试论电子文件风险管理实操步骤，本文主要内容关键词为：风险管理论文,试论论文,步骤论文,文件论文,电子论文，此文献不代表本站观点，内容供学术参考，文章仅供参考阅读下载。
信息社会带给人们的是眼花缭乱的世界。生活在这样的社会里，人们每天面对的是扑面而来的海量信息，无论是工作还是生活，大多数人所要做的就是生成、保存和利用五花八门的电子信息。而在这过程中，人们普遍感受到的一种境况就是“风险重重”!德国著名社会学家贝克首次系统提出，“风险社会”是理解现代性社会的核心概念。风险，源于不确定性。与传统社会的风险相比，现代信息社会的风险更具有人为性。贝克认为，从根源上讲，风险是内生的，伴随着人类的决策与行为，是各种社会制度，尤其是工业制度、法律制度、技术和应用科学等正常运行的共同结果。同时，它们又是广泛存在的，成为现代社会的基本特征，成为后工业社会的内在品性。因为如此，风险的第一特征即是客观性。既然风险是客观存在的，那么，无论人们是否意识到它的存在，风险都会“顺势而生”，如果没有及时发现并加以控制和管理的话，很不幸，风险就会毫不留情地成为现实，造成意想不到的损失。
风险社会为理解现代社会提供了重要视角，风险管理同样为文件档案管理，尤其是电子文件管理提供了重要管理理念。
一、电子文件风险管理概述
我国电子文件管理研究从九十年代中期开展以来，经过了十多年的不断努力和发展，应该说还是取得了一定的成绩和进步的。而随着理论研究的日益成熟，目前电子文件管理正逐渐步入“实战”阶段，即理论开始联系实际。从笔者近几年来接触的实际工作状况看，从正面引导和指导机构进行电子文件管理是一个方面，而更为重要的是要告知这些机构如果不这样做，会有什么样的后果。事实证明，反面的告诫和提醒在机构电子文件管理意识普遍缺乏的状况下还是比较有效的。正如风险项目成果报告的前言中所言“如果说一般的电子文件管理方法着眼于‘应该如何管理电子文件’，风险管理则重在指出‘如果你不这样做可能遭受哪些损失?应该如何应对?’”[1]这种“未雨绸缪”式的风险管理似乎更适合于电子文件这样一个常常被忽视的领域。
将风险管理引入文件、档案管理范畴是目前国外研究的一种新趋势。国际文件管理界十分关注电子文件的风险管理。2001年国际标准化组织出台的《信息与文献——文件管理》(ISO15489—2001)，强调对文件风险进行评估、分析与应对。2004年，国际文件管理者与行政工作者协会出版了《文件与信息的风险管理》，为各国文件管理人员提供风险管理方法论指导。2004年，美国ARMA文件管理者协会制定了《文件与信息管理风险自我评估》。目前欧洲数字保护中心(DCC)和欧洲数字保护(DPE)课题组已研制出《基于风险评估的数字存储审计方法》，并提交ISO/TC46/SC11(国际标准化组织档案/文件分技术委员会)。《基于风险评估的数字存储审计方法》对于保证机构评估其业务背景下文件产生与控制的要求，开展支持风险管理的文件管理，实施ISO15489和ISO23081有积极推动作用，为此，ISO/TC46/SC1 1已成立特别工作组，开展该规范转为国际标准的相关研究。
前不久刚刚结项的中国科学技术协会重点项目《电子文件管理机制研究》亦将风险管理的思想纳入其研究视野之中。课题组认为，正是源于缺乏风险意识，才导致机构电子文件管理不到位，忽略了很多导致电子文件管理失控的危险发生。由此可见，由于风险的普遍存在以及风险造成的危害程度，建立和增强风险意识，将风险管理用于电子文件的管理势在必行。
二、电子文件风险管理的实际操作步骤
电子文件风险管理，从其实施动机看，有两种类型。一是事件驱动型的电子文件风险管理。即当机构因电子文件管理不善而导致出现某种问题，造成损失时，引发机构被动地进行电子文件风险管理。比如，由于机构没有留存必要的电子文件，造成机构在诉讼中无据可举，从而造成机构的经济损失。二是管理需求型的电子文件风险管理。即当机构受法律法规或其他制度的制约，主动地进行电子文件风险管理。如美国2002年颁布的《萨班斯法案》(SOX)，对于上市公司保存文件做了明文规定，若违反规定，可能面临罚款、刑事诉讼。ISO9000也强调要以文件记录质量管理过程，并制定文件保管期限表，对文件加以保存。
无论电子文件风险管理展开的契机是事件驱动型还是管理需求型，都应遵循风险管理的一般程序，即风险战略规划、风险分析、风险评估、风险应对和全程监控等几个阶段。因此，电子文件风险管理的具体实施可以参照下面的九个步骤进行。
步骤1——组织准备(A1)。风险管理尽管不需要由一个常设性的固定部门来负责，但是作为一种项目活动，仍然需要由相对稳定的团队负责推进。电子文件风险管理可由机构的档案部门牵头，负责组织和策划整个项目的开展。
作为项目的主导者，档案管理人员首先要明确电子文件风险管理的目标和范围，制定项目规划，争取主管领导的支持和相关信息技术部门、业务部门人员的合作；之后，协调项目进行过程中的各项活动和人、财、物的分配，如发放调查问卷、召开研讨会议、聘请专家识别和评估风险因素；接下来，在确定管理目标的前提下，形成一套可行的对策方案；最后，负责监督方案的实施。
步骤2——信息准备(A2)。信息收集的目的是让档案管理人员对既定范围内的文件管理现状及其相关背景情况有一个全面、深入的了解，弄清楚问题所在。比如，在一个政府机关范围内进行电子文件风险管理，就首先需要弄清楚本机构在行政体系内的级别、性质、主要职能，每个职能有包括哪些具体的业务活动，并加以分级。有了这个基础才能弄清楚不同业务活动中文件运转的流程、规则，生成哪些文件类型，以及现有的文件状况如何等。信息准备为整个风险管理活动提供了事实基础和重要背景，将风险管理活动具体化。后续的风险识别、评估、对策的选择都将以此为基础。
第一步，划定风险管理的范围，可分为这样几个层次：整个机构范围内；某个部门或是某一业务群体；某一特定的项目或业务活动；某一类特殊的文件。范围层次不但限定了信息收集的界限，而且会影响到风险管理的策略和方法。
第二步，信息收集完成之后，要进行进一步的信息分析，划分职能和业务活动的等级。通常文件的重要程度与产生文件的职能活动紧密相连。正因为如此，电子文件价值鉴定的方法之一就是职能鉴定法，“文件是职能活动的真实记录，即‘证据’，文件价值的大小取决于职能活动的重要程度。”[2]划分职能和业务活动等级是为下一步判定电子文件的重要程度奠定基础。职能代表一个政府机构应有的作用，而业务活动则是这些作用发挥的具体表现，也就是说职能是通过若干业务活动来实现的。做出这些决定需要多方面的征求意见，比如主管领导、业务人员，不能仅从档案部门的角度妄下断言。信息收集的渠道有很多，主要有以下几种：发放调查问卷；参考机构的年度报告或者其他业务文献；召开有各方代表参加的讨论会；进行面对面的实地调研；综合使用上述方法。
步骤3——识别文件的类别和等级(A3)。当电子文件信息无法有效地满足业务活动的需求，无法有力地支持、说明和控制业务活动时，机构总会遇到意想不到的麻烦。虽然机构要求电子文件具备这样或那样可以保证业务活动开展的可说明性特征，但这些要求往往是不明确、不系统的。如果管理人员不清楚本机构生成哪些文件、什么样的文件管理系统才能保证文件的质量，在系统开发活动中便会存在不同程度的片面性与盲目性。因此，从文件管理的目标出发，保证文档信息、能够满足机构的业务需求、支持业务活动的可说明性至关重要。在清楚认识业务活动(步骤2)之后，该业务活动生成的文件类型和质量要求也随之明确。一般情况下，需要关注的文件有这样两大类：一类是业务活动中生成的文件，即主文件，比如职能/业务文件；另一类是对上述文件起支持和说明作用的控制性文件，即辅助性文件，比如临时性文件。
属于这两类范畴的文件根据重要程度划分五个级别，就像上一步骤对业务活动的划分一样。文件保管期限表可以作为划分文件级别的参考依据。需要长久保存、具有法律凭证价值的文件通常要比短期保存和不具有法律凭证价值的文件重要。如果机构还备有“重要文件保管期限表”，也同样可以作为参照依据。有些法律法规要求一些业务活动生成特定的文件类型，这些也必须考虑在内。判断文件的价值还要考虑一些背景因素，如审计活动需要利用预算报告、账簿和票据，但审计部门并不是这些文件的持有者。
步骤4——确定文件质量目标(A4)。目标偏离法是识别政府电子文件管理风险的基本方法。所以，接下来要做的就是确定文件的质量标准。尽管前文一再提到电子文件质量应该达到的目标，但在实际工作中很难达到所有的目标。机构应该根据文件的类型、重要性以及其他的一些相关因素具体判断哪些目标是主要的，哪些是次要的。在确定了文件的质量目标之后，最好将这些目标再按重要程度进行分级，因为在文件生命周期的不同阶段，文件的价值、作用、保存场所都不同，从而导致对文件质量要求会有所差异。分级排序有助于在应对风险时有所侧重。需要提及的是，关于文件的质量要求目前有若干种描述方法，但“准确、真实、齐全完整、可读、可用”是法律所规定的、必须达到的基线目标。
步骤5：评估现有措施的有效性，找出差距(A5)。确定文件质量目标好比竖起了靶子，是实施目标偏离法的第一步。有的机构或许已经确立了质量目标，也采取了一些措施，但事实与目标之间还会存在一定的差距，而这些差距往往就是导致风险出现的原因。因此，缩短、消除差距便构成了风险管理的重要目的。
差距可能是多方面的，比如制度、系统、人员。造成差距的原因也不尽相同，同一个问题可能是由不同的原因引起的，不同的问题也可能来自同一个原因。因此，必须对目前满足目标的程度进行评价，然后与目标要求加以比较，得出的结论可能有以下三种情况：现有方法需要改进、完善；现有方法需要被取代；缺乏管理方法。
差距的大小仍采用从1到5从低到高的量化方法，这个步骤可以使用一些分析工具，目前比较常用的有：原因——结果图，即鱼骨图。用图的方式展示导致某一事件的多种原因。分析达到目标的关键障碍因素。例如，询问业务活动的负责人，根据经验，他们在实现文件质量目标时有哪些困难。通过询问，不足的地方便会显现出来。决策树，对所考虑的决策以及采用这种或者那种现有方案可能产生的后果进行描述的一种图解方法。工作流分析法，即每项工作的流程分析。一般的操作方法为从上至下，先确定好整体目标，然后将目标分解，分解为完成目标所需做的工作。分析的结果自然要记录下来作为下一步分析的参考。
步骤6：风险识别(风险定性分析，A6)。步骤6和步骤7共同构成了风险管理的核心——风险识别和风险评估。风险定性评估是用语言全面、详细分析和描述识别的风险因素类型、发生的阶段、造成的直接和间接威胁、导致风险的原因以及多种风险因素之间交叉的因果关系。这一步需要进行深入的思考和研究，追根溯源，找到导致风险的本质所在，透过表面的风险现象探究背后隐藏的原因，以及多种原因和多种结果之间错综复杂的关系。只有正确分析，才能抓住问题的关键，从而为寻找对策奠定基础。
步骤7：风险评估(风险定量分析，A7)。风险评估是对已经确认的风险，通过定量分析方法测量其发生的可能性和破坏程度，即“风险出现的可能性等级”和“风险造成威胁的后果等级”，并结合文件的重要程度，对风险按潜在危险的大小进行排序和评价、制定风险对策和选择风险控制方案有重要的作用。
计算公式(推荐)：风险值R=(F，L，A)=[风险出现的可能性等级×后果等级(风险产生的影响等级)×文件重要程度］
步骤8：制定应对策略(A8)。任何风险评估都不仅仅是作为一种智力活动而开展的。风险评估的目的是为了找到应对风险的方法，评估的结果也需要通过各种实践活动加以检验。风险应对策略的目的不是为了彻底消除风险，事实证明这几乎是不可能的。它只是力图将风险降低到可以接受和控制的程度。比如，制作电子文件备份、异地保存，可以有效地降低火灾等自然灾害、系统瘫痪以及载体损害造成的信息丢失。这一做法已为业界普遍认可。
风险应对措施的对象有时不仅仅是具体的设备、系统或者管理方法，还会涉及诸如制度、人员、资金等因素，如果能够得到上级领导的支持或者相关部门的通力合作，至少人、财、物方面的资源不会成为障碍，措施也能够顺利实行，取得比较理想的效果。所以，风险应对策略的制定最好从机构的全局着眼，制定一个包括宏观、中观和微观三个层次的系统、全面的规划。风险管理过程中收集到的信息也可用来为完善机构的整体文件管理工作服务。
步骤9：监控和反馈(A9 )。风险监控，从广义而言，是通过对风险规划、识别、估计、评价、应对全过程的监视和控制，从而保证风险管理能达到预期的目标。从狭义上而言，专指风险应对的一个后续环节，即风险应对措施的监控和反馈。
风险监控包括风险监视和风险控制两部分，前者是对项目中的风险以及项目环境进行跟踪观察，及时掌握风险发展动态，不断深化风险认识；后者是对已得到较好认识的风险，采取必要的处置技术或措施以最大限度地降低风险事故发生的概率、减少损失。二者实际上是不可分割的两个环节。通过风险监控掌握电子文件管理活动中风险因素的变化情况，及时发现电子文件管理过程中会出现的难以预料的问题；同时纠正管理、控制风险的过程中出现的偏差，使风险管理为有效控制风险目标服务。
进行风险监控需要从多种渠道收集足够的信息进行分析、判断，这些信息渠道包括：(1)电子文件管理、使用活动中形成的记录：包括文档管理部门电子文件管理信息、业务部门使用电子文件过程中的反馈信息、公众在电子政务服务中利用电子文件的反馈信息。(2)电子文件风险管理活动中形成的记录：包括电子文件风险管理计划、电子文件风险管理应急计划、电子文件风险因素和风险事故识别表、电子文件风险评估表、电子文件风险应对计划。
电子文件风险监控是一项全面性的监控互动，既指对风险的监控，也指对风险管理活动的监控。在监控过程中，要贯彻系统监控与流程监控并重、实时监控与前端监控并重、过程监控与结果监控并重、技术监控与管理监控并重、内部监控和外部反馈结合五项原则，切实提高电子文件管理的效率和水平。