电子商务企业风险防范

  对企业而言，信息技术是一把双刃剑，它既可以为企业带来“效益”，也可能会带来“风险”。企业不能只看到效益，而忽略其中的风险，只有很好防范风险，才能使效益得以实现。

　　2004 年1 月9 日，全国信息安全保障会议在北京召开。国家也成立了“信息安全风险评估研究组”，主要研究信息安全的宏观管理和对电子政务安全的管理。2004 年4 月20 日，第四届“中国信息安全发展趋势与战略”高级研讨会在京举办。从这些活动中，我们可以看出当前国家和各行业对信息安全的重视程度，但针对电子商务企业级的风险防范偏重于技术的比较多，如提出各种安全技术软件，缺乏从技术到管理的系统性风险防范措施。

　　电子商务企业的风险管理措施有降低风险、转嫁风险和防范（避免）风险三种。其中降低风险和转嫁风险属于反馈控制，防范风险则是前馈控制，电子商务企业的风险应立足于前馈控制。本文在对电子商务风险因素识别的基础上，从电子商务企业内生风险防范体系、外生风险防范体系和协同防范体系三方面阐述了如何构建电子商务企业的风险防范体系。

　　内生风险防范体系

　　所谓电子商务企业内生风险防范体系是指电子商务企业内部建立的风险防范机构、机制、对策、方法、措施等的综合。

　　提高风险防范意识

　　对IT 从业人员进行电子商务运作和安全管理的系统而全面的教育，并培养其相关的风险防范意识，给予其更多的培训及资格认证，从而使其对企业应用电子商务有一个全面和客观的认识。

　　加强内部管理机制

　　“三分技术、七分管理”的理念不能只停留在理论阶段，更重要的是企业应该将其转化为具体的操作。内部管理机制设计的基本原则是 ：要求发生在系统内的所有行为都是有定义的行为，并且符合程序控制的要求，所有行为的发生都有审计记录。管理的有效性可以解决许多技术层次解决不了的风险问题。

　　实施风险防范等级管理

　　此点可借鉴我国实施的“信息安全等级保护政策”，对企业来讲，风险可以分为重要风险和一般风险，企业应该坚持安全成本与风险相平衡的原则，根据企业的实际需要，抓住重点，力求具体、明确、到位，讲究实效。

　　建立主动性安全基础构架

　　赛门铁克公司亚太地区副总裁VinceSteckler 在2004 年3 月5 日的亚太安全论坛上作了“在企业范围内建立主动性安全基础构架”的演讲，主要针对企业提供各种前瞻性措施，通过在企业范围内实施完善的安全措施，有效识别和管理漏洞，将安全策略与商业战略结合起来，筑起一道抵御不断升级的风险威胁的重要防线。

　　外生风险防范体系

　　外生风险防范体系是指对电子商务企业风险起防范作用的相关法律法规、信用、物流和电子支付等社会体系的总和。

　　电子商务安全的法制建设

　　在参考国际《电子商务示范法》的前提下，根据我国的国情，制定一部用以规范电子商务活动的法律或法规，以解决电子商务发展所面临的法律法规问题。我国电子商务立法的运用范围，应包括电子合同的效力问题、电子支付及金融管理、税收与保险、网络管理与信息安全保护、电子证据与电子签名的法律认定、政府的强制性措施及审查机制、市场准入规则、知识产权保护、消费者合法权益的保护、司法的国际管辖和国际协助等等。

　　建立电子商务的信用体系环境

　　电子商务交易涉及厂家、商家、网站、银行、消费者等多方面利益的信用问题，难以孤立地解决，必须建立一个社会信用体系环境。全社会首先要建立一种自己守信用、人人守信用、也相信别人守信用的心态。其次要健全完善信用制度，通过设置合理的运行机制和运行标准，并通过监督机构，保证参与交易各方按期、按质、按量支付货款和交送货物。

　　加快物流配送体系的建设

　　一是要逐步开放市场，欢迎国内外的物流公司参与竞争，通过竞争，使我国的物流配送体系日趋完善。二是要重视物流人才培养，除了学校的人才培养外，还要加快物流师职业资格认证的步伐。三是要在物流管理技术化、信息化、柔性化和一体化等方面加强物流管理的创新。完善电子商务的支付手段电子商务交易需要信息流、物流和资金流的同时畅通，因此必须完善电子支付系统，提高银行电子支付水平，建立一个安全、严密、可靠的社会范围的电子货币支付系统，并成立电子商务认证机构，尽快成立统一网上结算中心，并逐步开展与国外客户的网上结算服务。

　　内外协同防范体系

　　电子商务企业协同防范体系是指需要电子商务企业和外部共同来完成的技术研究、人才培养、协调机制建设和联盟建立等方面的总和。

　　加强电子商务安全技术的研究

　　有关部门（可以是政府、科研单位、院校和企业联合）应组织一支精干的安全技术研究队伍，集中力量尽快解决电子商务的安全技术问题，包括加密技术、防火墙技术、数字签名技术、报文摘要技术、认证技术、留痕技术等，并能够随着计算机和电子商务技术的发展而不断改进这些技术。应该建立电子商务安全体系结构和具有权威性和公正性的CA 认证机构。此外，还应着手建立相应的国家级的安全控制中心系统，这一系统应包括国际出入口（信息海关）监控、电子交易证书授权、密钥管理、安全产品评测认证、病毒检测和防治、系统攻击与反攻击等分中心。大力培养电子商务人才，推广与普及电子商务知识必须加强对电子商务人才的培养、大力推广与普及有关电子商务的知识，一方面要进一步加强各高校电子商务专业建设，另一方面要进一步推进电子商务师职业资格认证培训，实施持证上岗制度。

　　建立协调机制

　　这要求企业和各级信息安全保障中心和信息安全行业协会密切配合，互通风险预警信息，从而共同维护电子商务交易的安全性。同时要加强科研单位、院校对风险管理理论的研究和安全企业实践应用的协调，要把理论和实践真正地联系起来，达到理论与实践的真正结合。

　　风险战略联盟建设

　　战略联盟不单是在获取利益、实现市场机会方面发挥着重要作用，在分担风险、防范风险方面同样也起着重要作用。在2004 年2 月25 日在旧金山举行的RSA峰会发布的公告中，美国数家从事电脑安全的公司倡仪组成一个联盟组织，用以保护企业及基础网络设施，共同防范信息风

　　险。该组织被称为信息安全行业联盟（CSIA—Cyber Security IndustryAlliance），将与美国国家安全部、国际及美国的标准组织合作，共防信息风险，支持新兴的安全标准和规范。

　　电子商务企业内生防范体系的自控、外生防范体系的他律和协同防范体系的联防，三者缺一不可，并共同对电子商务企业风险起着防范制约作用。只有电子商务企业的风险防范措施得当，加上长久连续的风险防范，才能使电子商务健康快速地发展，并成为未来商务的主流形式，才能使电子商务企业实现相应的效益，提高自己的企业竞争力。

　　（作者系沈阳工业大学电子商务系讲师）

　　本文引自：2004.6 期 电子商务世界