A portfolio of IT risksAt this poin

A portfolio of IT risks
At this point we need to clarify precisely what we regard as an IT risk:
An IT risk is something that can go wrong with IT and cause a negative
impact on the business.
This definition is in keeping with others (Markus, 2000; Pfleeger, 2000; Keil et al.,
2000) in that it emphasizes the role of IT as a cause agent of unwelcome outcomes.
The negative outcomes are not restricted to IT but can be anywhere in the business.
It is widely acknowledged that risk is the flipside of opportunity. A simple
rephrasing of the IT risk definition will serve to highlight this: an IT opportunity
is something that can go right with IT and cause a positive impact on the
business. The IT risks described in this book are stated in the negative, such as a
project failing to deliver. In practice an organization that is managing its risks is
also managing its opportunities.13
A portfolio management approach for IT risks is an integrated approach to
gathering together all the significant IT risks and managing them using common
and systematic methods.14 It is also about recognizing the unique characteristics
of different classes of risk and undertaking appropriate analysis and treatment for
individual risks. We cannot average one extreme risk with five low risks and
come out as ‘below average’.
The focus is to establish a capability that promotes action by managers,
directing this action toward the things that can go wrong with IT so as to
reduce negative impacts on the business. Furthermore, the focus is on proactive
13 The accounting fraternity advocate considering risk and opportunity in parallel and
perceive risk management as a driver of shareholder wealth (IFAC, 1999) framing IT risk
with a portfolio of e-business IT risk consisting of three categories: IT infrastructure,
IT application and IT business process risks (IFAC, 2002).
14 There have been various approaches, for example Dhillon and Backhouse (1996) consider
the risks arising from the IT system’s place in the organizational environment, focusing
on an objective of integrity and wholeness of systems, social as well as technical. A further
complementary approach is set out by Bandyopadhyay et al. (1999) who define three
levels of IT risk management: the application level, the organizational level and the interorganizational
level and four sequential steps that act at each level: risk identification, risk
analysis, risk-reducing measures and risk monitoring. Moulton and Coles (2003a, 2003b)
develop an all-encompassing IT risk management model as an outgrowth from information
security management.
management action as the adage ‘prevention is better than cure’ is highly
applicable to the field of IT.15
The different classes of IT risk described in this book are not mutually
exclusive or collectively exhaustive. In short, they overlap and may omit an
unusual or organization-specific risk. Why have seven specific IT risk classes
been chosen and how do these risk classes relate to one another?
The seven specific IT risk classes are chosen to focus management attention
and action. They are based on how IT professionals, business managers and
end-users interact when working together and are selected to be comprehensive,
understandable and practical. Definitions of each of the classes of IT risk within
the portfolio and the interrelationships between these risks follow.
Classes of IT risk
We define seven classes of IT risk, where, in each case, IT can go wrong, but the
consequences are negative to the business:
1. Projects – failing to deliver;
2. IT service continuity – when business operations go off the air;
3. Information assets – failing to protect and preserve;
4. Service providers and vendors – breaks in the IT value chain;
5. Applications – flaky systems;
6. Infrastructure – shaky foundations; and
7. Strategic and emergent – disabled by IT.
Projects – failing to deliver
This class of risk is concerned with IT projects failing, considering both designated
IT projects and business projects with a significant and critical component of IT.
For many organizations this is the most obvious IT risk. We exclude the cases
of IT vendors developing IT or software products – for these this is their core
business activity.
Projects are undertaken to implement new systems, upgrade or enhance
existing IT systems or improve the way systems are used. When a project is an
outright failure the planned upgrade or enhancement of IT systems does not
occur. The business fails to realize the improvements from a new or improved
way of working that would be enabled by IT.
A project can fail in a range of other ways and to a greater or lesser extent.
The three key performance failures are in timing, quality and scope. The list of
examples is ugly: completing late, consuming more resources and funds than
15 Others have written about different forms of risk consequences and how to manage
them; for example, Rayner (2003) focuses on reputational risk. In the field of IT an
orientation of risk management action around potential consequences is not feasible.
Introducing the IT risk portfolio 49
50 IT risk portfolio
planned, delivering less functionality to the users than planned, delivering a
sub-standard product, disrupting the business during implementation, and so on.
Actively managing this class of risk requires capability in project management
and all aspects of software engineering, IT acquisition and implementation.
Even partial failure can be critical.

Hasil (Bahasa Indonesia) 1:

Portofolio itu risikoPada titik ini, kita perlu menjelaskan persis apa yang kita anggap sebagai risiko itu:Risiko itu adalah sesuatu yang bisa pergi salah dengan itu dan menyebabkan negatifdampak pada bisnis.Definisi ini adalah sesuai dengan orang lain (Markus, 2000; Pfleeger, 2000; Keil et al.,2000) yang menekankan peran itu sebagai agen penyebab hasil yang tidak diinginkan.Hasil negatif tidak dibatasi untuk itu tetapi dapat di mana saja dalam bisnis.Secara luas diakui bahwa risiko adalah flipside kesempatan. Sederhanamengulang dari definisi risiko itu akan melayani untuk menyorot: kesempatan ituadalah sesuatu yang dapat pergi tepat dengan itu dan menyebabkan dampak positif padabisnis. Risiko itu tertulis dalam kitab ini dinyatakan dalam negatif, sepertiProyek gagal untuk memenuhi janji. Dalam praktek adalah sebuah organisasi yang mengelola risikojuga mengelola opportunities.13 yangPendekatan manajemen portofolio risiko itu adalah pendekatan yang terintegrasi untukberkumpul semua risiko TI yang signifikan dan mengelola mereka menggunakan Umumdan sistematis methods.14 juga tentang mengenal karakteristik unikkelas yang berbeda risiko dan melakukan analisis yang tepat dan pengobatan untukrisiko individu. Kita tidak rata-rata satu ekstrim risiko dengan lima risiko rendah dankeluar sebagai 'di bawah rata'.Fokus adalah untuk membangun kemampuan yang mempromosikan tindakan oleh manajer,mengarahkan tindakan ini terhadap hal-hal yang bisa salah dengan itu sehinggamengurangi dampak negatif pada bisnis. Selain itu, fokusnya adalah pada proaktif13 persaudaraan akuntansi advokat mempertimbangkan risiko dan peluang dalam paralel danmemahami manajemen risiko sebagai sopir kekayaan pemegang saham (IFAC, 1999) framing risikodengan portofolio e-bisnis IT risiko terdiri dari tiga kategori: infrastruktur TI,Aplikasi dan bisnis proses risiko (IFAC, 2002).14 di sana telah berbagai pendekatan, misalnya Dhillon dan Backhouse (1996) mempertimbangkanrisiko yang timbul dari tempat sistem TI dalam lingkungan organisasi, fokuspada tujuan integritas dan keutuhan sistem, sosial serta teknis. Lebih lanjutpendekatan pelengkap ditetapkan oleh Bandyopadhyay et al. (1999) yang mendefinisikan tigatingkat itu manajemen risiko: level aplikasi, tingkat organisasi dan interorganizationaltingkat dan empat langkah-langkah berurutan yang bertindak pada setiap tingkat: risiko identifikasi, risikoanalisis, langkah-langkah yang mengurangi risiko dan risiko pemantauan. Moulton dan Coles (2003a, 2003b)mengembangkan menyeluruh itu risiko model pengelolaan karena dari informasimanajemen keamanan.tindakan manajemen sebagai pepatah 'pencegahan lebih baik daripada mengobati' sangatberlaku untuk bidang IT.15Kelas yang berbeda risiko itu dijelaskan dalam buku ini tidak salingeksklusif atau secara kolektif lengkap. Singkatnya, mereka tumpang tindih dan dapat menghilangkanrisiko yang tidak biasa atau khusus organisasi. Mengapa memiliki tujuh kelas risiko TI khusustelah dipilih dan bagaimana kelas resiko ini berhubungan dengan satu sama lain?Tujuh kelas resiko IT spesifik yang dipilih untuk memusatkan perhatian manajemendan tindakan. Mereka didasarkan pada bagaimana profesional TI, manajer bisnis danpengguna berinteraksi ketika bekerja bersama-sama dan dipilih untuk menjadi komprehensif,dimengerti dan praktis. Definisi masing-masing kelas IT risiko dalamportofolio dan antar-hubungan antara risiko ini mengikuti.Kelas itu risikoKita mendefinisikan kelas tujuh risiko itu, dimana, dalam setiap kasus, itu bisa salah, tetapikonsekuensi negatif untuk bisnis:1. proyek-proyek – yang gagal untuk memenuhi janji;2. Layanan kesinambungan-ketika operasi bisnis pergi udara;3. informasi aset-gagal untuk melindungi dan melestarikan;4. Layanan penyedia dan vendor-istirahat dalam rantai nilai itu;5. aplikasi-sistem bersisik;6. infrastruktur-gemetar Yayasan; dan7. strategis dan muncul-Penyandang Cacat oleh itu.Proyek-gagal untuk memenuhi janjiKelas ini risiko berkaitan dengan proyek-proyek itu gagal, mempertimbangkan baik Ruangan KhususProyek itu dan proyek bisnis dengan komponen penting dan kritis itu.Bagi banyak organisasi ini adalah resiko IT paling jelas. Kami mengecualikan kasusitu vendor mengembangkan produk atau perangkat lunak – ini ini adalah inti merekakegiatan usaha.Proyek-proyek yang dilakukan untuk mengimplementasikan sistem baru, upgrade atau meningkatkanada sistem TI atau memperbaiki cara sistem yang digunakan. Ketika adalah sebuah proyeklangsung kegagalan rencana upgrade atau peningkatan sistem TI tidakterjadi. Bisnis yang gagal untuk menyadari perbaikan dari baru atau yang ditingkatkancara kerja yang akan diaktifkan oleh itu.Sebuah proyek dapat gagal dalam berbagai cara lain dan untuk tingkat yang lebih besar atau kecil.Tiga kinerja utama kegagalan di waktu, kualitas dan cakupan. Daftarcontoh jelek: menyelesaikan terlambat, mengkonsumsi lebih banyak sumber daya dan dana dari15 orang lain telah menulis tentang berbagai bentuk risiko konsekuensi dan bagaimana mengelolamereka; sebagai contoh, Rayner (2003) berfokus pada risiko reputasi. Di bidang ITorientasi tindakan manajemen risiko di sekitar konsekuensi potensial tidak layak.Memperkenalkan itu risiko portofolio 4950 itu risiko portofoliodirencanakan, memberikan kurang fungsionalitas untuk pengguna dari yang direncanakan, memberikansub-standar produk, mengganggu bisnis selama pelaksanaan, dan sebagainya.Secara aktif mengelola kelas ini risiko membutuhkan kemampuan dalam manajemen proyekdan semua aspek dari rekayasa perangkat lunak, IT akuisisi dan implementasi.Kegagalan bahkan parsial bisa kritis.

Hasil (Bahasa Indonesia) 2:

Sebuah portofolio TI risiko
Pada titik ini kita perlu mengklarifikasi tepat apa yang kita anggap sebagai risiko IT:
Sebuah resiko TI adalah sesuatu yang bisa salah dengan IT dan menyebabkan negatif
. berdampak pada bisnis
Definisi ini sesuai dengan orang lain (Markus , 2000; Pfleeger, 2000;. Keil et al,
2000) dalam hal ini menekankan peran TI sebagai agen penyebab hasil yang tidak diinginkan.
Hasil negatif tidak terbatas IT tetapi bisa di mana saja dalam bisnis.
Hal ini secara luas diakui Risiko itu adalah sisi lain dari kesempatan. Sebuah sederhana
mengulang dari definisi risiko TI akan berfungsi untuk menyoroti ini: kesempatan IT
adalah sesuatu yang bisa benar dengan IT dan menyebabkan dampak positif pada
bisnis. Risiko TI yang dijelaskan dalam buku ini dinyatakan dalam negatif, seperti
proyek gagal untuk menyampaikan. Dalam prakteknya sebuah organisasi yang mengelola risiko-nya
juga mengelola opportunities.13 nya
Pendekatan manajemen portofolio untuk risiko TI adalah pendekatan terpadu untuk
berkumpul bersama semua signifikan risiko TI dan mengelola mereka menggunakan umum
methods.14 dan sistematis Hal ini juga tentang mengakui karakteristik unik
dari kelas yang berbeda dari risiko dan usaha analisis yang tepat dan pengobatan untuk
risiko individu. Kita tidak bisa rata-rata satu risiko ekstrim dengan lima risiko rendah dan
keluar sebagai 'bawah rata-rata'.
Fokusnya adalah untuk membangun kemampuan yang mempromosikan tindakan manajer,
mengarahkan tindakan ini terhadap hal-hal yang bisa salah dengan IT sehingga dapat
mengurangi dampak negatif pada bisnis. Selanjutnya, fokusnya adalah pada proaktif
13 Persaudaraan akuntansi advokat mempertimbangkan risiko dan peluang secara paralel dan
manajemen risiko anggap sebagai sopir kekayaan pemegang saham (IFAC, 1999) membingkai risiko TI
dengan portofolio risiko IT e-bisnis yang terdiri dari tiga kategori: infrastruktur TI,
TI aplikasi dan IT risiko proses bisnis (IFAC, 2002).
14 Ada berbagai pendekatan, misalnya Dhillon dan Backhouse (1996) mempertimbangkan
risiko yang timbul dari tempat sistem TI dalam lingkungan organisasi, fokus
pada tujuan integritas dan keutuhan sistem, sosial serta teknis. Selanjutnya
pendekatan komplementer diatur oleh Bandyopadhyay et al. (1999) yang mendefinisikan tiga
tingkat manajemen risiko TI: tingkat aplikasi, tingkat organisasi dan interorganisasional
tingkat dan empat langkah berurutan yang bertindak pada setiap tingkat: identifikasi risiko, risiko
analisis, langkah-langkah mengurangi risiko dan pemantauan risiko. Moulton dan Coles (2003a, 2003b)
mengembangkan mencakup segala risiko TI model manajemen sebagai hasil dari informasi
manajemen keamanan.
tindakan manajemen seperti pepatah 'mencegah lebih baik daripada mengobati' sangat
berlaku untuk bidang IT.15
The kelas yang berbeda IT berisiko yang dijelaskan dalam buku ini tidak saling
eksklusif atau kolektif lengkap. Singkatnya, mereka tumpang tindih dan dapat menghilangkan suatu
risiko yang tidak biasa atau organisasi tertentu. Mengapa tujuh kelas risiko tertentu IT
dipilih dan bagaimana kelas risiko ini berhubungan satu sama lain?
Tujuh kelas khusus risiko TI dipilih untuk memfokuskan perhatian manajemen
dan tindakan. Mereka didasarkan pada bagaimana para profesional TI, manajer bisnis dan
pengguna akhir berinteraksi ketika bekerja bersama-sama dan dipilih untuk lengkap,
dimengerti dan praktis. Definisi dari masing-masing kelas TI risiko dalam
portofolio dan hubungan timbal balik antara risiko ini mengikuti.
Kelas TI risiko
Kami mendefinisikan tujuh kelas risiko TI, di mana, dalam setiap kasus, IT bisa salah, tetapi
konsekuensi negatif untuk bisnis:
1. Proyek - gagal untuk memberikan;
2. Layanan TI kontinuitas - ketika operasi bisnis pergi udara;
3. Aset informasi - gagal untuk melindungi dan melestarikan;
4. Penyedia layanan dan vendor - istirahat dalam rantai nilai IT;
5. Aplikasi - sistem bersisik;
6. Infrastruktur - yayasan gemetar; dan
7. Strategis dan muncul -. Dinonaktifkan oleh IT
Proyek - gagal untuk memberikan
ini kelas risiko berkaitan dengan proyek TI gagal, mengingat kedua ditunjuk
proyek TI dan proyek bisnis dengan komponen yang signifikan dan kritis TI.
Bagi banyak organisasi ini adalah yang paling jelas IT risiko. Kami mengecualikan kasus
IT vendor mengembangkan produk software IT atau - untuk ini ini adalah inti mereka
aktivitas bisnis.
Proyek yang dilakukan untuk menerapkan sistem baru, meng-upgrade atau meningkatkan
sistem TI yang ada atau memperbaiki cara sistem yang digunakan. Ketika sebuah proyek adalah
kegagalan langsung upgrade direncanakan atau peningkatan sistem IT tidak
terjadi. Bisnis gagal untuk mewujudkan perbaikan dari baru atau perbaikan
cara kerja yang akan diaktifkan oleh IT.
Sebuah proyek bisa gagal dalam berbagai cara lain dan untuk tingkat yang lebih besar atau lebih kecil.
Tiga kegagalan kinerja utama dalam waktu, kualitas dan ruang lingkup. Daftar
contoh jelek: menyelesaikan akhir, mengkonsumsi lebih banyak sumber daya dan dana dari
15 Orang lain telah menulis tentang berbagai bentuk konsekuensi risiko dan bagaimana mengelola
mereka; misalnya, Rayner (2003) berfokus pada risiko reputasi. Di bidang IT suatu
orientasi tindakan manajemen risiko sekitar konsekuensi potensial tidak layak.
Memperkenalkan portofolio risiko TI 49
portofolio risiko 50 IT
direncanakan, memberikan fungsi yang kurang ke pengguna dari yang direncanakan, memberikan
produk sub-standar, mengganggu bisnis selama pelaksanaan, dan sebagainya.
Secara aktif mengelola kelas ini risiko memerlukan kemampuan dalam manajemen proyek
dan semua aspek rekayasa perangkat lunak, IT akuisisi dan implementasi.
Bahkan kegagalan parsial dapat kritis.