政府基礎公共建設關乎社會大眾民生問題，而近年來發生的新聞事件多與新舊廠商交接相關，因此我們也關注到在委外廠商的管理層面，政府與廠商之間的合作與溝通之間，或許有可改善之處。
拿最近的新聞移民署大當機的案例來說，剛開始二期航站的硬碟損壞情形較為嚴重，不過與一期航站互為備援，所以將資料倒回去就可以，只是由於資料量較大，復原時間較久，然而不巧的是，一期航站的硬碟也壞了，於是才造成了這次的嚴重事件。不過，真的純粹是巧合嗎？在人員、流程管理等條件都做得好的狀況下，風險是可以被控管的，當面臨到的是重要的基礎建設時，我們不能一切都聽天由命，必須有更積極的處理態度。
處理態度必須更積極
據聞過去一段時間移民署的系統便不甚穩定，時好時壞，知情人士透露，過去建置的L廠商會在硬碟出現error log的時候就適時的予以更換新硬碟，但接手的T廠商卻勉勉強強的硬撐著，然而硬體何時該更換？有人在硬碟出現error時就換，有人沒換但是後來也還是撐了好幾年，對政府單位而言，每年付了大筆委外預算，包含了軟、硬體的維護，於是這一切似乎都變得是取決於委外廠商對風險控管以及成本的考量。
在1月3日二期航廈的系統當機之後，1月5日又發生一期航廈主機當機，事實上根據了解，4顆硬碟為一組的系統，只有1顆出現問題，並且可以採取熱插拔(hot swap)的方式，重建之後約1小時就可恢復正常，但由於當時的M廠商委外之人員經驗不足，判斷錯誤，因而延誤了搶修。資深系統人員的經驗談是，看error log的時候應該是軟硬體都看，但M廠商人員應只看了2組硬碟，發現沒有error log，因此就跟移民署承辦人員打包票硬碟絕對沒有問題，等隔天就會好了。其實，若當時查看資料庫就會發現顯示了error log。許多委外大廠由於承攬政府案件眾多且複雜，不可能都是自己一手包辦，通常都還會再委外出去給其他的委外小廠，只是，承包廠商的專業度如何，便有待該廠商對委外的管理、驗證能力了。
其實，在T廠商接手後也並不是沒有更換過硬碟，根據T廠商內部的人員透露，大概在5、6月的時候已經出過問題因而換過一批硬碟，還由於沒有在合約規定的時間內更換完畢，而被罰款幾百萬，這也就不能想像T廠商，採取能省則省的心態在因應系統維護。
|
印度委外服務大廠醜聞案
2009年1月爆發了一起「印度版安隆案」，印度的薩蒂揚電腦軟體公司(Satyam Computer Services Ltd.)發生了逾10億美元的財務詐欺案醜聞，該公司承接了許多大型跨國公司之委外案，如雀巢(Nestle)、通用電氣(General Electric)、日產汽車(Nissan Motor)等。
各專家提出了一些建議，他們認為，儘管這樣的危機事件只發生在特定某家委外廠商，但CIO們仍應該藉此機會審視所有的委外合約，確保專案或SLA是不中斷的。委外諮詢服務公司Pace Harmon的合夥人David Rutchik說，要緊的是CIO們應該要先分析他們的合約，以了解享有權利的期限、可能受到的損失以及職員的保密條款是否仍有效。Gartner研究顧問服務總裁Frances Karamouzis也提到，首要步驟就是要嚴謹的處理組織裡已經對該委外廠商所投入的資源。
此外，也要更具體的逐一列舉哪些薩蒂揚的員工，按照優先順序、處理工作的重要性以及他是否蘊含有大量的內部資訊、知識等條件，評估在你的組織內有多麼的不可或缺。
這不只是現金危機，還有更多的問題存在，委外員工可能因此會離開薩蒂揚另謀他就，專家建議這些大公司可以考慮直接派員到印度，去面對面與這些委外雇員談工作事宜，持續付給薪水，以使得他們能夠安心的持續運作組織內的工作。
Rutchik建議可以諮詢法律顧問，看看審查的規定，由於薩蒂揚的財務醜聞案，使得誠信條款或不僱用協議無法執行。否則，如果一個擔任關鍵任務的委外僱員因而離開薩蒂揚，或許值得您的公司打破這些與薩蒂揚訂定的誠信條款或不僱用協議，來僱用他們，這是您所必須權衡的風險。
Karamouzis還說，於此同時，公司也應該組成臨時應變小組，以因應這些臨時中斷的條款、事項，決定是否要終止合約？是否可以找到替代性的委外廠商，以及需要花多少時間來更換。
註：摘譯自SearchCIO.com
“IT outsourcing contracts merit review given scandal at Indian firm”By Rachel Lebeaux, Associate Editor
|
承辦人應具備專案管理能力
我們再回過頭來檢視該單位承辦人，難道沒錯嗎？在資安人上一期的「資安急診室」單元裡面也有專家提到，其實，維護合約不妨可以將上下兩家廠商時程重疊一些時間，確保系統在技術及文件等細節被確實交接。而對於外包廠商來說，由於該案維護合約僅為一年，若能夠拉長維護時間，一來外包廠商比較能夠投入成本投資，而不是硬體換新了之後維護案卻被別人接走，二來使用單位也不會頻於更換廠商造成人員對系統不熟，維護品質不穩定。
而顯然該單位承辦人的專業度也令人質疑，才會輕信外包廠商片面之詞。一名資深政府單位人員說，有許多事情合約上無法一一規範，因此都有賴承辦人盯緊，什麼時候該換硬體就要換。
一名委外大廠的經理提到，承辦政府單位專案並不容易，一般會去標政府案子的委外廠商都會在招標之前就先進行瞭解、評估風險，就算該公司不懂系統，也會知道資源在哪裡，可以找哪些廠商來進行第二次的外包，因為所有的風險都是自己必須要控制的。而且，根據內政部公共工程委員會所公佈的合約條款，在投標之後都有公告期20幾天，如果有任何疑問都可以在這時候提出來，承辦人皆有義務解釋。因此雖然在這案子當中，開標日期為12月31日，但是根據法律來說，當政府單位邀約，而廠商投下投標單的時候，其實承諾責任已經生效了。（註1）以這名經理的經驗看來，他也看過有些承辦人的作法是將合約裡的乙方欄（廠商）都先蓋好章，這樣一旦開標之後甲方（政府機關）再補蓋上章即可讓合約生效，避免招標時間作業不及而造成一些糾紛，又或者是協商原來維護的廠商，開一個延續性的標案，直到確認整個系統被完整的交接。
對於災害復原相當有經驗的新加坡業務持續計劃協會主席黃守吉說到，以他過去在輔導新加坡政府通過災害復原計畫的經驗看來，不管系統怎麼變遷或人員組織更動，都應該確保系統能夠按照流程修復，今日就算人員調職或退休，如果當時已經擬定了適當的SOP，應該也可以適時的找到替代性的人員或對應手冊等，當然，如果經過多年，SOP已經不符合需求或人員已有更動，就更要時常檢視、更新，或進行實際的災害復原演練，避免事發之時不知所措或找不到對應的窗口。
研考會資訊處主任何全德也提到，研考會雖提供「資訊作業委外安全指引」，不過所謂的指引就是大方向的參考，而且大家是否能夠真的按照指引來做呢？如果承辦人員對系統也不夠了解，也不夠專業，就應該考慮找專業的第三方顧問進來，他認為，行政機關的觀念要導正，既然承辦案子的是該單位，該單位做的就是專案管理。你可以請建築師來畫圖，再請土木師傅來蓋房子，如果在嚴謹且認真的監督之下，房子也不至於蓋歪了。事前可以開規劃標、建置標、監督標等等可以彌補專業不足的部份，但是政府本來就應該要找到有能力的人來做，看的是否具備管理能力，承作廠商是否有那樣的能力，後續才是政府機關去根據合約跟廠商進行後續的處理，看是否有達到服務的水準。
為了提升公務人員的專業能力，行政院也在推動專業證照，要求一些重要的機關，該機關人員應該要具備某些證照資格，透過這些要求把管理的能力給提升上來。而目前研考會針對各機關的資安認證主要是針對各單位，未來也打算從「機關」變成針對各「機關的系統」。