第8章 监督管理

第8章 监督管理

8.1 概述

监督管理是依据国家IT服务标准对IT服务进行整体评价，并对供方的服务过程、交付结果实施监督和绩效评估。在监督管理环节，需要采取适当的方法，对IT服务全生命周期各个阶段的过程和质量进行度量与评价，并对服务供方的服务过程、交付结果实施监理，对服务的结果进行绩效评估，从而确保实现预定的IT服务质量。

质量管理、风险管理和信息安全管理是监督管理的重要内容，三者之间相对独立。IT服务质量管理是通过制订质量方针、质量目标和质量计划，实施质量控制、质量保证和质量改进等活动，确保IT服务满足服务级别协议的要求，最终获得用户的满意。IT服务风险管理是对已知风险的认识、分析、采取防范和处理措施等一系列的管理过程。对服务进行风险控制和管理，可以最大限度地减少IT服务风险的发生，提高服务成功的概率。信息安全管理是确保组织的资产、信息、数据和IT服务的保密性、完整性、可用性及其他属性的过程，其他属性有真实性、可核查性、可靠性、防抵赖性等。信息安全管理通常是构成组织安全方法的一部分。

8.2 IT服务质量管理

8.2.1 IT服务质量评价橾型

IT运维服务质量的评价来自于IT服务供方、IT服务需方和第三方的需要，对于IT运维服务的供方，需要通过对服务过程能力和服务质量的量化，检查自身存在的问题和改善机会，帮助服务组织以最符合成本的方式提供满足客户需求的IT运维服务产品。对于IT运维服务的需方，需要通过对供方IT运维服务能力的量化评价和选择符合需要的供应商；同时，也需要通过对服务质量的量化来检验供方提供的实际服务是否满足了双方确定的服务等级，也是确定IT运维服务费用结算的依据之一。对于IT运维服务的第三方，需要将对供方服务能力和实际服务绩效的量化考评作为授予资质和颁发证书的有效依据。

由于IT运维服务的无形性、不可分离性、差异性等特点，这给服务量化也带来了很大的不确定性和难点。国标《信息技术服务质量评价指标体系》给出来用于评价信息技术服务质量的信息技术服务质量模型，该模型定义了服务质量的5类特性：安全性、可靠性、有形性、响应性、友好性。每大类服务质量特性进一步细分为若干子特性。这些特性和子特性适用于定义各类信息技术服务的评价模型，如图8.1所示。

《信息技术服务质量评价指标体系》标准同时给出了运行维护服务评价指标及测量方法，对质量模型中的每个子特性给出对应的运维服务评价指标和测量方法，具体包括：指标名称、测量目的、应用的方法、公式及数据元计算、测量值解释、数据类型和测量输入。一个子特性对应一到多个评价指标，标准中共提出32个运维服务质量评价指标。

信息技术服务质量评价分为确定需求、指标选型、实施评价以及评价结果分级四个步骤，具体操作参阅标准《信息技术服务质量评价指标体系》。

8.2.2 IT服务评价指标

1. 安全性
   (1)可用性。可用性评价指标及测量，如表8.1所示。
   表8.1 可用性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
供方访问权限的控制率	供方对需方信息的访问权限是否能够匹配双方运行维护协议的约定	需方授权供方的权限个数与运维服务要求的权限个数进行比较	X=1-A/B A＝未满足运维服务要求的授权个数 B＝运维服务要求的授权个数	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:运行维护总结报告 B:服务协议
需方访问权限的满足率	需方对运维服务过程信息和结果信息的访问权限是否能够匹配业务要求	已满足需方授权的权限个数与业务要求的权限个数进行比较	X=1-A/B A＝未满足需方授权的权限个数 B＝业务要求的权限个数	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:服务总结报告 B:服务协议

(2)完整性。完整性评价指标及测量，如表8.2所示。
表8.2 完整性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
信息的完整状态比率	服务过程中信息是否发生非授权篡改、破坏和转移	发生的与非授权篡改、破坏和转移信息相关的安全事件数与信息实际发生的总变更操作数进行比较	X=1-A/B A＝与非授权篡改、破坏和转移信息相关的安全事件数 B＝信息实际发生的总变更操作数	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:服务过程记录 B:服务过程记录

(3)保密性。保密性评价指标及测量，如表8.3所示。
表8.3 保密性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
保密机制的运行情况	测评服务供方是否具备应对保密问题的能力	对服务供方的保密策略和制度的建立与实施情况进行检查	X=A/5 A取值1, 2, 3, 4, 5 1:既没有建立保密策略与制度，实施也很不到位 2:没有建立保密策略与制度，但客观上或自发开展了保密及权限控制工作 3:建立了保密策略与制度，但实施不到位 4:建立了完备的保密策略与制度，实施良好 5:建立了完备的保密策略与制度，实施良好，且所有员工都清楚并理解安全策略与制度要求	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:保密机制文件
泄密事故发生情况	评价服务供方在服务履行过程当中的保密管理水平	统计泄密事故发生的次数	当A>0时，X=0 当A=0时，X=1 A＝服务协议约束的泄密事故发生的次数	X=0或X=1 X=1为好	A＝计数 X＝逻辑值	A:泄密事故报告

2. 可靠性
   (1)完备性。完备性评价指标及测量，如表8.4所示。

表8.4 完备性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
服务项实现的完整度	按照服务协议，服务项实现的完整程度	服务协议约定的服务项实现程度的完整度评价	X=A/B A=实际达成的服务项数 B=符合服务协议中约定的服务项数	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:服务报告、服务过程记录 B:服务协议、服务报告、服务过程记录

(2)连续性。连续性评价指标及测量，如表8.5所示。
表8.5 连续性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
重大事故发生情况	是否有重大事故发生	统计重大事故发生的次数 重大事故为服务协议约定的不得发生的事故	当A>0时，X=0 当A=0, X=1 A＝重大事故发生的次数	X=0或 X=1	A＝计数 X＝逻辑值	A：服务过程记录、服务协议
事故（不包括重大事故）发生情况	事故发生次数是否得到有效控制	实际发生的事故次数与服务协议中约定的事故次数进行比较	X=1-A/B A＝实际发生的事故次数 B＝服务协议中约定的事故次数	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:服务过程记录 B:服务协议
服务按时恢复的事件比例	对服务恢复时间进行评价	超出服务协议约定恢复时间的事件次数与实际发生的所有的事件的次数进行比较	X=1-A/B A＝超出服务协议约定恢复时间的事件次数 B＝实际发生的所有事件次数	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:服务过程记录、服务协议 B:服务过程记录
服务的可用程度	信息技术服务的可用程度	统计服务运行中的中断时间，并与协议约定的服务时间进行比较	X=1-A/B A＝故障时间 B＝约定的服务时间	0⩽X⩽1 X越接近1,信息技术服务的可用程度越好	A＝计数 B＝计数 X＝数值	A:服务过程记录 B:服务过程记录
关键业务应急就绪度	支撑关键业务的信息技术服务是否进行了有效的应急机制（预防机制、预警机制、反应机制、控制机制和恢复机制）	对关键业务的应急机制（预防机制、反应机制、控制机制和恢复机制）进行检查	X=A/5A取值1, 2, 3,4, 5 1:既没有建立策略与制度，实施也很不到位 2:没有建立策略与制度，但客观上或自发开展了控制工作 3:建立了策略与制度，但实施不到位 4:建立了完备的策略与制度，实施良好 5:建立了完备的策略与制度，实施良好，且所有员工都清楚并理解策略与制度要求	0⩽X⩽1 X越接近1越好	A＝计数 X＝数值	A:供方的制度规范

(3)稳定性。评价指标及测量如表8.6所示。
表8.6 稳定性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
服务人员的稳定性	供方为保证服务协议得到连续实施而保持服务团队的稳定性	评价特定时间段内服务人员的流失率	X=1-A/B A＝特点时间段内供方流失的服务人员数量； B=特定时间段内供方服务人员数量	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:供方人员统计人员流失 B:供方人员统计

(4)有效性。评价指标及测量，如表8.7所示。
表8.7 有效性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
接通率	在正常情况下用户发起服务请求后接通的比率	接通的次数与总服务请求的次数进行比较	X=A/B A＝接通次数 B＝总服务请求次数	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:服务过程记录 B:服务过程记录
服务报告及时提交率	评价服务报告按照服务协议要求及时提交的比率	统计并比较实际按时提交的满足服务协议要求的服务报告数量和服务协议要求的服务报告数量	X=A/B A＝实际按时提交的满足服务协议要求的服务报告数量 B＝服务协议要求的服务报告数量	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:服务过程记录 B:服务协议
首问解决率	首次请求就得到应答及解决的比率	将首次请求就得到应答及解决的次数与总服务请求次数进行比较	X=A/B A＝首次请求就得到应答及解决的次数 B＝总服务请求次数	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:服务过程记录 B:服务过程记录
解决率	服务请求得到解决的比率	将已解决的服务请求次数与总服务请求次数进行比较	X=A/B A＝已解决的服务请求次数 B＝总服务请求次数	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:服务过程记录 B:服务过程记录

(5)可追溯性。可追溯性评价指标及测量，如表8.8所示。
表8.8 可追溯性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
服务记录的可追溯性	运行维护服务过程记录是否可追溯	对记录追溯机制的建立与实施情况进行检查	X=A/5 A取值1, 2, 3, 4, 5; 1:没有建立记录追溯的机制，实施也很不到位 2:没有建立记录追溯的机制，但客观上或自发地进行了记录留存 3:建立了记录追溯的机制，但实施不到位 4:建立了完备的记录追溯的机制，实施良好 5:建立了完备的记录追溯的机制，实施良好，且所有员工都清楚并理解咨询服务的连续性计划要求并能定期进行演练	0⩽X⩽1 X越接近1越好	A＝计数	A:运行维护服务过程记录、运行维护服务总结报告和阶段性报告

3. 响应性
   (1)及时性。及时性评价指标及测量，如表8.9所示。
   表8.9 及时性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
及时响应率	信息技术服务供方对服务请求的响应速度	统计并比较及时响应的服务请求的数量与总的服务请求数量	X=1-A/B A=响应时间不符合服务协议要求的服务请求数量 B=总的服务请求数量	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:服务过程记录、服务协议 B:服务过程记录
及时解决率	信息技术服务供方对服务请求的解决速度	统计并比较及时解决的服务请求的数量与总的服务请求数量	X=1-A/B A=解决时间不符合服务协议要求的服务请求数量 B=总的服务请求数量	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:服务过程记录 B:服务过程记录

(2)互动性。互动性评价指标及测量，如表8.10所示。
表8.10 互动性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
互动沟通机制	测评服务供方互动沟通机制（包括投诉处理、客户满意度调查、服务 的建立与实施报告和服务状 情况进行检查态等）的建立和实施状况	对服务供方的互动沟通机制的建立与实施情况进行检查	X=A/5 A取值1, 2, 3, 4, 5 1:既没有建立互动沟通机制，实施也很不到位 2:没有建立互动沟通机制，但客观上或自发地达到了互动沟通效果 3:建立了互动沟通机制，但实施不到位 4:建立了完备的互动沟通机制，实施良好 5:建立了完备的互动沟通机制，实施良好，且所有员工都清楚并理解互动沟通机制要求	0⩽X⩽1 X越接近1越好	A＝计数 X＝数值	A:供方制度规范
服务报告提交率	评价服务报告按照服务协议要求提交的比率	统计并比较实际提交的满足服务协议要求的服务报告数量和服务协议要求的服务报告数量	X=A/B A=实际提交的满足服务协议要求的服务报告数量 B=服务协议要求的服务报告数量	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:服务过程记录 B:服务协议
投诉处理率	评价服务投诉是否得到有效解决的比率	统计并比较得到有效处理的投诉数量和收到的投诉数量	X=A/B A=得到有效处理的投诉数量 B=收到的投诉数量	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:服务过程记录 B:服务协议

4. 有形性
   (1)可视性。可视性评价指标及测景，如表8.11所示。
   表8.11 可视性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
服务交付物的呈现规范性	运行维护服务交付物的呈现规范程度	对运行维护服务交付物的模板建立及实施情况进行评价	X=A/5 A取值1,2,3,4,5 1:对交付物没有建立统一的模板 2:对部分交付物建立了统一的模板，但实施较差 3:对部分交付物建立了统一的模板，并在服务中得到了有效实施 4:对所有交付物建立了统一的模板，并在服务中部分得到了有效实施 5:对所有交付物建立了统一的模板，并在服务中全部得到了有效实施	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 X＝数值	A:供方制度规范、服务过程记录

(2)专业性。专业性评价指标及测量，如表8.12所示。
表8.12 专业性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
工具的专业性	是否具备与服务相匹配的专业性工具	对服务中工具的使用和匹配情况进行调查并做评价	X=A/5 A取值1,2,3,4,5 1:没有使用工具 2:在部分服务中使用了工具，但匹配度较低 3:在部分服务中使用了匹配的工具 4:在所有服务中都使用了工具，但不完全匹配 5:在所有服务中都使用了完全匹配的工具	0⩽X⩽1 X越接近1越好	A＝计数 X＝数值	A:提供的证据
服务流程的专业性	是否建立并实施了规范化的服务流程	对服务流程的建立和服务过程中实施情况进行调查并做评价	X=A/5 A取值1,2,3,4,5 1:既没有建立文件化的服务流程，也没有客观上或自发的在实施中按一定的流程工作 2:没有建立文件化的服务流程，但客观上或自发地按照一定的流程工作 3:建立了文件化的服务流程但实施不到位 4:建立了较好的文件化或自动化的服务流程，实施良好 5:建立了完备的文件化或自动化的服务流程，实施良好	0⩽X⩽1 X越接近1越好	A＝计数 X＝数值	A:评价报告
人员的专业性	是否具备了与服务相匹配的专业人员团队	分别计算取得相应专业资格认证的服务工程师的比率以及取得信息技术服务相关专业本科及以上学历的服务工程师的比率，并进行加权计算	X=X1 × 70%+X2 × 30% X1=A/B A＝取得的相应专业资格认证的服务工程师数量 B＝服务工程师的总数 X2=C/B C＝取得信息技术服务相关专业本科及以上学历的服务工程师数量	0⩽X⩽1 X越接近1越好	A＝计数 B＝计数 C＝计数 X1＝数值 X2＝数值 X＝数值	A:专业资格证书 B:人员列表 C:学历证书

(3)合规性。合规性评价指标及测量，如表8.13所示。
表8.13 合规性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
服务的依从性	服务是否遵循相关的法律法规和制订的标准	评价服务对法律法规和制定标准的依从性状况	X=A/5 A取值1,2,3,4,5 1:发生违反法律法规及制定的标准的情况或没有识别相关的法律法规及制定的标准 2:识别了相关的法律法规及制定的标准，但没有在内部相关职能和服务过程进行对应 3:识别了相关的法律法规及制定的标准，且在内部相关职能和服务过程进行对应 4:识别了相关的法律法规及制定的标准，且在内部相关职能和服务过程进行对应，并开展了内部合规性评价 5:识别了相关的法律法规及制定的标准，且在内部相关职能和服务过程进行对应，并开展了内部合规性评价，评价结果良好	0⩽X⩽1 X越接近1越好	A＝计数 X＝数值	A:法律法规及制定标准清单/识别报告／内外部合规性评价报告

5. 友好性
   (1)主动性。主动性评价指标及测量，如表8.14所示。
   表8.14 主动性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
主动进行服务监控	检查服务监控的主动程度	评价供方的服务监控规范的建立和实施情况	X=A/5 A取值1,2,3,4,5 1:既没有建立规范，实施也很不到位 2:没有建立规范，但客观上或自发地进行了主动的服务监控 3:建立了规范，但实施不到位 4:建立了完备的规范，实施良好 5:建立了完备的规范，实施良好，且所有员工都清楚并理解服务要求	0⩽X⩽1 X越接近1越好	A＝计数 X＝数值	A:供方制度规范、服务过程记录
主动进行服务趋势分析	检查服务趋势分析的主动程度（如顾客满意，与服务要求的符合性，服务的特性与趋势，相关方）	评价供方的服务趋势分析规范的建立和实施情况	X=A/5 A取值1,2,3,4,5 1:既没有建立规范，实施也很不到位 2:没有建立规范，但客观上或自发地进行了主动的服务趋势分析 3:建立了规范，但实施不到位 4:建立了完备的规范，实施良好 5:建立了完备的规范，实施良好，且具有成熟的服务趋势分析模型	0⩽X⩽1 X越接近1越好	A＝计数 X＝数值	A:供方制度规范、服务过程记录
主动介绍服务的相关内容	检查服务的相关内容介绍的主动程度	评价供方主动介绍服务相关内容机制的建立和实施情况	X=A/5 A取值1,2,3,4, 5; 1:既没有建立规范，实施也很不到位 2:没有建立规范，但客观上或自发地主动介绍服务相关内容 3:建立了规范，但实施不到位 4:建立了完备的规范，实施良好 5：建立了完备的规范，实施良好，且所有员工都清楚并理解服务要求	0⩽X⩽1 X越接近1越好	A＝计数 X＝数值	A:供方制度规范、服务过程记录

(2)灵活性。灵活性评价指标及测量，如表8.15所示。
表8.15 灵活性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
需求响应灵活性	供方应对需方需求变化的能力	评价供方应对需方需求变化机制的建立与执行情况	X=A/5 A取值1,2, 3,4,5 1：供方未建立应对需方需求变化的机制，也未能响应需方需求变化 2：供方建立了应对需方需求变化的机制，但未能响应需方需求变化 3：供方未建立应对需方需求变化的机制，但能响应需方需求变化 4:供方建立了完备的应对需方需求变化的机制，响应了需方需求变化，并能部分解决变化的需方 5：供方建立了完备的应对需方需求变化的机制，响应了需方需求变化，并能全部解决需方需求变化	0⩽X⩽1 X越接近1越好	A＝计数 X＝数值	A:服务过程记录 B:服务协议

(3)礼貌性。礼貌性评价指标及测量，如表8.16所示。
表8.16 礼貌性评价指标及测量

指标名称	测量目的	应用的方法	公式及数据元计算	测量值解释	数据类型	测量输入
服务语言、行为和态度规范	检查服务语言、行为和态度的规范程度	评价服务语言、行为和态度的规范的建立与执行情况	X=A/5 A取值1, 2, 3, 4, 5 1:既没有建立规范，实施也很不到位 2:建立了规范，但实施不到位 3:没有建立规范，但客观上或自发地规范了服务语言行为和态度 4：建立了完备的规范，并基本实施了规范，实施良好 5：建立了完备的规范，并完全实施了规范，且所有员工都清楚并理解服务要求，实施良好	0⩽X⩽1 X越接近1越好	A＝计数 X＝数值	A:供方制度规范、服务过程记录

8.2.3 常见运维服务质量管理活动

运维服务质量是指服务能够满足规定和潜在需求的特征和特性的总和，是指IT服务工作能够满足被服务者需求的程度。如IT运维服务质量管理是为了保证SLA的完成，提高运维服务水平所做的一系列活动。运维服务质量管理包括运维服务质量策划、运维服务质量检查、运维服务质量改进等活动。

1. 运维服务质量策划

运维服务质量负责人和运维业务负责人应当定期对运维服务的质量进行整体策划，策划的内容包括：

确定运维服务质量的目标，结合运维业务实际情况、运维服务客户的需要以及当前运维能力水平，设定合理的运维服务质量目标。

确定运维服务质量管理的活动，为了达到运维服务质量目标，必须事先策划所要采取的质量保证和质量控制活动，目前常见的运维服务质量活动的形式如下。

(1)项目质量保证。

(2)用户满意度管理。

(3)客户投诉管理。

(4)日常检查。

(5)质量文化和质量教育。

(6)体系内审及管审。

确定运维服务质量管理相关的职责和权限。运维服务质量策划是对相关的过程进行的一种事先的安排和部署，而任何过程必须由人员来完成。运维服务质量策划的难点和重点就是落实质量职责和权限。如果某一个过程所涉及的质量职能未能明确，没有文件给予具体规定（这种情况事实上是常见的），会出现推读扯皮现象。

时间安排，在策划阶段需要对确定的各类质量活动时间做出大致安排，或者确定频率周期。

运维服务质量策划最终要形成质量策划文件，在最终确定后，应该以正式的形式发送给相关方。

2. 运维服务质量检查

质量人员按照前期运维服务质量策划的内容对各阶段运维服务的质量进行检查和实施工作，必要时还要制订详细的质量计划，比如项目质量保证工作，需要针对检查的运维项目制订项目质量保证计划，并按照项目质量保证计划实施质量保证工作，满意度调查管理需要事先制定满意度调查问卷等。
常见的质量实施和检查活动包括：

(1)进行满意度调查。

(2)运维各项目质量保证工作实施。

(3)内审。

(4)管理评审。

(5)日常检查。

(6)质量文化培训等。

质量人员在质量检查或者实施过程中也要对检查的过程结果进行客观记录，以方便事后的分析和判断。

运维服务质量负责人和业务负责人需要定期关注质量检查活动的执行状况，保证各项质量工作按照计划在执行，必要时给予指导。关注的方式可以是正式的也可以是非正式的，可以采用的方式包括但不限于：

(1)定期召开质量会议。

(2)定期质量报告。

(3)不定期的邮件质量问题沟通。

3. 运维服务质量改进

运维服务质量负责人和业务负责人应当清楚当前的运维服务质量总体状况，并要结合当前的运维服务业务现状及能力水平，针对当前的质量问题确定质量改进方向和改进目标。

质量改进目标确定后，就要安排具体质量人员落实改进任务，虽然具体的改进工作是由质量人员落实和跟踪的，但最终的结果需要运维服务质量负责人和运维业务负责人决定并掌控，因为质量改进过程中很多工作是需要运维工程师参与完成的，如果没有运维质量负责人和运维业务负责人的支持，很多改进工作会流于形式，起不到真正质量改进的作用。

在运维服务质量改进过程中，运维业务负责人和质量负责人也要定期关注改进情况，一旦出现偏差，要及时给予指导和帮助。

8.3 IT服务风险管理

风险是在实现服务目标过程中所带来的不确定性和可能发生的危险。风险一旦发生，会对服务产生某种影响。
在IT服务提供过程中会遇到各种风险，可能会对IT服务带来不利影响，使得IT服务目标不能正常实现。这些风险通常包括人员、技术、资源、过程和其他五方面。

例如，在人员方面，会出现服务人员流动导致服务质量波动大、人员误操作导致业务数据丢失的风险；在技术方面，会存在采用发现问题的技术和服务对象不匹配的风险；在资源方面，会发生备品备件失效、服务工具失效等方面的风险；在过程方面，会出现过程规定不完善的风险；在其他方面，会出现服务范围漫延的风险等。

风险管理包括策划、组织、领导、协调和控制等活动，通过风险识别、风险分析和风险评估，提供一个有效的事先计划，并合理地使用回避、减少、分散或转移等方法，对风险实行有效的控制，妥善地处理风险造成的不利后果，以合理的成本保证安全，可靠地实现预定的目标，减少风险对组织资源、收益和现金流的不利影响。

8.3.1 风险管理计划

风险管理计划是在服务正式启动前或启动初期，基于风险角度对服务的一个纵观全局的考虑、分析、规划。谨慎和清晰的计划能够提高风险管理过程的成功概率。风险管理计划编制是决定如何采取和计划服务的风险管理活动的过程。

1. 风险管理计划编制的输入

IT服务风险管理计划编制的输入物包括：服务范围说明书、服务预算、沟通管理计划、组织过程资产、事业环境因素、进度管理计划（必要时）。

2. 风险管理计划编制的输出

IT服务风险管理计划编制的输出物如下。

(1)方法：IT服务中实施风险管理的办法和使用的工具等。

(2)角色与职责：定义IT服务风险管理团队的成员，并且为这些成员分配具体任务与职责。

(3)预算：分配资源并估计成本。

(4)制订时间表：定义在IT服务整个生命周期中风险管理过程的执行时间进度计划。

(5)风险类别：事先准备的常用风险类别，用一个简单的列表标识IT服务不同方面的风险。

(6)风险概率：定义一个根据风险类别确定风险概率的客观标准。

(7)风险影响力：反映的是风险影响的严重程度。

(8)概率及影响矩阵：根据风险对目标的影响程度，用一种查询表格即影响矩阵对风险排序。根据风险概率和影响程度的组合，决定该风险的高、中、低程度。

(9)报告的格式：如何对风险管理过程的结果进行归档、分析及沟通。

(10)跟踪：记录风险行为的方方面面，并将这些内容进行归档。

8.3.2 风险识别

风险识别是指识别可能会对服务产生影响的风险，并将这些风险的特征形成文档，是一个不断重复的过程。

IT服务风险识别是一项风险管理工作，其目标是识别和确定出风险、风险的基本特性，以及可能影响到哪些方面。服务风险包括内部因素造成的风险和外部因素造成的风险。内部因素造成的风险能够控制，外部因素造成的风险只能规避或转移。

风险识别的主要内容包括以下三方面。

• 识别并确定IT服务的潜在风险：确定服务可能会遇到的风险，分析这些风险的性质和后果，全面分析服务的各种影响因素，找出可能存在的各种风险，整理汇总成风险清单。
• 识别引起风险的主要因素：识别各风险的主要影响因素，把握风险发展变化的规律，衡量风险的可能性与后果。可以根据风险清单，全面分析各风险的主要影响因素，描述清楚这些风险的主要因素同风险的相互关系。
• 识别IT服务风险可能引起的后果：风险识别的根本目的就是要缩小和消除风险可能带来的不利后果，所以要分析风险可能带来的后果和这种后果的严重程度。这一阶段主要依靠定性分析来界定风险可能带来的各种后果。

1. 风险识别的输入

风险识别的输入如下。

• SLA:目标描述、干系人的目的、对服务的期望等。
• 范围说明书：范围说明包含假设条件。
• 风险管理计划：从风险管理计划到风险识别过程的关键输出是角色和责任的分配，以及为风险管理任务的预算和计划所做的准备。
• 组织过程资产：在相关文档中的过往实际数据和经验教训。
• 环境及组织因素：已经发表的信息，对于识别风险都很有帮助。

2. 风险识别的输出

(1)风险记录。

• 风险记录包含风险分析的结果、优先级，实施其他风险管理过程措施后的响应，包括：已识别出的风险列表，已识别出的风险，以及风险的根本原因、风险造成的影响。
• 风险征兆或警告信号：利用这些标识，在其将要发生时提高人们的警惕性。
• 潜在的风险应对方法列表：在风险识别过程中对如何应对风险进行简单建议。
• 风险的根本原因：导致风险的基本条件或事件。
• 更新的风险分类：识别风险的过程会为风险类别列表添加新的风险类别。

(2)更新管理计划。风险识别过程可能需要采取进一步的措施，更新管理计划中的其他过程计划。管理计划及其辅助计划的变更是通过整体变更控制系统处理的。

3. 风险识别方法

(1)文档评审。对文档采取一些结构化的评审。

(2)信息收集技术。

• 头脑风暴法：成员产生对风险的想法，并在会议上公布这些风险来源，让大家一起参与检查，然后根据风险类别进行风险分类。这样风险定义就清晰化了。
• 德尔菲法：使用问卷征求重要风险方面的意见，将意见结果反馈给每位专家，重复此过程几个回合，即可在主要的风险上达成一致意见。
• 访谈法：通过访谈资深系统规划与管理师相关领域的专家进行风险识别。访谈对象依据他们的经验、服务的信息，以及他们所发现的其他有用供方，对风险进行识别。
• 优劣势分析法(Strengths Weaknesses Opportunities Threats, SWOT):从每个方面对进行检查，扩大考虑风险的范围。

(3)检查表。从以往类似和某些其他信息来源中积累的历史信息与知识，可用于编制风险识别信息检查表。

(4)分析假设。分析假设是一种技术手段，它从不准确、不连贯、不完整的假设中识别风险。

(5)图解技术。图解技术包括因果分析图、系统或过程的流程图等。

8.3.3 风险定性分析

风险定性分析是对已识别风险进行优先级排序，通过对风险的发生概率和影响程度的综合评估来确定其优先级。
风险定性分析是建立风险响应计划优先级的快速有效的方法，也为以后定量分析奠定了基础。在过程中，需持续进行风险定性分析，以维持风险的不断变化。

1. 风险定性分析的输入

(1)风险管理计划：风险管理的角色与责任、风险管理的预算与活动、风险种类、概率和影响定义、概率与影响矩阵、修正干系人的风险承受能力。

(2)风险记录：已识别出的风险、风险的根本原因、重要假设、风险可能发生的征兆或警告信号。

(3)组织过程资产：历史的风险数据和经验教训可以用于风险定性分析。

(4)工作绩效信息：风险的特点会随着进展而不断变化。如果风险定性分析在生命周期的中间阶段进行，则来自该过程的工作绩效信息和绩效报告一起作为状态的度量信息。

(5)范围说明：一般来说，进行过多次的服务会有很多被人们充分理解的风险。使用先进技术或高复杂度的服务存在更多的不确定性。这可以通过服务范围说明来进行评估。

2. 风险定性分析的输出

(1)按优先级或相对等级排列的风险：概率及影响矩阵可根据每个风险的重要程度分类。

(2)按种类的风险分组。

(3)要近期做出响应的风险列表。

(4)需要进一步分析和应对的风险列表。

(5)低优先级风险的监视表。

(6)风险定性分析结果中反映的＂趋势＂。随着分析的不断重复，特定风险结果的趋势愈加明显，使得风险应对或进一步分析的紧迫性、重要性可能增加，也可能减少。

8.3.4 风险定量分析

定量风险分析过程是指定量地分析风险对目标的影响，它在面对很多不确定因素时提供了一种量化的方法，以做出尽可能恰当的决策。

1. 风险定量分析的输入

(1)管理计划。

(2)风险管理计划。

(3)经过更新的风险记录。

(4)包含活动的逻辑关系及活动历时估算的进度管理计划。

(5)包含成本估算的成本管理计划。

(6)范围说明和范围管理计划。

(7)工作分解结构。

(8)组织过程资产，如类似的服务、风险管理的专业人员对类似项服务所做的研究成果、风险数据库。

2. 定量风险分析的输出

(1)可能性分析：对进度和成本的输出进行估计，并列出可能完成的日期和成本。

(2)实现成本和进度目标的可能性。

(3)已量化风险的优先级列表。

(4)定量风险分析结果中的趋势。

8.3.5 风险处置计划

风险处置计划是指依据相应优先级的顺序，同时考虑实际需要，把应对风险所需成本和措施加入IT服务预算和进度中。
有计划的风险应对应考虑到风险的重要性、成本的有效性、应对的及时性、环境中的现实性、是否可以被各方接受，并要有一个明确的责任人。

1. 风险处置计划的输入

(1)风险管理计划：成员任务分配、风险分析定义、不同风险等级的划分、风险管理计划的进度和预算方案。

(2)风险记录：风险处置计划过程可能必须向前追溯已识别出的风险、挖掘风险的根源、潜在的应对措施、风险责任人及风险的征兆和警告信号。

2. 风险处置计划的输出

(1)已识别的风险及其描述。

(2)风险责任人及其职责。

(3)定性和定量风险分析过程的结果。

(4)一致认同的应对策略。

(5)执行选定的应对策略所需的具体行动。

(6)在应对策略执行后，期望的残留风险水平。

(7)风险发生时的预警和信号。

(8)风险应对策略所需的预算和时间。

(9)时间和成本的应急储备，目的是为干系人提供一定的风险承受能力。

(10)启动应急计划的触发条件。

(11)风险一旦发生后所采用的回退计划。

(12)残留风险。

(13)二级风险：执行某一风险应对措施而直接引发的风险。

(14)需要的应急储备量：通过风险的定量分析和组织对风险的承受能力来确定。

(15)风险相关的合同协议。

3. 风险处置计划的方法

(1)负面风险应对策略。

• 避免：修改计划以消除相应的威胁、隔离目标免受影响、放宽目标等。
• 转移：风险转移是指把威胁的不利影响以及风险应对的责任转移到第三方的做法。
• 减轻：即通过降低风险的概率和影响程度，使之达到一个可接受的范围。

(2)机遇应对策略。

• 开拓：分配更多好的资源给该服务，使之可以提供比原计划更好的成果。
• 分享：将相关重要信息提供给一个能够更加有效利用该机会的第三方。
• 强大：通过增加可能性和积极的影响来改变机会的大小，发现和强化带来机会的关键因素，寻求促进或加强机会的因素，积极地加强其发生的可能性。

(3)同时适用威胁和机遇的应对策略。既应对威胁也应对机会，通常的风险应对策略是预留突发事件预备资源，包括进度、成本或资源来处理已知的甚至是潜在的突发的未知风险。

(4)应急响应策略。制订一个计划来应对风险，等以后必要时使用。

8.3.6 风险监控

风险监控是指跟踪已识别的危险，监测残余风险和识别新的风险，保证风险计划的执行，并评价这些计划对减轻风险的有效性。风险监控是整个生命周期中一个持续进行的过程。

1. 风险监控的输入

(1)风险管理计划：关注责任人、时间和进行风险管理所需的其他资源。

(2)风险记录：已识别的风险及其责任人、一致认同的风险应对策略及实施措施、风险征兆及预警信号、残余风险及二级风险、低优先级风险的监视列表和时间及成本应急储备。

(3)工作绩效信息：计划交付的状态、改正措施和执行报告。

(4)批准的变更请求：工作方式、合同期限、范围大小、工作计划的修订。

2. 风险监控的输出

(1)建议的纠正措施：包括应急计划和临时措施，纠正措施可以指导并管理服务的执行过程。

(2)变更申请：变更申请由综合变更控制进行管理。

(3)风险记录：一个在风险管理中收集数据并进行维护和分析的知识库。

(4)组织过程资产：风险管理程序可以应用于未来服务，并作为组织过程资产的一部分。

3. 风险监控的方法

(1)风险评估：风险监控需要重新评估新的风险。重复的次数和详细程度取决于计划对目标的实现程度。

(2)风险审计和定期的风险评审：进行风险审计并记录应对的效用，风险检查应该定期进行，在小组例会上风险管理应作为一个议程。

(3)差异和趋势分析：通过对绩效数据的分析，可以看出发展的趋势。分析结果可以用来对进度和成本目标的潜在偏差进行预测。

(4)技术的绩效评估：通过比较执行过程的技术成果和原始计划的差别来完成。

(5)预留管理：通过比较剩余的预留储备和剩余的风险，可以看出预留储备是否合适。

8.3.7 风险跟踪

风险跟踪包括已识别风险和其他突发风险的观察记录，对风险的发展状况进行记录和查询。

1. 风险跟踪的方法

风险审计：系统规划与管理师定期进行风险审核，在关键处进行事件跟踪和主要风险因素跟踪，对没有预计到的风险制订新的处置计划。

偏差分析：系统规划与管理师定期和计划比较，分析成本和时间上的偏差。

技术指标分析：比较原定技术指标和实际技术指标差异。

2. 风险清单

风险清单是一种主要的风险管理工具，指明了服务在任何时候面临的最大风险。风险管理负责人应经常维护这张清单，直到结束前不断更新这张清单，并给这些风险排列优先顺序，更新风险解决情况，对这些风险的严重程度的变化保持警惕。

【练习题】

一、单项选择题

1. ( )、风险管理和信息安全管理是监督管理的重要内容，三者之间相对独立。

A.时间管理 B.成本管理 C.质量管理 D.进度管理

2. IT服务质量的属性分为5个特性：安全性、（ ）、有形性、响应性、友好性。

A.可靠性 B.连续性 C.无形性 D.稳定性

3. 风险识别的主要内容不包括（ ）。

A.识别并确定IT服务的潜在风险

B.识别IT服务风险可能影响的范围

C.识别引起风险的主要因素

D.识别IT服务风险可能引起的后果

4. 下列不属于定量风险分析的输出的是（ ）。

A.实现成本和进度目标的可能性 B.已量化风险的优先级列表

C.经过更新的风险记录 D.定量风险分析结果中的趋势

5. 信息安全管理能带来的收益如下：保证信息资产的安全，降低安全风险，（ ），提高IT服务质量。

A.保证IT服务信息的完整性 C.保证IT服务业务的可靠性

B.保证IT服务业务的可用性 D.保证IT服务业务的连续性

二、案例分析题

根据国家电网提出的建设坚强智能电网、构建“三集五大“体系，深入推进“两个转变”、建设“一强三优“现代公司的战略目标，信息化作为推进电力企业实现发展战略目标的核心保障体系，作用日益突出。这其中更需要进一步推动信息运维综合监管系统的深化应用工作。经过20多年的信息化建设，某电力的信息化建设经历了从无到有、从有到精的过程，取得了长足的进步。与此同时，对IT服务质量的要求也随之提升，搭建一个综合的IT运维管理系统，建立综合的IT基础设施管理和服务管理中心势在必行。某软件股份有限公司是国内IT运维管理服务提供商，为多家电力企业提供了“定制化“IT运维管理方案，具备丰富的行业实施经验，根据某电力公司的实际情况，本着层次化、分布式部署的原则，同时兼顾经济成本和效益关系，某软件公司为其定制了基于某综合管理软件的解决方案，在某电力公司部署了智能化的IT运维管理平台，用于实现其IT基础资源的全面管理和监控。该公司任命在其他同类项目中担任过技术骨干的小李，来担任本项目的项目经理来负责整个项目过程的方案实施。通过方案实施，将取得了以下成果：

(1)实现了对全网IT资源的整体管理。在某电力总部，目前主要设备是思科、H3C等网络设备，通过某运维软件自动构建各个网络设备间的线路，系统将全网IT资源各项数据自动收集，并将各种软硬件资源的状态集中地在直观图形中体现。通过自动生成的物理拓扑图、应用服务一览和业务系统一览等IT资源的展现，可以让技术人员迅速对整个IT资源的各项性能做到快速了解和判断，并实时显示各个设备的负载情况，线路的运行状况，并以颜色标注负载的大小，帮助运维人员实时关注整个网络运行状况，能够一目了然地掌控整个IT架构的健康度和实时运行状态。
(2)实现了对全网的故障预警与告警。该平台能够对IT网络及系统的各类告警事件产生的事件信息和告警信息进行整合和自动化处理。提供丰富的告警类型，涵盖网络告警、管理告警、主机监视、应用监视、流量监控等多个层面。对于各类突发事件，系统可采用灵活多样的告警方式及时通知信息中心管理人员，包括中文语音报读、控制台弹出消息、E-Mail、SMS、Windows信使等，实现了全天候的事件自动通知。同时，通过内置的事件处理机制，配合管理员预置的事件联动措施，可实现对于告警的自动诊断与快速恢复，有效地增强了某电力应对网络突发事件的处置能力。
(3)定期统计报表为IT运维提供了数据基础。某运维软件提供了丰富的报表系统，能够帮助某电力的管理人员从设备负载、线路负载、事件故障统计等各个方面进行详细的分析，有效地帮助某电力各单位对网络状况、系统运行及故障情况做全面分析，为下一步信息化的建设方向提供了基础数据支撑。

如果你在该项目中负责监督管理工作，对服务过程、交付结果实施监督和绩效评估。根据本案例介绍回答以下问题。
(1)监督管理有哪些重要内容？

(2)IT服务质量的属性有哪些？并结合本案例进行说明。

(3)风险识别的主要内容包括什么？该项目存在哪些风险？

(4)信息安全管理包含哪些活动？并根据本案例进行适当说明。

【参考答案】：C A B C D