萌小芽第21章 业务流程管理
业务流程管理的概念
业务流程管理（BPM）是流程自动化和系统设计领域最新的发展方面，BPM作用在于帮助企业进行业务流程分析、监督和执行。
强调是的业务流程的管理不在在流程规划出来之后才进行的，而是流程规划之前就要进行管理。 良好的业务流程管理步骤：流程设计（P）、
流程执行（D）、 流程评估（C）、 流程改进（A）
1、业务流程设计
⑴流程设计的目的 目的：包括管理稳定、规范运作、规避风险、增值服务和支持业务目标的实现。
是以风险分析为基础而制定有助于管理稳定、规范运作和服务增值业务流程。
风险的数学方程式：R=pr(E)
R：风险； E：潜在的损失；pr:损失的可能性
⑵流程的层级归属
①战略性流程： 直接促进和服务于公司战略目标的流程。
②营运类流程：是指导各部门运作的流程 ③支持性流程：提供支持和保障作用流程 ⑶流程设计的实务
2、业务流程执行
3、业务流程评估
⑴业务流程的遵循性评估：主要评估流程所涉及部门和员工对于流程执行符合情况的评估。
⑵业务流程的有效性评估：评估分配职责的合理性，流通效率。
流程运作总用时=执行时间+延迟时间+传递时间
⑶业务流程的绩效评估
⑷评估的方式：内部评估、外部评估
4、业务流程改进
业务流程分析设计方法
1、价值链分析法 2、ABC成本法 3、流程建模和仿真
4、基于统一建模语言（UML）的业务流程分
析建模方法
5、头脑风暴法和德尔菲法 6、标杆瞄准法
经典方法有：头脑风暴法、德尔菲法、
价值链分析、竞争力分析
比较新的方法：ABC成本法、标杆瞄准法
基于统一建模语言（UML）、流程建模和仿真
管理咨询 业务流程重组
1、业务流程重组的定义 一般来说，业务流程分为管理流程、操作流程和支持流程三类。
管理流程：指企业整体目标和经营战略产生的流程； 操作流程：直接与满足外部顾客的需求相关；
支持流程：为保证操作流程的顺利执行，在资金、人力、
设备管理信息和信息系统支撑方面的各种活动。
2、流程重组和连续改进
3、流程重组的框架和基本原则 ⑴ KBSI的BPR实施框架 ①实施BPR的指导原则 ◎正确领导；
◎目标驱动； ◎流程驱动；
◎以价值为中心；
◎对顾客需求的响应；
◎并行性； ◎范例变换； ◎非 余 ◎模块化；
◎虚拟资源；
◎管理信息和知识财富 ②
⑵ 多层的BPR实施框架
BPR的实施引起的变化：⊙企业文化与观念的变化 ⊙业务流程的变化 ⊙组织与管理的变化 BPR的实施分解的三个层次：⊙观念重建层
⊙流程重建层（核心层） ⊙组织重建层
4、业务流程重组实施步骤 ⑴、BPR项目的启动
⑵、拟订变革计划 ⑶、建立项目团队 ⑷、分析目标流程 ⑸、重新设计目标流程 ⑹、实施新设计 ⑺、持续改进 ⑻、重新开始
基于业务流程重组的信息系统战略规划
基于业务流程重组的信息系统规划主要步骤： ⑴系统战略规划阶段 ⑵系统流程规划阶段 ⑶系统数据规划阶段 ⑷系统功能规划阶段 ⑸实施阶段
第22章 知识管理
知识管理概述
1、 知识管理的概念与内涵 ⑴ 知识的概念与内涵 ⑵ 显性知识和隐性知识
①Know-What ②Know-Why(显示知识)
③Know-How ④Know-Who(隐性知识) ⑶显性知识和隐性知识的区别 ⑷知识管理的功能
①外部化：从外部获取知识并按一定分类进行组织
②内部化：指知识的转移，从外部提取知识 ③中介化：寻找知识的最佳来源
④认知化：以下三种功能获得知识加以应用 2、信息系统项目知识管理的必要性
3、信息系统项目知识管理的特点与要求 ⑴ 特点： ⑵
信息系统项目中显性知识管理 信息系统项目中隐性知识管理 设计开发项目中知识管理制度建设 信息系统项目中的知识产权
知识产权两大类：
①创造性成果（包括专利权、集成电路权、版权、著作权）
②识别性标记权（商标权、商号权） 三个重要方面：专利权、商标权和版权
专利权：分为物质、机器、人造产品和过程方法 专利权有三种：发明专利权、实用新型权和外观设计权
知识产权的“三性”特征：专有性、地域性和时间性 知识产权的战略特征：法律性；
保密性；
时间性和地域性 整体上的非独立性
1、 隐性知识的特征：难细分、难理解、难复制、1、显性知识管理的步骤
难传播、独占性、排他性、默会性和可共享五个步骤：采集、过滤、组织、传播、应用
性 2、信息系统项目中知识管理的措施
2、 隐性知识共享方法：编码化、面对面交流、⑴构建项目知识管理的制度平台
人员轮换、网络 ⑵创造更多的员工间交流机会
3、 隐性知识共享的实施步骤： ①公司物理环境的改造
②组织结构的扁平化
③设立网络虚拟社区
⑶建立显性知识索引
三种：①文本导向的显性知识索引
②持有人导向的显性知识索引 ③所在过程导向的显性知识索引
⑶设计开发组织高层的参与和支持 ⑷与绩效评估体系的参与和支持 改变员工行为的“硬手段”
①行政命令 ②利益驱动
○ 我国著名学者乌家培教授认为：“信息管理是知识管理的基础，知识管理是信息管理的延伸与发展”；“信息管理经历了文献管理、计算机管理、信息资源管理、竞争性情报管理，演进到知识管理。知识管理是信息管理发展的新阶段，它同
信息管理以往各阶段不一样，要求把信息与信息、信息与活动、信息与人连接起来，在人际交流的互动过程中，通过信息与知识（除显性知识外还包括隐性知识）的共享，运用群体的智慧进行创新，以赢得竞争优势” ○ 对于知识管理的定义，可谓仁者见仁、智者见智，我们将其归结为如下三个学派：行为学派、技术学派、综合学派.
○ 知识管理系统包括实体系统（Physical system）和概念系统(Conceptual system) 两个重要部分。在实体系统中，包括“人”的神经系统、计算机系统和商业系统（业务流程）三个部分。 ○ 知识创新、知识共享和知识应用是知识在企业内扩散的三种途径。 ○ 知识管理三原则：知识积累、知识共享和知识交流。
○ 知识管理三个工具：知识生成工具、知识编码工具和知识转移工具。 ○ 数据挖掘的四种功能：数据总结、数据分类、数据聚类和关联规则。 ○ 知识管理障碍的分类：时间差异、空间差异和社会差异。
第23章 项目整体绩效评估
项目整体绩效评估概念 信息系统绩效评估原则项目整体绩效评估方法
1、 信息技术评估 1、什么是绩效
12条原则： 2、什么是项目整体绩效
⑴完整性； 项目整体绩效是指在项目的时间、
⑵安全性； 成本、质量和范围信息，有的项目
⑶可伸缩性； 也包括了风险和采购信息。
⑷可用性； 3、什么是项目整体绩效评估
⑸可管理性； ⑴项目绩效评估
⑹互操作性； 项目绩效评估一般是指通过
⑺适应性； 项目组之外的组织或个人对项目
⑻易开发； 进行评估。包括项目前期评估（可
⑼经济性； 行性评估）和项目完工后评估（合
⑽快速的响应时间； 同的相符性、目标相关性和经济的
⑾数据的分布性； 合理性）。
⑿易使用性；
⑵项目绩效审计
绩效审计（三E审计）是经济2、 应用效果评估
⑴预期经济收益 审计、效率审计和效果审计的合
称。
⑵管理效益 绩效审计按时间分类可以分
①优化了管理流程 为事前绩效审计，事中绩效审计和
②实现了流程电子化 事后绩效审计。
③减少了工作中的冗余环⑶项目整体绩效评估
项目整体绩效评估主要侧重于节
④搭建了符合企业长远发项目的中期。
展的要求的信息化平台
⑤管理理念和管理模式迈上新台阶
1、项目整体评估方法论
⑴项目评估系统的主要特征:
①整体性(综合集成经济、技术运行、环境、风险)②目标性
③相关性（时间、知识、逻辑三维结构） ④动态性（项目生命周期）
2、系统方法的基本原则（或本质）
①整体性原则 ②相关性原则 ③有序性原则 ④动态性原则 ⑤最优化原则
3、霍尔三维结构：从逻辑、时间和知识三方面考察系统工程的工作过程。 ⑴逻辑维
三个工具：逻辑推理、概率统计推理、模糊数学⑵时间维 ⑶知识维
4、项目风险评估
将因子与该项的系数相乘即可得到该项的风险值（分项风险），各项的风险值相加得风险总和（即总体风险）。
百分比在40%以下：低风险 百分比在40%～70%：中风险 百分比在70%以上：高风险
项目财务绩效评估
1、 静态分析法
⑴投资收益率法，又称会计收益 就是工程项目投产后所获得的年净收入与项目总投资额之比。 ⑵投资回收期法 又称投资返本期
是投资收益率的倒数 ⑶追加回收期法
⑷最小费用法，选取总费用最小的方案。
2、 动态分析法 ⑴净现值法： ⑵内部收益率法 ⑶投资回收期法
3、动态评估的缺陷、影响因素及纠正办法
⑴动态评估法的缺陷及影响因素
动态评估法考虑了资金的时间价值，但没有考虑人为因素的影响，表现在很多数据都是基于对未来预测的基础之上的，而预测的准确性又取决于预测者的经验、态度及风险的偏好。
⑵动态评估的一般纠偏方法 ① 约当系数法：
在净现值公式前添加约当系数a(0
② 风险调整贴现率法 调整基准收益率，根据项目风险的大小将内部收益率i 调整为充分考验项目风险之后投资额者要求的回报率。
第24章 信息系统安全和安全体系
信息系统安全三维空间
信息系统安全三维空间
Y轴：OSI（开放式系统互连）网络参考模型 X轴：安全机制 Z轴：安全服务
X、Y、Z三个轴形成空间就是信息系统的“安全空间”，这个空间具有五个要素：认证、权限、完整、加密和不可否认。
1、 安全机制
第一层：基础设施实体安全
机房安全、场地安全、设施安全、动力系统安全、灾难预防与
恢复
第二层：平台安全
操作系统、网络设施、应用程序、安全产品 第三层：数据安全
介质和载体安全、数据访问控制、数据完整性、
数据可用性、数据监控和审计、数据存储和备份 第四层：通信安全
第五层：应用安全
安全性测试、防抵赖测试、安全验证测试、身份鉴别测试、恢
复机制检查、保密性测试、可靠性测试、可用性测试 第六层：运行安全
第七层：管理安全
人员管理、培训管理、应用系统管理、软件管理、设备管理、
文档管理、数据管理、操作管理、 运作管理、机房管理 第八层：授权和审计安全
第九层：安全防范体系
核心：实现企业信息安全资源的综合管理 即EISRM
六项能力：预警、保护、检测、反应、恢复和反击
WPDRRC能力模型：从人员、技术和政策三大要素来构成宏观的信息网络安全保障体系结构的框架 2、 安全服务
对等实体认证服务、数据保密服务、数据完整性服务、数据源点认证服务、禁止否认服务
3、 安全技术
加密技术、数据签名技术、访问控制技术、数据完整性技术、认证技术
信息系统安全架构体系
1、 MIS+S：初级信息安全保障系统
特点：⊙应用基本不变 ⊙软硬件通用
⊙安全设备不带密码（不使用PKI/CA）
2、 S-MIS：标准信息安全保障系统 特点：⊙软硬件通用
⊙PKI/CA安全保障系统必须带密码 ⊙应用系统必须根本改变（即按照PKI/CA的标准重新编制的应用信息系统） 3、 S2-MIS
特点：⊙软硬件专用
⊙PKI/CA安全保障系统必须带密码 ⊙应用系统必须根本改变（即按照PKI/CA的标准重新编制的应用信息系统）
⊙主要硬件和系统软件需要PKI/CA认证
信息系统安全支持背景
信息安全保障系统定义
第25章 信息系统安全风险评估
信息安全与安全风险
如何为一个还没有建立的新系统设计制定信息安全保障系统呢？
就是对信息应用系统进行安全风险分析、识别、评估，并为之制定防范措施。
信息安全与安全风险的关系 1、 拟定新系统的功能───目
标
2、 现有系统（业务流程）分析
───风险识别
3、 对识别出的风险预优估可能
的后果───风险评估 4、 按照风险的大小和主次、设
计相应原对策───控制风险
5、 对设计对策进行投入产出评
估
6、 可行转入7，不可行返回1 7、 设计 8、 实施
安全风险识别
1、安全威胁的分类
从风险性质：静态风险：人们的错误判断和错误行为造成的风险
动态风险：人们欲望的变化，生产方式和生产技术的变化产生的风险
从风险结果：纯粹风险：仅仅会造成损害的风险，称为纯粹风险 投机风险：可能造成利润也可能造成损失的风险 从风险源划分：
① 自然事件风险 ② 人为风险
③ 软件风险 ： ⊙兼容风险 ； ⊙维护风险 ⊙ 使用风险 ④ 软件过程风险
⊙软件需求阶段风险
首先，要保证软件需求的变化不会持续蔓延，而使系统无法按期完成，另一方面，要保证开发能够为用户所接受。
⊙设计阶段的风险
设计阶段的主要任务：一方面，要完成系统体系结构的定义，使之能够完成需求阶段既定目标；另一方面，检验需求的一致性和需
求分析的完整性和正确性。
设计本身的风险：一种是来自于系统分析人员；另一种是来自于设计文档。 ⊙实施阶段的风险
本阶段的风险来源：源代码书写的规范性、可读性。 （源代码是文档的一部分，又是计算机系统的实体） ⊙维护阶段的风险
软件维护的两个阶段：第一，试运行阶段维护，目的是发现测试阶段未发现的错误；
第二，软件升级或移值维护
⑤ 项目管理风险
项目管理风险的来源：⊙应用软件产品的不可预见性；
⊙软件的生产过程不存在绝对正确的过程形式； ⊙信息系统应用项目的独特性 项目经理 项目负责人 行业专家 质量监督组 系统分析员 程序员 测试员 技术支持 文档组
把握全局，侧重于商务方面，负责同客户的交流
制定开发计划和开发策略，参与系统分析设计，保证项目按时完成。 在软件分析阶段，帮助分析人员界定系统实现边界和实现功能
编制质量控制计划，并负责落实；控制必要文档的生成，并监督软件质量，形成软件质量报告；对于质量问题 进行系统的分析和设计工作，书写软件需求分析和系统分析相关的文档。进行测试策略的编制和性能测试的指导。 进行软件的详细设计及代码的实现，并适当地进行白盒测试；
对系统进行正确性验证测试及性能测试，书写测试报告和测试统计报告，并提请质量监督组复审查
协同系统分析员听取用户需求，对需求分析进行参考性复审；协同测试人员进行测试；书写操作手册和在线帮助； 对各部门产生的文档进行格式规范、版本编号和控制、存档文件的检索；协助质量监督组进行软件质量监督；
风险识别与风险评估的方法
1、 风险识别的方法 ⊙问询法（头脑风景法、面谈法和德尔菲法） ⊙财务报表法
⊙流程图法（网络或WBS法） ⊙现场观察法 ⊙历史资料 ⊙环境分析法 ⊙类比法 ⊙专家咨询
2、 风险评估的方法
⊙ 概率分布（专家预测） ⊙ 外推法（使用历史数据） ⊙ 定性评估 ⊙ 矩阵图分析
⊙ 风险发展趋势评价方法
⊙ 项目假设前提评价及数据准确度评估
⑥ 应用风险
应用相关的风险：⊙安全性；⊙未授权访问或修改数据；⊙未授权远程访问；⊙不精确的信息；⊙错误或虚假信息的输入；
⊙授权的终端用户滥用 ⊙不完整的处理；⊙重复数据处理；⊙不及时处理；⊙通信系统失败；⊙不充分的测试；⊙不充分的培训；⊙不充分的支持；⊙不充分的文档
⑦ 用户使用风险
用户使用风险包括：⊙不充分的使用资源；⊙不兼容的系统；⊙冗余系统；⊙无效的应用； ⊙职责不分明；⊙需求分析不全面；
⊙非授权访问数据或程序； ⊙侵犯版权；⊙病毒破坏信息