企业IT投入和ROI。比如基础设施和基础应用系统虽非核心IT应用，但因应用面广，一旦出问题影响面大。
有关调查公司就IT外包作了一次调查，发现企业对IT外包最大的顾虑是信息安全。IT外包虽能降低成本、提高服务质量等，但也面临很多风险。首先是信息安全的风险，任何企业都有商业秘密，把IT系统尤其核心信息系统的建设、运营和维护外包给IT服务提供商后，如何保证企业的商业秘密文件不被泄露出去是一个关键考虑的因素。因此，在外包时CIO既要谨慎又要积极防范风险。
(4)外包商服务质量的风险
IT服务要成为一种商品，就必须形成一套规范和标准，以约束买卖双方。但目前国内IT外包服务领域既无统一规范也无公认标准。概念模糊的用户，面对同样概念模糊的IT厂商，如何评估、签合同、质量控制和定价等都是潜在的“风险”。此外，IT外包还面临着 IT管理的复杂性、软件缺失、知识产权以及IT外包服务提供商自身能否健康成长等风险。因此，CIO需要在风险、成本与效果、效率之间找到平衡点。
二.规避IT外包风险的步骤
IT外包(IT Outsourcing)是指客户将全部或部分IT工作包给专业性公司完成的服务模式。对于许多企业而言，IT技术越来越深入到企业的核心业务，影响着企业的策略制定和企业的发展，从而对IT外包的风险控制也提出了越来越高的要求。
第一步：界定外包业务，避免核心业务损失
规划IT外包时，界定外包业务范围是非常关键的一步。把非核心业务外包给外包供应商，可以达到降低人力成本，减少开支和提高服务水平。因此，应树立IT外包是为了更好地把精力放在核心业务上，使IT技术人员的业务重心更加集中于公司的核心竞争力的业务上来。
张力说：“我们在具有核心竞争力的业务上拥有的人才资源要超过其他业务。在IT支持工作上我们的人才储备就不够，这一点需要借助外包来弥补。”张力建议CIO可以先梳理业务，分清IT业务属于“企业运营三叶草理论”中的哪片叶子。也就是说，先分清哪些IT业务是核心业务、附加值高，哪些是非核心业务、低值服务，哪些是长期业务，哪些是临时性、周期性、阶段性或项目型的业务，哪些业务会随着应用深化或时间推移发生什么变化。然后，CIO再仔细分析本企业IT人员的专业能力，IT人员与业务需要的匹配情况，结合外包市场的服务提供情况，相应地决定哪些业务自己内部做，哪些业务外包。
第二步：加强对外包合同的管理
对于CIO来说，在签署外包合同之前应该谨慎而细致的考虑到外包合同的方方面面，在项目实施过程中要积极制定计划和处理随时出现的问题，避免责任的扯皮现象，使得外包合同能够不断适应变化，实现一个双赢的局面。对整个项目体系的规划，CIO必须对公司自身需要什么、问题在哪里非常清楚，从而能够协调好与外包服务商之间长期的合作关系。比如，网络标准、软硬件协议以及数据库的操作性能等问题都需要双方积极的参与规划，公司内部IT外包管理人员应该参与完成这些工作而不是仅仅在合同中提出我们需要哪些。
第三步：明确IT监理和验收方案
在决定要签署外包合同的时候，张力认为必须还要明确双方的责任与合作、IT监理和验收，也就是对整个实施过程的有效监督，以及对阶段性和最终成果的评验。因此，依据外包服务合同，制定详细的服务商考核和评价指标，是约束双方行为，也是量化IT外包管理的宝典。
第四步：外包商的评估和选择
在选择外包合作伙伴时，张力认为彻底的调查是非常必须的，应该找出具有本行业IT管理经验优势的备选对象。虽然时间紧迫，但也要对每家公司进行全面的考察，比如它在行业内的地位、运作的灵活性以及与接手相似公