Обучение управлению рисками в ИТ

Руководители ИТ и владельцы продуктов принимают решения о приоритетах и вложениях, им нужен язык влияния риска на срок, бюджет и доступность. Команды разработки и эксплуатации работают с рисками ежедневно, им нужны практики, встроенные в процесс, а не отдельная процедура. Риск-менеджеры и внутренний контроль сводят ИТ-риски с корпоративными, им нужна методология и правила агрегации.

Ошибка, которая обесценивает бюджет, одна программа на всех. Руководителю скучно слушать про журналы изменений, инженеру бесполезно слушать про риск-аппетит совета директоров.

Проверяется до покупки по программе и списку результатов.

• Разбор на процессах и системах самой компании, а не на учебном примере
• Перевод технических рисков в бизнес-последствия и деньги
• Работа с реальным реестром компании, а не с шаблоном
• Оценка допустимого простоя и допустимой потери данных по своим системам
• Практика на сценариях: недоступность, потеря данных, компрометация, уход поставщика
• Форма отчета, которую после обучения можно показать руководству

Три вопроса, которые честно показывают эффект. Обновлялся ли реестр после обучения хотя бы один раз. Есть ли хотя бы одно решение, принятое со ссылкой на оценку риска. Знают ли владельцы систем свои допустимые сроки восстановления без подсказки.

Если ответы отрицательные, проблема почти никогда не в качестве материала. Обычно не назначены владельцы и не встроен ритм пересмотра, а без этого любая методология остается знанием, а не практикой.

Программа, построенная по этой логике, есть в каталоге: управление рисками в ИТ, шестнадцать часов на процессах вашей компании, с реестром и картой критичных систем на выходе.