企业信息化建设中存在一个悖论：在进行信息化建设之前将面临很多问题，比如如何选型、如何实施、如何从系统中取得收益；但假如没有亲身经历，却很难有切身的感受和防范风险的能力。
在这种状况下，假如不考虑风险，似乎一切都不成问题。对于一些从技术老将转为项目治理的新兵来说，急于开始工作，急于完成任务，匆忙上马蛮干的例子比比皆是；而假如一谈风险，则事无巨细，处处设防，试图将所有可能发生的风险都置于控制之下，反而忽略了风险控制成本将是另一种极端的问题。
老练的项目经理会根据企业的情况、软件的特点、实施的过程，判定哪些风险可以大胆一搏，哪些风险则是输不起的。治理信息化投资的风险，是一门技术也是一门艺术；既有刚性的方法，也有人为的发挥。其中，熟悉企业信息化的主要工作内容，把握风险治理的基本方法，准确进行风险细分才是风险控制的要害因素。
理解信息化是由开发需求、系统建设和持续改进三个阶段不断循环构成的，将有助于加深对风险治理范围的理解：开发需求阶段需要明确信息技术的商业价值，并获得企业一把手和高层的理解和支持；系统建设阶段需要控制风险，在确定的范围、成本、进度和质量控制下完成项目；持续改进阶段由大量日常的工作构成，在推进系统深化应用的过程中实现系统的价值。其次，需要理解企业信息化是一个持续不断的过程，它由开发需求、系统建设和持续改进三个阶段组成不断循环过程，这个过程又由很多大大小小的项目组成。
信息化的风险，在需求分析阶段，表现为没有充分的开发并明确需求；在建设过程中表现为贪大求全，强行推广；系统建设完成后，风险主要表现在系统应用无人治理。
首先来谈谈开发需求阶段的投资风险治理。
开发需求阶段的主要目的，是确定项目明确的目标和清楚的范围，并通过提高企业高层的熟悉，强化企业对项目的支持力度。在项目实施过程中，如何得到企业高层的承诺和支持，往往是信息主管和项目经理的一块心病。高层对技术的商业价值的理解，是项目负责人后继运作的要害基础之一。假如不能解决这个问题，项目将面临包括企业对风险的承担能力有限、项目投资和其它资源保障存在困难等问题。
理解技术的商业价值的要害，是将技术的商业价值与本企业的实际相结合。
同一技术产品本身的功能对于所有的客户来说都是相同的，但是它本身所能带来的价值对不同客户的差别却是很大的。比如一台激光打印机，对于每个月打印５页纸的小公司和每月打印２０００页纸的大公司，打印机的功能相同但对企业的价值却完全不同：对于前者也许就值几百块钱，而对后者则可能值上万元。同样的道理也可以用于对软件的商业价值的判定：比如软件的销售订单治理系统，对于每月处理１０笔业务的企业，采取手工记录的方式可能反而更经济；但对于每月处理２０００笔业务的企业来说，这套销售系统就有极大的作用。在开发需求阶段，做具体的对商业价值的分析，而不是对技术实现的分析，对项目投资风险的控制是非常重要的。
当然，在很多复杂的情况下对于一些需求比较简单的项目，可以考虑试用５Ｗ的方法，也就是连续问５个“为什么”，直到某一需求可以与企业的利润挂钩。这一方法不一定对，但却能给我们很多启示。比如，为什么要用Word来打字？因为打印比手写好看；为什么要好看？因为对公司的形象好；公司形象好对公司有什么意义？能提高销售成功率……等等。
但对于比较复杂的需求分析，比如企业信息化的总体需求分析，则需要采用ＩＴ规划的方法。对项目进行整体规划、分步实施是比较可行的控制风险的方法。一般来说，ＩＴ整体规划可以解决以下几个方面的问题：企业需要实施何种系统、按何种计划来实施、会得到何种投资回报、需要何种ＩＴ治理结构来保证信息化的成功、变革风险控制策略分析等等。企业在实施信息化建设时，假如没有整体规划，今天做一个，明天做一个，这样造成的浪费会非常大，成本会非常高，而效果却不一定理想。但整体规划并不意味着可以一口吃成个胖子，还需要分步骤实施。实际上，信息化的脚步是持续的：先从ＥＲＰ做起，打通内部的运作关节；然后建立电子商务；接下来建立客户关系治理系统，以及决策支持系统、商业智能系统等等一系列的内容。
