规避外包风险：CIO 构建安全 IT 合作伙伴关系的实操指南
企业越来越多地将全部或部分 IT 职能外包。虽可能创造效率，但组织仍对 IT 服务可用性、功能性风险，以及公司数据访问使用合规性承担最终责任。
CIO 或同级 IT 领导者必须确保选定服务商具备合规架构、财务稳健性、业务连续性计划，持续交付合同服务；同时评估其政策流程有效性，保障敏感数据与专有信息完整安全。
IT 外包规模估计万亿美元/年，形态多样：整体移交 IT 部门，或仅外包数据中心运维、网络管理等特定职能。常见外包职能：应用开发/支持、数据中心运维、服务台、网络管理、网络安全、PaaS/IaaS、SaaS。
过去 CIO 聚焦实物供应链，今须兼顾产品与服务双重供应链。第三方技术服务商风险评估管理具挑战：服务环境大部分由供应商控制，超出采购方视野。前期尽职调查以评估外包风险不可或缺。
外包前 CIO 必须明确四大要素
- 外包内容；
- 服务支撑的业务流程；
- 外包服务涉及的数据存储、处理、访问范围；
- 谁有权访问外包服务相关系统、应用、数据。
可从基础 IT 服务风险评估表切入，收集内部人员回答；再用供应商预评估表获取初步信息。常见预评估问题：
- 公司是否曾申请破产？
- 保险是否含错误遗漏/一般责任险？额度几何？
- 是否涉及待决诉讼？
- 是否曾接受监管调查？
- 是否有隐私政策？
- 是否有文档化安全计划？
- 是否配合填写信息安全与隐私问卷？
- 是否有 SOC 报告？
- 是否有全面业务连续性计划应对运营中断？
评估表信息足以判断是否需深度尽调。按风险等级，深度尽调可包括：要求供应商填写详细问卷、深度审查 SOC 报告、委托内审或外部资质审计机构实施供应商评估。
建立新关系时评估关键，持续复查同等重要。复查频次与深度应基于服务风险确定。
评估框架针对服务商，概念亦适用于关键技术产品供应商。核心在于 CIO 理解潜在风险，掌握各供应商业务风险管理方式，从而更好预判外包风险对组织的冲击。
服务商评估可分配给 IT、风控、内审等职能，或委托合格第三方。但审阅评估信息、判断拟合作是否符合组织目标与风险偏好，仍是 CIO 或同级 IT 领导者不可委托的责任。今日彻底评估，护航未来规避更大麻烦。
Robert Neill 任 Weaver（全美注册会计师与咨询事务所）CIO 咨询服务总监。
工业技术