隨著近年商業(yè)流程外包（business process outsourcing，簡(jiǎn)稱BPO）的興起，隨之而來(lái)的風(fēng)險(xiǎn)--諸如從個(gè)人資料盜竊的孤立事件到可能給業(yè)務(wù)運(yùn)作造成嚴(yán)重紛擾的大型災(zāi)禍，正在引起人們的擔(dān)憂。
由于擔(dān)心失去控制，發(fā)包的公司開始要求他們的服務(wù)提供商在工作流程中實(shí)施更嚴(yán)格的監(jiān)控措施，以保障數(shù)據(jù)安全，防止欺詐。BPO客戶把"最佳實(shí)踐（best practices）"的移植當(dāng)成當(dāng)務(wù)之急，即把自己的最佳實(shí)踐移植到外包服務(wù)提供商那里，包括全套的文檔和定期的審查。此外，有的公司正在部署新的跟蹤系統(tǒng)以使他們能夠?qū)崟r(shí)地監(jiān)控他們發(fā)包出去的BPO業(yè)務(wù)。同時(shí)BPO業(yè)務(wù)的提供商也在對(duì)員工執(zhí)行更嚴(yán)格的背景篩查，而且，有些較大的BPO公司對(duì)于違反安全制度執(zhí)行零容忍政策（zero-tolerance policies）。那些主要的BPO目的國(guó)（如印度）政府也面臨越來(lái)越大的壓力，被要求強(qiáng)化私人信息和知識(shí)產(chǎn)權(quán)保護(hù)的法律，并且加強(qiáng)執(zhí)法的力度。
三種類型的風(fēng)險(xiǎn)
沃頓商學(xué)院運(yùn)營(yíng)與信息管理教授Ravi Aron是外包趨勢(shì)方面的權(quán)威。他說(shuō)，除了老式的盜竊行為之外，外包產(chǎn)業(yè)面臨的風(fēng)險(xiǎn)主要包括三大類型：
運(yùn)營(yíng)風(fēng)險(xiǎn)和戰(zhàn)略風(fēng)險(xiǎn)須要多管齊下的防備措施。第一步，Paul Fielding（位于達(dá)拉斯的專注于全球金融機(jī)構(gòu)國(guó)際外包和離岸關(guān)系的Booz Allen Hamilton公司的項(xiàng)目總監(jiān)）說(shuō)，客戶公司認(rèn)識(shí)到"當(dāng)你外包一個(gè)項(xiàng)目時(shí)，你不能把對(duì)那個(gè)項(xiàng)目的責(zé)任（responsibility and accountability）也外包出去。"例如，客戶公司為了維護(hù)數(shù)據(jù)安全，應(yīng)當(dāng)確保任何個(gè)人都不能完全地接觸信息。"對(duì)金融機(jī)構(gòu)來(lái)說(shuō)，很重要的是要做到責(zé)任分割，這樣任何個(gè)人都不能將整個(gè)公司置于風(fēng)險(xiǎn)之下，" Paul Fielding說(shuō)。為此，企業(yè)必須理解工作流（workflow）和供應(yīng)鏈（supply chain），以識(shí)別出風(fēng)險(xiǎn)點(diǎn)，在這些點(diǎn)上設(shè)置控制閥。他跟蹤研究過(guò)的案例都是涉及到單一的風(fēng)險(xiǎn)點(diǎn)，因而"他們都是可以防患于未然的。"
Paul Fielding還提出警告：不要過(guò)分依賴硬件和軟件作為風(fēng)險(xiǎn)保障。更多的防火墻并不一定代表安全性提高了，除非它們維護(hù)得當(dāng)；他還補(bǔ)充說(shuō)，不少公司在最佳實(shí)踐方面半心半意。固然，企業(yè)必須確保技術(shù)跟得上步伐，包括防毒軟件更新。"對(duì)于每一項(xiàng)[安全]技術(shù)，都有人在琢磨如何破解它，"他說(shuō)。
聚焦最薄弱環(huán)節(jié)
發(fā)包的企業(yè)應(yīng)當(dāng)把注意力集中的相互依賴性（interdependencies）上，沃頓商學(xué)院商業(yè)與公共政策教授、而且還是風(fēng)險(xiǎn)管理與保障專家的Howard Kunreuther說(shuō)。"供應(yīng)量和外包的最大挑戰(zhàn)在于，當(dāng)你與多個(gè)機(jī)構(gòu)聯(lián)為一體時(shí)，你如何著手更好地管理風(fēng)險(xiǎn)，"他說(shuō)。"整個(gè)體系中的一個(gè)薄弱環(huán)節(jié)就能讓大家都完蛋。"他舉了一個(gè)例子，一個(gè)公寓套間的房主在房間安裝了感煙器、報(bào)警器、灑水器、以及其他保護(hù)裝置；但保險(xiǎn)公司不為所動(dòng)，除非那間公寓大樓的所有住戶都采取了類似的保護(hù)措施。"這種相互依賴性的問(wèn)題還完全沒有被觸及，然而它可能是思考風(fēng)險(xiǎn)問(wèn)題時(shí)首先要面對(duì)的重中之中。" Kunreuther教授說(shuō)。
當(dāng)一個(gè)公司所面臨的風(fēng)險(xiǎn)部分地取決于其他公司的行為時(shí)，安全問(wèn)題就是相互依賴的。更重要的，其他公司的行為影響到第一家公司減低其風(fēng)險(xiǎn)暴露度的動(dòng)機(jī)。"即使某家航空公司擁有完美無(wú)缺的檢測(cè)系統(tǒng)也不能安枕無(wú)憂，" Kunreuther教授在與人合寫的一篇關(guān)于民航安全的論文中寫道，"因?yàn)橹挥薪?jīng)由這家航空公司開始其旅程的旅客的行李才在被檢測(cè)之列；那些從其他航空公司轉(zhuǎn)過(guò)來(lái)的行李不在其內(nèi)。"相互依賴的計(jì)算機(jī)網(wǎng)絡(luò)也是如此：一旦一個(gè)黑客或病毒達(dá)到網(wǎng)絡(luò)上的一臺(tái)計(jì)算機(jī)，其他的計(jì)算機(jī)就相當(dāng)容易被感染。類似這樣潛在的未經(jīng)控制的風(fēng)險(xiǎn)暴露減低了單個(gè)計(jì)算機(jī)操作員保護(hù)自己免受外部黑客攻擊的動(dòng)機(jī)。如果黑客經(jīng)由一個(gè)"薄弱環(huán)節(jié)"已經(jīng)進(jìn)入到網(wǎng)絡(luò)之中，那么最嚴(yán)格的網(wǎng)絡(luò)安全也沒有什么大用處了。
美國(guó)的一些金融服務(wù)公司已經(jīng)認(rèn)識(shí)到全行業(yè)統(tǒng)一行動(dòng)的必要性。識(shí)別和管理外包風(fēng)險(xiǎn)是位于華盛頓DC的BITS（Banking Industry Technology Secretariat，銀行業(yè)技術(shù)秘書處）的一個(gè)持久主題。在過(guò)去的2年，BITS的一個(gè)包含40個(gè)成員的IT服務(wù)提供商工作組制訂了4個(gè)文檔，作為其成員組織設(shè)計(jì)風(fēng)險(xiǎn)管理戰(zhàn)略的指南。"這些文檔內(nèi)容全面，為外包生命周期的全過(guò)程提供建議和思路，" BITS的資深顧問(wèn)Faith Boettger說(shuō)，"這份報(bào)告是從金融機(jī)構(gòu)作為一個(gè)用戶的視角來(lái)寫的：金融機(jī)構(gòu)需要做些什么，應(yīng)當(dāng)采取那些與風(fēng)險(xiǎn)相應(yīng)的控制手法，具體國(guó)家的背景信息有哪些，等等。"
BITS的資料幾乎無(wú)所不包，從雇員背景篩查的關(guān)鍵思路到外包合同終止條款方面的建議。但即使BITS做的這項(xiàng)工作也不能確保萬(wàn)無(wú)一失。并不存在一個(gè)正確的答案可供一個(gè)機(jī)構(gòu)來(lái)考量某個(gè)特定類型的風(fēng)險(xiǎn)，Boettger女士說(shuō)?？剂烤唧w的風(fēng)險(xiǎn)很大程度上依賴于發(fā)包出去的服務(wù)的細(xì)微之處以及所內(nèi)含的風(fēng)險(xiǎn)。"我們提供了思路讓組織用來(lái)管理風(fēng)險(xiǎn)（to manage risk），而不是測(cè)量風(fēng)險(xiǎn)（to measure risk），"她提醒說(shuō)。
將組織延伸
如果發(fā)包的公司把自己的最佳實(shí)踐成功地轉(zhuǎn)移到服務(wù)提供商那里，許多風(fēng)險(xiǎn)就可以避免，Paul Fielding說(shuō)。做到這一點(diǎn)遠(yuǎn)非寫到紙面上就可以了，客戶公司和服務(wù)提供商須要持久地密切協(xié)作。"通常，我們看到的合同是一些人試圖利用合同語(yǔ)言免除自己的責(zé)任，而外包供方被賦予了自我監(jiān)督的責(zé)任，" Fielding說(shuō)。指導(dǎo)原則應(yīng)當(dāng)是"信任，但要查證確實(shí)（trust, but verify）。"
如何做到？沃頓商學(xué)院的Aron教授提出一種"延伸的組織形態(tài)"。這種模式結(jié)合了兩種治理方式——一種是由外包"市場(chǎng)"所施加的，另一種是內(nèi)部的管理體系。"市場(chǎng)"的主要約束是成本效率，而內(nèi)部管理帶來(lái)系統(tǒng)的控制。"延伸的組織形態(tài)"可以給企業(yè)帶來(lái)外包給第三方供應(yīng)商所具有的成本優(yōu)勢(shì)，同時(shí)又使得發(fā)包公司有能力對(duì)項(xiàng)目的實(shí)施情況進(jìn)行實(shí)時(shí)的控制。
"延伸的組織"的關(guān)鍵是成立一個(gè)項(xiàng)目小組（program office），發(fā)包公司和外包商在精心設(shè)計(jì)的監(jiān)控體系的幫助下，密切合作。比如印度班加羅爾的IT服務(wù)提供商Wipro使用自己開發(fā)的Veloci-Q系統(tǒng)，允許顧客在線監(jiān)控項(xiàng)目的進(jìn)程，實(shí)施質(zhì)量控制，并對(duì)班組甚至個(gè)人的工作績(jī)效進(jìn)行實(shí)時(shí)的跟蹤。另一家印度外包公司Office Tiger所使用的TigerTracks也是一個(gè)類似的工具。這兩種工具監(jiān)控的績(jī)效指標(biāo)數(shù)量達(dá)到客戶要求的4～5倍。之所以能夠做到這樣，是因?yàn)樗鼈冇羞@樣的信念：它們應(yīng)該成為客戶公司的延伸，Aron教授說(shuō)。Booz Allen公司的Jon Watts認(rèn)為還可以走得更遠(yuǎn)一些：外包商和發(fā)包公司可以結(jié)成聯(lián)盟，相互持有對(duì)方的股份，以確保利益的一致。
安全方面的擔(dān)憂對(duì)于BPO產(chǎn)業(yè)來(lái)說(shuō)是一個(gè)品牌認(rèn)知的問(wèn)題——威脅到行業(yè)的成長(zhǎng)。在最近的Booz Allen Hamilton離岸外包安全調(diào)查中，30個(gè)應(yīng)答者中的24個(gè)感到他們公司在離岸外包地點(diǎn)的系統(tǒng)和數(shù)據(jù)存在很高程度的安全隱患。Watts建議BPO行業(yè)可以向瑞士銀行業(yè)——曾經(jīng)是替客戶完全保密的同義語(yǔ)——學(xué)習(xí)。"只要你說(shuō)'瑞士銀行業(yè)'，你的意思就是說(shuō)絕對(duì)的保密和絕對(duì)的信任。"
其實(shí)，并沒有靠得住的理由相信離岸外包就一定意味著更大的風(fēng)險(xiǎn)。Aron教授說(shuō)美國(guó)公司在所謂CPI國(guó)家（中國(guó)、菲律賓、印度）的離岸外包中心的風(fēng)險(xiǎn)暴露度實(shí)際上比在本土更低。"社會(huì)保險(xiǎn)號(hào)碼對(duì)一個(gè)印度或中國(guó)的坐席員并沒有什么用處，他們不能夠在新德里或上海申請(qǐng)信用卡。" Aron教授還說(shuō)呼叫中心的崗位在CPI國(guó)家是受人羨慕的，員工更加在意失去它們，因而更加不會(huì)犯規(guī)。
另一方面，Jon Watts懷疑實(shí)際發(fā)生的安全事故比披露出來(lái)的要"多得多"。他擔(dān)心BPO產(chǎn)業(yè)不會(huì)主動(dòng)規(guī)范自身的行為，直到它們不得不這樣做。"一次重大得事故可能引發(fā)一些改革，"他說(shuō)，"大量的證據(jù)表明，除非有大事發(fā)生，這類問(wèn)題是不易得到關(guān)注的。BPO產(chǎn)業(yè)的最終挑戰(zhàn)是趕在重大事故發(fā)生之前就采取行動(dòng)。"
本文節(jié)譯自Reining in Outsourcing Risk，原文鏈接：
http://www.strategy-business.com/press/sbkw2/sbkwarticle/sbkw051130?pg=0
豐祖軍是優(yōu)勝資訊高級(jí)顧問(wèn)，聯(lián)系方式：feng.zujun@gmail.com
優(yōu)勝資訊
