风险识别与风险评估的区别范文
前言：我们精心挑选了数篇优质风险识别与风险评估的区别文章，供您阅读参考。期待这些文章能为您带来启发，助您在写作的道路上更上一层楼。
第1篇
关键词：电子政务外网；等级保护测评；风险评估；风险评估模型
夜上海论坛 中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2014）34-8337-02
1 等级保护背景下的电子政务外网风险评估
夜上海论坛 电子政务外网提供非的社会公共服务业务，全国从中央各部委、到省、市、县，已经形成了一张大庞大的网络系统，有的地方甚至覆盖到了乡镇、社区村委会，有效提高了政府从事行政管理和社会公共服务效率。今后凡属社会管理和公共服务范畴及不需在国家电子政务内网上部署的业务应用，原则上应纳入国家政务外网运行，它按照国家政务外网统一规划，建立网络安全防护体系、统一的网络信任体系和信息安全等级保护措施。
随着政务外网的网络覆盖的扩大及接入的政务单位越来越多、政务外网应用的不断增加，各级政务移动接入政务外网的需求也在增加，对政务外网的要求和期望越大，网络安全和运维的压力也越大，责任也更大。由于政务外网与互联网逻辑隔离，主要满足各级政务部门社会管理、公共服务、市场监管和经济调节等业务应用及公务人员移动办公、现场执法等各类的需要，网络和电子政务应用也成为境外敌对势力、黑客等攻击目标。随着新技术的不断涌现和大量使用，也对电子政务外网网络的安全防护、监控、管理等带来新的挑战。按照国家政务外网统一规划，建立网络安全防护体系、统一的网络信任体系和信息安全等级保护措施是必须的。
为保障电子政务外网的安全有效运行，我们应以风险管理理念来统筹建设网络和信息安全保障体系。在国家信息系统安全等级保护的大背景下，2011年国家信息中心下发了《关于加快推进国家电子政务外网安全等级保护工作的通知》，强化了电子政务外网的等级保护制度以及等级测评要求，要求对政务外网开展等级测评，全面了解和掌握安全问题、安全保护状况及与国家安全等级保护制度相关要求存在的差距，分析其中存在的安全风险，并根据风险进行整改[1]。
系统安全测评、风险评估、等级测评都是信息系统安全的评判方法[2，3]，其实它们本没有本质的区别，目标都是一样的，系统安全测评从系统整体来对系统的安全进行判断，风险评估从风险管理的角度来对系统的安全状况进行评判，而等级测评则是从等级保护的角度对系统的安全进行评判。不管是系统安全测评[1]、风险评估、等级测评，风险的风险与计算都是三者必不可少的部分。
2 电子政务主要风险评估方法简介
夜上海论坛 电子政务外网风险评估有自评估、检查评估、第三方评估（认证）评估模式，都需利用一定的风险评估方法来进行相关风险的评估。从总体上来讲，主要有定量评估、定性评估两类。在进行电子政务系统信息安全风险评估过程中，采用的主要风险评估方法有：OCTAVE、SSE-CMM、FAT（故障树方法）、AHP （层次分析）以及因素分析法、逻辑分析法、德尔菲法、聚类分析法、决策树法、时许模型、回归模型等方法。研究风险评估模型的方法可以运用马尔可夫法、神经网络、模糊数学、决策树、小波分析等[4-6]。OCTAVE 方法是一个系统的方法，它从系统的高度来进行信息安全的安全防护工作，评估系统的安全管理风险、安全技术风险，它提高了利用自评估的方式制定安全防范措施的能力。它通过分析重要资产的安全价值、脆弱性、威胁的情况，制定起风险削减计划，降低重要资产的安全风险。电子政务外网需要从实际出发，不能照搬其它评估方法，根据电子政务外网实际，本设计基于OCTAVE 评估模型，设计了一个电子政务外网风险分析计算模型。
夜上海论坛 3 基于OCTAVE模型的一个电子政务外网风险计算模型设计
夜上海论坛 3.1 风险评估中的资产、威胁、脆弱性赋值的设计
保密性、完整性和可用性是评价资产的三个安全属性。风险评估中的资产价值不是以资产的经济价值来衡量，而是由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。
资产价值应依据资产在保密性、完整性和可用性上的赋值等级，经过综合评定得出。综合评定方法可以根据自身的特点，选择对资产保密性、完整性和可用性最为重要的一个属性的赋值等级作为资产的最终赋值结果；也可以根据资产保密性、完整性和可用性的不同等级对其赋值进行加权计算得到资产的最终赋值结果。本设计模型根据电子政务外网的业务特点，依据资产在保密性、完整性和可用性上的赋值等级进行加权计算（保密性α+完整性β+和可用性γ），α、β、γ为权重系数，权重系数的确定可以采用专家咨询法、信息商权法、独立性权数等。本设计方案采用专家咨询法。资产、威胁、脆弱性的赋值可以从0-10，赋值越高，等级越高。
脆弱性识别是风险评估夜上海论坛中最重要的一个环节。脆弱性是资产本身存在的，如果没有被相应的威胁利用，单纯的脆弱性本身不会对资产造成损害。脆弱性识别的依据可以是国际或国家安全标准，也可以是行业规范等，如国家信息安全漏洞共享平台（CNVD）漏洞通报、CVE漏洞、微软漏洞通报等。
资产、威胁、脆弱性的识别与赋值依赖于专家对三者的理解，不同的人员对三者的赋值可能不同，甚至差别很大，可能会不能真实的反映实际情况。为了识别与赋值能准确反映实际情况，可以采用一定的方法来进行修正。本设计采用头脑风暴法、德尔菲法去获取资产、威胁、脆弱性并赋值、最后采用群体决策方法确定资产、威胁、脆弱性的识别与赋值。这样发挥了三个方法的特点，得到的赋值准确性大大提高。
夜上海论坛 判断威胁出现的频率是威胁赋值的重要内容，评估者应根据经验和（或）有关的统计数据来进行判断[7]。判断威胁出现的频率是可能性分析的重要内容，如果仅仅从近一两年来各种国内、国际组织的对于整个社会或特定行业的威胁及其频率统计，以及的威胁预警等来判断是不太准确的，因为它没有与具体的电子政务外网应用实际联系起来，实际环境中通过检测工具（如IPS等）以及各种日志发现的威胁及其频率的统计也应该考虑进去。
本设计模型采用综根据经验和（或）有关的统计数据来进行判断，并结合具体电子政务外网实际，从历史生产系统的IPS等获取各种威胁及其频率的统计，并采用马儿可夫方法计算出某个时段内某个威胁发生的概率。马尔可夫方法是一种定量的方法，具有无后效性的特点，适用于计算实时的动态信息系统威胁发生概率。它利用IPS等统计某一时段的发生了哪些威胁，构建出各种威胁之间的状态转移图，使用马尔可夫方法计算出该时段内某个威胁发生的概率。计算出的威胁发生概率结果可以进行适当的微调，该方法要求记录的样本具有代表性。
夜上海论坛 3.2 风险计算模型设计
通常风险值计算涉及的风险要素为资产、威胁、和脆弱性。 在完成了资产识别、威胁识别、脆弱性识别，以及已有安全措施确认后，将采用适当的方法与工具确定威胁利用脆弱性导致安全事件发生的可能性，并综合安全事件所作用的资产价值及脆弱性的严重程度，判断安全事件造成的损失对组织的影响，即安全风险计算。
风险值=R（资产，威胁，脆弱性）= R（可能性（威胁，脆弱性），损失（资产价值，脆弱性严重程度））。可根据自身电子政务外网实际情况选择相应的风险计算方法计算风险值，如目前最常用的矩阵法或相乘法等。矩阵法主要用于两个要素值确定一个要素值的情形，相乘法主要用于两个或多个要素值确定一个要素值的情形。
本设计模型采用风险计算矩阵方法。矩阵法通过构造一个二维矩阵，形成安全事件的可能性与安全事件造成的损失之间的二维关系；相乘法通过构造经验函数，将安全事件的可能性与安全事件造成的损失进行运算得到风险值。
在使用矩阵法分别计算出某个资产对应某个威胁i，某个脆弱性j的风险系数[Ri，j]，还应对某个资产的总体安全威胁风险值进行计算，某个资产总体风险威胁风险=Max（[Ri，j]），i，j=1，2，3…。组织所有资产的威胁风险值为所有资产的风险值之和。
夜上海论坛 3.3 对风险计算模型的改进
在风险值=R（A，T，V）的计算模型中，由资产赋值、危险、脆弱性三元组计算出风险值， 并没有把安全防护措施因素对风险计算的影响考虑在内，该文把风险值=R（A，T，V）改进为风险值=R（A，T，V，P），其中P为安全防护措施因素。P因素不仅影响安全事件的可能性，也影响安全事件造成的损失，把上面的公式改进为风险值=R（L（T，V，P），F（Ia，Va，P ））。对于L（T，V，P），F（Ia，Va，P ）的计算可以采用相乘法等。如果采用矩阵法，对L（T，V，P）的可以拆分计算L（T，V，P）=L（L（T，V），L（V，P））。
夜上海论坛 在计算出单个资产对应某个脆弱性、某个威胁、某个防护措施后的风险值后，还应总体上计算组织内整体资产面临的整体风险。单个风险（一组风险）对其它风险（一组风险）的影响是必须考虑的，风险之间的影响有风险之间的叠加、消减等。有必要对风险的叠加效应、叠加原理、叠加模型进行研究。
3.4 风险结果判定
夜上海论坛 为实现对风险的控制与管理，可以对风险评估的结果进行等级化处理。可将风险划分为10，等级越高，风险越高。
风险等级处理的目的是为风险管理过程中对不同风险的直观比较，以确定组织安全策略。组织应当综合考虑风险控制成本与风险造成的影响，提出一个可接受的风险范围。对某些资产面临的安全风险，如果风险计算值在可接受的范围内，则该风险是可接受的，应保持已有的安全措施；如果风险计算值高于可接受范围的上限值，则该风险是不可接受的，需要采取安全措施以降低、控制或转移风险。另一种确定不可接受的风险的办法是根据等级化处理的结果，不设定可接受风险值的基准，对达到相应等级的风险都进行处理。
参考文献：
[1] 国家电子政务外网管理中心.关于加快推进国家电子政务外网安全等级保护工作的通知[政务外网[2011]15号][Z].2011.
[2] 等级保护、风险评估和安全测评三者之间的区别与联系[EB/OL].http：///faq/faq.php？lang=cn&itemid=23.
夜上海论坛 [3] 赵瑞颖.等级保护、风险评估、安全测评三者的内在联系及实施建议[C].第二十次全国计算机安全学术交流会论文集，2005.
[4] 李煜川.电子政务系统信息安全风险评估研究――以数字档案馆为例[D].苏州：苏州大学，2011.
[5] 陈涛，冯平，朱多刚.基于威胁分析的电子政务信息安全风险评估模型研究[J].情报杂志，2011（8）：94-99.
第2篇
夜上海论坛 关键词：内部审计；风险导向内部审计；风险管理
夜上海论坛 内部审计作为重要的管理工具，一直是企业内部监督的重要组成部分。随着经济全球化和市场竞争多元化的不断深入，企业所面临的风险日趋复杂。尤其是对于大型企业集团而言，风险规模已经远远超出管理层能够直接管控的范围。为此，企业开始日益重视风险管理工作，积极建立内部控制体系，提高企业风险管控能力。在此趋势下，风险导向内部审计应运而生，并较好的适应了管理层的风险管理需要。
一、风险导向内部审计的概念与基本特点
按照国际内部审计师协会（IIA）对内部审计的定义，内部审计是“一种独立、客观的保证和咨询活动，其目的是在于为组织增加价值并提高组织的运作效率。它采取系统化和规范化的方法来对风险管理、控制和治理程序进行评估和改善，从而帮助组织实现目标”。根据这一定义，推行风险导向内部审计就是要以对组织风险的评估与改善作为基本目标，以内部控制为审计基础，以公司治理为参与风险管理的前提。风险导向内部审计作为内部审计发展的一个阶段，其本身具有区别于传统内部审计和注册会计师外部审计的特点。笔者认为这些特点主要体现在如下方面：首先，风险导向内部审计将风险评估和改善作为首要目标，并据此延伸其职能。具体来说，其职能主要有三个方面，一是利用其在内部管理方面的专家地位和信息优势，根据企业目标评估、分析和管理风险，并将审计结果和管理建议向管理层报告。二是帮助管理层在制定重大决策事项时进行风险评估。三是为市场、采购、技术等其他专业领域的风险管理部门提供咨询。总之，风险导向内部审计不再是消极的查错防弊，而应以组织的整体风险评估作为首要工作。其次，风险导向内部审计在方法上更加注重风险评估、缺陷评估和管理建议。区别于传统内部审计，风险导向内部审计始终把风险管理作为审计工作的出发点和落脚点，强化审计工作的事前风险评估和事后缺陷评估环节，并基于这些评估得到审计结论和给出风险管理建议。第三，风险导向内部审计以内部控制为基础。从理论上说，内部审计是内部控制的监督环节，是对其他内部控制环节的再控制。内部审计无论从事是对风险的评估和改善，还是参与风险管理和治理程序，都需要依托对企业内部控制状况的了解。第四，采用风险导向使内部审计工作融入企业全面风险管理体系。不同于外部审计师所实施的内部控制审计，内部审计是为了保证企业经营目标的实现、保护资产安全、防止舞弊的发生而进行的全方位的内部控制评价。也就是说，内部审计、内部控制以及管理层的风险治理活动都是以企业风险管理为目标。内部审计通过采用风险导向而参与到企业全面风险管理中，成为整个风险管理体系的有机组成部分。
二、在内部审计中采用风险导向的必要性与实践意义
夜上海论坛 当前，内部审计需要应对的风险越来越复杂，对审计的要求也不断提高。内部审计需要更为全面、及时、准确的反映企业存在的风险，并提出有针对性的管理建议。传统内部审计虽然也针对企业风险进行监督，但从根本上说仍然缺乏完整有效的风险识别和评估体系，审计工作高度依赖审计人员水平，其风险覆盖的全面性、重要环节的审计充分性、以及审计质量的稳定性均难以保证。这不但无法满足企业风险管理需求，而且难以体现内部审计的管理价值，不利于内部审计的长期发展。因此，在审计实践中采用风险导向是内部审计发展的必然选择。
夜上海论坛 1、风险导向内部审计以风险评估和改善为目标，可以更为系统的覆盖企业重要风险，保证内部审计的完整性传统内部审计对于内部控制的关注一般集中在已有流程和已识别的运营风险，而缺乏对风险识别全面性和风险变动的评估。但对个体企业而言，无论是外部环境、业务特点，还是内部管理和治理结构都十分复杂，且始终处在不断变化的过程中。COSO委员会在2004年颁布的《企业风险管理——整体框架》（ERM）中将企业全面风险要素概括为八个大类，而阿瑟.安德森公司的商务风险模型（BRM）则将企业风险概括为三大类75种，足见其范围之广。在此情况下，传统内部审计很难保证审计结果和管理建议不存在重大遗漏、误判或者与企业实际状况脱节的风险。而风险导向内部审计通过有效的风险识别和风险评估，可以及时、全面的掌握这些情况，帮助内部审计部门形成对被审企业的完整认识。
夜上海论坛 2、风险导向内部审计对风险和缺陷的评估，能够更为科学的确定审计事项的重要性水平，有助于合理调配审计资源，深入进行研究分析，保证内部审计的充分性在目前的内部审计实践中，一个较为突出的问题是在标准化的审计程序上耗费大量审计资源，而缺乏对重要问题的深入研究和系统性分析。具体来说，一方面，审计过于追求程序的标准化，审计意见包含大量详细的操作细节问题，但没有区分重要性水平。特别是对于风险较小的环节给予过多关注，造成控制冗余，不但影响审计效率，也可能对后续审计产生误导。另一方面，对于重要缺陷不能给出系统评估和全面的解决方案，例如评估缺陷在多大程度上增加了企业运营风险，缺陷产生的系统性原因和个体原因，以及如何进行整改和需要投入的管理资源是否符合成本效益原则。而风险导向内部审计重视事前的风险评估，可以有效解决审计侧重点问题，合理调配审计资源。可以结合企业目标，有针对性的深入研究重要风险，评估缺陷程度。同时，还可以减少在次要风险上的审计资源投入，在总体资源有限的情况下发挥最大的审计效果。
夜上海论坛 三、实施风险导向内部审计的实现途径与展望
风险导向内部审计从根本上改变了传统审计的指导思想和工作模式，对内审部门提出了很大的挑战，其在实践中的应用还存在很大障碍。笔者认为，要想实施风险导向内部审计，至少需要在如下几个实现转变。
1、内部审计部门职能的转变：由消极的查错防弊向主动的风险管理转变在所有阻碍风险导向审计实施的问题中，最根本的是内审部门自身定位的转变。风险导向内部审计要求内审部门的定位要从消极的查错防弊变为主动的风险管理，在风险评估、内部控制乃至公司治理中发挥专业作用。这使内审工作从监督指导职能延伸到风险评估、缺陷分析和管理咨询，几乎颠覆了内审部门的旧有工作范围，无疑是对内审部门从软件到硬件的全面挑战。尽管如此，这些转变又是不可回避的，因为能否转变思路并主动适应新的角色，是内部审计能否提升自身价值的关键所在，也是企业风险管理提升不可或缺的重要途径。
2、审计方法的转变：建立完善风险评估机制风险评估和改善作为内部审计的首要目标，在实践中也是能否真正实施风险导向内部审计的关键问题。因为企业的风险千差万别，风险评估也非常复杂繁琐，但作为整个审计体系的基石，所有后续审计工作均需要以风险评估为基础。笔者认为，企业应通过建立成熟的风险识别模型和风险评估程序，通过流程化、标准化以节约审计资源。具体来说，一方面内审部门应结合COSO企业风险管理框架（ERM）、企业风险模型（BRM）以及其他风险分析工具，建立一套适合本企业特点的风险识别模型。然后根据企业目标，在模型框架内识别具有重大影响的风险项目，建立企业风险数据库。另一方面，在内部审计中应建立风险评估报告制度，强制要求内审人员全面了解被审单位的风险状况，以保证所有后续审计工作按风险导向执行，最终帮助评价审计结果对企业整体风险的影响。
夜上海论坛 3、风险管理架构的转变：整合内部控制资源，实施风险的全过程管理无论是内部审计还是内部控制和企业风险管理部门，乃至于各专业部门的风险管理人员，其根本任务归根结底就是对风险进行管理。而受制于管理范围和资源限制，内部审计部门必须与其他风险管理部门共同开展风险管理工作。具体来说，一是需要加强部门协调，与相关部门共享风险数据库，并在共同的风险识别框架下对风险形成共同认识，对控制措施和审计缺陷评估实施共同标准。二是对风险进行全过程管理。根据风险管理过程理论，风险管理是风险识别、风险度量和风险监控三个环节构成的循环，内部审计对于风险的管理也必然是一个动态的过程，需要整合相关资源对风险全流程进行管理，及时进行重新评估和应对。目前，外部审计机构正在大力开展管理咨询业务，凭借其专业优势和成本优势，越来越多的重复性内部审计工作已呈现外包化趋势。内部审计如果仍在“查错防弊”阶段止步不前，将越来越难以为企业创造价值。因此，只有积极参与企业内部风险管理，并在此基础上与其他风险管理部门密切配合，形成强有力的风险管理体系，才能有效为企业保驾护航，这或许是内部审计的长远发展方向。
作者:姜传志 胡增会 单位:青岛中油岩土工程有限公司
参考文献:
夜上海论坛 [1]曹伟,桂友泉.2002:内部审计与内部控制[J].审计研究(1),P27-30.
夜上海论坛 [2]费朵,邹家继.2008:项目风险识别方法探讨[J].物流科技(8),P139-141.
第3篇
夜上海论坛 在市场经济条件下，每个企业都面临着来自外部和内部的风险。企业内部控制就是通过对风险的控制以实现其目标的，风险评估是企业内部控制的重要内容之一。内部控制中的风险评估的概念有广义和狭义之分。广义的风险评估包括目标设定、风险识别、风险分析、风险应对等；狭义的风险评估仅仅是指风险分析，即通过采用定性分析和定量分析，按照企业风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。
一、《内部控制框架》中的风险评估
美国COSO委员会《内部控制框架》所使用的风险评估概念属于广义风险评估，《内部控制框架》将其作为内部控制的关键构成要素。
（一）设定目标
夜上海论坛 根据《内部控制框架》，风险评估首先要设定目标。设定目标是风险评估的前提条件。风险是与目标伴随的，首先必须有目标，管理层才能对实现目标的风险进行识别。根据《内部控制框架》，目标设定不属于内部控制的构成要素，但它是内部控制的前提条件，为此《内部控制框架》专门对目标设定进行了论述。目标包括企业层面的目标和业务层面的目标。管理层通过目标设定来明确业绩衡量标准，目标具体分为经营目标、财务报告目标和合规目标。经营目标是管理层基于企业所处特定经营环境所设定的业绩衡量标准；财务报告目标在于对外公布的财务报告的可靠性；合规性目标则要求企业的经营活动遵循适用的法律法规。这些目标是相互补充和相互关联的。
（二）风险识别
夜上海论坛 1.风险识别必须与目标联系，无论目标是明确的还是隐含的，企业的风险识别应当考虑到目标实现面临的各种可能出现的风险。2.风险识别是一个持续性、反复的过程。3.进行风险识别时应当关注企业各个层面的风险，包括企业层面的风险和业务层面的风险。对主体层面的风险进行识别时，既要关注外部风险，也要关注内部风险。来自外部的风险主要有技术进步引起的风险、客户需求变化风险、市场竞争风险、法律法规变动风险、自然灾害风险以及经济环境变化风险等;来自内部的风险包括信息系统故障风险、员工素质能力等方面的风险、管理层变动风险以及董事会或审计委员会不作为的风险等。对业务层面的风险进行识别时，应当将该层面的风险评估集中于主要业务流程和主要职能上，如销售、生产、营销、研究开发等。应当识别对企业有重大影响的较为明显的风险。
夜上海论坛 （三）风险分析，即狭义的风险评估
企业在对企业层面的风险和业务层面的风险识别后，则需要进行风险分析。风险分析的方法多种多样。风险分析的过程通常包括估计风险的严重性、评估风险发生的可能性、评估应采取的措施等三个步骤。应当注意的是，作为内部控制一部分的风险评估，与作为管理过程应对措施而采取的计划、方案及其他措施存在着区别。
（四）建立识别环境变化的机制
风险评估本质上是一个识别变化并采取必要措施的过程。随着经济、行业和监管等外部环境的变化，企业的经营活动也将发生相应的调整，企业应当建立一套正式或非正式的程序，对可能影响企业目标实现的风险进行识别。管理层应当特别关注以下对环境影响的因素，这些因素包括已变化的经营环境、管理层人员更换及员工大规模更换、使用新的或调整后的信息系统、经营业务快速增长、采用新技术、开拓新的经营领域、进行公司重组等。企业应当建立一定的机制，对发生变化的外部环境进行识别。
二、《企业风险管理框架》中的风险评估
夜上海论坛 美国COSO委员会2004年的《企业风险管理框架》中将风险管理的要素划分为内部环境、目标设定、事项识别、风险评估、风险应对、信息与沟通和监控等八要素。根据《企业风险管理框架》，风险评估就是要对识别的风险进行分析，以形成确定如何对其进行管理的依据。这实际就是《内部控制框架》中的风险分析，属于狭义上的风险评估概念。《内部控制框架》中的风险评估实际上包括事项识别、风险评估、风险应对三项内容，而目标设定则作为内部控制的前提条件，不属于内部控制要素的范围。
夜上海论坛 风险总是与特定目标的实现相联系。如不出国旅游，则不会涉及到飞机失事的风险。根据《企业风险管理框架》，实施风险管理首先就涉及到设定目标。目标设定是事项识别、风险评估和风险应对的前提。《企业风险管理框架》正是出于风险管理的需要将目标设定作为风险管理的构成要素之一。《企业风险管理框架》中的目标包括战略目标和相关目标，战略目标是最高层次的目标，而相关目标则是建立在战略目标基础上的企业层面等的目标，企业层面的目标与更为具体的目标相关联,贯穿于整个企业，并具体为各项业务和各项职能的次级目标。《企业风险管理框架》要求设定的目标应当是可计量的，并要求企业各个层次人员根据各自所影响的范围了解企业设定的目标。设定的目标分为经营目标、报告目标、合规目标等三项。作为风险管理的一部分，企业在选择目标时要确保其目标与企业的风险容量相协调。风险容量是企业管理当局在董事会的监督下确定的，反映着企业的风险管理理念，并影响企业的文化和经营风格，是制定战略目标的风向标。战略目标应当选择与其风险容量一致的目标，并使风险反映于战略目标之中。
《企业风险管理框架》中的事项识别要求管理当局对源于内部或外部的影响战略实施或目标实现的事故或事件进行识别，对企业目标实现将带来负面影响的确定为风险，并对其进行评估和应对；将存在正面影响的确定为机会，将其反馈到战略或目标的制定过程之中。在对事项进行识别时，必须考虑企业整体范围内可能带来风险和机会的所有内部和外部因素。外部因素需要考虑的通常包括经济因素、自然环境因素、政治因素、社会因素、技术因素等；而内部因素需要考虑的通常包括人员、流程、技术等因素。
《企业风险管理框架》中的风险评估（即风险分析）要求进行风险评估时，既要考虑预期事项也要考虑非预期事项，对可能对企业存在重大影响的非预期的潜在事项和预期事项的风险进行评估；既要考虑固有风险，也要考虑剩余风险。固有风险是指管理当局未采取任何措施的情况下企业所面临的风险；而剩余风险则是在管理当局进行风险应对之后所残余的风险。确定相应的风险应对后，则集中考虑剩余风险的管理。
夜上海论坛 《企业风险管理框架》中的风险应对要求企业管理当局评估风险的可能性和影响，并在成本效益比较的基础上，选择能够使剩余风险处于期望的风险容限范围之内的应对策略。风险应对策略包括风险回避、风险降低、风险分担和风险承受。管理当局应当在企业范围内识别风险并确定企业总体剩余风险处于企业风险容量之内。
夜上海论坛 三、我国《企业内部控制基本规范》中的风险评估
夜上海论坛 我国《企业内部控制基本规范》中的风险评估使用的是广义上的风险评估概念，包括目标设定、风险识别、风险分析和风险应对。《基本规范》要求企业应当根据设定的控制目标，全面、系统、持续地收集相关信息，结合实际情况，及时进行风险评估。根据《基本规范》。风险评估的具体过程包括：
（一）控制目标的设定
夜上海论坛 设定控制目标是进行内部控制，特别是风险评估的前提。企业应当根据自身的实际情况，按照本身的发展规划合理确定战略目标。设定的目标应当尽可能量化，并细化为各业务活动和各职能部门的具体目标。内部控制目标的设定要切实可行，与内部控制发展的不同阶段相适应，设定不同要求的内部控制目标，并随着内部控制的发展，逐步提升内部控制目标。
（二）风险识别
夜上海论坛 《基本规范》要求企业进行风险评估时，应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度。风险承受度即风险容量，是企业能够承担的风险限度，包括整体风险承受能力和业务层面的可接受风险水平。
夜上海论坛 企业在识别内部风险时，应当关注和考虑的因素包括：1.董事、监事、经理及其他高级管理人员的职业操守、员工专业胜任能力等人力资源因素；2.组织机构、经营方式、资产管理、业务流程等管理因素；3.研究开发、技术投入、信息技术运用等自主创新因素；4.财务状况、经营成果、现金流量等财务因素；5.营运安全、员工健康、环境保护等安全环保因素；6.其他有关内部风险因素。上述因素的现状往往是风险存在的基础，上述因素的变动则往往会诱发新风险的产生。
企业识别外部风险，应当关注和考虑的因素包括：1.经济形势、产业政策、融资环境、市场竞争、资源供给等经济因素；2.法律法规、监管要求等法律因素；3.安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素；4.技术进步、工艺改进等科学技术因素；5.自然灾害、环境状况等自然环境因素；6.其他有关外部风险因素。上述因素实际上是企业经营活动所处的外部环境，外部环境的变动必然会影响到企业的经营活动，有可能给企业带来新的风险，如一项新的技术被其他同行所采用，有可能导致企业所占有的市场份额发生变化而带来风险。再如政府颁布实施较过去更为严格的监管法律，由此可能导致本企业传统加工方法无法继续使用，从而导致风险的产生。
（三）风险分析
《基本规范》要求企业采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。鉴于风险分析的专业性和复杂性，要求企业进行风险分析时充分吸收专业人员，组成风险分析团队，按照严格规范的程序开展工作，确保风险分析结果的准确性。风险分析的目的在于为企业风险应对提供依据。由于企业董事、经理和其他高级管理人员在企业经营活动中的特殊地位，其个人风险偏好对经营活动等具有重大影响，企业应当合理分析、准确掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好，并予以特别关注，避免因个人风险偏好给企业经营带来重大损失。
（四）风险应对
