2021年十大风险 第 2 部分 新风险概览 (2)

 2021 年 7 月 12 日 

风险特征

金融机构要减少与变革管理项目相关的风险，应该如何确定工作重点?证据表明，所有高风险项目都有许多共同的关键特征。英国金融行为监管局(FCA)评估发现了其中一些特征，都在意料之内。这些项目有外部依赖性，截止日期十分紧迫或没有明确的目标；此外一些所谓“重大”项目非常复杂，没有分割成更加容易管理的小项目，因此增加了风险。传统银行和保险公司还面临一个特殊问题，即涉及遗留技术替换的项目。这些项目多年来一直在“缝缝补补”，与较新的应用程序一起运行，包括涉及组织内部未使用的技术或使用区块链、人工智能和机器学习等新兴技术的应用程序。

另一类风险较高的项目是那些涉及大量海外工作人员的项目。在这一点上，第三方的影响并不总会得到充分考虑，因此需要就第三方责任进行更明确的沟通。另一个重要的风险因素则是在支付等行业，金融企业越来越依赖于不受监管的公司提供的技术或技术服务。

治理的重要性

许多金融机构利用治理机构(变革顾问董事会)来支持变革的评估、优先排序、授权和日程安排。金融机构使用变革管理也不是什么新鲜事。事实上，评估发现，大多数接受调查的实体实际上都已经制定了“严格的治理安排”。与此相关的一个关键发现是虽然不到2%的技术变革会出问题，但由于数量巨大，因此造成的影响也十分显著，其中14%会对客户产生影响。

随着公司加速数字化以实现远程工作，客户偏好转向数字化渠道以及投资以提高效率、提高生产率和盈利能力，高级管理层必须格外小心地规划变革项目的实施和风险管理。有效的项目管理对于提高变更管理的成功率，尤其是确保实现战略目标、确保高标准的风险管理和质量控制至关重要。

有效的治理需要从高级管理人员开始做起，他们应该采取步骤来确保有效的运营环境。治理安排落实有效的时间越久，往往成功率更高。需要注意的是，这种安排的落实不应听之任之，最好的做法应当是定期审查，以确保有关安排可以充分应对任务需求，而不是临时进行审查。当技术和业务模型继续和当前一样快速发展时，任务本身也可能会发生变化。除了高级管理层，非执行董事还应通过挑战变革计划来加强治理。虽然董事会负有最终责任，但首席运营官或其他高级管理层成员应该对管理技术变革负有直接和具体的责任。当然，在英国等一些司法管辖区，高级管理职能负责人承担了规定的责任，如果他们未能采取合理措施，出现问题时将承担责任。

持续投资和变革的重要性

英国金融行为监管局(FCA)的评估还揭示了较低水平的遗留基础设施和技术变革成功率之间的直接关联。

此外，遗留基础设施较少的金融机构不太可能选择在紧急情况下进行IT变革，而这些变革也往往更加成功，形成了一种良性循环。就其本质而言，快速实施的紧急变革会增加错误和风险发生的可能性，导致任何现有的弱点被进一步放大。因此很显然，投资于更新和部署最新技术，除了可以利用最新技术提高效率和实力，金融机构还可以享受到其他好处。

因此，不愿投资IT是一种错误的选择。评估数据显示，将较高比例的IT预算投资于变革活动的金融机构，往往在变革上不会遇到问题。“少而常”的原则不无道理。定期更新IT技术的理念是在提醒我们，与一次性的风险管理相比，将变革风险管理作为日常项目管理的一部分更有可能取得成功。

云基础设施

公共云服务提供商正迅速成为金融基础设施的一部分。它们按需提供计算服务和基础设施，由第三方管理，并与多个实体共享。金融机构越来越依赖云计算，因为云计算能够降低成本，使企业能够根据需要采用和扩展新技术，加速数字化转型，促进强制性数据分析。尽管它们会减少监督和直接控制，但使用云进行变革管理的一个好处是可以实现更频繁的变更周期和更大程度的自动化，不断重复，达到一致性。这不仅不再需要进行一次性的“大换血”变革，并降低了有关技术变革人为造成的风险，而且还提高了出现问题时企业的应对能力。

事故应对计划的重要性

即使是管理得最好的变革项目也不能保证实施过程中完全没有问题，就算没有问题，项目的持续运营过程中也不能确保一定不会出现状况。由于这些现实情况以及越来越广泛的技术应用，人们认识到，运营IT风险及相应的运营IT韧性变得越来越重要，监管机构也因此开始强调适当的系统和控制、管理报告和对高级管理人员职责的明确。最近发生了一些广受关注的技术变革管理失败案例，造成了严重的破坏和客户损害。因此，在变革过程之中以及之后，金融机构必须制定健全的IT和网络事件应对计划。首先，金融机构应确定其关键业务服务，包括人员、流程、设施、信息，特别是支持这些服务的技术。他们必须对每一种技术有清晰的治理，对这些技术处理的数据，以及如何控制数据处理或恢复对数据处理的控制有清晰的理解。一个强大的事故响应计划还需要明确的升级和报告程序，对报告义务的充分理解，以及可信赖的合作伙伴(包括法务公司和律师事务所)，他们在发生事故时可以随时随地帮助处理事故。

虽然客户未来可能会受益于更强的运营平台，但如果技术变革导致服务中断，或变革后技术风险的增加未能得到适当的管理，技术故障或漏洞造成的监管和声誉破坏不久就会抵消运营平台为业务创造的便利。在当前这个快速变化的时代，要想把握新技术带来的机遇，必须改进运营风险管理能力和实践。

2021年度运营风险排名

*以下风险排名只是分享业界人士所关注的风险，并不是实践指南。

*该文章只是信息提供，不是法律意见。