CIO가 IT 아웃소싱 위험을 제한하는 방법

기업은 점점 더 정보 기술 기능의 전체 또는 일부를 외부 서비스 제공자에게 넘기고 있습니다. 이것이 특정 효율성을 창출할 수 있지만 조직은 여전히 ​​IT의 가용성 및 기능과 관련된 위험에 대한 궁극적인 책임이 있습니다. 서비스 및 회사 데이터의 적절한 액세스 및 사용

이는 최고 정보 책임자 또는 이에 상응하는 I.T. 리더는 선택된 서비스 제공자가 계약된 서비스를 일관되게 제공할 수 있도록 적절한 구조, 재정적 안정성 및 연속성 계획을 갖추고 있는지 확인해야 합니다.

또한 IT를 의미합니다. 리더는 회사의 민감한 데이터와 독점 정보의 무결성과 보안을 보장하기 위해 서비스 제공업체의 정책과 절차의 효율성을 평가해야 합니다.

연간 약 1조 달러의 산업, I.T. 아웃소싱은 다양한 형태를 취합니다. 조직은 전체 IT를 넘겨줄 수 있습니다. 부서를 공급업체로 옮기거나 데이터 센터 운영, 네트워크 관리 또는 기타 특정 기능을 수행하기 위해 직원을 고용할 수 있습니다.

일반적으로 아웃소싱되는 I.T. 기능에는 다음이 포함됩니다.

<울>

소프트웨어 애플리케이션 개발,

소프트웨어 애플리케이션 지원,

데이터 센터 운영,

헬프 데스크 지원

네트워크 관리,

사이버 보안,

플랫폼 또는 IaaS(Infrastructure as a Service), 그리고

서비스로서의 소프트웨어.

과거에 CIO는 주로 물리적 제품 공급망에 중점을 두었습니다. 그러나 오늘날 그들은 제품과 서비스 모두에 대한 공급망에 관심을 가져야 합니다.

서비스 환경의 상당 부분이 공급자의 통제 하에 있고 인수 조직의 범위를 벗어날 가능성이 높기 때문에 타사 기술 서비스 공급자의 위험을 평가하고 관리하는 것이 어려울 수 있습니다. 외부 당사자의 참여와 관련된 위험을 평가하기 위해 사전에 실사를 수행해야 합니다.

IT에 참여하기 전에 서비스 제공자, CIO는 다음 사항을 이해해야 합니다.

<울>

아웃소싱 대상,

서비스가 지원하는 비즈니스 프로세스

아웃소싱 서비스를 통해 저장, 처리 또는 액세스할 수 있는 데이터 및

아웃소싱 서비스와 관련된 시스템, 애플리케이션 및 데이터에 액세스할 수 있는 사람

프로세스는 기본 IT로 시작할 수 있습니다. 조직 내 직원의 이러한 질문에 대한 답변을 캡처하도록 설계된 서비스 위험 평가 양식. 또한 공급자 사전 평가 양식을 사용하여 잠재적 서비스 공급자로부터 예비 정보를 수집할 수 있습니다. 공급업체 사전 평가 양식에서 묻는 일반적인 질문은 다음과 같습니다.

<울>

귀하의 회사는 파산을 선언한 적이 있습니까?

귀사의 보험 정책에는 오류 및 누락(또는 일반 책임) 청구가 포함되어 있습니까? 그렇다면 정책의 한계는 무엇입니까?

귀하의 회사는 계류 중인 소송과 관련되어 있습니까?

귀사는 규제 조사에 참여한 적이 있습니까?

귀하의 회사에는 개인정보 보호정책이 있습니까?

귀하의 회사에는 문서화된 보안 프로그램이 있습니까?

귀하의 회사는 귀하의 정보 보안 및 개인 정보 보호 프로그램에 관한 설문지 작성에 동의합니까?

귀하의 회사에는 SOC(서비스 조직 제어) 보고서가 있습니까?

귀하의 회사는 정상적인 운영을 방해하는 사고가 발생할 경우 운영을 지속할 수 있도록 포괄적인 비즈니스 연속성 계획을 가지고 있습니까?

이러한 평가 양식은 추가 주의가 필요한지 여부를 결정하기에 충분한 정보를 제공해야 합니다. 잠재적 위험 수준에 따라 이러한 추가 실사에는 서비스 제공자가 보다 자세한 질문에 응답하도록 요구하는 것이 포함될 수 있습니다. 서비스 제공자의 SOC 보고서를 자세히 검토하거나 조직의 내부 감사 기능 또는 자격을 갖춘 외부 감사 회사와 협력하여 공급업체 평가를 수행합니다.

이러한 평가를 수행하는 것은 새로운 제공자와의 관계를 구축할 때 매우 중요합니다. 또한 각 공급업체를 지속적으로 지속적으로 검토하는 것도 중요합니다. 이러한 검토의 빈도와 범위는 제공되는 서비스와 관련된 위험을 기반으로 해야 합니다.

이러한 평가는 서비스 제공업체에 맞게 조정되지만 개념은 주요 기술 제품 제공업체에도 적용할 수 있습니다. 가장 중요한 것은 CIO가 공급업체와 관계를 맺는 데 따른 잠재적 위험을 이해하고 각 공급업체가 비즈니스 위험을 관리하는 방법을 이해하는 것입니다. 이러한 방식으로 CIO는 아웃소싱 위험이 조직에 미치는 영향을 더 잘 예측할 수 있습니다.

서비스 제공자 평가는 IT, 위험 관리 또는 내부 감사를 포함하여 조직 내의 다양한 기능에 할당될 수 있습니다. 평가는 자격을 갖춘 제3자가 수행할 수도 있습니다.

그러나 이는 CIO 또는 이에 상응하는 I.T.의 책임입니다. 리더는 평가에서 수집한 정보를 검토하고 제안된 기술 서비스 공급자와 협력하는 것이 조직의 목표 및 위험 허용 수준과 일치하는지 여부를 결정합니다. 오늘 철저한 평가는 앞으로 더 큰 문제를 예방하는 데 도움이 될 것입니다.

Robert Neill은 전국 CPA 및 자문 회사인 Weaver의 CIO 자문 서비스 이사입니다.