发布时间：2023-07-17 16:30:06
序言：写作是分享个人见解和探索未知领域的桥梁，我们为您精选了8篇的风险因素的识别和评估样本，期待这些样本能够为您提供丰富的参考和启发，请尽情阅读。
关键词：企业会计信息；风险识别；管理分析
中图分类号：F23 文献标识码：A 文章编号：1001-828X（2013）11-0-01
风险就是未来可能发生的不确定性的结果，在财务管理方面不论何种风险都会造成重大损失，因此需要对风险进行有效识别和管理，以最大限度降低风险成本。企业会计信息系统可以有效维护企业的整体运行，企业对会计信息系统进行风险识别和管理不仅是企业财务规避风险的需要，也是整个企业风险管理的需要。但目前我国在会计信息系统风险识别和管理方面的研究还很少，企业在会计信息风险管理方面的认识和经验还不足，很多企业为保证会计信息安全倾尽了大量财力、物力却没有任何效果。因此企业如何识别风险，并采取措施进行有针对性的风险管理，需要企业管理者认真思考总结，以对症下药。
一、企业会计信息风险识别
1.会计信息风险识别的定义和重要性
对事件的识别可以帮助企业管理者熟悉影响业务活动的各种因素，但事件识别无法清楚了解这些事件蕴含着怎样的风险。因此企业管理者在了解事件的同时，更应分析这些复杂的事件蕴含了哪些“风险”，即风险识别。企业会计信息风险识别可以将不确定的事件转化为清晰的风险陈述，在事件识别和风险评估之间起到桥梁的作用。
2.会计信息风险识别的内容
企业会计信息风险识别可以分为三个方面：（1）利用风险检查表来系统地识别风险；（2）对已知风险进行交流。采用口头或书面的方式，在企业会议上针对已知风险进行交流；（3）将已知的风险编写成文档，可以方便以后查阅。文档内容从风险陈述和相关风险的背景两个方面来写，风险背景中要包括风险发生的时间、地点、原因和后果[1]。
3.会计信息风险识别的方法
企业会计信息识别风险的方法有很多，财会人员可以通过分析公司历年的财务报表，加强与部门经理的讨论沟通，多进行员工调查，或咨询保险人和风险管理咨询顾问等方式，以此识别各种潜在风险。财会管理者在运用各种风险识别方法时，首先要全面了解部门、企业以及影响企业的经济、法律和法规等“事件”。有效识别面临风险的各项财产以及造成潜在损失的原因，考虑对这些财产进行计量的方法。综合各种计量属性的优缺点，选择合理的估价方法。
二、企业会计信息风险管理分析
1.会计信息风险评估
企业会计信息风险评估即对会计信息及信息处理设施可能发生的威胁和影响的评估。企业财会部门利用风险评估可以有效考虑潜在风险对会计目标达成的影响，以确定会计信息风险控制的优先级，实现对潜在风险的有效控制，将风险降低到最小范围。风险评估时管理者首先应考虑到企业资产及其价值的潜在威胁，研究风险发生的可能性和薄弱点，建立完善的风险评估流程。风险评估方法分为定性和定量两种，对于不能量化的或不能进行定量评价，实践中没有实用性的风险采用定性的评估方法。定性分析方法侧重于关注事件带来的损失，而很少关注事件发生的频率，主要是通过事件面临的威胁和脆弱点来确定事件的风险等级，评估中也没有具体的数据，以期望值来设定风险的影响值和概率值[2]。
当单纯的期望值不能区分风险值间的差别时，就需用定量评估法。定量评估主要是利用威胁事件发生的概率和可能造成的损失这两个因素，这两个因素相乘的结果称为ALE。通过ALE可以计算出风险等级，以对此做出相应决策。不同规模的企业风险评估工具的选择不同，比较小的企业财会部门的风险管理决策主要来自经验判断，对于规模较大的企业一般通过数据收集、处理分析来进行风险评估。常用的风险评估工具有使用历史数据法、使用回归分析方法和使用正态分布模拟损失分布等。
2.会计信息风险应对
在企业会计信息风险应对中，首先应以风险评估的结果为依据，判断威胁事件的薄弱点，选择合理的手段和正确的保护措施。其次，也应该考虑到费用问题，确保应对措施的费用在财会部门预算范围之内。根据应对措施的费用和部门的实际预算选择合理的方式，达到降低风险的目的。常见的风险应对方法有规避风险、减轻风险、承担风险和接受风险等。风险的发生是随机和不确定的，因此风险应对也是一个动态的过程，财会部门应使用动态的方法应对风险，及时更新风险管理体系。
3.会计信息风险监控
企业会计信息风险监控是财务信息风险管理的重要组成部分，可以通过持续监控和单独评价两种方式实现。在企业财务部门的日常业务活动中实行持续监控，依靠风险评估和持续监控的有效性进行单独评价。持续监控是财务部门对日常工作和业务活动的动态监控，财会部门在工作中如发现风险管理的缺陷应立即向上级汇报，以采取相应措施弥补。通过日常的监控可以及时发现会计信息管理中的各种问题，以规避风险。在风险事件发生后进行个别评估，探讨财会部门风险管理的有效性，重视对事件缺陷的挖掘与汇报，建立可靠的沟通渠道，及时汇报一些敏感或非法的信息[3]。
三、结语
在激烈的市场竞争中，企业在经营管理的各个环节，不可避免的会存在一定风险，这些风险可能对企业产生重大影响。有效规避和化解企业会计信息中的风险，是确保企业在激烈的竞争中持续发展的基本要求。财会部门作为企业的核心部门，在日常工作中应该建立有效的风险管理体制，对可能发生的风险进行评估，并采取相应的措施应对，也要实施风险持续监控制度，积极挖掘财会工作中的各种风险管理缺陷，以此规避风险减少企业经济损失。
参考文献：
[1]李华丽.浅论会计风险管理存在的问题[J].中国市场，2010，5（26）：21-23.
1.1静态风险评估
静态风险评估是根据传统风险评估的具体方法对较短时间内系统存在的各种风险进行科学的评估，评估的整个过程并不连续，评估的对象主要选择相对静止的系统。
1.2动态风险评估
动态风险评估是对网络进行安全风险的评估，并研究系统变化的过程和趋势，将安全风险与具体的环境相互联系，从宏观的角度了解整个系统存在的安全风险，把握风险的动态变化，风险评估的过程是动态变化的过程。对于电信网络而言，客观准确的进行安全风险的评估是整个电信安全管理的重要前提。风险评估是风险管理的初级阶段，目前，我国的电信网络仍然采用传统静态评估的方式，最终对安全风险的评估只是针对特定的时间点。但是，静态风险评估不能有效的体现评估风险各种变化的趋势，评估结果相对比较滞后。动态风险评估加强了静态风险评估的效果，能够反映较长时间安全风险具体的变化情况。在动态风险进行评估的过程中，如果系统出现安全问题，可以及时的进行处理，展现了整个风险评估的变化过程，保证了网络的安全。对电信网络实施动态风险评估，具有非常复杂的过程，评估的结果具有参考价值。电信网络安全风险评估的研究文/向宗旭随着电信技术的不断发展和深入，电信网络与现代的互联网存在较为紧密的联系，这也为电信网络带来巨大的安全风险。电信网络属于我国通信网络中的重要内容，直接关系到我国社会的稳定。本文主要探讨了电信网络的安全风险评估。
2电信网络安全风险评估具体的实施过程
对电信网络进行安全风险评估的工作，其对象可以针对电信网络的某一部门也可以是整个电信网络。风险评估的内容包含技术的安全问题以及网络管理的安全问题。技术安全主要包括网络安全以及物理安全等，管理安全主要包括管理制度以及人员管理等。对电信网络实施安全风险的评估主要按照以下几个步骤。
2.1风险评估前的准备工作
在进行安全风险评估之前，首先需要获得各个方面对安全风险评估的支持，相互配合，确定需要评估的具体内容，组织负责进行安全风险评估的专业团队，做好市场的调查工作，制定评估使用的方法，只有做好一系列的准备工作才能为接下来的安全风险评估奠定基础。
2.2对资产的识别工作
在电信网络中的资产主要包括具有一定使用价值的资源，电信网络的资产也是进行安全风险评估的主要对象。资产存在多种形式，有无形资产和有形资产，还可以分为硬件和软件。例如，一些网络的布局以及用户的数据等。做好资产识别的工作能够确定资产具体的安全情况。对资产进行安全风险的评估可以综合分析资产的价值以及安全状况，还可以考虑资产具有的社会影响力。社会影响力是指资产一旦失去安全的保障会对整个社会带来影响。
2.3威胁识别工作
威胁的识别是指对电信网络内部资产存在破坏的各种因素，这种潜在的破坏因素客观存在。对资产产生威胁的主要原因包括技术、环境以及人为。技术因素是指网络自身存在的设备故障或者是网络的设计存在疏漏。环境因素是指环境中的物理因素。人为因素是指人为造成的威胁，包括恶意和非恶意。通过对威胁的动机以及发生几率描述网络存在的各种威胁，威胁识别工作的重要任务就是判断出现威胁的可能性。
2.4脆弱性识别工作
网络资产本身具有脆弱性的特点，包括网络存在的各种缺陷。只有网络存在各种缺陷和弱点才有可能出现各种威胁的因素，如果没有威胁的产生，网络具有的脆弱性并不会损害资产。但是只有系统较少自身的脆弱性才会较少资产被威胁的可能性，使系统的资产更加安全，从而有效的较少损失。对电信网络进行脆弱性识别工作可以从技术和管理上展开，主要以资产的安全作为核心内容，针对资产的不同特征，进行脆弱性的识别工作。
2.5确认具体的安全措施
对电信网络进行的安全风险评估需要做好安全措施的确认工作，保持有明显效果的安全措施，对失去效果的安全措施予以改正，避免内部资产的浪费，杜绝重复使用安全措施。一旦发现不合理的安全措施需要及时检查安全措施能否被取消，并制定更合理的安全措施。确认安全措施的工作主要分为预防性和保护性两种。预防性措施主要负责减少威胁性因素产生的可能性，保护性措施是为了减少资产的损失。
2.6风险分析工作
风险分析工作主要对电信网络的资产识别、脆弱性识别、威胁识别以及存在风险对资产造成的损失进行综合性的分析，最终得出准确的风险值，结合制定的安全措施。分析资产承受风险的最大范围。如果出现的安全风险在资产承受的范围之内，需要继续采取安全保护措施，如果安全风险超出了资产承受的范围，这就需要对风险进行控制，制定更可靠的安全措施。
2.7整理风险评估记录
对电信网络实施安全风险评估工作的整个过程，需要进行风险评估的准确记录，包括评估的过程以及评估的最终结果，制定系统的安全风险评估报告。为安全风险评估的工作提供可靠的科学依据。
3结束语
2004年9月美国COSO委员会的企业风险管理整合框架，其中很重要的一个变化是企业风险管理框架拓展了内部控制框架的风险评估要素，创造了四个构成要素――目标设定、事项识别、风险评估和风险应对，使原来内部控制中的五要素，拓展为企业风险管理的八要素，为什么要对此细化呢？笔者的理解是COSO试图让这个框架在风险评估这个环节更具体，更有指导性，体现了其和对风险评估要素的重视及强调，虽然它并不否定其他构成要素的重要性。
我国内部控制基本规范中虽然还是提五要素，但在第三章“风险评估”中也借鉴了COSO的表述，包含了目标设定、事项识别、风险评估和风险应对四个方面的内容。关于风险识别，在第二十二条和第二十三条列示了企业内外部各种风险因素。
按照COSO的定义，事项是源于内部或外部的影响战略实施或目标实现的事故或事件。事项可能带来正面或负面的影响，或者两者兼而有之。在事项识别有过程中，管理层认识到不确定性的存在，但是并不知道一个事项是否会发生，或什么时候发生，或者它所带来的确切影响。事项有的很明显，有的很隐晦；所产生的影响有的微不足道，有的十分重大。
笔者认为在企业风险管理构成要素中，事项识别是需要管理层重视的一个问题，也是风险管理工作中一个不好掌握的环节，它是风险评估的起点，与目标紧密相连。在实务工作中，这个要素怎样识别，由谁来确认事项，运用什么工作方法，怎么区别对待机会和威胁并启动不同的风险响应机制，是一个难题。事项、发生的可能性及对其的评估，“在实践中很困难，因为通常很难知道到底应该把底线画在哪儿。”管理层重视事项识别这个环节，并在实际工作中明确岗位职责，建立有效的工作机制，才能做到寓风险管理持续地流动于主体之内的要求。
二、事项识别的主体
事项识别的主体是管理层。企业风险管理要求企业的每个员工都要对风险管理负有一定的责任，首席执行官负有首要和最终的责任，其他管理人员在各自的职责范围内依据风险容限去管理风险。风险官、财务官、内部审计师等通常负有关键的支持责任。企业其他人员按指引和规程去实施风险管理。在企业实际工作中，问题有三个，其一，不同的管理层自上而下认识和努力程度是否一致；其二，不同岗位的人员素质及能力水平是否符合要求；其三，缺乏专责机构，事项识别职责不明。
首席执行官（CEO）负责建立企业风险管理的所有构成要素。CEO要领导和指引其他高级管理人员共同做好事项识别工作，要培养管理团队有共同的风险管理价值观、原则，要使风险管理理念和文化在企业广泛、深入地普及。只有上下认识一致，共同努力，风险识别工作才能做好。
管理层的特定岗位的胜任能力水平是事项识别的重要制约因素。管理人员需要一定的知识与技能才能做好这项工作，人在认知风险事项时是有局限性的，尤其是复杂的经济和社会现象，人们往往认识不清，比如前两年源于美国次贷危机引发的全球金融危机，一开始，很少人认识到它的危害性、影响深度及广度。事项识别需要管理层敏锐的视角，勇于负责的态度，丰富的经验和明确对等的权责分配及监督。
事项识别必须在管理层特定机构和特定岗位明确职责。责任到人，才不会导致由提倡“人人有责”变成“人人无责”，管理层要通过逐级授权，让不同的管理者分担与其分部、业务单元、子公司对应的风险管理责任。事项范围需要按一定的方法进行归类，事项识别漏项要有处罚制度，保证管理层内部权责明确，赏罚分明。
我国企业可以结合自身实际情况，建立以总裁或CEO为首的风险管理委员会，下设具有跨部门、跨单元风险管理职责的专职或兼职的风险管理办公室，各部门、子公司、各单元的负责人为各自单位的风险管理责任人，在各部门、子公司、业务单元设专职风险管理岗位，内部审计部门对风险管理工作进行再监督，这样一种风险管理主体架构。
三、事项识别的工作机制
企业要建立一定的工作机制来保证事项识别工作得到贯彻落实。除了CEO负有全面责任外，风险官、财务官、内审部门负有相对于其他管理层人员更重的事项识别职责，企业风险管理部门、财务部门、法律部门相对于其他部门有更多的风险管理责任，应明确其岗位职责。CEO要定期地约谈、督促相关岗位和部门的管理人员协助其做好这方面的工作。对于事项识别，管理层应建立报告制度，不同层级发现的事项，要按照一定的标准上报，企业要事先规定不同情形的事项如何处置。风险官、财务官、内审部门、风险管理专门机构，要有事项识别具体工作要求，对事项识别的周期、范围、时机、深度和广度做出规定，定期报告，对于特定的事项范围，明确由哪个管理角色来承担。要建立基层员工反映不寻常事项的顺畅渠道，鼓励和引导全体员工积极参与风险管理工作，建立奖励制度。运用科学的方法和有效的工作组织，事项识别工作才能做好。
四、事项识别的难点
不同事项影响企业生存和发展的环境，使企业面临的机会与风险发生变化。事项识别的难点在于事项的广泛性，相关性，相互依赖性，不确定性和可识别性。
所谓广泛性是说事项众多，纷繁复杂。既包括外部因素，如经济、环境、政治、社会、技术因素等，也包括来源于企业内部的各种因素。即使在经济因素里面，事项也数不胜数，如国际金融危机、国家产业政策调整、资金成本变化、行业竞争性准入的变化等等，从企业内部因素看，如人员方面，安全事故、合同到期、薪酬政策等，将可能影响企业人力资源的获得，给企业带来停工损失或使企业形象受损。
相关性是指事项与目标之间的是否有因果对应关系，人们通过界定这些事项，能够提高人们发现风险与机会的能力。事项识别必须围绕着目标的实现来确定的，只有影响战略实施或目标实现的内外部事故和事件才属于事项的范围。
相互依赖性是指事项通常不是孤立地发生的，一个事项可能引发另一个事项，事项也可能会同时发生。如一项资本性开支（固定资产更新改造）因为缩减性财务政策而推迟实施，可能导致停工或延期交货。有时，事项之间的关联性也要进行分析研究才能得出。当事项之间存在相互关联，或者事项结合或相互影响产生显著不同的可能性或影响时，管理层就要把它们放在一起来评估。
不确定性是指事项是否如期发生，企业风险管理的实质就是平衡企业在创造价值的同时，能够承受多少不确定性。在企业经营所处的环境中，诸如经济全球化、技术、重组、变化中的市场、竞争和管制等因素都会导致不确定性。不确定性来源于不能准确地确定事项发生的可能性以及所带来的影响。
可识别性指事项发生或即将发生时，能否被管理层识别。风险实际上更多地来源于管理层没有识别到有着负面影响的事项，在事项发生时，管理层没有意识到它会给企业带来影响。事项识别还包括要将代表着机会的事项反馈到管理层的战略制订或目标制订过程中。企业的事项识别能力也与其运用的技术方法紧密相关，也有一个培养和提高的过程。
事项识别的深度、广度、时机和范围因主体而异。对于以上这些难点的充分认识，有助于企业风险管理抓住“牛鼻子”，抓住关键事项。
五、事项识别的方法
档案信息资产是与档案信息系统有关的所有资产，包括档案信息系统的硬件、软件、数据、人员、服务及组织形象等，是有形和无形资产的总和。脆弱性是档案信息系统自身存在的技术和管理漏洞，可能被外部威胁利用，造成安全事故；威胁是外部存在的、可能导致档案信息系统发生安全事故的潜在因素。威胁、脆弱性及档案信息资产的相互影响造成档案信息系统面临安全风险，最后计算出风险值。
档案信息安全风险评估总体方法
档案信息安全风险评估的核心问题之一是风险评估方法的选择，风险评估方法包括总体方法和具体方法。总体方法是从宏观的角度确定档案信息安全风险评估大致方法，包括：风险评价标准确定方法；风险评估中资产、威胁和脆弱性的识别方法；风险评估辅助工具使用方法及风险评估管理方法等。事实上，信息安全风险评估方法经历了一个不断发展的过程，“经历了从手动评估到工具辅助评估的阶段，目前正在由技术评估到整体评估发展，由定性评估向定性和定量相结合的方向发展，由基于知识(或经验)的评估向基于模型(或标准)的评估方法发展。”。随着信息安全技术与安全管理的不断发展，目前信息安全风险评估方法已发展到基于标准的、定性与定量相结合的、借用工具辅助评估的整体评估方法。档案信息安全风险评估总体方法应采用目前最先进方法，即采用依据合适风险评估标准、定性与定量结合、借助评估工具或软件来实现不仅进行档案信息安全技术评估，而且进行档案信息安全管理评估的整体评估方法。
1 档案信息安全风险评估标准的确定
信息安全风险评估标准主要分为国际国外标准和国家标准。国际国外标准有：《ISO／IEC 13335 信息技术 IT安全管理指南》、《ISO／IEC 17799：2005信息安全管理实施指南》、《ISO／IEC27001：2005信息安全管理体系要求》、《NIST SP 800-30信息技术系统的风险管理指南》系列标准等，这些标准在国外已得到广泛使用，而我国信息安全风险评估起步较晚，在吸取国外标准且根据我国国情的基础上于2007年制定了国家标准((GB／T 20984-2007信息安全技术信息安全风险评估规范》，并在全国范围内推广。国家发展改革委员会、公安部、国家保密局于2008年了“关于加强国家电子政务工程建设项目信息安全风险评估工作的通知(发改高技[2008]2071号)”，该文件要求国家电子政务工程建设项目(以下简称电子政务项目)，应开展信息安全风险评估工作，且规定采用《GB／T 20984-2007信息安全技术信息安全风险评估规范》。档案信息系统属于电子政务系统，档案信息安全风险评估也应该采取OB／T 20984-2007标准。
2 档案信息安全风险评估需定性与定量相结合
定性分析方法是目前广泛采用的方法，需要凭借评估者的知识、经验和直觉，为风险的各个要素定级。定性分析法操作相对容易，但也可能因为分析结果过于主观性，很难完全反映安全现实情况。定量分析则对构成风险的各个要素和潜在损失水平赋予数值或货币金额，最后得出系统安全风险的量化评估结果。
定量分析方法准确，但由于信息系统风险评估是一个复杂的过程，整个信息系统又是一个庞大的系统工程，需要考虑的安全因素众多，而完全量化这些因素是不切实际的，因此完全量化评估是很难实现的。
定性与定量结合分析方法就是将风险要素的赋值和计算，根据需要分别采取定性和定量的方法，将定性分析方法和定量分析方法有机结合起来，共同完成信息安全风险评估。档案信息安全风险评估应采取定性与定量相结合的方法，在档案信息系统资产重要度、威胁分析和脆弱性分析可用定性方法，但给予赋值可采用定量方法。具体脆弱性测试软件可得出定量的数据，最后得出风险值，并判断哪些风险可接受和不可接受等。
3 档案信息安全风险评估需借用辅助评估工具
目前信息安全风险评估辅助工具的出现，改变了以往一切工作都只能手工进行的状况，这些工作包括识别重要资产、威胁和弱点发现、安全需求分析、当前安全实践分析、基于资产的风险分析和评估等。其工作量巨大，容易出现疏漏，而且有些工作如系统软硬件漏洞检测等无法用手工完成，因此目前国内外均使用相应的评估辅助工具，如漏洞检测软件和风险评估辅助软件等。档案信息安全风险评估也需借助相应的辅助工具，直接可用的是各种系统软硬件漏洞测试软件或我国依据《GB／T 20984-2007信息安全技术信息安全风险评估规范》开发的风险评估辅助软件，将来可开发专门的档案信息安全风险评估辅助工具软件。
4 档案信息安全风险评估需整体评估
信息安全风险评估不仅需进行安全技术评估，更重要的需进行安全管理等评估，我国已将信息系统等级保护作为一项安全制度，对不同等级的信息系统根据国家相关标准确定安全等级并采取该等级对应的基本安全措施，其中包括安全技术措施和安全管理措施，因此评估风险时同样需进行安全技术和安全管理的整体风险评估，档案信息安全风险评估同样如此。
档案信息安全风险评估具体方法
根据档案信息安全风险评估原理。从资产识别到风险计算，都需根据信息系统自身情况和风险评估要求选择合适的具体方法，包括：资产识别方法、威胁识别方法、脆弱性识别方法、现有措施识别法和风险计算方法等。
1 资产识别方法
档案信息资产识别是对信息资产的分类和判定其价值，因此资产识别方法包括资产分类方法和资产赋值方法。
(1)资产分类方法
在风险评估中资产分类没有严格的标准，但一般需满足：所有的资产都能找到相应的类；任何资产只能有唯一的类相对应。常用的资产分类方法有：按资产表现形式分类、按资产安全级别分类和按资产的功能分类等。
在《GB／T 20984-2007信息安全技术信息安全风险评估规范》中，对资产按其表现形式进行分类，即分为数据、软件、硬件、服务、人员及其他(主要指组织的无形资产)。这种分类方法的优点为：资产分类清晰、资产分类详细，其缺点为：资产分类与其安全属性无关、资产分类过细造成评估极其复杂，因为目前大部分风险评估
都以资产识别作为起点，一项资产面临多项威胁，—项威胁又与多项脆弱性有关，最后造成针对某一项资产的风险评估就十分复杂，缺乏实际可操作性。这种分类方法比较适合于初次风险评估单位对所有信息资产进行摸底和统计。
风险评估中资产的价值不是以资产的经济价值来衡量，所以信息资产分类应与信息资产安全要求有关，即依据信息资产对安全要求的高低进行分类，这种方法同时也满足下一环节即信息资产重要度赋值需求。任何一个档案信息资产无论是硬件、软件还是其他，其均有安全属性，在《GB／T 20984-2007信息安全技术信息安全风险评估规范》中要求：“资产价值应依据资产在保密性、完整性和可用性上的赋值等级，经过综合评定得出”。可选择每个资产在上述三个安全属性中最重要的安全属性等级作为其最后重要等级。但档案信息安全属性应该更多，除上述属性外还包括：真实性、不可否认性(抗抵赖)、可控性和可追溯性，所以可以根据档案信息的七个安全属性中最重要属性的等级作为该资产等级。
目前信息资产安全属性等级如保密性等级可分为：很高、高、中等、低、很低，因此信息资产按安全等级也可分为：很高、高、中等、低、很低，即如果此信息资产保密性等级为“中”，完整性等级为“中”，可用性等级为“低”，则取此信息资产安全等级最高的“中”级。
按信息资产安全级别分类法符合风险评估要求，因为体现了安全要求越高其资产价值越高的宗旨，在统计资产时也可按表现形式和安全等级结合的方法进行，如下表1所示。“类别”为按第一种分类方法中的类别，重要度为第二种方法中的五个等级。
但如果风险评估时按表1进行资产分类时，每个档案信息系统将具有很多资产，这样针对每一项资产进行评估的时间和精力对于评估方都难以接受。因此，在《信息安全风险评估——概念、方法和实践》一书中提出：“最好的解决办法应该是面对系统的评估”，信息资产安全等级分类的起点可以认为是系统(或子系统)，这样可以在资产统计时用资产表现形式进行分类，在资产安全等级分类时按系统或子系统进行大致分类，即同一个系统或子系统中的资产的安全等级相同，这样满足了组织进行风险评估时“用最少的时间找到主要风险”的思想。
(2)资产赋值方法
由于信息资产价值与安全等级有关，因此对资产赋值应与“很高、高、中等、低、很低”相关，但这是定性的方法，结合定量方法为对应“5、4、3、2、1”五个值，同时将此值称为“资产等级重要度”。
2 威胁识别方法
(1)威胁分类方法
对档案信息系统的威胁可从表现形式、来源、动机、途径等多角度进行分类，而常用的为按来源和表现形式分类。按来源可分为：环境因素和人为因素，人为因素又分为恶意和无意两种。基于表现形式可分为：物理环境影响、软硬件故障、无作为或操作失误、管理不到位、恶意代码、越权或滥用、网络攻击、物理攻击、泄密、篡改和抵赖等。由于威胁对信息系统的破坏性极大，所以应以分类详细为宗旨，按表现形式方法分类较为合适。
(2)威胁赋值方法
威胁赋值是以威胁出现的频率为依据的，评估者应根据经验或相关统计数据进行判断，综合考虑三个方面：“以往安全事件中出现威胁频率及其频率统计，实践中检测到的威胁频率统计、近期国内外相关组织的威胁预警”。。可以对威胁出现的频率进行等级化赋值，即为：“很高、高、中等、低、很低”，相应的值为：“5、4、3、2、1”。
3 脆弱性识别方法
脆弱性的识别可以以资产为核心，针对每一项需要保护的资产，识别可能被威胁利用的弱点，同时结合已有安全控制措施，对脆弱性的严重程度进行评估。脆弱性识别时来自于信息资产的所有者、使用者，以及相关业务领域和软硬件方面的专业人员等，并对脆弱性识别途径主要有：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等。
(1)脆弱性分类方法
脆弱性一般可以分为两大类：信息资产本身脆弱性和安全控制措施不足带来的脆弱性。资产本身的脆弱性可以通过测试或漏洞扫描等途径得到，属于技术脆弱性。而安全控制措施不足的脆弱性包括技术脆弱性和管理脆弱性，管理脆弱性更容易被威胁所利用，最后造成安全事故。档案信息系统脆弱性分类最好按技术脆弱性和管理脆弱性进行。技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题，管理脆弱性又可分为技术管理脆弱性和组织管理脆弱性两方面。
(2)脆弱性赋值方法
根据脆弱性对资产的暴露程度(指被威胁利用后资产的损失程度)，采用等级方式可对已经分类并识别的脆弱性进行赋值。如果脆弱性被威胁利用将对资产造成完全损害，则为最高等级，共分五级：“很高、高、中等、低、很低”，相应的值为：“5、4、3、2、1”。
脆弱性值(已有控制措施仍存在的脆弱性)也可称为暴露等级，将暴露等级“5、4、3、2、1”可转化为对应的暴露系数：100％、80％、60％、40％、20％，再将“脆弱性”与“资产重要度等级”联系，计算出如果脆弱性被威胁利用后发生安全事故的影响等级。
影响等级=暴露系数×资产等级重要度
4 已有控制措施识别方法
(1)识别方法
在识别脆弱性的同时应对已经采取的安全措施进行确认，然后确定安全事件发生的容易度。容易度描述的是在采取安全控制措施后威胁利用脆弱性仍可能发生安全事故的容易情况，也就是威胁的五个等级：“很高、高、中等、低、很低”，相应的取值为：“5、4、3、2、1”，“5”为最容易发生安全事故。
同时安全事件发生的可能性与已有控制措施有关，评估人员可以根据对系统的调查分析直接给在用控制措施的有效性进行赋值，赋值等级可分为0-5级，
“0”为控制措施基本有效，“5”为控制措施基本无效。
(2)安全事件可能性赋值
安全事件发生的可能性可用以下公式计算：
发生可能性=发生容易度(即威胁赋值)+控制措施
5 风险计算方法
风险计算方法有很多种，但其必须与资产安全等级、面临威胁值、脆弱性值、暴露等级值、容易度值、已有控制措施值等有关，计算出风险评估原理图中的影响等级和发生可能性值。目前一般而言风险计算公式如下：
风险=影响等级×发生可能性
综上所述，可将信息资产、面临威胁、可利用脆弱性、暴露、容易度、控制措施、影响、可能性、风险值构成表2，最终计算出风险值。下表以某数字档案馆为例，其主要分为馆内档案管理系统和电子文件中心，评估资产以子系统作为分类和赋值为起点，并只以部分威胁、脆弱性列出并计算风险。
上表中暴露等级值体现了脆弱性，容易度体现了威胁，以表2第一行为例计算档案管理系统数据泄密的风险值，过程如下：
影响等级=暴露系数×资产等级重要度＝(3／5)*5＝3
可能性=容易度(威胁值)+控制措施值＝3+3＝6
风险=影响等级×可能性＝3×6＝18
农业机械安全风险评价是采用科学的方法和程序识别、分析农业机械安全事故发生的原因，针对原因采取措施以消除或减少农业机械在安装、使用、维修等环节存在的各种安全隐患，预防安全事故，提高农业机械的使用安全。其过程包括风险分析（产品限制的确定、危险识别、安全风险评估）、安全风险评定和风险减少。安全风险评价为迭代过程。通过安全风险评定，对不可接受的安全风险，应采取消除或减少风险的措施，并重新进行风险（包括再生风险）分析和评定，直至安全风险降到可接受的程度。
2农业机械危险识别
在对危险识别前，首先应确定机械的限制。即描述产品作业功能、预定使用范围、可预期的误用、使用和维修环境，以确定危险识别范围。一般可根据产品功能及使用操作来描述。如拖拉机加油、加水、上车、启动、前进、转向、倒退、制动、停车、驻车、下车、悬挂、牵引、提升、维修等。危险是指潜在的伤害源。农业机械产品存在的主要危险包括：机械危险（如挤压、剪切、冲击、缠绕、吸入或卷入、切割、高压流体喷射等）、电气危险（如与带电部件接触）、热危险（如与高温物体接触、热辐射等）、噪声危险、振动危险（如座椅、手把振动）、材料和物质产生的危险（如人体与农药接触）及滑落、绊倒及跌落危险。不同农业机械产品，可能产生危险的形式及多少各异。危险识别目的是在机械限制范围内确定并形成危险、危险状态和危险事件的清单。危险识别应在农业机械的寿命期间内系统地识别所有阶段（如运输、安装、使用、停用、维修等）的全部相关任务中可预见的危险。危险识别一般采用至上而下及至下而上两种方法。至上而下法是以潜在的后果（如挤压、烧伤）清单为起点，确定造成伤害的危险。至下而上法是以检查所有的危险为起点，考虑确定的危险状态下所有可能出错的途径（如制动功能失效、人为差错）及其导致伤害的方式。相比而言，至下而上法更为全面彻底，但过程较复杂。
3农业机械安全风险评估
安全风险为伤害发生的概率及伤害造成严重程度的综合。农业机械安全风险评估是依据农业机械产品的危险识别结果，确定各种伤害发生概率及伤害造成严重程度的过程。目的是确定每个危险状态或事故的最高安全风险。通常用等级、指数、或分数表示安全风险的大小。评估伤害发生概率应在考虑暴露危险区人员、危险事件发生可能性（产品特征、产品成熟度、生产企业规模、生产方式）、避免或限制伤害等因素后确定。伤害造成严重程度可在考虑伤害或影响健康的程度（如轻微、严重、死亡）及伤害的范围（如人数）后确定。安全风险评估方法分为定性评估法和定量评估法两类。常见方法有风险矩阵法、风险图法、数值评分法、定量风险评估法和综合评估法。其中风险矩阵法和风险图法较简单，也较常用。
3.1风险矩阵法
风险矩阵法是针对每一识别的危险，将决定危险事件风险的两个因素即伤害严重程度和引起伤害的概率划分为相应等级，形成风险矩阵，用交叉单元来定性地衡量风险大小的方法。该方法包括风险矩阵选择、伤害严重程度评价、伤害发生的概率评价和得出风险等级四个步骤。
3.2风险图法
风险图以决策树为基础发展而来，其特点是使所评价的危险形象化，便于分析比较。风险图中，每个节点代表一个风险参数（严重程度、暴露度、危险事件发生概率、避免可能性），每个节点的分支分别代表相应风险参数的等级（如轻微的、严重的）。风险评估时，从起点开始，在每个节点处沿着所确定等级的分支向前，末端指向就是风险等级。
4农业机械安全风险的减少
安全风险评价目的是减少或消除不可接受的安全风险。安全风险由安全风险因素构成，减少或消除安全风险就要减少或消除影响风险等级的风险因素（危险源、发生的概率或伤害程度）。而减少或消除影响风险等级的风险因素可通过在产品设计阶段及在使用阶段采用相应措施来实现。
4.1在产品设计制造阶段采取消除或减少安全风险的措施
1)本质安全设计制造。即通过产品设计制造消除或减少危险。如去除收割机、拖拉机等农机覆盖件上存在的锐角，加大拖拉机操作手柄与相邻部件的间隙可以消除其带来的划伤或挤压危险。不是所有的危险可以通过产品设计制造完全消除，当存在设计不能消除的危险时，应通过设计制造减少风险。如降低高地隙自走式喷药机的行驶速度和质心高度来提高稳定性；采用减震机构减少拖拉机座椅振动等。本质安全设计制造是减少安全风险最有效的措施，应优先采用。2)安全防护措施。当不能通过产品设计制造消除或充分地减少安全风险时，应采用限制暴露于危险、减少危险事件发生概率或消除或降低伤害可能性的安全措施。如对收割机、拖拉机外露旋转件加装防护罩，对动力喷药机安装安全阀限制压力。3)使用信息。使用信息是对采取本质安全设计和防护措施后的遗留安全风险提出使用警告，以降低伤害发生的可能性。如在农业机械危险部位粘贴安全警告标志、标签；安装喇叭、后视镜等信号装置；在产品使用说明书中说明安全使用规则；限制使用范围等。
[论文摘要]本文就我国商业银行的客户信用风险、市场风险和操作风险展开研究，分析商业银行风险的识别途径提出风险评估的相应评估、计量方法最后研究了客户信用风险的应对、市场风险的控制和监控以及操作风险的转移方法以期为实现我国商业银行的全面风险管理打下良好的基础。
一、引言
伴随金融风险复杂程度的上升银行业正在不断地改进和完善其风险管理理念、手段和技术商业银行风险管理已经逐步由传统的资产负债管理模式向以风险资本约束为核心的全面风险管理模式迈进。提升国内商业银行的全面风险管理能力业是贯彻落实科学发展观的具体体现事关国家金融安全稳定的大局其意义十分重大。
二、商业银行风险的识别
商业银行风险的主要类型有信用风险、市场风险、操作风险。故商业银行的风险识别相应的为:客户信用风险识别;商业银行市场风险识别;商业银行操作风险识别。
1、客户信用风险的识别。是指对客户各项风险因素的捕捉和分别进行判断的过程.实际上就是对客户信用风险的尽职调查过程。客户信用风险评级指标主要包括基本面指标、财务指标两大类内容。(1)基本面指标。又称为定性指标或非财务指标包括品质、实力、环境三个主要方面。品质类指标包括管理层素质、股东治理结构、还贷诚意、信用记录等多个方面。实力类指标从客户的资金、技术及设备、管理、人员等各方面考量企业实力高低。环境类指标包括市场竞争环境、信用环境、政策法规环境;(2)财务指标。对财务指标的分析主要包括偿债能力指标、营运能力指标、盈利能力指标、成长性指标和其他指标等几个方面。诬脍债能力指标主要考量客户的资产负债率、利息保障倍数、平衡的流动比率或速动比率等;②营运能力指标主要考量客户的总资产周转率、应收账款周转率、营运资金周转率以及流动资产周转率等等。③盈利能力指标主要考量客户总资产收益率、销售利润率、净资产收益率。④成长性指标主要计算和分析销售收人增长率、利润增长率、权益增长率等。
2、商业银行市场风险的识别。银行面临的风险可以分为重新定价风险、收益率曲线风险、基准风险和期权性风险。重新定价风险也称为期限错配风险来源于银行资产、负债和表外业务到期期限或重新定价期限所存在的差异;重新定价的不对称性也会使收益率曲线斜率、形态发生变化从而形成收益率曲线风险也称为利率期限结构变化风险;基准风险也称为利率定价基础风险是另一种重要的利率风险来源;期权性风险是一种越来越重要的利率风险来源于银行资产、负债和表外业务中所隐含的期权。商业银行应当对每项业务和产品中的市场风险因素进行分解和分析及时、准确地识别所有交易和非交易业务中市场风险的类别和性质。
3、商业银行操作风险的识别。操作风险识别过程应该以当前和未来潜在的操作风险两方面为重点。这个过程应该考虑:潜在操作风险的整体情况;银行运行所处的内外部环境;银行的战略目标;银行提供的产品和服务;银行的独特环境因素;内外部的变化以及变化的速度操作风险识别的主要手段有以下几种:(1)操作风险内部分析。其作为日常业务计划循环流程的一部分而完成典型的是通过一个业务部门员工会议来完成;(2)操作风险指标分析。银行可选择一些和风险产生有关的”关键指标”通过监控这些指标发现存在一些能够引起风险发生的条件;(3)升级触发指标分析或临界触发指标分析。通过将当前交易或事件与预先定义的标准相比较引起银行管理层对潜在领域进行关注;(4)损失事件数据分析。用以往单个操作风险损失事件的数据记录等信息来识别操作风险及其诱因;(5)流程图分析通过绘制业务和管理活动流程图排查和识别业务流程中的风险点。
三、商业银行风险的评估
风险估计是商业银行风险管理的第二步。通过风险识别商业银行在准确判明自己所承受的风险在性质上是何种具体形态之后随之需要进一步把握这些风险在量上可能达到何种程度以便决定是否加以控制如何加以控制。
1、商业银行客户信用风险的评估
客户信用风险的评估是指根据客户经理对客户信用风险识别判断的结果对客户整体的信用风险高低给予评估得到客户信用风险评级结果。其评估方法主要有:(1)专家判断法。专家判断法主要采取"5C"分析框架:借款人的品质(character)、还款能力〔capacit办资本金大小(capital)、抵押品情况(collateral)，所处环境情况(condition)，(2)信用评分法即结合信贷专家的业务经验预先设定的一系列主观和客观的风险因素将这些因素设计为相对固定的打分表由评级人按照打分表确定客户的信用风险评级结果。(3)模型法。其可分两类:一类是建立对客户信用风险的多变量判别模型包括线性概率模型、L.ogit模型、Probit模型和多元判别分析模型;另一类为市场模型或套利模型如期权定价型的破产模型、债券违约率模型和期限方法、神经网络分析系统等。
2、商业银行市场风险的评估与计量
在市场风险识别后应根据本行的业务性质、规模和复杂程度对银行账户和交易账户中不同类别的市场风险选择适当的、普遍接受的计量方法将所计量的银行账户和交易账户中的市场风险在全行范围内进行加总以便董事会和高级管理层了解本行的总体市场风险水平。可采取不同的方法或模型计量银行账户和交易帐户中不同类别的市场风险计量方式包括缺口分析、久期分析、外汇敞口分析、敏感性分析和运用内部模型计算风险价值等此外还可采用压力测试等手段进行补充。商业银行应采取措施确保假设前提、参数、数据来源和计量程序的合理性和准确性并当对市场风险计量系统的假设前提和参数定期进行评估制定修改假设前提和参数的内部程序。
3、商业银行操作风险的评估。
操作风险被识别出来后对其进行评估以决定哪些风险具有不可接受的性质应该作为风险缓解的目标。进行这一步骤时通常需要通过考察一项操作风险的驱动者和原因估计该项风险可能发生的概率;此外还应在不考虑控制战略影响的情况下评估一项操作风险可能的影响。对风险可能影响的评估不仅要考虑经济上的直接影响还应该更广泛地考虑风险对公司目标实现的影响。
四、商业银行风险的应对
做出适当的风险评估后需要决定如何应对这些风险。根据风险发生的概率和影响程度的高低银行所有人员需选择合理的风险应对对策包括规避风险、接受风险、降低风险和转移风险。
I、商业银行客户信用风险的应对。客户信用风险的应对是指基于对客户信用风险的评估结果银行应采取相应措施来防范、化解或控制其信用风险。表现为:①根据客户信用风险评级结果确定客户准人标准把好商业银行授信业务的第一道关口;②根据客户信用风险评级结果对存量客户进行分类管理。对于信用风险高低不同的客户银行应采取不同的管理政策和管理措施;③根据客户信用风险识别、分析和评估提供的关键信息提高对客户信用风险监控工作的针对性和效率;④参考客户信用风险评级结果确定贷款定价弥补信用风险可能产生的预期损失。
2，商业银行市场风险的控制与监测。(1)市场风险的控制与管理。包括:①限额管理。对市场风险实施限额管理制定对各类和各级限额的内部审批程序和操作规程根业务性质、规模、复杂程度和风险承受能力设定、定期审查和更新限额;②完善的市场风险管理信息系统;③对重大市场风险情况的应急处理方案;(2)市场风险的监测与报告商业银行定期、及时向董事会、高级管理层和其他管理人员提供有关市场风险情况的报告。向董事会提交银行的总体市场风险头寸、风险水平、盈亏状况和对市场风险限额及市场风险管理的其他政策和程序的遵守情况等内容;向高级管理层和其他管理人员提交按地区、业务经营部门、资产组合、金融工具和风险类别分解后的详细信息等。
3、商业银行操作风险的转移。目前商业银行操作风险转移技术主要有:(1)购买保险产品。主要有:银行一揽子保险;董事及高级职员责任保险;未授权交易保险;财产保险和其他险种等;(2)利用金融衍生工具。商业银行在对其操作风险予以量化的基础上在资本市场上向投资者出售金融衍生工具以将操作风险有效并分散地转移到交易对手那里到期时按照约定向投资者支付本息;(3)其他风险转移方法。在某些情形下银行部门可以通过一些特殊的形式将其操作风险向其他非金融部门、非商业机构转移。
【关键词】 内部控制; 风险评估; 管理策略
为了加强和规范企业内部控制,提高企业经营管理水平和风险防范能力,根据国家有关法律法规,财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制基本规范》。该规范自2009年7月1日起在上市公司范围内施行,鼓励非上市的大中型企业执行。我国《企业内部控制基本规范》提出我国内部控制的基本要素包括内部环境、风险评估、控制活动、信息与沟通和内部监督等五项,并在《基本规范》中单辟一章,就风险评估的有关内容进行了规定。这说明国家和企业已经意识到风险评估在企业内部控制中的重要作用,那么企业应该从哪些方面来加强识别企业风险,建立风险评估系统,进一步改善内部控制呢?
一、国内外企业风险评估体系研究综述
国外对内部控制的研究已有很长的历史。1988年美国注册会计师协会《审计准则公告第55号》,该公告提出内部控制结构的三个要素:控制环境、会计制度、控制程序。进入90年代以后,COSO提出《内部控制―整体框架》的报告,将内部控制分为控制环境、风险评估、控制活动、信息与沟通和监督五个部分,实现了内部控制由三要素向五要素的飞跃。自此风险评估被纳入内部控制系统之中。最新内部控制研究结果表明,内部控制与风险管理愈发趋向目标一致,某些内容也有较大重合,COSO也于2001年起着手进行风险管理研究,从最初的将风险评估作为一个要素纳入内部控制整体框架中到目前的着手进行风险管理研究,足可以看出内部控制与风险管理的趋同性和风险这一因素在内部控制中的作用和地位越来越重要。
近年,我国理论界和实务界越来越重视内部控制的研究和应用,学者们在理论观念的引进和研究方面做了大量的工作。由财政部、证监会等五部委联合的我国第一部《企业内部控制基本规范》就是很好的证明。
二、进行内部控制风险评估研究的现实意义
史学家汤因比曾说过:“一个国家乃至一个民族,其衰亡是从内部开始的,外部力量不过是其死亡前的最后一击”。企业的存亡又何尝不是如此呢。既然一个企业的衰亡也是从其内部开始的,那若要寻求企业的生存发展之路就必须从其内部抓起,内部控制正是基于这一点才得到了世界各国理论界和实务界的重视。同时,市场经济从微观角度来说是一种风险经济,企业作为市场的基本单位时刻置身于风险之中,越是开放发达的市场经济,其中蕴藏的风险和不确定性越大。随着市场经济的发展成熟和市场开放程度的加大,风险己经成为企业关注和管理的焦点,作为企业内部管理核心的内部控制要想发挥其应有的作用,必须不断充实和发展,以求跟上市场发展的步伐,正是基于这个基础,风险的概念逐步进入了内部控制的范围。减轻或避免风险是内部控制活动的目标,各种风险因素是内部控制的对象。所以,企业要实施有效的内部控制,就要识别和衡量它所面临的风险及其风险因素,这是采取有效控制活动的依据和前提,这里的识别和衡量风险就是风险评估。目前COSO整体框架和我国《企业内部控制基本规范》把风险评估作为一项基础要素纳入到内部控制框架之中,这一发展是理论顺应客观实际发展的必然结果。
进行内部控制和风险评估研究具有重要的现实意义:内部控制的缺失和不健全是导致会计舞弊泛滥的根本原因之一;内部控制制度的极度缺失和对风险的忽视是导致我国企业生命周期短的根本原因; 国有企业改革的成功离不开健全的内部控制制度及风险的管理和控制;风险评估是内部控制制度设计控制活动和发挥应有作用的基础。
风险评估是内部控制系统的基础组成部分,要使控制制度发挥其应有的作用,企业必须清楚所面临的风险,并对整个企业的风险进行定性或定量的评估,然后针对风险评估的结果采取相应的控制活动。其实内部控制也就是风险的管理与控制活动,如果毫无风险,也就不需耗费大量的人力财力物力去搞什么内部控制。既然风险的存在是控制的原因所在,进行风险评估就成为整个内部控制制度的基础和关键。无论是从国际大环境来看还是从我国的具体情况出发,内部控制的研究和应用都是非常重要的。但是,作为有效实施内部控制的基础条件的风险评估却还没有得到足够的发展,研究会计和审计的人都早已熟知制度基础上的审计,但风险基础上的控制观念还是个新概念,还没有建立起比较完善的体系。因此,进行内部控制和风险评估研究无疑具有非常重要的现实意义。
三、风险评估体系的构建
鉴于风险评估在我国内部控制中的运用,笔者认为可以通过以下几个步骤来建立风险评估系统。
(一)确定全面风险管理目标
风险是指企业在未来经营中面临的、可能影响其经营目标实现的所有不确定性。风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险,并合理确定风险应对策略。全面风险管理是指企业围绕总体目标,制定风险管理策略,在企业经营管理的各个方面和业务过程中的各个环节进行风险管理的基本流程,落实风险理财措施,培育良好的风险管理文化,建立健全风险管理的组织体系、信息系统和内部控制系统的过程和方法。
企业目标是企业宗旨的具体化,是企业各项业务和管理活动所指向的终点。企业风险管理的首要任务,就是确定目标。只有先确立了目标,管理层才能针对目标确定风险并采取必要的行动来管理风险。确定全面风险管理目标要做到:企业风险管理目标的确定应与员工沟通;企业计划和预算与风险管理目标、战略计划及当前情况具有一致性;业务活动风险目标要具体;领导层参与制定企业风险目标并对其负责。
(二)收集风险管理初始信息
实施全面风险管理,企业应广泛、持续不断地收集与本企业风险和风险管理相关的内部、外部初始信息,包括历史数据和未来预测。应把收集初始信息的职责分工落实到各有关职能部门和业务单位。
1.在财务风险方面,企业至少收集以下信息
(1)负债、或有负债、负债率、偿债能力。(2)现金流、应收账款及其占主营业务收入的比重、资金周转率。(3)应付账款及其占购货额的比重。(4)成本和管理费用、财务费用、营业费用。(5)成本核算、资金结算和现金管理业务中曾发生或易发生错误的业务流程或环节。
2.在市场风险方面,企业至少收集以下信息
(1)产品的价格及供需变化。(2)产品供应的充足性、稳定性和价格变化。(3)主要客户、主要供应商的信用情况。(4)潜在竞争者、竞争者及其主要产品情况。
3.在运营风险方面,企业至少收集以下信息:
(1)新市场开发,市场营销策略。(2)企业组织效能、管理现状、企业文化,中、高层管理人员和重要业务流程中专业人员的知识结构、专业经验。(3)质量、安全、环保、信息安全等管理中曾发生或易发生失误的业务流程或环节。(4)因企业内、外部人员的道德风险致使企业遭受损失或业务控制系统失灵。(5)企业风险管理的现状和能力。
企业对收集的初始信息应进行必要的筛选、提炼、对比、分类、组合,以便进行风险评估。
(三)风险识别
企业风险的识别应当以一种系统方法来进行,以确保公司的所有主要活动及其风险都被囊括进来,并进行有效的分类。根据企业实际情况和技术水平,风险识别主要以定性识别方法为主,适当结合定量识别方法,同时根据业务发展和管理水平的不断提高,逐步引进和加大定量识别方法。
企业应选择适当的风险识别方法,保证风险识别的规范性和科学性,具体措施有:
1.建立科学的风险识别方法体系,对企业和各职能部门随时关注企业活动中存在的风险提供指导。
2.对风险识别方法进行规范化和制度化,确保企业和各职能部门使用统一的识别方法体系对风险识别结果进行描述。
3.利用历史事件诸如违约支付、产品价格变动等,关注未来事件诸如人口变动、新市场条件以及竞争者行为等对风险进行趋势分析和关注。
4.建立损失事件数据库,通过事件列表、事件分类、内部分析、推动讨论和会谈、流程分析等方法进行风险识别,确定风险因素发展趋势和根源。
(四)风险分析
企业风险分析评估的方法多种多样,采用定量分析方法,特别是利用数学模型进行风险分析,可以使风险管理建立在科学的基础上,并为最终的决策提供可靠的依据。风险分析及度量,需要充分地获得企业在历史年度内发生的各种风险的次数以及所导致的损失,统计时段越长,风险评估的准确性越高。风险评估不仅要了解历史上各种风险发生的频率,还要充分考虑风险的客观环境是否改变,如果有变化,就要在历史数据的趋势分析上进行修正。在实际操作中,许多风险发生的可能性实际上难以量化,它们至多只能定性地被描述为“大的”、“中的”、或“小的”风险。
企业在分析风险发生的可能性(或频率、概率)和风险发生的条件方面,可采取如下措施:
1.企业基于风险识别的结果对风险的发生概率进行分析评估,选择采用诸如预期估计或情况评价等术语来表达潜在的可能性,或采用数据或图表的形式来描述和评价风险发生的概率。
2.企业建立风险分析模型,通过关键风险指标管理方法、压力测试和情景分析等定量技术手段和会谈、工作组会议等定性评价技术对风险发生的条件因素进行分析,以确定风险发生的具体条件。
3.企业自查与外部检查、事前与事后检查相结合。
4.企业引进技术手段,由日常业务数据、财务数据入手,按照既定的模型做预警提示。
(五)风险评价
企业风险评价是在风险识别、风险分析的基础上,评估风险对企业可能产生的影响以及确定风险的重要性水平的过程。企业风险评价包括两个方面的内容,即分析风险可能产生的影响和确定风险的重要性水平。企业风险评价通常是和风险分析同步进行的,因而其方法也和风险分析相同。
企业风险评价的控制措施有:
1.企业对于重要事项面临的重要风险可能带来的重大影响,应当通过定量分析技术,确定各种可能性造成影响的数量,从而为企业采取恰当的风险对策提供科学的依据。
2.企业应当按照风险可能带来的影响程度的大小,对风险进行排序,明确重要风险和一般风险。
3.企业应当对重要风险予以特别的关注,避免重要风险可能给企业带来的重大损失。
(六)风险管理策略
一般情况下,对战略、财务、运营和法律风险,可采取风险承担、风险规避、风险转换、风险控制等方法。
1.企业针对各种风险建立确定风险应对措施的程序和方法,对具有较高发生概率、影响重大的风险优先考虑。
2.建立一套广泛适应的风险决策判断标准,即根据风险严重程度和企业的风险承受程度确定不同的决策。
3.企业对降低风险水平所需成本进行合理分析,评估风险应对措施的成本与效益。
4.企业选定风险处理措施后,根据剩余风险重新校订风险。
5.企业要持续获得风险变化信息,有效地控制、管理风险,防范新风险的产生。
6.对重要风险进行实时监控。
四、结论
企业风险评估是一个持续反复的过程,一次风险评估并不能一劳永逸。企业应当结合不同发展阶段和业务拓展情况,持续收集与风险变化相关的信息,进行风险识别和风险分析,根据情况的变化及时调险应对策略,以避免由于原来选择使用的风险应对策略无效而影响内部目标的实现。特别是当企业经营活动所处的外部环境发生变化时,企业必须保持应有的灵敏度,针对变化的外部环境进行相应的风险评估,以使企业的目标在变化了的外部环境中得以实现。我国企业只有建立比较完善的风险评估系统,才能真正完善我国企业的内部控制,真正促进我国企业的进一步发展。
【参考文献】
[1] 李玉环.内部控制中的风险评估[J].会计之友,2008 (10).
[2] 马宏杰.企业内部控制制度存在的问题与对策[J].财会研究,
2007(4).
关键词：风险管理；尿液检验；质量控制
从临床实验室质量管理的历史来看，是源于20世纪50年代病理学家Levey和Jennings2位引入的统计学质控技术，通过利用患者标本重复检测制作质控图，采用12s控制限来监测检验方法的精密度。1980年，Westgard经过研究提出了一套高误差检出率和低假失控概率的质控规则，以12s作为警告限，13s、R4s、22s、41s、10x作为失控限的多规则质控方法。随着自动化仪器性能的不断提高，进一步提出了不同检测系统采用不同质控程序的理念。当临床实验室引入全面质量管理概念后，基于检验方法精密度和正确度而设计的最佳化质控程序开始应用于临床实验室中。1990年后，工业领域的六西格玛（sixsigma，6σ）质量管理理念的建立和推行，要求质量应能达到世界级目标（百万缺陷率<3.4个），这就要求临床实验室在“启动”分析批阶段，使用高误差检出率的质控程序，在“监测”阶段，分析批中间使用假失控概率低的质控程序，在“最终”阶段，考虑使用观察整个分析批所有测量数据患者结果均值的质控程序。2010年后，国际上又提出了基于风险管理的质控操作，要求在不同测量系统的不同时间设计不同的质控方法，即对检测系统进行系统回顾，识别所有可能的失控模式，基于事故发生频率以控制失控发生的风险，通过临床实验室识别出的高风险事项，建立质控策略，减少危害、预防事故发生和/或最佳检出失控，风险管理技术开启了现代临床实验室质量管理技术的新方向。
临床上，尿液检验在泌尿和生殖系统疾病的诊断、鉴别诊断中起着毋庸置疑的重要作用，如尿液分析有助于尿糖、蛋白尿、血尿、白细胞尿、感染、管型尿和结晶尿的筛查；尿液干化学试带分析有助于尿糖、蛋白尿、血尿、白细胞尿和感染的筛查，尿液微生物检查有助于感染的诊断；尿液细胞学检查有助于肾小球和肾小管疾病、下尿路感染、非细菌感染和结石病的诊断和疗效监测；流式细胞术和DNA分析有助于移行上皮细胞癌的疗效监测和预后判断。因此，如何保证尿液检验的质量管理一直是临床医护人员和检验人员共同关注的问题，而尿液检验的管理风险可源自于检验前阶段的临床需求、申请、标本采集、运送、接受、分类、制备、分样等过程，检验阶段的上样、加试剂、混合标本、孵育、检测、生成数据、产生结果、结果复核、复测等过程，检验后阶段的标本贮存、结果报告、结果处置、结果解释和与其他临床信息整合采取临床决策等过程，上述过程究竟存在多少风险，如何进行控制，既是临床医护人员的责任，也是临床实验室检验人员的责任，利用风险管理技术可有效提高检验质量，使检验、临床医护和患者满意。有效的控制风险需正确的风险管理技术，包括危害识别、风险评价、风险控制和风险监测等方面技术。本期专题刊登了尿液检验及肾脏疾病实验诊断项目风险管理的系列文章，以供读者在实践中了解和正确应用风险管理技术。在《尿液常规检验项目的风险管理》一文中，蔡玉婵等采用故障模式与影响分析（failuremodeandeffectanalysis，FMEA）法对尿干化学试带的12个检验项目和尿有形成分分析的7个检验项目进行风险评估，通过绘制鱼骨图，分析了影响尿蛋白和管型检验结果准确性的可能影响因素，并确定了根本原因，同时利用头脑风暴和个人实践经验，制定了相应对策，并对实施的效果进行了验证。在实践中发现，尿蛋白质和管型检验结果不准确的主要原因是：（1）检验人员未按复检规则复检；（2）显微镜镜头模糊，看不清有形成分；（3）尿液标本放置时间过长。通过临床医护人员和检验人员的共同改进和控制，尿蛋白质阳性标本的管型检出率由1.55%提高到6.83%，明显提高了管型检出率，改进了尿干化学试带和尿有形成分分析的检验质量。在《尿细菌培养潜在风险的识别与管理》一文中，尧荣凤等开展了尿细菌培养的风险识别和管理工作，对尿细菌培养的检验前、中、后3个阶段，从人员、设备、材料、方法和设施等方面对可能影响尿细菌培养检验结果性能进行风险识别，并根据风险严重程度、发生概率和可识别概率等指标进行分级，对不可接受风险和需采取措施的风险进行管理。研究发现需采取措施降低风险的因素有：（1）标本采集（采集操作不规范、采集容器污染）；（2）标本处理（无菌操作不规范、未及时处理）；（3）培养结果判读（细菌识别错误）。经对上述风险进行控制后，尿培养污染率下降了9.3%，阳性率提高了9.5%，说明识别和控制尿细菌培养过程的潜在风险，有利于提高尿培养检验质量。
