https://www.informationsecurity.com.tw/Seminar/2024_PaloAlto/
https://www.informationsecurity.com.tw/Seminar/2024_PaloAlto/

觀點

天作之合-談企業購併的IT挑戰

2007 / 08 / 20
謝持恆
天作之合-談企業購併的IT挑戰

如果是企業間的併購,在正式合併作業前,一定會進行實際審查作業(Due Diligence)。在實際審查作業時,因為還沒有屬於公開階段,基本上也不會大肆宣揚,保密協議一定是事前要簽署的,同時也只有相關人員可以進出文件放置的場所進行文件閱覽。而文件也會有影印的限制,只能盡量將查閱文件的重點記錄下來。通常在這個階段,直接屬於資訊作業的文件有限,大概就是些作業章則,甚至連網路架構圖都不見得會有,如果覺得沒什麼東西就草草了事,那就真是大錯特錯。很多文件是散佈在各地,看看預算及財務報告,也許可以知道這兩年是不是有重要的資訊投資,完成的進度到什麼地方。翻翻內外部的稽核報告,就可以知道這個企業目前被發現了那些缺失,甚至組織架構、人員編組都可以一覽無遺。有些時候,連應用系統的操作說明書以及系統間的關聯性,都可以在業務端的作業程序內發現。在這個階段內,盡量利用對方提供的資料,找尋出任何與資訊有關的蛛絲馬跡。

接下來的階段,就是要撰寫評估報告。之前所蒐集到的線索,這時就可以拿來利用,但這些訊息還是不夠的,網路上、親朋好友間,甚至於供應廠商,這些都是可以獲得資料的來源。但要特別注意的是供應商,他能提供你資料,相對的也會把我們的訊息透露給對方,一場腦力大戰就此展開。在撰寫評估報告的時候要注意,不能只考量單一狀況,各種的假設狀況都要設法考量,因為你不會知道高階決策層最後考量的標準是什麼,省錢?速度快?衝擊最小? 這些都可能是最後定奪的依據,除非過去已經有充分的經驗,甚至發展出對應的標準作業程序,不然很難面面俱到,只能期望在最短的時間內,把各種的要素盡量考量,這還只是整個合併作業最初階段,就已經可以殺死一堆人的腦細胞了。

隨著高層的拍板定案,接下來就是重頭戲的開始,單從資訊技術的著眼點來看,合併初期最重要的工作就是資產清點。這與每年定期盤點作業不一樣的地方在於,以往的年度盤點,偏重於硬體設備,確認現有的物品與財產帳上的名稱是否相符合。而整併作業間的資產盤點,除了硬體設備外,軟體、對外服務都是需要列入考量的。舉例來說,在年度盤點的時候,只要確認這台主機是否還在使用,財產編號是否一致即可,但是在整併的階段,這台主機位置在什麼地方,使用那一版本的作業系統,是否有資料庫軟體,所提供的服務有那些,連接哪些系統,甚至於這台主機內有多少個使用者帳號,有沒有特殊設定都需要加以記錄。如果單位平時就有管理,所衍生的工作量還不會那麼驚人,但如果平時就不重視的,這時候就會覺得工作量特別的多。但絕對不能因為工作量多就不去執行,因為這些作業都會在未來的合併過程中,造成某些進度得不順遂。其實就算做得再仔細,還是會有疏漏的情形。網路就是最明顯的例子,不是說申請一條線路,將兩邊串起來網路就可以暢通了,每一條防火牆的政策,都要重新檢視,重新設定。但更常見的狀況是,是當初設定的原因已經不知道了,也不會有人告訴你影響所及。碰到這種情形,一定要加以記錄,萬一真的有碰到狀況時,才能迅速的處理。

就應用系統而言,不要急著修改程式,先釐清現有系統間彼此的差異,更重要的是要瞭解使用者單位對於未來作業流程的定義,不要忘記,整併是整個組織的事,而應用系統是配合作業流程在運作,並不是去綁架作業流程。當明瞭差異之後,接下來還要做的,是預估修改的作業時程以及優先順序,除非修改的幅度有限或是趨近於零,不然很難有一次到位的情形。程式開發、測試的流程與平日作業相差不大,但其中包括像壓力測試、資料轉換以及程式上線等,都是需要特別注意的。就壓力測試而言,原先各自分開的系統,未來是合在一起,無論是硬體空間、執行速度、或是程式撰寫的方式,可能都和原先的作業不符,這個時候壓力測試就是最好發現問題的時機。另外有關資料轉換的部分,因為都是正式的資料,所以轉換的過程,包括資料的產出、運用、傳輸、儲存、銷毀都應該要比照正式環境資料控管的方式加以監控,而這些疏失都有可能會造成資料外露,對組織產生某種程度的損害。至於程式上線,則是因為許多整併作業,有時程性的考量,例如主管機關核准的日期,或是財務報表的生效日,因為這層考量,在程式上線的時候一定要依照既定的時程,絕不可以提前或延後上線,更不可以更換錯誤的版本。這些作業程序的要求,都比日常作業要嚴格許多。

而整個合併作業中,對於很多人而言是生平第一次的經驗,在整併的同時,還要顧及到日常的維運,相對工作量比平日高出許多,更何況合併作業都有時程上的壓力,異常事件發生的機率相對提高。因此在整個合併作業中,工作小組除了要監控時程外,對於異常事件需要瞭若指掌。如果原先就有通報體系的,除了依照原先通報的流程外,更重要的要將相關訊息提供給整併小組,以確認問題的發生是否與整併作業有關,如果確認與整併作業有關,一定要想辦法找出問題的根源,以免影響整個作業時程。如果以往沒有通報機制的,這時最好能在工作小組內增加相關的人員配置。這些因應工作需求所產生的任務編組,除了協助蒐集異常事件的訊息並協助處理外,在整併期間同時還可以扮演品質控管的角色,確保合併期間相關的問題均有獲得妥善解決。而異常事件監控的機制,並不是合併那一天就結束了,在合併後有時會持續長達到半年或一年,這樣的機制仍會持續運作,以降低異常事件對組織合併所造成的傷害。

就整個合併作業,許多人強調專案管理的技術,計劃的執行力,或是資訊整合的能力,但往往最被大家所忽略的,是教育訓練的執行。教育訓練不單只是新系統的操作而已,還包括作業程序的說明、安全意識的建立等。這些都必須要靠教育訓練不斷的溝通,讓原本兩個不同的單位,各自擁有不同的文化背景,在彼此互信度不足的狀況下,能夠將合併過程中的不預期性降到最低。如何消彌兩個組織間的隔閡,不但是主事的高階主管需要做的,更是凌駕資訊技術以外的重要課題。