正確而客觀地評估風(fēng)險(xiǎn)承受能力(即“風(fēng)險(xiǎn)偏好”)是正式風(fēng)險(xiǎn)管理方法中的第一步，也是最重要的任務(wù)之一。風(fēng)險(xiǎn)管理的很多方面都可以是復(fù)雜的，而風(fēng)險(xiǎn)偏好則完全相反。但在它的核心，其內(nèi)涵就是一些企業(yè)更愿意承擔(dān)風(fēng)險(xiǎn)，而其他的一些企業(yè)則不愿意承擔(dān)風(fēng)險(xiǎn)。

為了在實(shí)際操作中真正理解這一點(diǎn)，我們可以參考退休計(jì)劃來進(jìn)行類比。當(dāng)人們都還很年輕時(shí)，他們普遍比較喜歡投資風(fēng)險(xiǎn)高于平均水平的高收益項(xiàng)目，這是因?yàn)樗麄兡軌蛟谥筝^長的一段時(shí)間內(nèi)用時(shí)間來于彌補(bǔ)損失。而當(dāng)人們接近退休年齡且能夠賺錢的時(shí)間更少時(shí)，他們就會轉(zhuǎn)變意愿傾向于更穩(wěn)定、更低收益率的投資。在這個(gè)情況下，其中的原因是非常直接的：金融風(fēng)險(xiǎn)承受能力與剩余收入年限成正比。

但是，這個(gè)類比也意味著風(fēng)險(xiǎn)偏好的別的東西——即，它并不是一個(gè)固定的數(shù)值?？紤]在他或她的生活中某一因素而導(dǎo)致的承受能力：可能某人比較喜歡諸如跳傘或登山這樣的極限運(yùn)動。這是否就意味著他或她應(yīng)該改變他或她的退休策略呢?例如，這個(gè)人是否應(yīng)當(dāng)避開股票市場、維加斯賭場或者進(jìn)入高度投機(jī)的對沖基金?回答當(dāng)然是否定的。對于這個(gè)人而言，由于喜愛極限運(yùn)動而降低風(fēng)險(xiǎn)承受程度是較為明智的(以便于在萬一發(fā)生受傷情況下可以持有一定的積蓄)。關(guān)鍵問題是，有人可能對于某些類型的風(fēng)險(xiǎn)具有較高的承受能力，而對于其他類型的風(fēng)險(xiǎn)則具有較低的承受能力。

云計(jì)算風(fēng)險(xiǎn)偏好是什么?

組織的“風(fēng)險(xiǎn)偏好”工作方式與之相同。一家企業(yè)可能愿意承受某種風(fēng)險(xiǎn)(比方說業(yè)務(wù)風(fēng)險(xiǎn))但在其他風(fēng)險(xiǎn)方面則顯得更為謹(jǐn)慎(例如，技術(shù)風(fēng)險(xiǎn))。另外，即便是同一種類的風(fēng)險(xiǎn)中，在某一方面的承受能力也是存在著較大差異的。例如，一家企業(yè)可能會不重視與雇員桌面使用相關(guān)的風(fēng)險(xiǎn)，但在涉及付款或財(cái)務(wù)系統(tǒng)就會變得非常謹(jǐn)慎。

從操作實(shí)際看，這就意味著某一個(gè)組織相對孤立地評估分析承受程度是比較有利的——具體而言就是，具有獨(dú)特需求的領(lǐng)域是新的、或之前還未被評估過、或是新興市場或者正在迅速變化。孤立地評估這些因素將會導(dǎo)致發(fā)生兩件事情。首先，它允許“非周期”風(fēng)險(xiǎn)管理(其中包括分析和緩解)而無需重新評估無所不在的風(fēng)險(xiǎn)——這是一個(gè)潛在費(fèi)時(shí)且可能需要不斷重復(fù)的活動。其次，它允許靈活性，因?yàn)橄鄬Σ怀墒斓募夹g(shù)可能會隨著威脅出現(xiàn)和支持技術(shù)的成熟而快速發(fā)展。

云計(jì)算是這些領(lǐng)域中的一個(gè)：云計(jì)算相對較新(至少在很多企業(yè)中它還處于應(yīng)用實(shí)施階段)，并具有一些可影響風(fēng)險(xiǎn)的獨(dú)特屬性(我們將在一篇相關(guān)文章中詳細(xì)討論這些屬性中的部分)。因?yàn)樵朴?jì)算技術(shù)是在快速發(fā)展著的，而新的威脅也在不斷涌現(xiàn);隨著云計(jì)算監(jiān)管重點(diǎn)的不斷擴(kuò)大，了解企業(yè)在該特定領(lǐng)域中的承受程度是較為有利的。這種對企業(yè)關(guān)于特定云計(jì)算風(fēng)險(xiǎn)承受程度的集中了解就是我們所謂的“云計(jì)算風(fēng)險(xiǎn)偏好”。

評估云計(jì)算風(fēng)險(xiǎn)承受能力

那么，一家企業(yè)應(yīng)當(dāng)如何評估其云計(jì)算風(fēng)險(xiǎn)偏好呢?有幾個(gè)因素需要考慮。第一個(gè)也是最重要的因素是考慮企業(yè)業(yè)務(wù)、財(cái)務(wù)以及技術(shù)方面的風(fēng)險(xiǎn)偏好，這是因?yàn)檫@些方面的因素將影響企業(yè)的文化和整體目標(biāo)。在企業(yè)中有無數(shù)的文化、法規(guī)以及業(yè)務(wù)等具體因素將影響企業(yè)的風(fēng)險(xiǎn)偏好，并且也會因此影響企業(yè)實(shí)施云計(jì)算。如果一家企業(yè)已經(jīng)實(shí)施了風(fēng)險(xiǎn)管理工作，那么就幾乎可以肯定這些因素已經(jīng)經(jīng)過評估并已形成了相應(yīng)文檔。在這些基礎(chǔ)之上開展進(jìn)一步的工作將節(jié)省重復(fù)基礎(chǔ)工作的時(shí)間。

如果你的企業(yè)從未進(jìn)行過任何系統(tǒng)的或正式的風(fēng)險(xiǎn)管理，那么這種評價(jià)工作就變得具有挑戰(zhàn)性了。你將需要對更廣范圍的風(fēng)險(xiǎn)輸入企業(yè)的承受能力，但是這些可用于借鑒的文檔可能并不存在。因此，你將需要完成充分的工作以便于能夠告知你的活動，但是需要指出的是，充分評估每一個(gè)領(lǐng)域或獲得主管級授權(quán)可能并不容易。

其次，你將需要了解你自己的技術(shù)戰(zhàn)略。你是否會計(jì)劃把你的大部分業(yè)務(wù)轉(zhuǎn)移至云計(jì)算?你是否計(jì)劃以非常有限的方法有選擇性地使用云計(jì)算?這種性質(zhì)的問題將影響你的企業(yè)將愿意承擔(dān)云計(jì)算風(fēng)險(xiǎn)的數(shù)量，特別是在第一步中所分析的文化因素。例如，如果你下大注在云計(jì)算將其作為長期戰(zhàn)略但你的企業(yè)文化卻是以外部意見為重，那么你反而可能會不太愿意承受短期內(nèi)的云計(jì)算風(fēng)險(xiǎn)。這是為什么呢?因?yàn)?，非常明顯的攻擊可能會削弱企業(yè)長期實(shí)施云計(jì)算的信心，從而危及你的長期戰(zhàn)略。

最后，人才和技術(shù)能夠支持你按期望推出待評估的云計(jì)算。例如，企業(yè)的其他方面的(例如合規(guī)性、法律和審計(jì))是否有助于風(fēng)險(xiǎn)評估、威脅監(jiān)測、持續(xù)運(yùn)行、供應(yīng)商審批等等?你是否可以使用技術(shù)策略以標(biāo)記威脅、脆弱性以及其他存在的風(fēng)險(xiǎn)?如果你明確地了解隨著時(shí)間推移你跟蹤、管理和應(yīng)對這些風(fēng)險(xiǎn)的能力，那么你就可能能夠容忍更高等級的風(fēng)險(xiǎn)。

一旦你已經(jīng)評估了這些領(lǐng)域，那么下一步就是正式記錄你的云計(jì)算風(fēng)險(xiǎn)偏好。這就意味著，將其形成書面文字并傳達(dá)給企業(yè)。在書面文字上正式形成將有助于確保所有方面都是經(jīng)過深思熟慮和審核的，并幫助企業(yè)其他方面的組織行為能夠與你的決定保持一致。如果他們閱讀你關(guān)于風(fēng)險(xiǎn)承受程度是如何低以及其原因的報(bào)告，那么他們就不會冒然實(shí)施不合適的云計(jì)算部署。