E unul din subiectele mele preferate. Şi teoretic şi practic.
Din punct de vedere teoretic, atît Risk IT Practioner Guide cît şi MoR: Guidance for Practitioners sînt aliniate cu ISO 31000. Doar mici particularităţi specifice providerilor.

Dincolo de teoria legată de partea de organizare a procesului (managementului riscurilor este PROCES şi prin urmare trebuie tratat ca atare) se ajunge la alegerea unei metode de estimare: calitativă sau cantitativă.

În practica autohtonă puţine sînt firmele ce au aderat la o metodologie de management al riscurilor chiar dacă riscurile IT sînt încadrate în categoria riscuri opferaţionale (vezi BASEL II, de ex).

În lipsa unei metodologii se ajunge în situaţia de a nu avea date actuariale pe care să te bazezi în analiza riscurilor. Sau dacă există, aceste date sînt reduse şi subiective.

Pornind de la aceste realităţi îmi permit să afirm că la începutul unui astfel de demers se va alege ca metodă de estimare a riscurilor varianta calitativă.. Chiar dacă este subiectivă şi direct afectată de capacitatea şi experienţa celui ce face estimările, dacă ţine cont de realităţi ar trebui să se soldeze cu o ierarhie a zonelor considerate riscante.

Din acest punct se poate trece la estimări cantitative/financiare. Nici în acest caz însă nu se va putea evita subiectivismul celui ce face estimările valorice deoarece sînt active intangibile ce nu pot fi cuantificate. Impactul însă va fi estimat în termeni economici!

CE trebuie evitat? O filosofie pesimistă sau una optimistă. Dacă eşti prea pesimist este posibil să investeşti în controale ce vor diminua riscuri potenţiale puţin probabile. Despre varianta optimistă nu trebuie spus nimic.

O estimare a riscurilor IT ce nu prezintă şi impactul asupra proceselor economice din organizaţie este lipsită de valoare.