董事文摘

IT風險治理的意義，就在于通過人為的努力干預并可能把風險控制在可接受范圍內，同時使其價值最大化。

無論是生態系統還是企業組織，都是盤根錯節的。各種相關的因素互相交叉，既互相促進又互相克制。不管是基于哪一級的人，要想改變都會引起牽一發而動全身的劇烈動蕩，處理不好，不但達不到目的，反而會使系統不穩定性瞬時加大，危及系統和個人。

企業的本質是利益相關者的契約集合體，利益相關者是所有那些在公司真正有某種形式的投資并且處于風險之中的人，包括股東、經營者、員工、債權人、顧客、供應商、競爭者、國家。由于契約的不完備性，使得利益相關者共同擁有企業的剩余索取權和剩余控制權，進而共同擁有企業的所有權。對所有權的擁有是利益相關者參與公司治理的基礎，也是利益相關者權益得到應有保護的理論依據。

這些互相交叉又互相克制的利益相關者和資源構筑成了系統，是系統存在的主要組成部分。當然，它也不全是不利的，在于你有沒有能力去駕馭它。用得好，它就為你添磚加瓦，用得不好就會被它困住了。一切取決于你。

——《IT風險治理：系統擴張與穩定的對抗》

在當今全球一體化的商業環境中，信息的重要性被廣泛接受，信息系統在商業和政府組織中得到了真正的廣泛應用。許多組織對其信息系統不斷增長的依賴性，加上在信息系統上運作業務的風險、收益和機會，使得信息安全管理成為企業管理越來越關鍵的一部分。……