. Отличительные черты: увеличение роли информации, знаний и информационных технологий в жизни общества; возрастание числа людей, занятых информационными технологиями, коммуникациями и производством информационных продуктов и услуг в валовом внутреннем продукте; нарастающая информатизация общества с использованием телефонии, радио, телевидения, сети Интернет, а также традиционных и электронных СМИ; создание глобального информационного пространства, обеспечивающего: (а) эффективное информационное взаимодействие людей, (б) их доступ к мировым информационным ресурсам и (в) удовлетворение их потребностей в информационных продуктах и услугах. У. Мартин предпринял попытку выделить и сформулировать информационного общества по следующим критериям. основные характеристики Технологический: ключевой фактор — информационные технологии, которые широко применяются в производстве, учреждениях, системе образования и в быту. Социальный: информация выступает в качестве важного стимулятора изменения качества жизни, формируется и утверждается «информационное сознание» при широком доступе к информации. Экономический: информация составляет ключевой фактор в экономике в качестве ресурса, услуг, товара, источника добавленной стоимости и занятости. Политический: свобода информации, ведущая к политическому процессу, который характеризуется растущим участием и консенсусом между различными классами и социальными слоями населения. Культурный: признание культурной ценности информации посредством содействия утверждению информационных ценностей в интересах развития отдельного индивида и общества в целом. Концепция постэкономического общества (В.Л. Иноземцев) 9 Постэкономическое общество – такой тип соц. устройства общества, где хозяйственная деятельность человека становится более интенсивной и комплексной, но не создается традиционно понимаемой экономической целесообразностью. Акцент на творческом характере человека, криатосфера. Концепция «третьей волны» (Элвин Тоффлер) Волновая концепция — одна из систем периодизации развития общества. Выделяются три основных стадии (волны) развития человечества — аграрная, индустриальная, постиндустриальная. Производительная сила Третьей Волны - знания и информация Акцент на быстротечности процессов повышение уровня потребностей Концепция посткапиталистического общества (Питер Друкер) Основными признаками происходящего сдвига считаются переход от индустриального хозяйства к экономической системе, основанной на знаниях и информации, преодоление капиталистической частной собственности и отчуждения в его марксовом понимании, формирование новой системы ценностей современного человека и отказ от идеи национального государства в пользу глобальной экономики и глобального социума. Изменения, происходящие под воздействием этих процессов, рассматриваются автором как сущностные черты современной эпохи — периода радикальной трансформации основ общественного устройства, а не стабильного развития определенной социальной системы. Знание – определяющий фактор производства, дефицитный ресурс. Новая экономика носит интеллектуальный характер и полагается на работников индивидуального труда Концепция невесомой экономики (Алан Гринспен) Сегодня рождается новая экономика. Она создает практически невесомый товар, доля капитальных затрат в котором незначительна: компьютерные программы, информационные услуги, интернетторговля, интернет-образование, связь. Доля таких продуктов в ВВП стран неуклонно возрастает. Новая экономика не нуждается в дорожающем сырье, ей нужен только производительный труд, который зависит только от уровня знаний и умений внедрять эти знания в продукт. Экономика базируется на следующих основах: Информация Инновация Нематериальные активы Ноосферный подход (П.Г. Никитенко) Ноосферная экономика – разумный способ общественного воспроизводства человека, как креативной личности, товаров, работ и услуг на основе совершенствования системы корпоративных инновационных планетарных производственных отношений и преимущественно постиндустриальных производительных сил с соответствующими критериями эффективности: креативным развитием 10 личности человека, максимальной занятостью трудоспособного населения страны, сохранением природы для будущих поколений, качественным ростом ВВП и его разумным распределением между относительно богатыми и бедными членами общества. Разумный способ воспроизводства товаров и услуг, работ на основе совершенствования системы инновационных производственных отношений и постиндустриальных производительных сил. 11 Основные тенденции развития мирового рынка информационных и коммуникационных технологий 1. Количественная оценка информации, знаний, уровня развития ИТ 2. Статистика в сфере ИТ, ее роль и система показателей и анализ основных тенденций развития рынка ИКТ 1. Количественная оценка информации, знаний, уровня развития ИТ Экономический эффект информации заключается в эффективном функционировании экономики на новом уровне использования имеющихся ресурсов Существует 2 подхода к измерению количества знаний: 1. По затратам на производство знаний 2. По рыночной стоимости проданных знаний Информация измеряется при помощи показателя востребованности и интенсивности использования. Общественная востребованность информации определяется общим количеством случаев ее использования в качестве ресурса Интенсивность использования информации равна количеству случаев ее использования во времени, т.е. частоте использования. Индивидуальная глобализация информационной экономики представляет инструмент для определения динамики и устойчивости экономики, а также технологических возможностей и потенциала каждой страны. Для оценки степени развития ИКТ используются динамические и межстрановые критерии Динамические критерии рассматривают изменение этих показателей во времени Межстрановые критерии соотносят значения данных показателей в данной стране с их знаниями в других странах Согласно ЮНКТАД, показатели по уровню развития ИКТ в обществе могут быть классифицированы следующим образом: Готовность к использованию продуктов информационного общества– используются для стран с начальным уровнем развития ИКТ Интенсивность использования продуктов информационного общества ИКТ (например, использования ИКТ и меры, в которой действия, связанные с ИКТ, используются бизнесом) – используются странами , в которых ИКТ получили распространение. Влияние использования продуктов инф.общества (последствия) – используются странами с высоким уровнем развития ИКТ. 12 2. Статистика в сфере ИТ, ее роль и система показателей Показатели по измерению ИКТ: Количественные Качественные Абсолютные Относительные Конференция ООН по торговле и развитию (ЮНКТАД — UNCTAD) Организация экономического сотрудничества и развития OECD Eurostat model Системы показателей Организации экономического сотрудничества и развития (OECD) 1. Развитие высокотехнологичного сектора экономики 2. Разработка и выпуск информационного и коммуникационного оборудования, продуктов и услуг 3. Занятость в сфере высоких технологий 4. Объем и структура венчурного капитала 5. Межстрановые потоки знаний 6. Увеличение потоков прямых иностранных инвестиций Ключевые индикаторы ИКТ OECD 1. общий доступ к линиям на 100 жителей 2. пользователи мобильной связи на 100 жителей 3. общее число пользователи интернета 4. общее число пользователей кабельного телевидения 5. общее число домашних хозяйств, имеющих домашний компьютер 6. объемы продаж интернета в промышленности 7. доля занятых в отраслях, связанных с ИКТ в общей экономике выбранных стран 8. общая выручка от телекоммуникационных услуг 9. доля ИКТ добавленной стоимости в доле добавленной стоимости производства 10. расходы на НИОКР в выбранных ИКТ-индустриях 11. патенты, связанные с ИКТ в процентном соотношении к общему количеству национальных патентов и др. Индекс развития ИКТ (The ICT Development Index ) – новый индекс, предложен Международным союзом электросвязи (ITU), который является ведущим учреждением ООН в области информационно-коммуникационных технологий и всемирным координационным центром для правительств и частного сектора в развитии сетей и служб. Это одна из старейших международных организаций, она была основана в Париже 17 мая 1865 года под названием Международного телеграфного союза. В 1934 году организация получила свое нынешнее название, а в 1947 году стала специализированным 13 подразделением ООН. В настоящее время в организацию входит 191 страна (по состоянию на сентябрь 2008 года). Международный союз электросвязи (International Telecommunication Union, ITU), специализированное подразделение ООН, определяющее стандарты в области информационно-коммуникационных технологий (ИКТ), исследовал развитие ИКТ в 154 странах мира. Результатом этого исследования стал доклад, содержащий рейтинг развития стран в сфере ИКТ — ICT Development Index. Компоненты данного индекса: 1) ИКТ инфраструктура и показатели доступа i. Число стационарных телефонов на 100 жителей ii. Число используемых мобильных телефонов на 100 жителей iii. Пропускная способность широкополосного интернета на пользователя интернета (бит/сек) iv. Доля домохозяйств, имеющих компьютер v. Доля домохозяств, имеющих дома доступ к сети Интернет 2) Показатели использования ИКТ i. Количество пользователей Интернет на 100 жителей ii. Число пользователей широкополосного интернета на 100 жителей iii. Число постоянных пользователей мобильной связи на 100 жителей 3) Показатели навыков и умений использования ИКТ i. Уровень грамотности взрослого населения ii. Доля учащихся (специальное и высшее образование) 02 2007 2002 2007 2002 2007 Одна из основных целей ICT Development Index заключается в том, чтобы измерить масштабы и тенденции в изменении глобального «цифрового разрыва». Исходя из понятия, что «цифровой разрыв» является относительным, что подразумевает сравнивание прогресса в развитии ИКТ между различными странами, отчет показывает, что общая величина глобального «цифрового разрыва» остается на неизменном уровне. Несмотря на значительное улучшения положения в развивающихся странах, разрыв между странами с развитыми ИКТ и странами с неразвитыми ИКТ сохраняется. Поделив все страны мира на четыре группы в зависимости от уровней развития ИКТ, можно констатировать незначительное уменьшение «цифрового разрыва» между странами, находящимися в группе с «высокоразвитыми» ИКТ, и странами, относящимися к другим группам, пишут исследователи. Возможно, это объясняется увеличением уровней проникновения подвижной сотовой связи во многих странах, принадлежащих к группам с менее развитыми ИКТ. С другой стороны, результаты показывают также, что «цифровой разрыв» между странами с «высоким» и странами со «средним» и «низким» уровнями развития ИКТ несколько увеличивается. Это свидетельствует о том, что по мере того как информационные общества становятся все более зрелыми, уровни развития ИКТ постепенно выравниваются. Менее зрелые, но, тем не менее, достаточно развитые информационные общества уверенно растут, оставляя позади тех, кто находится на более низких ступенях. 14 В отчете ICT Development Index представлен новый инструмент, «корзина цен» на услуги ИКТ, который позволяет измерить и сравнить цены на них в различных странах. Он объединяет в себе среднюю стоимость услуг фиксированной телефонии, мобильной связи и широкополосного Интернета и сравнивает тарифы на пользование ИКТ. Общий разброс этого показателя составлял от 1,6% в развитых странах до 20% в развивающихся странах (2008г.), и от 0.3 до 22% в 2010 г.. Иными словами, между странами существуют значительные различия, основанные на уровнях дохода. Страны с высокими уровнями дохода платят относительно мало за услуги ИКТ, в то время как страны с низкими уровнями дохода платят относительно больше. Часто это объясняется очень высокими тарифами на услуги фиксированного широкополосного Интернета в некоторых развивающихся странах. Самая низкая стоимость услуг ИКТ отмечена в Сингапуре и Соединенных Штатах Америки. Далее идут: Люксембург, Дания, Гонконг (Китай), Объединенные Арабские Эмираты, Тайвань, Швеция, Норвегия и Финляндия. Учитывая уровни доходов этих стран, они предлагают самые доступные в мире услуги ИКТ, стоимость которых составляет от 0,4 до 0,6% от ежемесячного дохода на душу населения. Во всех 25 странах с наиболее развитыми ИКТ, на оплату услуг этих технологий уходит менее 1% ежемесячного дохода. Для сравнения, стоимость корзины цен на услуги ИКТ 25 стран, находящихся в нижней части рейтинга, колеблется в пределах от 40% до 72% от ежемесячного дохода, что явно свидетельствует о том, что услуги ИКТ являются в ценовом отношении неприемлемыми для большей части населения этих стран. Также сравниваются цены на каждый из трех видов технологий: фиксированную телефонию, подвижную телефонию, широкополосный Интернет. Что касается тарифов, лежащих в основе паритета покупательной способности, то самая низкая стоимость услуг фиксированной связи зарегистрирована в Иране, за которым следует Тайвань (Китай) и Объединенные Арабские Эмираты; самая низкая стоимость услуг подвижной сотовой связи — в Гонконге (Китай), за которым следует Дания и Сингапур; а самая низкая стоимость услуг широкополосного Интернета в Соединенных Штатах Америки, за которыми следуют Канада и Швейцария. Сравнение уровней развития ИКТ и цен на услуги ИКТ выявляет устойчивую взаимосвязь. В отчете подчеркивается, что страны с относительно низкими ценами имеют относительно высокие уровни ICT Development Index; страны же с относительно высокими ценами имеют относительно низкий рейтинг в данном индексе. Международный союз электросвязи планирует публиковать «корзину цен» на услуги ИКТ на ежегодной основе, что позволит странам следить за изменением цен во временной динамике. Индекс новой экономики (1999г., США), на настоящий момент переименован в Индекс глобальной информационной экономики 1. Рабочие места, требующие высокой квалификации 15 2. 3. 4. 5. a. Количество инженеров на рынке труда каждой страны b. Количество квалифицированных работников в области ИТ на рынке труда каждой страны c. Количество руководящих работников на рынке каждой страны d. Количество учащихся в учебных заведениях в возрасте 17-34 лет Глобализация экономики a. Экспорт товаров, услуг b. Прямые иностранные инвестиции за границу c. Степень национальных протекционистских мер Динамика экономики и конкуренции a. Общая производительность (ВВП на 1 работника) b. Мотивация работников c. Управление процессами d. Предпринимательство e. Финансовое благополучие компании f. Венчурный капитал (его наличие) Трансформация в информационную экономику a. Доступ к интернет b. Степень развития электронной коммерции c. Вложения в телекоммуникации d. Используемые компьютеры e. Мощность компьютеров (доля от общей мощности) Возможности для внедрения технологии нововведений a. Количество выданных патентов b. Общий объем расходов на исследования и разработки c. Общее количество работников в стране, занятых в исследованиях и разработках Прочие индексы: Unated Nations Government Readiness Index (Индекс готовности электронного правительства), состоит из: веб-услуг "электронного правительства", телекоммуникационной инфраструктуры и степени готовности населения к подобному нововведению. Networked Readiness Index — Рейтинг развития информационных технологий в странах мира, который выпускает Всемирный Экономический Форум. (разработана Information Technology Group, which worked at Harvard University's Center for International Development) и др. Методологические рекомендации международных организаций по совершенствованию показателей уровня развития ИКТ и подходов к их применению 1. Обеспечить транспарентность методов и показателей (открытость, прозрачность) 16 2. 3. 4. 5. 3. Обеспечить международную сопоставимость показателей по изменению ИКТ Разработать национальные программы в области информатизации Обеспечить комплексный подход к измерению ИКТ Создать единую методологию по измерению ИКТ Электронная торговля товарами и услугами. 17 Основы электронной торговли товарами и услугами. (Electronic trading, eTrading, e-Trading) — осуществление торгово-закупочной деятельности через Интернет. Формы электронной торговли C2C (customer to customer) Для взаимодействия конечных потребителей с конечными потребителями используются электронные торговые площадки, которые характеризуются преобладанием лотов на продажу. В данном случае сайт выступает в роли посредника между покупателем и продавцом. Например: auto.ru, ebay.com и др. B2C (Business-to-Consumer) B2C - термин, обозначающий коммерческие взаимоотношения между организацией и частным, так называемым, "конечным" потребителем. Часто используется для описания деятельности, которую ведѐт предприятие, т.е., в данном случае, - продажа товаров и услуг, непосредственно предназначенных для конечного использования. Одним из наиболее популярных инструментов B2C является Интернет-магазин. B2B (Business to Business) B2B - термин, определяющий вид информационного и экономического взаимодействия, классифицированного по типу взаимодействующих субъектов, в данном случае — это юридические лица. Это сектор рынка, который работает не на конечного, рядового потребителя, а на такие же компании, то есть на другой бизнес. Под понятием B2B также подразумеваются системы электронной коммерции, или системы электронной торговли — программные-аппаратные комплексы, являющиеся инструментами для осуществления торгово-закупочной деятельности в сети интернет. В западных странах, под термином В2В часто понимается обеспечение каких-нибудь производственных фирм сопроводительными услугами, дополнительным оборудованием и т. д. Однако в общем смысле определению B2B соответствует любая деятельность, направленная на клиентов, которые являются юридическими лицами. Основная задача систем В2В — повышение эффективности работы компаний на В2В-рынке за счѐт снижения затрат на подготовку торговых процедур и расширения географии бизнеса до масштаба всего мира. Межфирменная торговля в Интернете осуществляется через системы электронной торговли, посредством организации торговых площадок, на которых компании могут выступать и в качестве заказчиков (покупателей), и в качестве поставщиков (продавцов). Некоторые системы электронной торговли предлагают клиентам дополнительные сервисы, такие как привлечение поставщиков под торговые процедуры, расчет логистики, услуги перевода на иностранные языки, разработка собственной торговой площадки под клиента и др. Ядром системы выступают торги на 18 понижение между проверенными потенциальными компаниями-поставщиками в режиме реального времени. Рынок услуг B2B в России находится на стадии формирования. В задачи B2B систем также входит: - организация взаимодействия между предприятиями (может быть связано с торговлей, обменом технологиями, опытом, инвестиционной деятельностью и т. д.); - построение защищѐнных надѐжных каналов обмена информацией между фирмами; - координация действий предприятий и совместное их развитие на основе информационного обмена. Классификация B2B-систем B2B-системы различаются по набору предлагаемых функций: 1. корпоративный сайт компании: предназначен для общения с партнѐрами и контрагентами, содержит информацию о компании, персонале, руководстве, продукции, описание услуг. 2. интернет-магазин — предназначен для сбыта продукции, может быть встроен в корпоративный сайт. Он позволяет размещать заказы, проводить электронные платежи, обеспечивать доставку. 3. служба закупок снабжения ищет поставщиков, получает коммерческие предложения, осуществляет электронные платежи, контролирует выполнение заказов. 4. информационный сайт — предназначен для размещения информации об отрасли, входящих в неѐ компаний, параметров состояния рынка, отраслевых стандартов. 5. брокерские сайты выполняют роль посредников между покупателями и продавцами. 6. электронные торговые площадки (ЭТП): предназначены для непосредственного осуществления торгово-закупочной деятельности. ЭТП, как правило, выполняются в виде отдельных сайтов, и на них создаются рабочие места для предоставления пользователям целого ряда услуг. 7. профессиональные b2b-медиа продукты — это продукты (газеты, журналы, отраслевые каталоги, информационные бюллетени), нацеленные исключительно на профессионалов работающих в определѐнной сфере либо отрасли. B2B-издания могут быть посвящены вопросам менеджмента, логистики, продажам, финансам, различным секторам экономики и т. д. Как правило, данные издания потребляются исключительно с целью получения информации, необходимой для работы. При этом, различные типы изданий (нацеленные на определѐнную профессию или отрасль) могут иметь общую аудиторию, ведь одни и те же профессионалы работают на разных рынках. B2G (Business to Government) 19 B2G-системы электронной торговли применяются и для взаимодействия государства с бизнесом. Через такие системы государственные учреждения и ведомства осуществляют свои закупки на открытом рынке. E-tendering Тендерная площадка электронная (веб-площадка, интернет-площадка, электронная торговая площадка) - специализированный интернет-ресурс, предоставляющий пользователям виртуальное информационное пространство для осуществления электронной коммерческой деятельности. Может быть организована в формате электронного аукциона, позволяя проводить сделки в он-лайн режиме между удаленными участниками, фактически выступая в роли биржи, например, www.goszakupki.by. Существуют как узкопрофильные площадки, ориентированные на строго определенные тендеры, так и универсальные, предлагающие широкий спектр услуг и тов аров. Привлекательность для потенциальных пользователей электронных площадок обусловлена их доступностью, возможностью охвата целевой аудитории, скоростью и простотой поиска нужной деловой информации. 20 Информационные системы управления предприятием Для реализации задач операционного функционирования и управления ИС компании может включать в себя следующие системы: Стратегический уровень: исполнительные системы – Executive Support Systems (ESS); Управленческий уровень: тактические управляющие информационные системы – Management Information Systems (MIS); системы поддержки принятия решений - Decision Support Systems (DSS); уровень знаний: системы знания - Knowledge Work System (KWS); системы автоматизации делопроизводства - Office Automation Systems (OAS) эксплуатационный уровень: системы диалоговой обработки запросов - Transaction Processing Systems (TPS). Решения, принимаемые на различных уровнях управления разделяются на структурированные и не структурированные. Неструктурированные решения – оригинальные, не имеют четкой методики их принятия, следовательно, не формализованные и интуитивные. Структурированные решения – повторяемые, имеют разработанную методику их принятия, следовательно, формализованы. Частично структурированные проблемы находятся между структурированными и неструктурированными проблемами На уровне оперативного управления чаще всего использую структурированные решения. На стратегическом уровне управления решаются не структурированные проблемы. Однако на тактическом уровне управления и на уровне формирования знаний часто решаются слабо структурированные задачи. Системы диалоговой обработки запросов (TPS) – системы ОИ, обеспечивающие операционный уровень производственной деятельности, обслуживают эксплуатационный уровень организации. Система диалоговой обработки запросов - АИС, которая выполняет и рассчитывает рутинные транзакции, необходимые для выполнения функциональных задач бизнеса. Примеры – системы электронных платежей, бухгалтерского учета, складского учета, системы управления запасами, первичного кадрового учета, системы бронирования, документооборота, почтовые системы. На эксплуатационном уровне задачи, ресурсы и цели предопределены и высокоформализованы. Например, решение о предоставлении кредита клиенту принимается управляющим низшего уровня согласно предопределенным критериям. Единственно, что должно быть определено - соответствует ли клиент критериям. Системы работы знания и автоматизации делопроизводств (KWS) и системы автоматизации делопроизводства (OAS) обслуживают информационные потребности на уровне знаний организации. Системы работы знания помогают работникам знания, в то 21 время как системы автоматизации делопроизводства прежде всего помогают обработчикам данных. Работники знания - это специалисты, занимающиеся исследовательской работой, проектировщики, инженеры, врач, юристы, дизайнеры и т.д. Их работа состоит прежде всего в глубокой обработке информации, в создании новой информации. Сотрудники сферы обработки данных состоят прежде всего из секретарей, бухгалтеров, делопроизводителя или менеджеров линейного уровня, чья работа должна главным образом использовать или распространять информацию. Системы автоматизации делопроизводства (OAS) - информационные приложения технологии, разработанные, чтобы увеличить производительность труда обработчиков данных в офисе. Управляющие информационные системы (MIS) - обслуживают управленческий уровень организации, обеспечивая менеджеров докладами, в некоторых случаях с интерактивным доступом к текущей работе организации и историческим отчетам. Обычно они ориентируются почта исключительно на внутренние, не относящиеся к окружающей среде результаты. MIS прежде всего обслуживают функции планирования, управления и принятия решений на управленческом уровне. MIS суммируют результаты и докладывают относительно основных действий компании. Характеристика управляющих информационных систем: MIS поддерживают структурированные и слабоструктурированные решения на эксплуатационном и управленческом уровне. MIS ориентированы для отчетов и контроля. Разработаны, чтобы помогать обеспечивать текущий учет действий. MIS имеют немного аналитических возможностей. MIS помогают в принятии решений, используя прошлые и настоящие данные. MIS относительно негибки. MIS имеют скорее внутреннюю, чем внешнюю ориентацию. Информационные требования известны и устойчивы. MIS часто требуют длинного анализа и проектирования процесса. Системы поддержки принятия решений (DSS) существенно отличаются от MIS. Это компьютерные системы, почти всегда интерактивные, разработанные, чтобы помочь менеджеру среднего или высшего уровня в принятии решений. DSS включают и данные, и модели, чтобы помочь сотруднику уровня управления решить возникающие бизнеспроблемы, особенно те, которые плохо формализованы. Данные часто извлекаются из системы диалоговой обработки запросов или базы данных. Модель, заложенная в основу системы, может быть простой типа «доходы и убытки», чтобы вычислить прибыль при некоторых предположениях, или комплексной типа оптимизационной модели для расчета загрузки для каждой машины в цехе. DSS не всегда оправдываются традиционным подходом стоимость - прибыль; для этих систем многие из выгод неосязаемы, типа более глубокого принятия решения и лучшего понимания данных. DSS специализированы по специфическим решениям или классам решений типа маршрутизации, формирования очередей, оценки и т.д. В основной концепции DSS 22 обещают конечному пользователю управление данными и инструментальными средствами. DSS разработаны, чтобы поддержать слабоструктурированный и неструктурированный прикладной анализ. Принятие решений включает четыре стадии: распознавание, проект, выбор и реализация. DSS предназначены, чтобы помогать проектировать, оцен ивать альтернативы и контролировать процесс реализации. Характеристика систем поддержки принятия решений: DSS предлагают гибкость пользователей, адаптируемость и быструю реакцию. DSS обеспечивают поддержку для решений и проблем, которые не могут быть определены заранее DSS используют сложный анализ и инструментальные средства моделирования. DSS имеют большую аналитическую мощность, чем другие системы: они включают различные варианты моделей для анализа данных. Системы DSS интерактивны, пользователь может изменять предположения и включать новые данные. Системы поддержки принятия решений помогают находить ответы не только на прямой вопрос «что будет, если?». Типичные вопросы по системам поддержки принятия решений (DSS): 1. Анализ примеров (case analysis) - оценка значений выходных величин для заданного набора значений входных переменных 2. Анализ чувствительности - Исследование поведения результирующих переменных в зависимости от изменения значений одной или нескольких входных переменных. 3. Анализ возможностей - нахождение значений входной переменной, которые обеспечивают желаемый конечный результат (поиск целевых решений). 4. и др Исполнительные системы поддержки принятия решений (ESS). Используются старшими менеджерами. ESS обслуживают стратегический уровень управления компанией. Они ориентированы на неструктурные решения и проводят системный анализ окружающей среды лучше, чем любые прикладные и специфические системы. ESS разработаны, чтобы включить данные относительно внешних результатов типа новых налоговых законов или конкурентов, но они так же выбирают суммарные данные из внутренних MIS и DSS. Они фильтруют, сжимают и выявляют критические данные, сокращая время и усилия, требуемые, чтобы получить информацию, полезную для руководителей. В отличие от других типов информационных систем ESS не предназначены для решения определенных проблем. Вместо этого ESS обеспечивают обобщенные вычисления и передачу данных, которые могут применяться к изменяющемуся набору проблем. ESS имеют тенденцию использовать меньшее количество аналитических моделей, чем DSS. 23 Аналитическая пирамида средств ОИ Информационную инфраструктуру компании можно представить в виде нескольких иерархических уровней, каждый из которых характеризуется степенью агрегированности информации и своей ролью в процессе управления. В качестве примера схематического представления информационной инфраструктуры можно привести так называемую аналитическую пирамиду (analytical stack), разработанную компанией Gartner. В этой иерархии прослеживаются несколько уровней: – уровень транзакционных систем; – уровень систем бизнес-интеллекта, включая хранилища данных, витрины данных и OLAP-системы; – уровень аналитических приложений. Основанием аналитической пирамиды служат ERP и другие транзакционные системы. По мере движения от основания пирамиды к ее вершине происходит постепенное преобразование детальных операционных данных в агрегированную информацию, предназначенную для поддержки принятия управленческих решений. Отнести тот или иной программный продукт к какому-либо одному классу не всегда возможно, поскольку многие системы позволяют решать аналитические задачи нескольких категорий. Уровень транзакционных систем К числу транзакционных относятся ERP-системы, автоматизированные банковские системы (АБС), биллинговые системы, учетные системы и некоторые другие. Часто для обозначения таких систем используется термин OLTP (On-Line Transaction Processing – обработка транзакций в режиме реального времени). Эти системы представляют собой источники первичной информации, используемой для аналитической обработки. Данные из этих источников требуется собрать, структурировать и представить в виде, удобном для принятия решений. Сами транзакционные системы тоже содержат некоторые аналитические возможности, но, строго говоря, не относятся к категории аналитических систем. В то же время именно они являются поставщиками информации для систем бизнес-интеллекта и аналитических приложений. Одним из основных типов транзакционных систем являются системы класса ERP, именно они служат важным источником данных для после дующего анализа. Передача данных из транзакционных систем в аналитические приложения может производиться как последовательно, через все обозначенные ярусы аналитической, так и более коротким путем, минуя один или несколько уровней. Системы бизнес-интеллекта Понятие систем бизнес-интеллекта (Business Intelligence) объединяет различные средства и технологии анализа и обработки данных масштаба предприятия. Среди BI-систем можно выделить такие составляющие, как: хранилища данных (Data Warehouse), витрины данных (Data Marts), инструменты оперативной аналитической обработки (On-Line Analytical Processing, OLAP), средства обнаружения знаний (Data Mining), а также 24 инструменты конечного пользователя, предназначенные для выполнения запросов и построения отчетов. Хранилища данных (Data Warehouse) находятся на следующем после транзакционных систем уровне аналитической пирамиды. Хранилища определяются как «предметноориентированные, интегрированные, стабильные, поддерживающие хронологию наборы данных, организованные для целей поддержки управления, призванные выступать в роли «единого и единственного источника истины», обеспечивающего менеджеров и аналитиков достоверной информацией, необходимой для оперативного анализа и принятия решений». Ценность хранилищ данных для менеджеров и экономистов заключается в том, что это – некая база данных масштаба предприятия, которая содержит определенную аналитическую информацию, обеспечивает ее оперативное представление в удобном для пользователя виде и обладает структурой, учитывающей отраслевую специфику деятельности организации. Витрины данных (Data Marts), как и хранилища, представляют собой структурированные информационные массивы, но отличие состоит в том, что витрины в еще большей степени являются предметно-ориентированными. Как правило, витрина содержит информацию, относящуюся к какому-либо определенному направлению деятельности организации. Поэтому информация в витрине данных хранится в специальном виде, наиболее подходящем для решения конкретных аналитических задач или обработки запросов определенной группы аналитиков. OLAP-системы (On-Line Analytical Processing). Под термином OLAP понимают системы аналитической обработки данных в режиме реального времени. OLAP-системы могут обеспечить решение многих аналитических задач: анализ ключевых показателей деятельности, маркетинговый и финансовоэкономический анализ, анализ сценариев, моделирование, прогнозирование и т. д. Такие системы могут работать со всеми необходимыми данными, независимо от особенностей информационной инфраструктуры компании. Особенность OLAP-систем состоит в многомерности хранения данных (в противовес реляционным таблицам), а также в предрасчете агрегированных значений. Это дает пользователю возможность строить оперативные нерегламентированные запросы к данным с использованием аналитических измерений. Кроме того, для OLAP-систем характерна предметная (а не техническая) структурированность информации, позволяющая пользователю оперировать привычными экономическими категориями и понятиями. Типичным представителем программных продуктов этого класса является разработка корпорации Hyperion – OLAP-сервер Hyperion Essbase. Средства обнаружения знаний (Data Mining). Соответствующие программные продукты обеспечивают выявление закономерностей в данных, позволяя аналитику получать качественно новую информацию (возможно, не содержащуюся в источнике данных явным образом) и таким способом формировать знания на основе данных. Здесь используются такие методы анализа данных, как фильтрация, дерево решений, ассоциативные правила, генетические алгоритмы, нейронные сети, статистический анализ. 25 Системы бизнес-интеллекта, включающие реляционные и многомерные базы данных, в свою очередь, служат основой для систем верхнего уровня аналитической пирамиды – аналитических приложений. Сегодня принято говорить о целом комплексе средств, которые в совокупности называют системами бизнес-интеллекта (BI). В соответствии с рассмотренной выше аналитической пирамидой основными элементами BI-платформы являются хранилища данных и OLAPсистемы. Универсальным критерием определения OLAP как инструмента является тест FASMI (Fast Analysis of Shared Multidimensional Information – быстрый анализ разделяемой многомерной информации). Fast (быстрый). Это свойство означает, что система должна обеспечивать ответ на запрос пользователя в среднем за пять секунд. При этом большинство запросов обрабатывается в пределах одной секунды, а самые сложные из них должны обрабатываться в пределах двадцати секунд. Analysis (анализ). Система должна справляться с любым логическим и статистическим анализом, характерным для бизнес-приложений, и обеспечивать сохранение результатов в виде, доступном для конечного пользователя. Средства анализа могут включать процедуры анализа временных рядов, распределения затрат, конверсии валют, моделирования изменений организационных структур и некоторые другие. Shared (разделяемый). Система должна предоставлять широкие возможности разграничения доступа к данным и одновременной работы многих пользователей. Multidimensional (многомерный). Система должна обеспечивать концептуальное многомерное предоставление данных, включая полную поддержку множественных иерархий. Information (информация). Мощность различных программных продуктов характеризуется количеством обрабатываемых входных данных. Разные OLAP-системы имеют разную мощность. При выборе OLAP-инструмента следует учитывать целый ряд факторов, включая дублирование данных, требуемую оперативную память, использование дискового пространства, эксплуатационные показатели, интеграцию с информационными хранилищами и т. п. Аналитические приложения Высший уровень аналитической пирамиды – уровень аналитических приложений (analytic applications). Это информационные системы, обеспечивающие потребности организаций в автоматизации процессов обработки, анализа и оптимизации бизнес-процессов. Здесь пользователь применяет привычные для него инструменты, обеспечивающие реализацию методик управления. Такие системы могут быть довольно разнообразными: от простейших электронных таблиц до специализированных приложений для решения задач бюджетирования, консолидации финансовой отчетности, бизнес-моделирования. Именно к этой категории относятся прикладные программные ВРМ-продукты. Как следует из названия, аналитические приложения нацелены на проведение анализа, целью которого является более глубокое понимание и осознание того, что произошло, 26 происходит или произойдет. В этом смысле аналитические приложения действительно отличаются от транзакционных систем, ориентированных прежде всего на обработку отдельных операций, но в то же время дополняют их, образуя в совокупности многофункциональную комплексную систему управления. Для того, чтобы система могла считаться аналитическим приложением, она должна удовлетворять следующим критериям: – структурировать и автоматизировать процессы, способствующие повышению качества управленческой информации, что, в свою очередь, приведет к повышению качества принятия решений. Это достигается путем применения правил, процедур и технологий (основанных на соответствующей методологии), направленных на решение определенных бизнес-проблем; – поддерживать аналитические функции, то есть действия по анализу данных, полученных из самых разных источников (внутренних или внешних, финансовых или операционных), включая анализ трендов и прогнозирование ситуации в будущем; – представлять собой самостоятельный программный продукт, который может работать независимо от транзакционных систем, но в то же время способный взаимодействовать с ними «в обе стороны» как в части получения транзакционных данных, так и в части обратной передачи результатов их обработки. Более того, аналитические приложения часто имеют дело с нестандартными, непредсказуемыми или редкими ситуациями. Такие ситуации могут возникать, например, при запуске в производство нового продукта, моделировании новой корпоративной структуры или создании нового подразделения, а также при оценке последствий слияний и приобретений, пересмотре бюджетов и т. п. Выделяют три основных категории аналитических приложений: – системы управления эффективностью бизнеса (Business Performance Management); – приложения для анализа операционной/производственной деятельности (Operations/Production Analysis); – системы анализа взаимоотношений с клиентами (СRMAnalysis). Системы класса Business Performance Management (BPM) предназначены для широкого круга задач: анализа и оптимизации финансовых индикаторов, определения стратегии развития компании, бюджетного планирования, финансовой консолидации. Системы бюджетирования и консолидации были созданы в числе первых готовых аналитических приложений, поскольку эти задачи хорошо проработаны методологичски, понятны большинству руководителей и применяются практически во всех отраслях. В основе концепции ВРМ лежит идея непрерывного цикла управления. Таким образом, суть ВРМ как системы управления состоит в том, что она позволяет более системно и комплексно подойти к задачам управления сложной организацией. В рамках ВРМ задачи стратегического и тактического уровней оказываются логически и технологически увязанными в единый комплекс. 27 Системы управления логистическими потоками предприятия При рассмотрении существующих в настоящее время специальных информационных систем управления логистикой предприятия следует выделить следующие основные группы данных систем: системы управления ресурсами предприятия (MRP, MRP II, ERP) системы управления цепочками поставок SCM системы управления взаимоотношениями с клиентами CRM комплексные системы управления ресурсами предприятия (ERP II) системы управления складом WMS Системы управления ресурсами предприятия (MRP, MRP II, ERP) направлены на прогнозирование, планирование, контроль над материальными ресурсами на протяжении всего производственного цикла, начиная от закупки сырья и заканчивая отгрузкой продукции потребителям. Система MRP основывается на системе расчетов, использующих данные основного производственного плана, при построении которого за исходную точку принимается ожидаемый (фактический) спрос на готовую продукцию. Основной производственный план разрабатывается исходя из прогноза спроса или информации о принятых к исполнению (плановых) заказах с утвержденными (ожидаемыми) датами поставок, а также о потребностях в пополнении страховых запасов и обеспечении дистрибьюторских центров. Используя данный план как отправную точку, по алгоритму MRP рассчитываются необходимые для реализации производственного плана объемы материалов, компонентов и деталей с учетом требуемой даты выполнения плана. Таким образом, MRP-системы в большей степени направлены на выполнение задач сбора и хранения информации, а также планирования и прогнозирования материальных потоков предприятия. В настоящее время системы MRP достаточно редко используются ввиду постоянного развития и совершенствования новых ИС. Система планирования производственных ресурсов MRP II является результатом развития MRP-систем. MRP II сочетает в себе функции планирования из MRP и новые функции управления складами, снабжением, продажами и производством. Основной целью внедрения ERP-систем является поддержка планирования деятельности предприятия, ведение оперативного и управленческого учета, принятие решений различного уровня. ERP-системы позволяют управлять всеми ресурсами предприятия и моделировать возможности компании. Кроме того, благодаря ERP-системам, все эти процессы становятся прозрачными для руководителей. 28 В качестве примеров систем ERP можно привести следующие: 1С:Предприятие фирмы 1C, AgroClever от Ситроникс информационные технологии, AVA ERP от AVA Systems, iRenaissance от ROSS, JD Edwards EnterpriseOne & JD Edwards World от Oracle, Microsoft Dynamics от Microsoft, SAP R/3 и mySAP от SAP компании Бизнес Консалтинг Групп, Галактика ERP от корпорации Галактика, «Парус-Предприятие 8 (on Oracle)» Корпорации ПАРУС и др. Таким образом, информационные системы, относящимся к ERP и MRPII, могут быть использованы для решения следующих логистических задач предприятия: хранение информации об изделиях — описания материалов, комплектующих, изделий, сборочных единиц и т.п., необходимые для планирования и управления операциями; ведение конструкторских и технологических спецификаций, которые определяют состав конечного изделия, а также материальные ресурсы необходимые для его изготовления (включая маршрутизацию); и операции, формирование планов производства и реализации продукции; планирование потребностей в материалах; управление запасами и закупочной деятельностью, что позволяет организовать ведение договоров, реализовать схему централизованных закупок, обеспечить учет и оптимизацию складских запасов и т. д.; планирование производственных мощностей, в т.ч. осуществление контроля над наличием доступных мощностей и планирование их загрузки; финансовый учет и оперативное управление финансами; управление проектами. Системы управления взаимоотношениями с клиентами CRM CRM – это информационные системы, предназначенные для автоматизации стратегии компании по работе с клиентами, в частности, для повышения уровня продаж, оптимизации маркетинга и улучшения обслуживания клиентов путѐм сохранения информации о клиентах и истории взаимоотношений с ними, установлени я и улучшения бизнес-процедур и последующего анализа результатов. Внедрение системы предприятия: CRM позволяет реализовать следующие задачи логистики сбор и хранение информации о клиентах, истории взаимоотношений с ними; анализ информации и подготовка отчетов, например, сегментация клиентов на основе их значимости для компании. 29 Следует отметить, что наряду с CRM-системами получают распространение и иные программные приложения для работы с клиентами, в т.ч. программно-аппаратные решения для Call-центров и системы технической поддержки внешних и внутренних заказчиков (компьютерные системы класса Service Desk). В качестве примеров коммерческих информационных систем управления взаимоотношениями с клиентами можно привести следующие решения: Infor СRМ Epiphany, SAP СRМ, 1С:CRM ПРОФ, Siebel, PeopleSoft СRМ, Microsoft Dynamics CRM, Amdocs СRМ CES, Firstwave СRМ, КОМПАС: Маркетинг и менеджмент и др. Системы управления цепочками поставок SCM Системы управления цепями поставок предназначены для автоматизации и управления всеми этапами снабжения предприятия и для контроля всего товародвижения на предприятии. Система SCM позволяет значительно лучше удовлетворить спрос на продукцию компании и значительно снизить затраты на логистику и закупки. SCM охватывает весь цикл закупки сырья, производства и распространения товара. Исследователи выделяют шесть основных областей, на которых сосредоточено управление цепочками поставок: производство, поставки, месторасположение, запасы, транспортировка и информация. В составе SCM-системы можно условно выделить две подсистемы: SCP - планирование цепочек поставок. Основу SCP составляют компьютерные системы для расширенного планирования и формирования календарных графиков, а также системы для совместной разработки прогнозов. Помимо решения задач оперативного управления, SCP-системы позволяют осуществлять стратегическое планирование структуры цепочки поставок: разрабатывать планы сети поставок, моделировать различные ситуации, оценивать уровень выполнения операций, сравнивать плановые и текущие показатели. SCE - исполнение цепей поставок в режиме реального времени. При помощи SCM могут быть реализованы следующие логистические задачи: планирование и прогнозирование спроса и предложения; выбор поставщиков и управление закупками; выполнение заказа и послепродажного обслуживания; управление складом; управление отгрузкой, транспортировкой; решение оптимизационных задач; анализ эффективности отдельных элементов системы поставок. Достоинством систем SCM является возможность их использования для решения оптимизационных логистических задач, в т.ч.: 30 задачи управления запасами; задачи распределения ресурсов; задачи календарного планирования (теории расписаний); задачи транспортного типа (выбора маршрутов перевозок); задачи сетевого планирования и управления; задачи планировки и размещения объектов. Для решения данных задач используется линейное и целочисленное программирование, а также комбинаторная оптимизация (Constraint programming). В качестве примеров SCM систем можно привести следующие: DigitaLogistix, Extended Enterprise Management (EEM), Infor: Logistics, Microsoft Dynamics NAV SCM, Oracle Управление логистикой, SAP SCM, Парус-Управление логистикой и ряд других ИС. Комплексные системы управления ресурсами предприятий ERP II В информационных системах, относящихся к ERP II, сделана попытка объединения концепций ERP, CRM, SCM и электронной коммерции в единую систему управления всеми (внутренними и внешними) ресурсами предприятия. Помимо расширения и углубления функциональности и использования возможностей Интернета характерной чертой новой концепции ERP II является тенденция к специализации систем на отраслевых/промышленных сегментах. Таким образом, внедрение систем ERP II позволяет выполнить практически все задачи, возникающие в рамках логистической системы предприятия, в том числе: хранение информации; создание различных отчетов и аналитических документов; учет и контроль над различными видами активов и информации, в т.ч. за товарами на складах, выполнением заказов и закупок; разработка планов и расписаний движения материальных средств внутри предприятия и за его пределами; решение оптимизационных задач, в т.ч. задачи оптимизация параметров транспортного процесса, задач календарного планирования Системы управления складами WMS Программные системы автоматизации склада различаются на системы учета товаров и системы управления складом. Эти системы различаются по предоставляемому функционалу, а также по степени участия операторов склада в принятии решений. Системы учета товаров только предоставляют операторам информацию о состоянии склада, необходимую для принятия решений. Далее человек вручную анализирует предоставленную информацию и на ее основе дает команды кладовщикам на складе. 31 Системы управления складами помимо предоставления информации способны решать разного рода оптимизационные задачи, выдавать задания работникам склада, отслеживать возникновение определенных ситуаций в работе склада, реагировать на разные события. Например, складская программа может определить, какому грузчику целесообразно поручить выполнение конкретной складской операции, исходя из текущего расположения грузчиков на территории склада. Основные логистические задачи, решаемые при помощи WMS: настраиваемые правила складирования для максимизации использования складского пространства и/или производительности складских операций; гибкое управление заказами и группами заказов; автоматическое формирование и отправка заданий сотрудникам на комплектацию заказов; составление расписания отгрузки товаров с учетом приоритетов; контроль состояния и получение информации о складских запасах в режиме реального времени; проведение инвентаризации; управление и оптимизация хранения по срокам годности. В настоящий момент, в мире насчитывается порядка 300 WMS-решений. Среди них можно назвать WMS Infor, WMS SAP, WMS Manhattan, Made4Net, Solvo, Бухта, Фолио, 1С-Логистика, Awarda. 32 Инвестиции в ИТ: понятие, классификация, правила, критерии эффективности. В общем, под инвестициями можно понимать долгосрочные вложения капитала с целью получения прибыли. Инвестиции подразделяются на краткосрочные (локальные задачи) и долгосрочные Классификация инвестиций (1й подход) Поддержание текущей инфраструктуры, без которой не возможно функционирование Инвестиционные проекты, связанные с автоматизацией оперативных процессов, в т.ч. управленческих Инвестиции в проекты, позволяющие повысить эффективность компании Классификация инвестиций в ИТ (2й подход) 1. 2. 3. 4. 5. Инвестиции в оптимизацию деятельности. (Support) Инвестиции в развитие новых технологий. (Brainware) Инвестиции в программные комплексы. (Software) Инвестиции в аппаратные комплексы. (Hardware) Инвестиции в инфраструктуру. (Infrastructure) Этапы внедрения ИТ на предприятии Инновация (перспективные технологии и решение об инвестировании) Адаптация Рационализация (разработка системы контроля) Зрелость Принципы инвестирования в ИТ: Рассмотрение проекта на протяжении всего его жизненного цикла Сопоставимость условий сравнения различных проектов Принцип положительности и максимум эффекта Учет фактора времени Сотрудничество ИТ специалистов и менеджеров других отделов при принятии других решений 6. Рассмотрение ИТ проекта как самостоятельного проекта 7. Формирование системы показателей критических для данных компании 8. Учет всех издержек, касающихся внедрения и эксплуатации 9. Выявление экономических выгод 10. Соотнесение предполагаемых результатов внедрения со стратегическими целями внедрения 1. 2. 3. 4. 5. 33 Требования к методам оценки эффективности 1. Метод анализа д.б строго обоснован (не должен содержать противоречий) 2. Метод должен учитывать случайных характер изменения во времени показателей информационной системы и разновременность показателей затрат и доходов 3. Метод должен позволять с единых позиций подходить к разным классам систем управления в разных отраслях народного хозяйства и на разных этапах внедрения ИТ Факторы, влияющие на эффективность инвестиций в ИТ 1. Внутренние a. Организационные b. Факторы конкурентного преимущества и снижения издержек c. Фактор человеческих ресурсов d. Деловые факторы e. Технологические факторы 2. Внешние a. Политические b. Экономические c. Социальные d. Технологические Оценка влияния данных факторов на эффективность инвестиций в ИТ может осуществляться при помощи SWOT-анализа (Strength, Weaknesses, Opportunities and Threat). Процесс утверждения инвестиций в ИТ. После разработки стратегии предоставления ИТ-услуг, бизнес и ИТ-подразделение должны определить проекты и услуги, которые лучше всего поддерживают эту стратегию. Портфель ИТ-услуг содержит перечень этих проектов и услуг. Чтобы включить в портфель нужные проекты и услуги, необходимо: Проекты должны быть согласованы со стратегическими ИТ-инициативами. Составить список проектов в очереди, внедренных услуг и услуг, запланированных к выводу из эксплуатации. Четкое определение приоритетов и налаженный процесс утверждения новых проектов. Разработка системы определения ценности услуг с точки зрения бизнес-целей. 34 Портфель ИТ-услуг помогает согласовывать потребление ИТ-ресурсов, оперативный бюджет и стратегии инвестирования, поддерживающие предоставление ИТ-услуг. Основные пользователи портфеля — руководители бизнес-подразделений и ИТ, отвечающие за получение коммерческой ценности от инвестиций в ИТ. Действия по разработке портфеля ИТ-услуг Определение структуры и состава портфеля ИТ-услуг. Измерение ценности ИТ-услуг с учетом результатов работы компании. Анализ и утверждение концепций новых проектов. Публикация портфеля. Метод «выбор/контроль/оценка» для управления ИТ-проектами. 1. 2. 3. Фаза выбора 1.1. Выбрать ИТ-проекты, которые наилучшим образом могут поддержать выполнение основных задач предприятия или его миссию 1.2. Провести идентификацию и анализ рисков по каждому проекту, а также показатели ожидаемого возврата инвестиций Фаза контроля 2.1. Показатели риска должны оставаться в пределах нормы Фаза оценки 3.1. Оцениваются фактические и ожидаемые результаты 3.2. Оценивается воздействие проекта на эффективность деятельности предприятия 3.3. пересматриваются принципы управления инвестиционными проектами в области ИТ Использование модели зрелости для управления ИТ-инвестициями. Оценка зрелости рассматривает процессы управления ИТ-услугами исходя из целей, поставленных перед каждым процессом. Уровень зрелости процесса зависит от степени достижения цели. Выделяют 5 основных уровней: 1. Начальный — характеризуется существованием процессов, однако деятельность по управлению ими незначительная, либо полностью отсутствует; в компании нет понимания важности самих процессов, им не оказывается должного внимания; ресурсов, выделенных для выполнения процессов, не предоставлено 2. Цикличный — процессы определены, но им придается небольшое значение. Ресурсы выделены. Основные деятельности в отношении процессов нескоординированы, нерегулярны, не имеют направления 3. Формализованный — процессы определены и документи-рованы, но по ним не существует формального соглашения, подтверждения и понимания их роли в деятельности ИТ как единого целого. Тем не менее, процессы имеют владельцев, формальные цели и задачи с выделенными ресурсами и сфокусированы на достижение 35 эффективности, и финансовой целесообразности. Отчеты и результаты хранятся для использования в будущем 4. Управляемый — процессы полностью определены и приняты в ИТ, ориентированы на оказание услуг; их цели и задачи основаны на потребностях бизнеса. Процессы полностью управляемы, имеют документированные взаимосвязи 5. Оптимизируемый — процессы определены полностью, их цели и задачи синхронизированы с общими стратегическими целями бизнеса и ИТ. Процессы стали неотъемлемой частью повседневной деятельности каждого участника процесса. Самостоя-тельное непрерывное совершенствование является частью процессов Уровни зрелости ITAM: стоимость и ROI 2 основных положения: Любой процесс может быть улучшен Ни одно предприятие не может сразу перейти с начального уровня зрелости на высший Принципы модели зрелости: 1. Модель зрелости является структурой для широкого использования 2. Является структурой для организационного усовершенствования 3. Описываются характеристики процесса управления и инвестирования в ИТ 4. Не называются все факторы, которые могут воздействовать на успех инвестирования 5. Использует подход, нацеленный на процессы 6. Не существует единственного правильного пути для реализации модели зрелости 7. Интерпретация модели зрелости происходит с учетом особенностей организаций Модель Фостера для оценки влияния ИС на эффективность предприятия. 36 Каждая технология имеет точку, которая ограничивает ее применение и существенные преимущества в конкурентной борьбе, которые она дает. Но после того как предел достигается, компании, которые осознали и перешли на использование технологий более высокого уровня, будут обладать постоянным преимуществом в конкурентной борьбе. Инструментом для оценки уровня развития технологии может служить S-образная кривая технологии (кривая развития технологии). Она отображает выгоды, которые можно получить от нововведения, выводя так называемую функцию зрелости технологии. Во многих технологических окружениях рентабельность зависит от положения на кривой развития технологии. На ранних стадиях приходится много экспериментировать, поэтому большой отдачи не наблюдается. В восходящей части кривой окупаемость достигает наивысшей точки, это период наивысшего развития технологии. За ней следует прямой участок, зрелость технологии, когда никакие дополнительные вложения не приведут к повышению прибыли. Успеха достигают те компании, которые в этой точке кривой переходят на технологии следующего поколения. В основе данного метода лежит положение о том, что технологии ограничены в своем развитии, и важно определить, когда достигнут предел. S-образная кривая технологии Кривая технологических тенденций — метод, также связанный с S-образной кривой развития технологии. Эта кривая помогает обеспечить руководство информацией о природе и объемах различных технологических проектов, в которые должны быть произведены инвестиции. Другими словами, она представляет собой простой способ изучения портфеля капиталовложений в ИТ, обеспечивая высокий темп работы компании. В любой точке во времени технологии могут быть охарактеризованы как протяженные, передовые или просачивающиеся. 37 Возраст протяженных ИТ обычно превышает 4–5 лет, и примерами таких систем могут быть системы управления запасами и отчетов по рабочей силе. Эта технология жизнеспособна, но ее поддержание и реорганизация может потребовать больших расходов. Обычно к этой категории относится не более 10–25% технологий компании. Передовые технологии сравнительно новые, их возраст — 2–4 года. Они дают компании определенные преимущества в конкурентной борьбе (например, уменьшают затраты), помогают выполнять важнейшие функции компании. Большинство технологий компании (от 50% до 70%) должны относиться к данной категории. Просачивающиеся технологии — это новейшие механизмы, находящиеся в стадии развития. Хотя краткосрочная прибыль и отдача от них может быть не очень существенной, они могут обеспечить выживание компании в будущем. В зависимости от типа отрасли и конкуренции, 10–25% капиталовложений должны осуществляться в просачивающиеся технологии. Таким образом, тенденции технологии обеспечивают способ оценки портфеля капиталовложений в технологию. 4.Четырехступенчатый подход к осуществлению оценки окупаемости ИТ (ИВАС). 38 Фаза 1: Исследование В данной фазе преследуются две цели. Первая из них — развитие основ представлений о том, что нужно оценивать в зависимости от стадии инв естирования компании. Вторая цель — выбор подхода к анализу данных в соответствии с методикой. Капиталовложения в ИТ зависят от характера инвестиции (стратегический или операционный), степени новизны технологии. Фаза 2: Вовлечение Вовлечение персонала. Эта фаза направлена на организационные аспекты окупаемости ИТ. Есть мнение, что в большинстве случаев неудачи ИТ носят не технический, а управленческий характер. Обеспечение вовлечения потребителей. Если мы планируем оценить рыночную стоимость капиталовложений в ИТ, важно обеспечить участие бизнесменов в определении объекта оценки. «ИТ должны быть приведены в соответствие с общим подходом компании к вопросу о том, что составляет стоимость и как ее можно оценить». В этом случае есть возможность обнаружить недостатки в процессе оценки окупаемости ИТ, особенно если результаты не оправдывают ожиданий потребителей. Потребители также являются источником данных эффективности функционирования, необходимых для осуществления анализа. Хотя информация о расходах доступна для бухгалтерии, показатели эффективности функционирования обычно находятся в операционной документации, доступной потребителям. Без их содействия определение соответствующих показателей и создание экономической модели будет затруднено. Определение материальных и нематериальных показателей. 39 Критерии оценки в этом пункте могут быть весьма простыми, например время, затраченное на предоставление клиенту услуг в ответ на телефонный звонок или на выполнение заказа. Однако нематериальные показатели бывает сложно проанализировать. При участии потребителей можно выбрать и согласовать подходящие показатели для выполнения соответствующего анализа. Обоснование проекта оценки окупаемости ИТ. Одним из самых сложных вопросов является необходимость доказать организации, что затраты времени и средств компании на проведение анализа оправданы. Обоснование проекта оценки рентабельности ИТ проще осуществить, когда компания ощущает некоторые опасные «симптомы», например общее недовольство информационными системами, угроза потери рыночной доли, жалобы клиентов или сложности при выборе между инвестированием в информационные технологии и другими инициативами. Фаза 3: Анализ На этом этапе данные собираются, анализируются и обобщаются для того, чтобы стали возможными целенаправленные действия. Проведение анализа. Необходимо выбрать одну или несколько методик, которые будут соответствовать целям потребителей. Выбор инструмента анализа зависит также от степени доступности данных. Важнейшими вопросами, которые должны быть рассмотрены, являются: эффект запаздывания, переменные контроля и фактор согласования. Обработка данных о составляющих. Результаты статистического анализа будут бессмысленными, если их не перевести в понятия бизнеса. Фаза 4: Связь Показателем хорошего уровня связи является то, что участники проекта осознают значимость оценки окупаемости ИТ и включают ее в свои рабочие планы. Обеспечение обратной связи и практических действий. В контексте окупаемости ИТ передача результатов приносит пользу потребителям. Они ощущают себя частью процесса и осознают, что в обмен на предоставленную информацию получают некие преимущества. На данном этапе результаты анализа разбиваются и распространяются по функциональным областям, что приносит большую пользу компании. Считается, что переход от результатов анализа к практическим действиям является наиболее сложной задачей. Он требует индивидуального подхода к каждой функциональной области, хорошего понимания природы бизнеса, а также творческого подхода в поиске новых путей использования прибыли. 40 Оформление тенденции к оценке окупаемости ИТ. Оценка эффективности функционирования играет важную роль для обеспечения успешной деятельности организации, потому что невозможно совершенствовать то, что нельзя измерить. На последнем этапе заключительной фазы оценка окупаемости должна превратиться в тенденцию внутри организации. Анализ окупаемости может стать частью сбалансированной системы показателей. Возможно, через некоторое время эти показатели вызовут необходимость проведения еще одного анализа окупаемости новой технологии или реорганизованного процесса. Это приведет к возврату на первую фазу модели ИВАС и повлечет за собой новый проект по оценке окупаемости ИТ. Однако на этот раз компания будет уже в более выгодном положении, имея опыт, полученный при оценке окупаемости информационных технологий. К тому же отработанная система оценки не потребует дальнейшей модификации. В этом отношении модель ИВАС представляет собой инструмент оценки всего цикла инвестирования и окупаемости. Описанная выше четырехступенчатая модель ИВАС не является исчерпывающей. В зависимости от природы бизнеса, можно объединять этапы или добавлять дополнительные. Кроме того, один и тот же этап может отнимать различное количество времени и усилий в зависимости от стадии инвестирования ИТ, прошлого опыта по оценке окупаемости и уровня развития инструментов анализа внутри организации. Основные группы методов оценки эффективности инвестиций Оценка экономической эффективности ИТ-проекта является обязательной составляющей его технико-экономического обоснования. И, хотя, конкретный будущий экономический эффект оценить непросто, тем не менее, это обязательно надо пытаться сделать. Три категории методов: традиционные (финансовые, количественные), качественные (эвристические) и вероятностные. Финансовые методы Основные финансовые методы определения инвестиций в ИТ: 1. ROI (Return on Investment) 2. NPV (Net present value) - чистый приведенный доход или чистая приведенная стоимость, это зависит от формулировки. 3. IRR (Internal rate of return) - внутренняя норма доходности или внутренняя норма рентабельности, это тоже зависит от формулировки. 4. Payback period - срок окупаемости инвестиций. 5. EP\EVA (Economic Profit / Economic Value Added; экономическая прибыль/добавленная экономическая стоимость) 6. TCO (Совокупная стоимость владения) 7. TEI (Совокупный экономический эффект) 8. REJ (Методы быстрого экономического обоснования). 41 Качественные методы оценки Качественные методы базируются на одной идее - целей, приоритетов и показателей по ним. В этих методах, называемых еще эвристическими, предпринята попытка дополнить количественные расчеты субъективными и качественными оценками, которые позволяют определить ценность персонала и процессов. Benchmarking (Бенчмаркинг) Customer Insight Information Economics (Методи информационной экономики) IT Portfolio Management IT Scorecard Вероятностные методы прикладная информационная экономика (Applied Information Economics) справедливая цена опционов (Real Options Valuation, ROV). EVS (обеспеченная экономическая стоимость) К вероятностным методам оценки экономического эффекта от ИТ-проекта близко примыкает статистический метод (некоторые относят его именно к вероятностным, поскольку эффект, который возможен, по статистике совсем не обязателен). Количество внедрений различных ИТ-технологий за рубежом, а также то, что ведется довольно внятная и четкая статистика, позволяет сделать некоторые качественные выводы. Конечно, надо сказать, что отнюдь не все менеджеры компаний воспринимают обоснования будущего эффекта от ИТ-проектов, базирующиеся на этих данных. Среднестатистические мировые показатели эффекта от внедрения ИТ-систем Показатель Снижение количества продукции заказчикам Уменьшение материалов задержек неснижаемых при остатков Повышение оборачиваемости запасов Сокращение НЗП поставках на складах Средние внедрения Лучшие внедрения 90% 97% 30% 45% 20% 17% 30% 25% Повышение оборачиваемости средств в области 12% реализации готовой продукции Повышение производительности работников и 10% оборудования Снижение затрат на закупку материалов и 4% комплектующих 21% 17% 6% 42 Надо сказать, что вероятностные методы нечасто используются для оценки будущего эффекта от ИТ-проекта. Метод прикладной информационной экономики очень субъективен и вообще мало похож на конкретную методику. Метод справедливой цены опциона, напротив, очень конкретен, но достаточно труден и требует большого времени для анализа. Как правило, компании не используют какой-то один конкретный метод оценки экономического эффекта от ИТ-проекта, которому они очень доверяют. Опыт показывает, что в разных ситуациях ближе к истине оказываются разные методы. Часто компании используют сразу четыре метода - два финансовых и два нефинансовых. Именно на основании таких оценок экономической эффективности уже можно принять оптимальное решение, запускать ли Ит-проект или нет и определиться, какой из ИТ-проектов компании более выгоден. Обычная классификация дает представление о назначении и сфере применимости описываемых методик, но она не позволяет оценить степень их корреляции между собой, а также границы применимости. Под границами применимости подразумевается применяется ли методика для целей планирования или для оценки фактических результатов. Подходы к оценке планируемых результатов и фактических результатов отличаются друг от друга. Так как методики, относящиеся к разделу «качественные», представляют собой, по большей части, не измерители конкретных показателей, а управленческие подходы, их использование предполагает относительно долгосрочное применение. Поэтому на какомто этапе та или иная модель может использоваться как для целей прогнозирования, так и для оценки фактических данных, осуществляемой с учетом накапливающейся информации. Модель ТСО принципиально отличается по природе от остальных, представленных в настоящей статье, так как предполагает определение затрат, которое возможно произвести как на этапе планирования, так и на этапе оценки фактически полученных результатов. Это не должно вводить читателя в заблуждение. У каждого метода есть свои минусы. Именно поэтому, чтобы более полно проиллюстрировать конечный эффект от внедрения ИТ-систем, помимо финансовых методов мы вынуждены использовать методы нефинансового анализа. И применение всех трех групп методов в конце концов приводит нас к верной оценке эффективности ИТсистем. 43 Управление ИТ-рисками 1. ИТ-риск: понятие, подходы к классификации Общеизвестным является тот факт, что значительная доля проектов в области ИТ являются неудачными в части соответствия целям, бюджету или срокам – в среднем в мире этот показатель превышает 50%, а в государственном секторе даже 70%. Во многом такие проблемы связаны с недостаточно полным и качественным управлением рисками. Однако необходимо отметить, что при принятии решений о внедрении необходимо корректно и полно анализировать и риски бизнеса для своего рода «нулевого» варианта, когда оценивается ситуация: «а что будет, если не внедрять систему?». Под риском проекта понимают потенциальную, численно измеримую возможность неблагоприятных ситуаций и связанных с ними последствий в виде ущерба, убытков, неблагоприятного изменения основных управляемых параметров проекта. Такие ситуации могут возникать в связи с неопределенностью, то есть со случайными изменениями условий экономической деятельности, неблагоприятными, в том числе форс-мажорными, обстоятельствами, а также в связи с возможностью получения непредсказуемого результата в зависимости от предпринятого или не предпринятого действия. Одна из основных причин возникновения риска это неадекватное управление основными процессами. У бизнеса существует достаточно много рисков от которых необходимо защищаться. Деловые риски бизнеса как правило разбиваются на риски финансовые и операционные. Финансовые риски достаточно хорошо изучены и существуют достаточно эффективные методы управления финансовыми рисками. Риски операционные и меют другую природу. Они следуют из операций совершаемых бизнесом. Операционные риски зависят прежде всего от различных внешних событий (форс-мажор) и связаны с потерей качества продукта, нарушением организации и работы, потерей интеллектуальной собственности и управления. Поскольку ИТ является значительной частью операционной деятельности бизнеса, то и ИТ риск являются не менее значительной частью Операционных рисков. В 2008 г. компания HP анонсировала результаты глобального исследования об ИТ-рисках и их связи с бизнес-рисками, в котором приняли участие 1 125 ИТ-специалистов из 20 стран. В ходе исследования, которое по заказу компании НР провело аналитическое агентство Economist Intelligence Unit, были опрошены ИТ-специалисты в странах Европы, Ближнего Востока, Америки и Азиатско-Тихоокеанского региона. Согласно данному исследованию (HP,2008), главные источники ИТ-рисков: большой объем изменений, возрастающая сложность систем бреши в системах безопасности. 75% респондентов сказали, что управление корпоративными рисками в их организациях тесно связано с управлением ИТ-рисками. 25% респондентов констатировали, что половина вынужденных простоев обусловлено изменениями. 44 68% респондентов определяют уязвимости в безопасности приложений вручную. Только 28% респондентов считают, что используемые ими процессы защиты приложений являются зрелыми. Основные места возникновения рисков. Классификация рисков в целом: внешние (макроэкономические, страновые, отраслевые и пр.): влияние обменных курсов валют, мировых цен на сырье и продукцию, индексов инфляции, налоговой среды и другие. Риски, связанные с политической и законодательной ситуацией в стране или странах, где работает предприятие, относят к «страновым» рискам. Выделяют также отраслевые риски – технологические и производственные, маркетинговые, реформирование индустрии и др. внутренние (проектные) риски: управленческие, организационные, технологические; риски, связанные с контрагентами (в том числе компаниями – партнерами по внедрению), с корпоративной культурой компании и др. ИТ-риски можно условно разделить на две группы: риски, связанные с обеспечением непрерывности бизнеса риски реализации новых проектов. Классификация ИТ-рисков (Компания Symantec): 1. Риски безопасности (внутренние и внешние угрозы) ―Не пропускать плохие вещи и удерживать хорошие‖ Риск того что информация будет испорчена, изменена или неправомерно получена. 2. Риски доступности (стихийные бедствия и отказы систем) ―Поддерживайте работоспособность систем, гарантируйте быстрое восстановление‖ Риск того, что информация будет недоступна из-за отказа систем или стихийного бедствия. 3. Риски производительности (производительности приложений и ИТ компонентов) «Оптимизируйте ресурсы, поддерживайте актуальные конфигурации» Риск того, что снижение производительности систем, 45 приложений или персонала или ИТ целиком уменьшит производительность бизнеса 4. Риск соответствия (ИТ-политики и внешние нормы) Риск того, что процедуры обработки, хранения и производства информации не будут соответствовать требования бизнеса или внешним нормам. Кроме того, отдельные авторы выделяют также 5. Риски оценки сроков. Для большинства ИТ-проектов (особенно в проектах по разработке и внедрению программного обеспечения) характерны ошибки в оценках сроков работ проекта. 6. Интеграционные риски. Интеграционные риски в ИТ-проектах, особенно в крупных компаниях, всегда высоки, поскольку любое ИТ решение должно быть интегрировано в существующую инфраструктуру. Наиболее характерны риски перехода на новую систему, которые включают в себя расходы на остановку предприятия во время внедрения ИТ решений, обучение персонала и т.д. 7. Риски не принятия продукта проекта пользователями. Любой проект, в т.ч. в ИТ сфере – это в первую очередь изменение технологии работы. Техническая составляющая любого проекта, безусловно важна, но не менее важна организационная часть. 8. Коммерческие риски. Это риски, связанные с выбором технологии и поставщика. Необходимо оценить успешность технологии на рынке, ее актуальность на протяжении жизненного цикла ИТ-проекта, доступность необходимого аппаратного и программного обеспечения, его качество, частоту модернизации. После первичной идентификации рисков необходимо оценить их относительную важность. Для этого достаточно удобной на практике является оценка таких параметров риска, как вероятность его возникновения (от пренебрежимо малой до значительной) и последствия для проекта (от незначительных – т.е. не приводящих к значимым изменениям в сроках, результатах и бюджете проекта до катастрофических, когда реализация проекта вынужденно прекращается). Каждый из этих параметров оценивается на основании экспертного мнения, а значимость риска прямо пропорциональна величине вероятности и последствиям. Полученная оценка может быть использована для двух целей. Во-первых, приоритизация позволяет правильно распределить усилия на планирование и последующее выполнение мероприятий, направленных на минимизацию последствий рисков. Во-вторых, при расчете эффекта от проекта целесообразно для получения объективной картины использовать поправки на риск. Мифология ИТ-рисков Корпорация Symantec выпустила второй том отчета об отношении организаций к управлению ИТ-рисками, составленный на основе анализа более чем 400 углубленных, систематических опросов ИТ-профессионалов во все мире, из которого следует, что уровень осведомленности организаций о важности управления ИТ-рисками повышается, тем не менее, некоторые заблуждения по-прежнему сохраняются. Отчет показывает, что 53% всех ИТ-инцидентов вызвано проблемами, связанными с технологическими 46 процессами, однако ИТ-руководители часто недооценивают частоту случаев утечки данных. Общие заблуждения, или мифы, связанные с ИТ-рисками: миф о том, что управление ИТ-рисками сосредоточено только на ИТ-безопасности; миф о том, что управление ИТ-рисками представляет собой проект; миф о том, что с ИТ-рисками можно справиться исключительно при помощи технологии; Миф первый: ИТ-риск — это риск безопасности Риски безопасности и соответствия нормативам часто привлекают внимание ввиду того, что инциденты данного типа бросаются в глаза и имеют далеко идущие последствия — 63% респондентов оценили как оказывающие серьезное влияние на их бизнес инциденты, связанные с утечкой данных. Однако к рискам готовности относятся все серьезнее: 78% опрошенных оценили как «критический» или «серьезный» риск риск готовности — при том, что для рисков безопасности, производительности и соответствия нормативным требованиям эта оценка составила соответственно 70%, 68% и 63%. Недавно ученые Дартмутского колледжа и Университета штата Вирджиния установили, что гипотетический отказ системы диспетчерского управления и сбора данных (SCADA) на нефтеперегонном заводе может привести к последствиям, влияние которых оценивается в $405 млн, причем поставщик понесет убытки только в $255 млн, тогда как остальные потери лягут на плечи других участников цепочки поставок. Миф второй: управление ИТ-рисками — это проект Миф о том, что управление ИТ-рисками можно осуществлять в рамках единого проекта или даже ряда отдельных мероприятий, проводимых в течение определенного бюджетного периода или года, игнорирует динамическую природу внутреннего и внешнего управления ИТ-рисками. Чтобы идти в ногу с меняющимися условиями, в которых приходится работать современным предприятиям, управление ИТ-рисками должно быть организовано как непрерывный процесс. Цифры, указывающие частоту ИТ-инцидентов разного типа: 69% респондентов ожидает мелких ИТ-инцидентов раз в месяц; 63% респондентов ожидает серьезных ИТ-инцидентов каждый год 26% ожидает как минимум раз в год инцидентов, связанных с несоблюдением нормативных требований; 25% ожидает как минимум раз в год инцидентов, связанных с утечкой данных. Отчет показал, что наиболее систематического подхода. эффективные организации придерживаются Миф третий: ИТ-риски можно уменьшить при помощи одной лишь технологии Хотя технология играет важную роль в предотвращении ИТ-рисков, эффективность программы управления ИТ-рисками определяют также люди и процессы, обслуживаемые 47 этой технологией. Однако, согласно отчету, 53% ИТ-инцидентов вызваны проблемами, связанными с технологическими процессами. 2. Подходы к управлению ИТ-рисками Управление рисками в современных преуспевающих организациях является тщательно планируемым процессом. Процесс управления рисками должен рассматриваться не как отдельно стоящая задача, требующая решения, а как часть изменения общей корпоративной системы управления. Управление рисками ИТ-проектов - это определение, оценка и контроль эффекта, внутренних и внешних факторов, которые могут негативно повлиять на стоимость и процесс внедрения новых информационных технологий в компании. Под управлением рисками понимают совокупность методов анализа и нейтрализации факторов риска. Цель управления рисками - повышение эффективности бизнеса за счет контроля деятельности компании и максимальная отдача от используемой методики. Задача управления рисками проектов ИТ - своевременное определение факторов, связанных с внедрением информационной системы или системы автоматизации, которые могут негативно повлиять на реализацию проекта внедрения, а также оптимальное планирование действий по минимизации этих факторов. Основные принципы управления: Разбивать крупные проекты на более мелкие (принцип «Дельфины вместо китов»). Однако следует добиваться не локальных успехов, а реализации решения в целом. Привлекать независимых (не включенных в проектную команду) экспертов для оценки рисков. Если все решения по рискам проекта принимают только люди, которые изначально мотивированы на успех проекта, многие технические и технологические трудности могут рассматриваться как несущественные. Учитывать риски связанные с организационной составляющей проекта. Следует детально продумать систему организации и протоколирования проектных встреч, согласования документов, принятия результатов, обучение пользователей и т.п. Управление рисками проекта, в целом, включает следующие процессы: выявление и идентификацию предполагаемых рисков; анализ и оценку рисков; выбор методов управления риском; применение выбранных методов управления риском; реагирование на наступление рискового события; разработку и реализацию мер по снижению рисков; контроль, анализ и оценку действий по снижению корректирующих решений. рисков; выработку Управление рисками охватывает весь цикл проекта – от подготовки до завершения, но наиболее важным (особенно в контрактах с фиксированными сроками и стоимостью) будет правильная и «честная» оценка будущих рисков на стадии подготовки проекта. Методы управления проектными рисками 48 Число и продолжительность внеплановых простоев имеют вероятностную природу, сходную с природой рисков, поэтому в области ИТ управление рисками является одним из требований со стороны пользователей, руководства и владельцев бизнеса. В терминах управления риском последний определяется как произведение вероятности (частоты) проявления события (сбоя) и величины его последствий. Возможные комбинации частоты проявления и величины последствий рисковых случаев удобно представлять в виде матрицы уровней риска (risk-level matrix). Пример матрицы 3х3 приведен ниже. Матрица уровней рисков В конечном счете, все рисковые события можно сгруппировать по трем основным категориям: высокий уровень риска, средний и малый. При этом события с высоким уровнем риска необходимо предотвращать, событиями со средним уровнем риска нужно управлять, а события с низким уровнем риска приходится игнорировать. На матрице области 1-3 соответствуют низкому уровню риска, области 4-6 - среднему, а области 7-9 высокому. Наиболее "интересными" являются риски среднего уровня (области 4-6), поэтому в дальнейшем будут рассматриваться преимущественно они. Таблица 1. Основные методы управления проектными рисками При управлении рисками следует учитывать 3 ключевых параметра: 1. среднее время между сбоями; 2. среднее время восстановления работоспособности; 3. степень влияния сбоя (величина ущерба). 49 Целью управления рисками соответственно может являться снижение уменьшение влияния сбоя, увеличение среднего времени между сбоями и/или уменьшение времени восстановления. При оптимизации стоимости управления необходимо учитывать два фактора: человеческий (наличие эксплуатирующего персонала) и временной (назначенный срок службы). Необходимость в обслуживающем персонале связана с тем, что современные системы управления являются преимущественно автоматизированными, но не автоматическими. Их производители делают ставку на человеческий интеллект, усиленный ИТ-средствами и упорядоченностью процессов эксплуатации. Дело в том, что, во-первых, причины сбоев нередко невозможно объяснить на основе информации, накопленной системой управления. Во-вторых, необходимо адекватное реагирование на любые, в том числе нестандартные и быстро меняющиеся, ситуации. На современном уровне развития технологии пока не могут составить конкуренцию человеческому интеллекту. Наличие службы эксплуатации оправданно только при достаточно большом количестве сбоев. В противном случае стоимость устранения каждого сбоя окажется неоправданно высокой (персонал будет недозагружен). Однако именно сокращение числа сбоев позволяет уменьшить штат эксплуатирующего персонала, а за счет этого - повременную составляющую стоимости управления. Методы управления ИТ-ресурсами Резервирование Резервирование обеспечивается за счет аппаратной избыточности: чем ниже надежность устройства, тем выше требуемая степень избыточности. Добавление одного дополнительного устройства приводит к повышению результирующей надежности на 40%, двух - на 73%, трех - на 100%. Другими словами, добавление второго устройства дает прирост готовности 33%, а третьего - 27%. Зависимость между результирующей готовностью и необходимым количеством избыточных устройств имеет затухающий характер, вследствие чего существует некое пороговое значение n, при достижении которого дальнейшее повышение уровня готовности окажется экономически невыгодным. Метод резервирования позволяет снизить степень влияния сбоя. Достоинства: можно отказаться от расходов на управление (обслуживание) системой в течение назначенного срока службы. Недостатки: результаты расчета применимы только к аппаратному обеспечению, поскольку характер проявления ошибок ПО изучен недостаточно. Чтобы воспользоваться результатами расчета применительно к сбоям ПО, необходимо обеспечить возможность восстановления работоспособности устройства (например, путем его перезапуска) при возникновении программных (не фатальных) сбоев, однако большая часть ресурсов оборудования расходуется при этом "вхолостую". Применимость: назначенный срок службы системы должен быть меньше среднего времени наработки на отказ ее отдельных компонентов. 50 Проактивное управление Уменьшая время использования отдельного устройства, можно добиться достаточно малой вероятности его выхода из строя. В "классическом" виде проактивный подход предусматривает регулярную замену компонентов на новые (аналогично тому, как при техобслуживании автомобилей после определенного пробега меняют ремни газораспределительного механизма). Например, жесткие диски заменяют по истечении гарантийного срока, т.е. через три года, а не после их выхода из строя. График и периодичность замены определяются требованиями к готовности системы, вероятностью отказа единичных устройств как функции от времени и назначенным сроком службы системы. Оптимальный срок службы устройства определяется балансом между стоимостью превентивной замены устройства и снижением уровня риска благодаря этой замене. Достоинства: расходы на управление (обслуживание) системой в течение назначенного срока службы могут быть рассчитаны; достижим практически любой уровень готовности системы для практически любого назначенного срока ее службы. Недостатки: доля используемого ресурса оборудования относительно мала. Применимость: в общем случае данный подход применим только к аппаратному обеспечению. Он особенно выгоден, если срок службы системы превосходит среднее время наработки на отказ устройств. В этом случае выход из строя каждого устройства превращается из возможного события в неизбежное. А если время простоя также является важным фактором, то превентивная замена в запланированный период обеспечит наименьшую сумму стоимости управления и неуправления. Побочным результатом применения проактивного подхода является высвобождение большого количества компонентов с практически неиспользованным ресурсом по наработке. Обычно они перепродаются со скидкой (что позволяет дополнительно снизить стоимость решения) либо используются для модернизации менее важных узлов. Разновидностью проактивного управления является внедрение процессов управления проблемами, релизами, мощностями и т.п. На основании сведений о проявлениях и причинах сбоев устанавливается их корневая причина (например, эксплуатируется устаревшая версия программного драйвера), после чего выполняются действия по ее устранению (например, программный драйвер обновляется на всех устройствах, даже не подвергшихся сбою). Данный подход наилучшим образом применим в областях 6 и 5 матрицы, рассмотренной выше, но малопригоден для области 4 (небольшая частота сбоев). В отличие от резервирования и "классического" проактивного управления, этот подход одинаково применим к сбоям оборудования и ПО, а также к событиям, связанным с производительностью, безопасностью и т.п. Явных недостатков у него нет. Однако его использование возможно лишь при наличии персонала, занимающегося изучением и устранением проблем, применении средств автоматизации сбора и анализа сведений о сбоях, а также при определенном уровне зрелости процессов эксплуатации. Управление инцидентами Речь идет о классическом процессе возобновления работы после сбоя. Например, в случае аварийного завершения программного процесса выполняется его перезапуск. 51 Достоинства: в отличие от резервирования и "классического" проактивного управления, данный метод позволяет максимально рационально использовать ресурс оборудования (он полностью вырабатывается - вплоть до выхода устройства из строя). Этот метод одинаково применим к сбоям оборудования, ПО и виртуальных объектов (например, сервисов). Его результаты не зависят от времени наработки на отказ компонентов и назначенного срока службы системы. Метод управления инцидентами применим также к событиям, связанным с производительностью, безопасностью и т.п. Он может задействоваться в условиях эволюции (развития и модернизации) объектов управления. Недостатки: иногда подразумевает простой оборудования в период восстановления его работоспособности после сбоя. Эта проблема решается за счет резервирования наиболее важных компонентов ИТ-ресурсов. Применимость: необходима автоматизированная система мониторинга и управления, требуются эксплуатирующий персонал для обнаружения и устранения инцидентов и внедрение процесса управления инцидентами. Данный подход применим для сбоев средней частоты и воздействия (область 5), но управление относительно безобидными инцидентами из области 6 (которые можно было бы игнорировать, если бы не их количество) приведет к росту общей стоимости каждого из них (добавится стоимость управления). В области 4 (отсутствие регулярных сбоев) затраты на службу эксплуатации могут оказаться необоснованными. Заблаговременное прогнозирование Данный подход предполагает прогнозирование изменения состояния ИТ-ресурсов, в том числе с учетом предполагаемых изменений внешних (по отношению к объекту управления) факторов. Его применение особенно выгодно, если неизбежна задержка между обнаружением сбоя и реагированием на него (например, при выходе из строя ретранслятора на вершине сопки). Если отслеживать изменения параметров оборудования, можно заблаговременно прогнозировать выход их значений за границы допустимого диапазона и планировать ремонтно-восстановительные работы. С математической точки зрения задача состоит в анализе связей между несколькими независимыми переменными и зависимой переменной. Для решения этой задачи обычно используются процедуры множественной регрессии. В общем случае зависимость может иметь нелинейный характер, но для "разумных" периодов линейная интерполяция прогнозирования применима. Этот подход может успешно использоваться в тех случаях, когда трудно обосновать непосредственную взаимосвязь между какими-либо показателями, например между повышением производительности труда бизнес-подразделений и увеличением расходов на ИТ. Достоинства: позволяет прогнозировать поведение контролируемых параметров, а также ожидаемый эффект от тех или иных изменений. Недостатки: высокие требования к квалификации персонала, необходимость предварительной разработки (для целей прогнозирования) моделей поведения объектов управления. 52 Применимость: необходим персонал, занимающийся изучением предполагаемых "внешних" изменений и расчетом необходимой модернизации объектов управления, требуется определенный уровень зрелости процессов эксплуатации. Должны быть внедрены автоматизированные средства контроля над состоянием и загрузкой объектов управления (в противном случае сбор данных для прогнозирования будет занимать слишком много времени), процессы управления инцидентами и проблемами, а также уровнями сервиса (обеспечивают исходные данные для прогнозирования). Методы управления рисками для ИТ Применительно к ИТ указанные в табл. 1 методы управления проектными рисками можно интерпретировать следующим образом (табл. 2). Таблица 2. Методы управления проектными рисками для ИТ Рассмотрим применимость методов управления к рискам среднего уровня, относящимся к разным областям матрицы, с целью снижения стоимости неуправления (табл. 3). Таблица 3. Применимость методов управления к рискам среднего уровня Метод "Уменьшить". К области 6 применимо проактивное управление (релизами, проблемами, мощностями конфигураций, изменениями и т.п.), внедрение систем управления. Управление инцидентами не всегда может быть использовано, если сбои носят краткосрочный характер (например, при сбое одного из маршрутизаторов Internet время реакции персонала превысит время поиска альтернативного маршрута протоколом маршрутизации). Область 5 - реактивное управление (управление инцидентами, внедрение автоматизированных систем управления) и/или проактивное (например, превентивная замена оборудования). Прямое применение метода "Уменьшить" в области 4 затруднено из-за чрезвычайно высокой степени влияния сбоя (угроза жизни людей) либо объективной невозможности устранить сбой (отказ оборудования космического аппарата). 53 Однако при наличии системы диагностики можно контролировать изменение параметров объекта управления, прогнозировать возможность выхода значений параметров за границы заданного диапазона и выполнять упреждающие действия. Метод "Делегировать". В области 4 аутсорсинг не всегда уместен, поскольку при высокой степени влияния каждого сбоя появляется дополнительный фактор риска ("непрозрачность" организации-подрядчика). В области 6 надо учитывать, что размер страховых взносов должен превышать среднестатистические показатели убытков, и при очень большой частоте сбоев страхование окажется экономически неоправданным. Зато экономически оправданным будет использование профессионализма подрядчика. С учетом достаточно больших частоты и степени влияния сбоев можно сделать вывод, что в области 5 делегирование осуществимо только путем инсорсинга (т.е. с помощью "домашней" эксплуатирующей организации). Метод "Смягчать". В области 4, с учетом небольшой частоты сбоев, применение резервных компонентов (в том числе создание резервных центров) позволит снизить степень влияния сбоев. В области 5 полезно выборочное резервирование компонентов, оказывающих наибольшее влияние на остальные ИТ-ресурсы. В области 6 применение данного метода не рекомендуется, поскольку это приведет к росту числа сбоев вследствие увеличения количества устройств. Метод "Планировать". В области 4 обычно разрабатываются планы восстановления после катастроф. В области 5 создаются инструкции по устранению инцидентов и графики превентивной замены оборудования. В области 6 применяются инструкции по разработке релизов, их тестированию и внедрению. Из табл. 3 видно, что не все методы управления пригодны для конкретных областей. Однако для каждой области могут быть применены несколько методов управления. Следует учитывать, что кроме перечисленных выше подходов разработаны также методологии управления ИТ-рисками, в т.ч. CORAS , OCTAVE или CRAMM. Ниже для ознакомления приведена статья, посвященная данным методологиям. «Методология управления ИТ-рисками» (в ознакомительных целях) К сожалению, не существует очевидных правил, утверждающих, в каком конкретном случае следует применять ту или иную методологию управления ИТ-рисками, например CORAS , OCTAVE или CRAMM. В российских компаниях ситуация осложняется ограничениями отечественных программных продуктов, предназначенных для оценки и управления ИТ-рисками. Большинство из них базируются не на методологиях управления ИТ-рисками, а на стандартах информационной безопасности, например BS7799 или ISO17799, а потому позволяют определить не уровень ИТ-рисков, а степень соответствия тому или иному стандарту. Кроме того, обычно они не учитывают мнения владельцев информационных активов при определении величин потенциального ущерба. CORAS. Методология CORAS разработана в рамках программы Information Society Technologies. Ее суть состоит в адаптации, уточнении и комбинировании таких методов проведения анализа рисков, как Event-Tree-Analysis, цепи Маркова, HazOp и FMECA. 54 CORAS использует технологию UML и базируется на австралийском/новозеландском стандарте AS/NZS 4360: 1999 Risk Management и ISO/IEC 17799-1: 2000 Code of Practiсe for Information Security Management. В этом стандарте учтены рекомендации, изложенные в документах ISO/IEC TR 13335-1: 2001 Guidelines for the Management of IT Security и IEC 61508: 2000 Functional Safety of Electrical/Electronic/Programmable Safety Related. В соответствии с CORAS информационные системы рассматриваются не только с точки зрения используемых технологий, но с нескольких сторон, а именно как сложный комплекс, в котором учтен и человеческий фактор. Правила данной методологии реализованы в виде Windows- и Java-приложений. OCTAVE. Методология OCTAVE (Operationally Critical Threat, Asset and Vulnerability Evaluation) была разработана в Институте программной инженерии при Университете Карнеги—Меллона и предусматривает активное вовлечение владельцев информации в процесс определения критичных информационных активов и ассоциированных с ними рисков. Ключевые элементы OCTAVE: идентификация критичных информационных активов; идентификация угроз для критичных информационных активов; определение уязвимостей, ассоциированных с критичными информационными активами; оценка рисков, связанных с критичными информационными активами. OCTAVE предусматривает высокую степень гибкости, достигаемую путем выбора критериев, которые предприятие может использовать при адаптации методологии под собственные нужды. Методология разработана для применения в крупных компаниях, а ее растущая популярность привела к созданию версии OCTAVE-S для небольших предприятий. Имеются коммерческие программные продукты, реализующие положения OCTAVE. CRAMM. Методология CRAMM (CCTA Risk Analysis and Management Method) разработана британским Центральным компьютерным и телекоммуникационным агентством в 1985 году и применяется как для крупных, так и для небольших организаций правительственного и коммерческого сектора. Версии программного обеспечения CRAMM, ориентированные на разные типы организаций, различаются своими базами знаний, или «профилями». CRAMM предполагает использование технологий оценки угроз и уязвимостей по косвенным факторам с возможностью проверки результатов. В нее заложен механизм моделирования информационных систем с позиции безопасности с помощью обширной базы данных по контрмерам. CRAMM нацелен на детальную оценку рисков и эффективности предполагаемых к использованию комбинаций различных контрмер. Имеются коммерческие программные продукты, реализующие положения CRAMM. В частности, компания Siemens предлагает продукты CRAMM Expert и CRAMM Express. Оценка методологий До принятия решения о внедрении той или иной методологии управления ИТ-рисками следует убедиться, что она достаточно полно учитывает бизнес-потребности компании, ее масштабы, а также соответствует лучшим мировым практикам и имеет достаточно 55 подробное описание процессов и требуемых действий. В качестве критериев оценки при сравнении методологий управления ИТ-рисками целесообразно воспользоваться стандартом COBIT Аббревиатура COBIT (Control Objectives for Information and Related Technologies) подразумевает под собой набор документов, в которых изложены принципы управления и ИТ-аудита, основанные на лучших мировых практиках. В качестве критериев оценки методологий управления ИТ-рисками можно использовать инструкции COBIT по аудиту ИТ-процесса «Оценка рисков». Используя COBIT для анализа методологий управления ИТ-рисками, следует учитывать, что существуют некоторые ограничения. Например, методология OCTAVE предусматривает адаптацию к конкретным условиям применения, а COBIT нет. При выборе методологии управления рисками не последнюю роль играют стоимость и время внедрения. Эти параметры не включены в оценку, так как они субьективны и могут сильно варьироваться в разных компаниях. Метод сравнительного анализа не учитывает объем, в котором компания планирует внедрение методологии, то есть, организация может поставить своей целью только выявление и оценку величины рисков без управления ими или без мониторинга. Согласно стандарту COBIT, концепция управления рисками подразумевает обход риска, его снижение или принятие. Такой способ управления рисками, как их перенос (т.е. страхование), не рассматривается. Перенос риска обычно используется в тех случаях, когда вероятность наступления нежелательного события мала, а потенциальный ущерб относительно высок. Оценка CORAS При оценке степени соответствия методологии CORAS выбранным критериям CobiT выяснилось, что она не предусматривает такой эффективной меры по управлению ИТрисками, как «Программа повышения информированности сотрудников в области информационной безопасности». Такая программа позволяет снизить ИТ-риски, связанные с нарушениями режима информационной безопасности сотрудниками компании по причине их неосведомленности в отношении корпоративных требований в этой области и правил безопасного использования информационных систем. Также в CORAS не предусмотрена периодичность проведения оценки ИТ-рисков и обновление их величин, что свидетельствует о том, что методология пригодна для выполнения разовых оценок и не годится для регулярного использования. Несмотря на то, что в CORAS заложена возможность разработки рекомендаций для выбора тех или иных мер по снижению рисков, она не позволяет оценить эффективность инвестиций, вложенных во внедрение мер безопасности, так же как не дает возможности найти правильный баланс между мерами, направленными на предотвращение, выявление, исправление или восстановление информационных активов. Кроме того, в CORAS не предусмотрены механизмы оценки эффективности способов управления и отсутствует формализованная процедура принятия остаточных рисков. Положительной стороной CORAS является то, что программный продукт, реализующий эту методологию, распространяется бесплатно и не требует значительных ресурсов для установки и применения. Оценка OCTAVE 56 Мониторинг рисков не является сильной стороной OCTAVE, несмотря на то что так же, как и две другие методологии, полностью отвечает критериям категории «Риски». OCTAVE предусматривает регулярное проведение оценки ИТ-рисков и обновление их величин как части процесса оценки рисков. В случае когда стратегия управ ления рисками определена, OCTAVE предполагает использование в качестве способов снижения рисков только его снижение и принятие. Такой способ управления рисками, как обход (исключение), не используется. OCTAVE подразумевает адаптацию методологии к конкретным условиям применения, например к размеру компании, виду бизнеса, требованиям законодательства и тех или иных стандартов и пр. OCTAVE не дает количественной оценки рисков, однако качественная оценка может быть использована в определении количественной шкалы их ранжирования. В оценку могут включаться различные области рисков, которые, за исключением технических рисков и рисков нарушения законодательства, напрямую не включены в методологию. Таковые учитываются косвенно, в ходе проведения интервью с владельцами информационных активов, во время которых выясняется, какие последствия могут наступить в случае реализации угроз. Данная методология не дает четких инструкций по организации мониторинга состояния рисков, но подчеркивает важность его наличия. Методология полностью удовлетворяет требованиям по оценке эффективности мер по снижению рисков и структурированному подходу к управлению рисками. Оценка CRAMM Эта методология не учитывает, например, наличие или отсутствие «программ по повышению информированности сотрудников в области информационной безопасности», сопроводительной документации, такой как описание бизнес-процессов или отчетов по проведенным оценкам ИТ-рисков. В отношении стратегии работы с рисками CRAMM предполагает использование только методов их снижения. Такие способы управления рисками, как «обход» или «принятие», не рассматриваются. Сильная сторона методологии — идентификация элементов риска: материальных и нематериальных активов и их ценности, угроз, мер безопасности, величины потенциального ущерба и вероятности реализации угрозы. Методология CRAMM использует количественные и качественные способы оценки ИТ-рисков, однако не определяет условий, при которых последние могут быть приняты компанией, и не включает в себя расчет возврата инвестиций на внедрение мер безопасности, несмотря на то, что принятие решения о применении той или иной меры должно базироваться не только на величине риска, но и на стоимости ее реализации и владения. Методология CRAMM имеет существенные недостатки. В ней отсутствуют: процесс интеграции способов управления и описании назначения того или иного способа; мониторинг эффективности используемых способов управления и способов управления остаточными рисками; перерасчет максимально допустимых величин рисков; процесс реагирования на инциденты. 57 Практическое применение CRAMM сопряжено с необходимостью привлечения специалистов высокой квалификации; трудоемкостью и длительностью процесса оценки рисков, который может потребовать многих месяцев непрерывной работы высококвалифицированных специалистов; необходимостью обработки вручную сотен страниц отчетной документации, генерируемых программным инструментарием CRAMM; проблемой русификации программного обеспечения и выходных форм. Кроме того, следует отметить высокую стоимость лицензии. Рассмотренные выше методологии хорошо соответствуют требованиям групп «Риски» и «Менеджмент», но все они имеют недостатки в соответствии с разделами «Мониторинг» и «Управление». Все три метода не предполагают расчета оптимального баланса различных способов управления, не имеют средств интеграции способов управления и не дают механизмов управления рисками остаточного уровня. Так же во всех трех методологиях не производится оценка качества процесса реагирования на инциденты в области информационной безопасности. Ни одна из методологий не дает подробных рекомендаций по поводу составления расписания проведения повторных оценок ИТ-рисков, и в двух методологиях совершенно упущено из виду обновление величин рисков. В случае если требуется выполнить только разовую оценку уровня ИТ-рисков в компании любого размера, целесообразно применять методологию CORAS. Для управления ИТрисками на базе периодических оценок на техническом уровне лучше всего подходит CRAMM. Методология OCTAVE предпочтительна для использования в крупных компаниях, где предполагается внедрение управления ИТ-рисками на базе регулярных оценок на уровне не ниже организационного и требуется разработка обоснованного плана мероприятий по их снижению. Построение системы управления ИТ-рисками является более сложной задачей, нежели выбор методологии, и требует не только хороших теоретических знаний, но и практического опыта внедрения. Следует заранее предпринять действия, чтобы не допустить типичных ошибок, которые состоят в отсутствии доверия к полученным результатам оценки ИТ-рисков со стороны руководства, недостаточной обоснованности расходов на снижение ИТ-рисков, а также в сопротивлении внедрению мер снижения ИТрисков в бизнес-подразделениях и технических службах. 58
