近日，在看一本美国作家写的《世界是平的》，其中写到许多美国企业已经开始把客服工作外包给印度，利用印度便宜的人力资源解决技术咨询和完成大量事务性的工作。这些故事个个深刻动人，让人心动神往，并引爆了外包这个话题。
这本书的影响范围不仅仅局限在美国，许多CIO现在开始重新思考，如今的信息系统所涉及的内容越来越多、结构越来越庞大，企业信息化再也不仅仅是IT部门自己的事情。从表面上看，采用IT外包策略不但可以节约成本，还能提高效率。但事实上，许多CIO对IT外包都有许多道不尽的爱恨情仇。张力是一个CIO，他就特别对此有深刻的感受。那么，IT外包究竟暗藏哪些隐形炸弹和风险必须小心注意呢?
一. IT外包暗藏的四大风险
企业市场竞争压力越来越大，也使CIO们迎来了严峻的考验，一方面是IT部门人员少、系统多、任务重的现状，另一方面是公司还要IT部门削减成本、并要消除由于缺乏内部控制和运作准则导致的混乱状态，以更高效地服务业务部门。
在多重压力之下，许多CIO认为CIO最重要的工作是确保信息和流程的顺畅，而服务器、存储系统、网络或者交换机这些并不是那么重要。因此，许多CIO倾向于将某些应用系统、基础设施和部分非核心系统外包给服务商负责维护。但外包是一柄双刃剑，外包的好处是可以向企业灌输技术与人才，帮助企业摆脱繁琐的IT业务，有效的外包能让公司更好的专注于核心业务。但是进行IT并不是一件轻松的事情，如果处理不好，不仅不会带来预期的效益，反而会变成一场噩梦和致命的灾难。
(1)CIO必须认识的风险：外包≠甩包袱
在谈到IT外包给CIO带来了什么变化的时候，CIO张力露出一丝的苦笑。他认为只有CIO具有非常高的外包管理经验和技能时，才能谈“外包”二字。如果CIO只是由于遇到管理难题无法解决而选择外包。那么，很有可能这个“搞不定”困难的CIO也“搞不定”外包服务商。因为前者很可能意味着CIO的管理思路、管理方法存在欠缺，这样的情况下外包商反而可能会给企业带来更多麻烦。
IT外包不等于甩包袱。IT外包是将专业的事情，交给专业的人去做，是企业在自身IT技术力量不足时所采取的一种方式。对CIO的要求不是降低，而是对各方面的要求更加提高了。作为公司CIO，在专业的事情外包出去后，不是成为项目的配角，而仍然是项目的主人。如果项目失败，CIO虽然在道义上没有责任，但是对结果的控制上还是要负一定责任的，有些责任是不可能通过一纸合同转嫁给供应商的。换言之，就算把项目外包了，CIO仍是项目的主人，必须明确“外包≠甩包袱”的思想，必须始终要为IT外包项目监管、项目验收及总体方向负起全责。
(2)核心业务外包存在竞争力流失的风险
在谈到IT外包最大的风险是什么时，张力认为进行IT外包最大的潜在风险是：发包方是否对自己的核心或非核心的业务有清楚的区分和认识。有一种情况是一些盲目追求IT外包潮流的企业，事先没有搞清楚自己的核心竞争力在哪儿。例如，新闻媒体和数据库运营商，可能两者都有数据库运维，而且两者的运维内容都是同样的。但是，新闻媒体的核心竞争力在于记者对新闻的采写，而数据库运营商的核心就在于对数据库内容的维护。这种情况下，新闻媒体数据库的运维外包没什么问题，但对于数据库运营商来说把数据库的运维外包出去，就相当于将核心竞争力外包了出去。所以，对于CIO来说，必须认清自身的核心业务，避免核心竞争力随着外包流失，是一个最值得关注的问题。
(3)IT外包潜在安全风险
众所周知，保证IT系统的安全、稳定和可靠运行是IT部门义不容辞的职责，问题是安全、稳定和可靠永远是相对的，得看企业IT投入和ROI。比如基础设施和基础应用系统虽非核心IT应用，但因应用面广，一旦出问题影响面大。
有关调查公司就IT外包作了一次调查，发现企业对IT外包最大的顾虑是信息安全。IT外包虽能降低成本、提高服务质量等，但也面临很多风险。首先是信息安全的风险，任何企业都有商业秘密，把IT系统尤其核心信息系统的建设、运营和维护外包给IT服务提供商后，如何保证企业的商业秘密文件不被泄露出去是一个关键考虑的因素。因此，在外包时CIO既要谨慎又要积极防范风险。
(4)外包商服务质量的风险
IT服务要成为一种商品，就必须形成一套规范和标准，以约束买卖双方。但目前国内IT外包服务领域既无统一规范也无公认标准。概念模糊的用户，面对同样概念模糊的IT厂商，如何评估、签合同、质量控制和定价等都是潜在的“风险”。此外，IT外包还面临着IT管理的复杂性、软件缺失、知识产权以及IT外包服务提供商自身能否健康成长等风险。因此，CIO需要在风险、成本与效果、效率之间找到平衡点。
二.规避IT外包风险的步骤
IT外包(IT Outsourcing)是指客户将全部或部分IT工作包给专业性公司完成的服务模式。对于许多企业而言，IT技术越来越深入到企业的核心业务，影响着企业的策略制定和企业的发展，从而对IT外包的风险控制也提出了越来越高的要求。
第一步：界定外包业务，避免核心业务损失
规划IT外包时，界定外包业务范围是非常关键的一步。把非核心业务外包给外包供应商，可以达到降低人力成本，减少开支和提高服务水平。因此，应树立IT外包是为了更好地把精力放在核心业务上，使IT技术人员的业务重心更加集中于公司的核心竞争力的业务上来。
张力说：“我们在具有核心竞争力的业务上拥有的人才资源要超过其他业务。在IT支持工作上我们的人才储备就不够，这一点需要借助外包来弥补。”张力建议CIO可以先梳理业务，分清IT业务属于“企业运营三叶草理论”中的哪片叶子。也就是说，先分清哪些IT业务是核心业务、附加值高，哪些是非核心业务、低值服务，哪些是长期业务，哪些是临时性、周期性、阶段性或项目型的业务，哪些业务会随着应用深化或时间推移发生什么变化。然后，CIO再仔细分析本企业IT人员的专业能力，IT人员与业务需要的匹配情况，结合外包市场的服务提供情况，相应地决定哪些业务自己内部做，哪些业务外包。
第二步：加强对外包合同的管理
对于CIO来说，在签署外包合同之前应该谨慎而细致的考虑到外包合同的方方面面，在项目实施过程中要积极制定计划和处理随时出现的问题，避免责任的扯皮现象，使得外包合同能够不断适应变化，实现一个双赢的局面。对整个项目体系的规划，CIO必须对公司自身需要什么、问题在哪里非常清楚，从而能够协调好与外包服务商之间长期的合作关系。比如，网络标准、软硬件协议以及数据库的操作性能等问题都需要双方积极的参与规划，公司内部IT外包管理人员应该参与完成这些工作而不是仅仅在合同中提出我们需要哪些。
第三步：明确IT监理和验收方案
在决定要签署外包合同的时候，张力认为必须还要明确双方的责任与合作、IT监理和验收，也就是对整个实施过程的有效监督，以及对阶段性和最终成果的评验。因此，依据外包服务合同，制定详细的服务商考核和评价指标，是约束双方行为，也是量化IT外包管理的宝典。
第四步：外包商的评估和选择
在选择外包合作伙伴时，张力认为彻底的调查是非常必须的，应该找出具有本行业IT管理经验优势的备选对象。虽然时间紧迫，但也要对每家公司进行全面的考察，比如它在行业内的地位、运作的灵活性以及与接手相似公司的业务记录。同时张力指出，要寻找在企业文化上和你的公司相契合的合作伙伴，要尽可能详细地了解他们的人才配备情况，让他们介绍过去成功和失败经历的原因。
三.IT外包风险控制的几点经验
实际上，在企业实施IT外包更多地出于TCO(总体拥有成本) 的考虑。因为随着技术和应用的日益复杂，IT基础设施的管理成本正以几何级数增长，以CIO为首的IT团队要清醒的认识到控制风险是责无旁贷的。
(1)责任是外包不出去的
张力认为必须时刻记住这个实在的道理，就是“IT外包出去了，但责任不能外包出去。”IT外包决不是甩包袱，规划标准、监督检查等的管理责任依然在发包方的IT部门。由于外包关系是一种合作关系，外包合作方的首要任务通常是坚守其商业底线——只为利益而生。如果发包方没有一支核心技术队伍能监督外包项目的进度，这会将发包方及外包伙伴共同置于失败的险境。因此，作为IT外包负责人，必须要把已外包的项目牢牢掌握监督权，监督着各项业务的轻重顺序及最佳操作效果。
在这次外包中，张力明白到要使外包项目成功，还必须要帮助外包合作伙伴成功。有些事离开了协作，外包服务方是无法完成的。比如，当出现无法避免的系统停机或出现重大故障时，若主动伸出援手，就能使这些情况获得尽快的处理，这一点至关重要。
(2)学会放手
提到外包关系，张力认为越是放手管理，效果往往越好。有关的研究发现，客户干涉外包商的运行过程往往只会增加成本，并破坏双方的收益。但对CIO来说，放手日常管理并不容易。如果数据中心出现问题，管理者的日子就会很难过。CIO对于选择合格的外包商最担心的事情就是“管理失控”。
(3)启用IT监理进行质量评估
外包不是放任自由，在看到外包收益的时候，必须要对IT外包服务商进行管理和控制。在一个外包合约中，这两个组成部分都是关键的。外包合约中的IT监理应该包含两个方面：一是角色和责任;二是报告制度。因此，只有将IT监理结构、责任和报告机制规定到合约之中，才可能确保外包实施的成功。
有一句谚语是：有了外包，CIO工作变得轻松了，但风险也随之越大。因此，对CIO来说，外包不是推辞责任，而是责任更越大，必须谨慎对待。