风险评估等级如何划分

前言：想要写出一篇令人眼前一亮的文章吗？我们特意为您整理了5篇风险评估等级如何划分范文，相信会为您的写作带来帮助，发现更多的写作思路和灵感。

风险评估等级如何划分范文第1篇

关键词 信息工程安全系统 风险评估 控制

中图分类号：X92 文献标识码：A

对项目风险管理来说，风险评估是对信息工程安全资产所面临的威胁、存在的弱点、造成的影响及三者综合作用所带来风险的可能性的评估。作为项目风险管理的基础，风险评估是确定信息工程安全需求的一个重要途径，属于信息工程安全管理体系策划的过程。

1 风险评估概述

风险评估是在综合考虑成本效益的前提下，通过安全措施控制风险，使残余风险降低到可以控制的程度。因为任何信息系统都会有安全风险，所谓安全信息系统，实际上指信息系统在实施了风险评估以后做出了风险控制，仍然存在残余风险是可被接受的信息系统我们就称为安全信息系统。追求信息系统安全就不能脱离全面完整的信息系统安全评估，就必须运用信息系统安全风险评估的思想和规范对信息系统进行安全评估。

风险评估的主要任务包括：（1）识别面临的各种风险。（2）评估风险概率和可能带来的负面影响。（3）确定承受风险的能力。（4）确定风险消减和控制的优先等级。（5）推荐风险消减对策。

1.1 信息工程安全系统项目风险评估概述

信息工程安全系统项目风险管理是围绕信息工程安全系统项目风险而展开的评估、处理和控制的活动。其中最重要的基本要素是风险评估，因为基于风险评估可以对政府部门信息工程安全系统项目有系统全面的了解，找出潜在问题，分析原因，判断严重性和相关影响，以此确定信息工程安全系统建设的需求。项目是一个过程，从项目的开始到结束，风险评估要求风险评估贯穿到信息系统的整个生命周期提出了三个环节要进行风险评估：一是信息系统规划设计阶段，二是系统验收阶段，三是信息系统运维阶段。管理的不确定性，有限的资源和千变万化的危险和漏洞，使得所有的风险不可能完全缓解。一个信息系统的项目专业人员必须要协同用户、项目经理对信息系统各种潜在的影响进行评估，使其达到一个合理水平。

由于种种原因，信息安全系统存在着很多漏洞及缺陷，如黑客攻击或系统本身的原因，会造成系统安全事件，给系统带来不好的影响。因此，要对项目的信息安全风险进行相应的评估，评估的主要内容包括系统的安全漏洞和系统可能带来的负面影响，根据相应的等级来进行划分，评估出可能发生的安全风险。

1.2 信息工程安全系统项目风险评估过程

一般来说，系统信息工程安全项目风险评估分为四个不同的阶段。

第一个阶段：风险评估准备阶段。

（1）根据相应的风险评估准则，调研项目的实际情况，然后制定风险评估的计划表。按照实际操作来看，计划通常要由三个重要的表格组成，这三个表分别是：《信息工程安全系统的描述报告》、《信息工程安全系统的分析报告》和《信息工程安全系统的安全要求报告》。通过这些表格及具体的计划表，要对项目的风险评价进行计划。计划的内容一般要设计如下范围：目的、范围、目标、组织架构、经费预算、进度安排。制定好计划书后要及时汇报给决策层。如果决策层有异议，应该及时根据意见加以修改。只有获得决策层的审核和同意后，计划书才能获得批准，才能够获得相应的资源加以执行。

（2）结合项目的具体实际，对整个风险评估流程加以确定。不同的项目风险评估流程是不一样的，必须要结合具体的项目实际对评估的流程加以确定，如何工作，如何评估，评估结果如何衡量等。这个步骤，通常应该形成一个书面的《风险评估程序》，便于后面工作人员的具体操作。

（3）根据项目具体实际，选择特定的风险评估方法和工具。风险评估方法和工具千差万别，具体的某个项目，有针对性地 选择成本低，效果好，结合项目实际的具体方法和工具。

第二个阶段：风险因素识别。

（1）对所有需要保护的信息资产加以清点。根据上文确定的三个相关报告，对单位或项目所有的资产加以清点，找出重要的、对安全有重大影响的信息资产并造册，形成书面的《需要保护的资产清单》。（2）结合相关工具，识别出可能面临的威胁。一般来说，目前信息安全行业都有相应的较为全面的威胁或漏洞库，结合这些数据库，对单位的具体资产进行详细的清点和评估，就能找出可能面临的威胁，编制书面的《威胁列表》。（3）根据上面的工作，参照漏洞库，可以对整个单位信息资产面临的脆弱性加以评估，形成书面的《脆弱性列表》。

第三个阶段：风险程度分析。

（1）确认单位目前已经采用的安全防范措施。通过书面形式，对单位目前已经有的具体防范措施加以总结，填写到《已有安全措施分析报告》。（2）对可能面临的威胁的动机加以分析。面临的威胁的动机一般分为：涉及利益者的攻击、对系统好奇、对自己的技术自负等，要形成书面的《威胁动机分析报告》。（3）分析单位可能面临的威胁行为的能力。这一步主要是对可能面临威胁的具体评估，包括强度、广度、深度等。（4）分析信息资产的价值。信息自查的价值主要从以下几个方面来评估：关键性，价格，敏感性等。（5）分析可能面临的影响的程度。具体包括：资产损失，任务妨害，人员伤亡等。

第四个阶段：风险等级评价阶段。

（1）对威胁的动机加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（2）对威胁的行为能力加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（3）对系统脆弱性加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（4）对资产价值加以评估，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（5）对影响程度加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（6）对所有因素加以综合评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。

一般来说，有公认的具体算法。但各单位具体实际情况不一而足。所以，对于公认的算法可以进行修改，或者提出自己认为更符合实际情况的算法。

2 信息工程安全系统项目风险控制

2. 1 风险控制概述

风险评估的目的是进行风险控制，进而最大可能排除系统面临的风险。所以，在信息风险评估之后，就要进行风险控制，其目的是为了尽可能降低系统面临的风险和漏洞。而系统的风险和漏洞，是不可能完全排除的，不论下多么大的成本。只能在一定范围内，尽可能控制在可以接受的范围。一般来说，为了控制可能发生的风险，主要采用以下几种方式：（1）规避风险。规避就是避免使用。例如有一些信息资产面临很大的风险，如果完全消除风险，需要很大的成本，需要更多的经济投入等。那么，一个比较可行的办法就是避免使用这样的资产，或者一些敏感的、需要保密的数据，不在这些资产上使用，从而规避掉可能发生的风险。（2）转移风险。这种方式的思路，就是将已经面临风险的资产转移到风险较低，或者没有风险的资产上。如某单位需要处理技术上足够复杂，没有能力处理的业务时，可以通过寻求外包给第三方专业机构的形式，要求对方做好风险处理，从而达到转移风险的目的。（3）降低风险。降低风险就是在资产面临风险时，通过各种手段和方法来降低其面临的风险。

2.2 信息工程安全系统项目风险控制过程

在信息工程安全项目管理中，风险控制可以划分为四个阶段，分别是：现有风险判断、确定风险控制目标、采取选择和实施具体的风险控制措施。

在不同的阶段，进行不同的工作流程和具体内容，分别如下：

第一阶段：预备阶段。在本阶段，主要是对单位现有的信息资产激进型识别、编号、评估并造册，形成书面报告。

第二阶段：现存风险判断。在本阶段，通过各种工具和方法，对系统信息资产面临的风险加以评级。一般来说，风险的评级主要分为两种：可接受的系统风险和不可接受的系统风险。然后，对系统目前存在的一些风险加以判断，到底是否能够接受。

第三阶段：确定风险控制目标。本阶段主要的工作流程和内容包括：（1）分析风险控制需求。针对上面提出的不可接受的风险，分析其具体需求；并分析哪些是可以做到，哪些不能做到；如果做到，需要具体的成本和措施等。（2）确立风险控制目标。完全搞清楚其具体需求后，就可以确定风险控制的目标。

第四阶段：控制措施选择与实施。

控制措施选择阶段的工作流程和内容如下：（1）选择风险控制方式。确定目标后，就可以采用具体的风险控制方式。选择方式时必须考虑到单位的具体情况，能否实现以及经济投入成本、投入产出比等。（2）选择风险控制措施。控制措施实施阶段的工作流程和内容如下：①制定风险控制实施计划：选择好相应的风险控制方式后，即可制定具体的实施计划。实施计划必须为书面，便于后面的审查以及对照。②实施风险控制措施：采用规避、降低、转移等具体方式来控制。实施过程应该遵循相应的工作流程和标准，并书面记录在案。

3 结语

当前网络信息安全技术发展迅速，任何信息系统都会有安全风险。没有任何一种解决方案可以防御所有危及网络信息安全的攻击。因此我们需要不断跟踪新技术，对所采用的网络信息安全防范技术进行升级完善，以确保相关利益不受侵犯。

参考文献

[1] Stuart McClure 等.黑客大曝光――网络安全机密与解决方案[M].北京：清华大学出版社，2006：140.

[2] 魏仕民等.信息安全概论[M].北京：高等教育出版社，2005：40-41.

[3] 曲平.安全信息管理技术的研发与运用[J].信息通信，2013.

风险评估等级如何划分范文第2篇

关键词：老旧电梯；风险评估；安全

中图分类号：TU857 文献标识码：A 文章编号：1006-8937（2014）30-0084-02

随着我国建设事业的发展，工程风险管理成为了社会与国家共同关注的问题。工程风险管理涉及发现风险、评估风险以及规避风险。为了保护人身安全、公众利益，老旧电梯安全风险评估是工程管理者应该重视的课题。

1 老旧电梯安全隐患因素分析

在现代社会，电梯成为了人们生活密不可分的一部分，同时它又是一种存在安全隐患的特种设备，电梯一旦出现事故，可能会危害到人们的生命。分析老旧电梯安全隐患因素，对开始老旧电梯安全风险管理有重要作用。老旧电梯的安全隐患有五点。

1.1 技术落后，容易出现故障

老旧电梯普遍存在拖动与控制技术落后的问题，由于技术落后导致电梯的可靠性较低，加之使用多年，造成电梯零部件出现老化与损坏，老旧电梯的故障发生率大大提高，并且逐年增加。

1.2 老旧电梯与现行电梯安全规范的矛盾

我国电梯安全的规范文件GB 7588《电梯制造与安装安全规范》从1987年以来，几经修改发生了很大的变化，尤其是2003年修订的GB 7588-2003《电梯制造与安装安全规范》增加了大量新的安全要求，其中包含许多技术与安全性要求，显然老旧电梯达不到现行电梯安全规范的要求。

1.3 老旧电梯老损问题严重

老旧电梯由于长期的工作运行，不可避免的存在线路老化、磨损的问题，电梯的主要部件有一定的使用寿命，一旦达到或超出电梯主要部件的使用寿命，电梯就等于是一颗定时炸弹。电梯的主要部件包括钢丝绳、继电器、曳引机、接触器、变压器、制动器、限速器-安全钳、轿门门机及层门系统、缓冲器等，任何环节出现差错都将带来严重危害。

1.4 老旧电梯维护和改造困难

老旧电梯普遍存在维护经费不足的问题，以至于大多数的老旧电梯不能及时进行检查、维护与改造。在我国的老社区中的老旧电梯得不到专业的维护，一般由物业公司管理，常常出现管理不到位的问题，一方面维修不及时，影响住户使用；另一方面电梯维护工作无法达到新的技术标准。

1.5 我国缺乏老旧电梯报废的相关规定与标准

截止目前，我国还没出出台明确的电梯报废标准，老旧电梯没有明确的退役时间表，没有报废评估的方法与标准，使得很多存在安全隐患的老旧电梯还未服役，严重威胁着人民的人身安全与生产安全。

老旧电梯安全隐患日益受到社会的关注，随着人们对电梯安全需求的提高，针对老旧电梯的现状，分析老旧电梯的安全风险评估办法与相应措施，为老旧电梯的安全问题提供解决方案有重大意义。

2 老旧电梯安全风险评估

前文提及我国目前还没有制定出老旧电梯报废标准，同样的我国也还没有一套完善的电梯安全风险评估办法。针对我国现存大量服役老旧电梯的现状，制定出一套完整的电梯安全风险评估办法刻不容缓。电梯安全风险评估是建立在进行的检测仪器设备与系统安全工程的理论之上的，二者缺一不可。

利用设备与工程安全原理对电梯运行中存在的安全隐患因素进行检测与分析，作出初步辨识，对这些潜在的安全隐患因素进行定量与定性分析，进而预判电梯存在的危险源、老损部件、故障概率以及电梯寿命周期，最后结合电梯安全状况提出有效的安全措施。

一般来说，老旧电梯的安全风险评估办法分为六个步骤，分别是准备阶段、安全隐患分析与辨识阶段、定量与定性评估阶段、制定安全措施阶段、安全风险评估结论与建议阶段以及编写安全风险评估报告阶段。

安全风险评估程序依次如下：

①准备阶段。收集与掌握评估对象的基本信息，与相关单位签订评估协议，明确权责与评估目的，准备设备与确定安全风险评估组成员。

②安全隐患分析与辨识阶段。依据被评估电梯运行与维护的情况，对存在的隐患进行检测与分析，识别出有害因素，确定风险来源、关键部位以及存在方式，明确电梯发生故障的方式与规律。

③定量与定性评估阶段。对辨识阶段的基础上细化评估单元，对老旧电梯的安全隐患进行可能性与严重程度的定量与定性分析。

④制定安全措施阶段。在电梯安全风险定量与定性评估后，提出有针对性的，能减少或消除安全隐患的维护方法与技术手段。

⑤安全风险评估结论与建议阶段。列出评估电梯的安全隐患因素与主要威胁，指出电梯运行过程中应该重点防范的主要风险源，为电梯使用者与管理者提出安全措施与应对风险的建议。

⑥编写安全风险评估报告阶段。综合以上评估的结果编制出风险评估报告，以备查用与借鉴。

3 老旧电梯风险识别

老旧电梯安全风险评估程序是以电梯的运行安全为出发点，对可能出现的风险进行预判，并指出风险来源与风险等级，对各项评估指标进行划分，电梯运行环境评估、管理维护保养评估、制动功能评估、控制功能评估、曳引功能评估、限速器-安全钳可靠性评估、轿层门与层站评估、电梯整体性能评估、电梯能耗评估、电梯安全装置评估以及关键部件可靠性评估。各种指标的综合评估能够对发现老旧电梯的所有潜在隐患，并对各种危险因素进行分析，进行危险识别。

危险识别的办法有很多种，不同的方法有一定的适用范围与针对性，每一种危险识别方法能够识别出老旧电梯中不同的危险因素。

因此，危险识别方法的运用要对症下药，依据具体情况灵活运用。一般而言，常用的电梯危险识别方法有三种：

3.1 对照相关标准进行识别

利用我国最新出台的GB 7588《电梯制造与安装安全规范》的相关标准对电梯进行危险识别。

3.2 收集电梯使用记录

收集和查阅电梯的使用记录，包括电梯的故障记录与危险历史，直接获取电梯使用过程中的量化数据，帮助我们对电梯危险进行定量和定性的分析。可以通过事故树分析法追溯电梯故障的原因与规律，进而辨识出影响电梯安全的危险因素。

3.3 实践测试法

有专业的工程安全技术人员使用先进设备对电梯进行实地的现场检测，收集测试数据，借助工作任务分析与假设分析法进行电梯危险识别。

4 老旧电梯风险等级评定及降低风险措施

老旧电梯的风险等级评定依据前文提及的安全风险评估程序，针对电梯风险评估进行等级评定，确定电梯风险的类别，制定相应的减低风险的措施。

参照我国GB/T 20900-2007《电梯、自动扶梯和自动人行道风险评估和降低的方法》与GB 24804-2009《提高在用电梯安全性的规范》标准，对老旧电梯的风险要素的等级划分以风险带来的损伤严重程度为定性参照，见表1。

依据电梯风险要素发生的概率的近似定量制定出各种风险要素的概率等级，见表2。

基于电梯风险等级对电梯风险类别进行评定，并拟定对应措施，风险类别说明见表3。

电梯风险评估优先考虑风险等级，而不是损害的严重程度。具体而言，电梯风险等级为“2B”的风险情节要高于“1E”，虽然“1E”的风险等级会导致严重的损害，但由于“2B”的高况，要优先对“2B”进行维护与修改，然后再对“1E”进行维护，这里要说明不管风险类别如何，都应该引起电梯风险评估人员的重视。这里电梯风险类别的评定与划分仅仅是从电梯运行安全的角度出发，我们还应该考虑到电梯实际的使用环境、使用年限、使用频率以及日常保养情况，在综合考虑电梯管理的经济因素，来采取具体的风险减低措施。

参考文献：

风险评估等级如何划分范文第3篇

【关键词】现代有轨电车；社会稳定风险；评估

一、课题概况及研究意义

1.社会稳定风险评估的含义

社会稳定风险评估是指与人民群众利益密切相关的重大决策、重要政策、重大改革措施、重大工程建设项目、与社会公共秩序相关的重大活动等重大事项在制定出台、组织实施或审批审核前，对可能影响社会稳定的因素开展系统的调查，科学的预测、分析和评估，制定风险应对策略和预案。目的是为有效规避、预防、控制重大事项实施过程中可能产生的社会稳定风险，更好的确保重大事项顺利实施。

2.现代有轨电车的发展现状与前景

有轨电车是采用电力驱动并在轨道上行驶的轻型轨道交通车辆。现代有轨电车不同于以前的“叮当车”，是一种新型的公交方式，相对与其他交通来说，具有安全可靠、节能环保、快捷舒适、外形美观、高效灵活、中等运量、成本低、周期短等优势和特点。随着我国城市建设的大力推进，城市交通拥挤备受世人注目，而现代有轨电车有别于传统交通方式，在控制、牵引供电和车辆技术上进行了更新，载客量大、安全舒适、快速便捷、节能降噪的特点更加凸显。据统计，截止2011年，目前近50个国家400多个城市在运营现代有轨电车系统，主要分布在欧洲、北美等地区，在澳大利亚、日本等国也得到广泛运用。在我国，目前长春、大连有保留、改造的线路4条，上海、天津有新建线路2条，共计6条有轨电车线路正处于运营中；北京、苏州、南京、沈阳等四个城市的多条现代有轨电车正处于建设中。

3.课题研究的意义

有轨电车线路的修建，建设周期长、投资规模大、社会影响深远，涉及多个利益群体，与人民群众切身利益密切相关。为了深入贯彻落实科学发展观，坚持以人为本、执政为民，把实现好、维护好、发展好最广大人民根本利益作为决策的出发点和落脚点，正确处理改革发展稳定的关系，着力从源头上预防和化解社会矛盾，最大限度增加和谐因素，保障和促进经济社会又好又快发展，需对社会稳定风险进行评估。

本文以宁波市鄞州区现代有轨电车一期工程为例，探讨应如何对现代有轨电车项目进行科学合理的社会稳定风险评估。

二、项目概况

宁波市鄞州区现代有轨电车一期项目工程长8.16 公里，起自姜山镇南大东路站，经天童南路、鄞州大道、宁南南路、宁南北路止于嵩江中路路口南侧的宁南立交南站。全线设站12 座，全线平均站间距723m。鄞州区有轨电车投资估算总额为10.68 亿元，技术经济指标为1.31 亿元/正线公里。

三、评估方法

1.项目特点分析

宁波市鄞州区现代有轨电车实验线一期项目工程途经南部商务区、鄞州区政府、万达广场等敏感地段。对于在沿线途经多个居住区及商业中心区，修建一条轨道交通线路，从维护社会稳定风险方面考虑，如何制定行之有效的工作协调机制、对沿线多数居民、单位环境和交通影响的控制措施，是确保项目保证工期并加快建设的关键。为尽可能保证轨道建设与用地规划相衔接，梳理用地情况、主要敏感点，并有针对性制定维稳措施。

2.调查方案设计与实施

本次工作结合选择采用收集资料、媒体公示、专家评议等形式开展社会稳定风险调查工作。

四、风险调查评估

1.风险识别清单

根据项目具体情况对风险因素进行分类梳理，并结合当地经济社会与拟建项目的互适性，从初步识别的各类风险因素中筛选出主要的、关键的单风险因素，将主要单风险因素制成风险因素识别表如下：

2.风险因素与评估重点

结合各风险因素的特点进行分析，得出各风险因素相应的评估重点，如下表所示。

3.风险评估方法

每个项目根据其特点可采用不同的评估方法，本项目拟采用风险评价矩阵来进行评估，具体就是：首先进行风险的识别，在风险识别的基础上，采用定性与定量相结合的方法，对每个主要风险因素的风险程度做进一步分析、预测和估计，综合分析和估计引发风险事件的可能性（概率）、影响程度，采用风险概率―影响矩阵（也称风险评价矩阵）来评判其风险程度，并进行排序，编制形成主要单因素风险程度汇总表，以揭示其关键性的风险因素。

根据以上矩阵即可计算整个项目的总体风险，进而根据项目的风险等级标准确定整个项目的风险等级。

4.风险等级的划分

根据国家和省部委的相关规定，社会稳定风险等级分为3 个等级，即：高风险、中风险、低风险。

高风险：大部分群众对项目有意见、反应特别强烈，可能引发大规模。

中风险：部分群众对项目有意见、反应强烈，可能引发矛盾冲突。

低风险：多数群众支持但少部分人对项目有意见，通过有效工作可防范和化解矛盾。

五、项目社会稳定风险综合评估

1）风险分析汇总表

根据在上述的风险分析结果，编制形成项目主要单因素风险程度汇总表，以揭示其关键性的风险因素（W），见下表。

为了在采取控制措施时能分清轻重缓急，常常给风险划一个等级。按照风险事故发生后果的严重程度划分每类风险因素的权重（I），取值范围为[0，1]，I 取值越大表示该类风险在所有风险中的重要性越大，所有风险权重累计为1。在综合分析的基础上，对专家评分结论进行加权综合，确定该项目各社会稳定风险因素权重见下表：

2）综合评估

单风险因素风险程度分值（R）的取值为：低风险程度取值0-1 区间，中风险程度取值1-2 区间，高风险程度取值2-3 区间。综合风险的分值越高，说明项目的风险越大。宁波市鄞州区有轨电车示范线一期工程的社会稳定风险评估表如下：

从上表可以看出，鄞州区有轨电车项目建设可能引发的不利于社会稳定的综合风险值为0.64，为低风险等级。

六、评估结论

笔者通过本次有轨电车的社会稳定风险调查，对项目的各个阶段（决策、准备、实施、运营）有可能发生的各类风险进行了分类梳理，最终筛选出11 项风险因素。针对上述11 项风险因素，笔者分别从合法性、合理性、可行性、可控性四个方面，对鄞州区有轨电车项目进行了社会稳定风险的评估。同时利用风险矩阵方法对项目建设可能引发的不利用社会稳定风险进行了综合评估，评估结果等级为低风险等级。

七、结 语

本文以宁波市鄞州区现代有轨电车一期项目的社会稳定风险评估为例，详述了风险评估的依据、方法、识别、程序等内容，探讨了应如何科学合理的对城市现代有轨电车项目进行社会稳定风险评估，仅供其他类似工程项目参考借鉴。

参考文献：

[1] 赵振庭. 重大工程项目社会稳定风险指标体系与评估研究. 西南交通大学硕士学位论文，2014

风险评估等级如何划分范文第4篇

Abstract： Starting from the main content， the necessity of implementation and the application of total risk management in enterprises， this article expounds the importance of total risk management in enterprise development， and shows its procedures， contents and requirements.

关键词： 企业；全面风险；管理

Key words： enterprise；total risk；management

中图分类号：F270.7 文献标识码：A 文章编号：1006-4311（2013）22-0139-03

1 风险的概念

“风险”一词的由来，最为普遍的一种说法是，在远古时期，以打鱼捕捞为生的渔民们，他们认识到，在出海捕捞打鱼的生活中，“风”即意味着“险”，因此有了“风险”一词的由来。现代意义上的风险一词，已经大大超越了“遇到危险”的狭义含义，企业全面风险管理，所指的风险是指未来的不确定性对企业目标所产生的影响。其基本的核心含义是“未来结果的不确定性或损失”，如果采取适当的措施使破坏或损失的概率不会出现，或者说智慧的认知，理性的判断，继而采取及时而有效的防范措施，那么风险可能带来机会，由此进一步延伸的意义，不仅仅是规避了风险，可能还会带来比例不等的收益，有时风险越大，回报越高、机会越大。

2 风险管理典型案例

法国兴业银行是世界上最大的银行集团之一，是法国第二大银行，市值仅次于法国巴黎银行。该行2008年1月24日披露，因其精通电脑的一位名叫杰罗姆·科维尔的交易员冲破银行内部层层监控进行非法期货交易，该行因此蒙受了49亿欧元（约合71.6亿美元）的巨额亏损。据称，这也是有史以来涉及金额最大的交易员欺诈事件。这一数额巨大的欺诈案件一度引起了法国总统萨科齐的关注，监管当局已着手对此展开调查。法国财政部报告认为：兴业银行风险监控机制有问题，内部监控系统多个环节有可能存在漏洞。存在的主要风险有：没有有效监督交易员盘面资金，没有有效跟踪资金流动，没有遵守后台与前全隔离规则，过分相信电脑系统，而忽视了对风险和流程的管理。当今随着经济全球化的不断发展，企业在市场竞争中，无论是在人力资源方面、财务方面，还是法律方面、内部控制等方面都充满了风险，一个企业要想在这个风险重重的环境之中，求生存、巩固现有市场、保持繁荣、发展壮大、始终立于不败之地，就要充分认识到企业全面风险管理的重要性。

3 风险管理的意义

近些年来风险管理逐步成为了国际上关注的热点，在一些发达国家，风险管理不仅在理论上发展迅速，而且很多企业都已认识到风险管理的重要性，越来越多地将风险管理应用到企业管理的各个方面。尤其是在诸如安然、世通等事件发生后，风险管理更加为各国所重视，美国还出台了萨奥法案来规范上市公司的行为，萨奥法案被称为是自罗斯福总统以来对美国商业界影响最为深远的改革法案。

在我国，风险管理理论的发展及应用相对滞后，有相当一部分企业普遍存在风险管理意识不足，缺乏风险策略、风险管理较为被动、缺少风险管理专业人才，以及风险管理技术、资金不足等问题。企业切实实行全面风险管理、运行风险管理基本流程可以获得很多好处，最主要的有：标本兼治，从根本上提高企业风险管理水平。全面风险管理体系帮助企业建立动态的自我运行、自我完善、自我提升的风险管理平台，形成风险管理长效机制，从根本上提升企业风险管理水平。达到与企业整体经营战略相结合的风险最优化。全面风险管理把风险管理纳入企业战略执行的层面之上，将企业成长与风险相联，设置与企业成长及回报目标相一致的风险承受度，从而使企业将战略目标的波动控制在一定范围内，支持企业战略目标实现并随时调整战略目标，保障企业稳健经营。

2006年，国务院国有资产监督管理委员会，了《中央企业全面风险管理指引》，强调企业全面风险管理是一项十分重要的工作，关系到国有资产保值增值和企业持续、健康、稳定发展。要求央企逐步开展全面风险管理工作，进一步提高企业管理水平，增强企业竞争力，促进企业稳步发展。

中国石油天然气股份有限公司在2004年开始着手建立以萨奥法案为依据，COSO框架为基础的内部控制体系，2005年通过了普华永道会计师事务所的外部审计。内控体系开始正式运行。2010年，股份公司开始选取试点单位按照国资委要求，开展全面风险管理工作。2011年，根据集团公司通知文件要求，锦州石化公司作为第二批推广单位，逐步开展2012年公司风险管理报告的编制工作。公司内控与风险管理办公室，借鉴试点单位的经验，按照风险管理报告的要求，于2011年下旬，开始组织开展公司全面风险管理工作。

4 在锦州石化公司开展风险管理工作

4.1 工作目标 围绕公司“十二五”发展规划及2012年目标，以炼化生产业务为核心，按照风险评估的程序和方法，开展公司层面的风险评估，分析确定2012年公司可能面临的重大风险，并制定相应的重大风险管理策略与解决方案，完成公司2012年风险管理报告的编制工作。

4.2 评估范围 锦州石化公司现有生产装置85套，原油加工能力达到750万吨/年。本次风险评估工作以生产经营业务为核心，充分考虑影响公司目标实现的资源、环境、市场、竞争、组织与运营等内部因素和外部因素，识别和评估企业生产活动的重要风险。涉及的范围主要包括：总经理办公室、生产技术处、机动设备处、安全环保处、规划计划处、财务处、人事处（组织部）、企管法规处（内控与风险管理办公室）、审计处、纪委监察处、企业文化处、工程管理部、营销调运部、物资采购部、信息中心、矿区服务事业部16个单位和部门。

4.3 组织方式 公司成立了企业风险评估领导工作组，设立企业风险评估领导工作组办公室，统一指挥各部门的风险评估工作。具体负责编制《锦州石化公司2012年风险管理报告工作实施方案》、《锦州石化公司风险评估标准》，组织开展培训和为各单位开展工作进行技术指导，汇总分析公司层面风险数据库，督促各单位工作进度及审核阶段性工作质量，协调解决实施过程中遇到的问题，编制《锦州石化公司企业风险管理报告》。

4.4 评估程序（图1）

4.4.1 建立风险评估基础。以集团公司风险评估方法为指引，通过研究公司炼化生产核心业务架构，明确公司风险管理的目标，确定风险管理的范围，对公司层面各项风险进行分类，编制风险识别指引，建立公司风险评估标准。

4.4.1.1 对风险进行分类。依据集团公司风险分类标准及全面风险管理相关理论研究成果，结合公司实际，以炼化经营业务为核心，将公司层面风险分类为战略风险、经营风险、报告风险和合规风险四大类。再把上述各类风险以专业为指引进行细化，将公司层面战略、经营、合规、报告4大类33项纳入16个单位识别的范围，编制了《风险识别主要事项指引》，明确了各类风险涉及的单位，为开展识别指出方向。

4.4.1.2 统一风险评估标准。按照集团公司《风险评估规范》，结合公司实际，风险评估办公室制定《锦州石化公司风险评估标准》。在标准制定过程中，我们充分与各主要处室，包括总经理办公室、安全环保处、生产技术处、规划计划处、财务处、人事处、物资采购等部门结合沟通研讨，在集团公司规定的风险评估规范的基础上，结合锦州石化公司的实际，对财务损失的金额、健康安全环境评估的影响数值进行了细化分级，并降低了损失额度，最低从5万元起开始评估；在营运影响因素中重点突出生产运行过程中的多种影响因素；在企业声誉及法律法规因素中补充完善了违反公司3项规章制度等的影响后果，使标准的应用更接近炼化核心业务，更具有可操作性。此外，针对评估小组成员在业务能力、技术水平或工作经历等情况进行类别划分，设置4个层次、4种评估打分权重，采用加权平均方法，统一设计《公司层面风险评价打分表》。通过增加、补充和完善，形成本公司风险评估标准。

风险评估标准主要包括可能性和影响程度标准。

风险发生的可能性：可能性分五级，分别以5、4、3、2、1五个分值进行评分。考虑风险发生的可能性时，可以从发生概率、大型灾害/事件类、日常营运三种标准中，选择一种标准对风险发生的可能性进行评分。

风险影响程度：影响程度分为五级，分别以5、4、3、2、1五个分值进行评分。考虑风险的影响程度时，可以从财务损失、企业声誉、法律和规章制度、健康安全环境、营运及稳定六个方面，选择其中一个主要方面对风险的影响程度进行评分。

4.4.2 目标设置与分解。围绕公司发展战略总体思路，结合本部门＼单位职责，各专业部门将公司“十二五”发展规划、2012年主要生产经营目标及KPI指标进行分解落实，在目标设置环节，各专业部门以目标为基础，按计划开展风险识别、评估工作。

4.4.3 风险识别。各专业小组围绕本专业工作目标，通过采取查阅领导讲话、通报、座谈、讨论、网络、问卷调查等方法展开信息收集，对可能影响公司目标实现的内外部风险因素、风险事件进行识别并记录。各专业评估小组以公司下达的《风险识别主要事项指引》为参考，全面开展风险识别，以风险易发和高风险领域为重点，开展风险事件库的收集和风险数据库的建立工作。

4.4.3.1 风险事件库建立情况。各专业小组围绕公司“十二五”规划及2012年度生产经营目标，从内、外部角度，自下而上广泛收集相关风险事件。16个专业小组共收集国内、国外、同行业及本企业近五年来发生的重大风险损失事件182个，这些案例设计健康安全环境、舞弊及诚信、法律、投资、信息安全、生产中断与产能不匹配、稳定、价格波动等业务领域。安全环保工作小组还对公司曾经发生过的重大风险事件，从发生的过程、造成的损失或影响、产生的原因、事件的处理以及防止同类事件发生所采取的对策等方面，进行了分析研究。经公司风险评估办公室汇总整理，形成《风险事件库》，为风险分析和风险评估提供依据。

4.4.3.2 公司层面风险数据库建立情况。各专业小组参考集团公司风险数据库，结合公司领导讲话、国内外同行业披露的风险等信息，经过培训、研讨、案例分析等过程，分阶段按部门逐项验收，展开风险再识别工作。3月末，16家单位共识别出包含生产中断风险、健康安全环境风险、人力资源风险、物资采购舞弊风险、交通风险、合同风险、质量风险、起重伤害风险、触电风险、中毒和窒息风险、资金流动管理风险、价格波动风险、市场需求风险、生产技术落后风险、劳动关系风险等各类风险70个。其中，经营风险占70%，合规风险占14.28%，战略风险占4.30%，报告风险占11.42%。（见图2）。风险评估帮公司汇总整合同类项并组织分析，在些基础上编制完成了公司层面的风险数据库，如图2：

4.4.4 风险分析。针对风险分析，我们主要应用了风险事件成因分析法和调查问卷法。借助风险评估标准工具，开展风险分析。风险评估办公室组织16家风险评估单位成员，认真学习《锦州石化公司风险评估标准》，通过讲解和讨论，大家明确了如何确定风险的可能性及风险的影响程度；如何设定打分权重；如何计算风险等级分值等内容。为第三阶段开展的风险评估工作奠定了基础。从3月14日开始，由16个各专业小组组织相关人员按照《锦州石化公司风险评估标准》，对识别出的风险，从风险发生的可能性及影响程度进行分析，初步确认本专业重要风险。各专业小组根据评分结果，将已确认的中级（分数在5分以上）风险，填写《重大风险汇总表》后上报风险评估办公室。

4.4.5 风险评价。从3月20日开始，风险评估办公室根据各评估工作小组提供的风险分析及评估结果，对初步确认的中级以上重要风险进行汇总、分析，形成各专业重要风险数据库汇总表，共计43个重要风险；公司评估工作组针对43个重要风险再次评估，按评估方法排序，确定风险偏好，评估出公司层面重大风险，并将重大风险绘制成风险热力图。

4.4.5.1 公司风险评估小组确定公司风险评估方法。结合风险分析过程的可能性和影响程度的判定，按照如下权重设置及统计计算方法，完成中等级以上风险再评估。公司级评估权重：副总师以上领导40%、处级干部30%、科级干部20%、业务人员10%。

R=■（A■×C■）×■（B■×C■）

R—风险等级分值；Ai—第i类人员风险发生可能性平均分值；Bi—第i类人员风险影响程度平均分值；Ci—第i类人员权重；n—人员类别总数。风险等级分值=风险影响程度分值*风险发生可能性分值。对已评价风险按风险等级分值进行排序，参照风险等级（见表1）确定重大风险。原则上R值大于12分以上的风险确定为公司的重大风险加以控制；低于此风险作为重要和一般风险加以控制。

4.4.5.2 公司风险评估办公室组织进行重大风险评估。风险评估办公室以问卷的形式，对43个重要风险进行再次评估，评定出风险等级。此次评估共发出问卷382份，回收率100%。问卷发放的对象为四个层次，第一层为副总以上公司领导，第二层是机关及直属单位处级领导，第三次为机关及直属单位科级干部，第四层次为机关及直属单位科员。风险评估办公室通过计算、统计、汇总，确定公司风险偏好，选择风险分值大于10的风险，共计20个风险初步列为公司层面需控制的风险，其中，重大风险7个（12分以上），重要风险13个（分值10-11），并将该评估结果上报公司主管领导审核。

4.4.5.3 绘制风险热力图

参考文献：

[1]李庆虎，段学仲，张佰睿.企业全面风险管理：识别、评估与控制[J].中国总会计师，2007（09）.

风险评估等级如何划分范文第5篇

论文关健词：应用流分析；风险评估；流量分组

1概述

基于互联网的新技术、新应用模式及需求，为网络的管理带来了挑战:(1)关键应用得不到保障，OA,ERP等关键业务与BT,QQ等争夺有限的广域网资源;(2)网络中存在大量不安全因素，据CNCERT/CC获得的数据表明，2006年上半年约有14万台中国大陆主机感染过Beagle和Slammer蠕虫;(3)传统流量分析方法已无法有效地应对新的网络技术、动态端口和多会话等应用，使得传统的基于端口的流量监控方法失去了作用。

如何有效地掌握网络运行状态、合理分配网络资源，成为网络管理者们的当务之急。针对以上需求，作者设计并实现了一套网络应用流分析与风险评估系统(TrafficAnalysisandRiskAssessmentSystem,TARAS)。

当前，网络流量异常监测主要基于TCP/IP协议。文献[5]提出使用基于协议签名的方法识别应用层协议。本系统采用了应用层协议签名的流量分析技术，这是目前应用流分析最新技术。然而，简单的流量分析并不能确定网络运行状态是否安全。因此，在流量分析的基础上，本文提出了应用流风险评估模型。该模型使用流量分组技术从定量和定性两方面对应用流进行风险评估，使网络运行状态安全与杏这个不确定性问题得到定性评估，这是当前网络管理领域需要的。

2流量分析模型

目前应用流识别技术有很多，本文提出的流量识别方法是对SubhabrataSen提出的应用协议特征方法的改进。针对种类繁多的应用层协议采用了两级匹配结构，提高效率。

应用识别模块在Linux环境下使用Libpcap开发库，通过旁路监听的方式实现。在设计的时候考虑到数据报文处理的效率，采用了类似于Linux下的NetFilter框架的设计方法，结构见图1。

采取上述流量识别框架的优点:(1)在对TCP报文头的查找中使用了哈希散列算法，提高了效率;(2)借鉴状态防火墙的技术，使用面向流(flow)的识别技术，对每个TCP连接的只分析识别前10个报文，对于该连接后续的数据报文则直接查找哈希表进行分类，这样避免了分析每个报文带来的效率瓶颈;(3)模式匹配模块的设计使得可扩展性较好。

在匹配模块设计过程中，笔者发现如果所有的协议都按照基于协议特征的方式匹配，那么随着协议数量的增大，效率又会成为一个需要解决的问题。

因此，在设计应用流识别模块时，笔者首先考虑到传输层端口与网络应用流之间的联系，虽然两者之间没有绝对固定的对应关系，但是它们之间存在着制约，比如:QQ协议的服务器端口基本不会出现在80,8000,4000以外的端口;HTTP协议基本不会出现在80,443,8080以外的端口等，因此，本文在流量分析过程中首先将一部分固定端口的协议使用端口散列判断进行预分类，提高匹配效率。

对于端口不固定的应用流识别，采用两级的结构。将最近经常检测到的业务流量放在常用流量识别子模块里面，这样可以提高查找的速度。另外，不同的网络环境所常用的网络应用流也不同，因此，也没有必要在协议特征库中大范围查找。两级查询匹配保证了模型对网络环境的自适应性，它能够随着网络环境的改变以及网络应用的变化而改变自己的查询策略，但不降低匹配效率。应用流识别子模块的设计具体结构见图2。

3风险评估模型

本文采用基于流量分组技术的风险评估方法。流量分组的目的是为流量的安全评估提供数据。

3.1应用流的分组

网络应用种类多、变化频度高，这给应用流的评估带来了麻烦，如果要综合考虑每一种应用流对网络带来的影响，显然工作量是难以完成的。因此，本文引入应用流分组的概念。应用流分组的目的是从网络环境和安全角度的考虑，将识别后的流量进行归类分组。笔者在长期实验过程中，根据应用的重要性、对网络的占用率、对网络的威胁性等因素得到一个较为合理的分组规则，即将网络流量分为:关键业务，传统流量，P2P及流媒体，攻击流，其他5类。应用流分组确定了流量评估的维度，这样有利于提高评估的效率。表1列举了部分应用流的分组。

应用流分组模块有2个功能。首先是将检测到的各种应用流量按照表1中的分组归类，并计算各分组应用流量的大小、连接数目、通信主机数目3个方面的信息，并以一定的时间周期向流量安全评估模块传送数据。另外一个是在安全事件出现时，向安全响应模块提供异常应用流名称和其他相关信息。应用流分组模块的输入是各应用流的流量大小，而输出有2个:

(1)整个网络的流量分布矩阵。

(2)异常主机流量分组中的成份。

笔者引入流量矩阵的概念。流量矩阵A的数学定义为

其中，aij表示第i台主机的第j组流量的大小，aij的单位为实际流量的单位大小。流量矩阵反映了网络中信息流动的整体情况。

由于TCP/IP协议的广泛应用，网络流量中的绝大部分使用基于TCP的传输层协议，因此传输层的网络连接数也在一定程度上反映了网络流量的情况。定义网络连接数矩阵为

其中，Lij表示第i台主机第J组应用流的网络连接数。

在网络通信过程中，每个流量分组的通信主机数量具有参考价值，在此引入通信主机数量矩阵，数学描述为

其中，hij为表示某一分组流量的通信主机数目。

另外，流量分组模块在接收到安全响应模块的请求时，会向其发送该异常网络节点的应用流类别信息。

信息内容为:主机IP地址，主机应用流分组名，应用流名称列表。

3.2应用流的风险评估

网络流量的特征是网络安全性的重要表现。本节主要描述网络用户流量的安全评估过程和机制。流量的安全评估实际上是网络风险评估过程的一部分。风险评估的方法有定量评估、定性评估和定性与定量结合的评估方法。在此本文借鉴风险评估定性与定量结合的方法设计流量的安全评估子模型。

本节首先确定该模型的评估的对象、指标和目标，评估的具体方法如下:

(1)流量安全评估的对象是每个网络节点的应用流分组。

(2)评估对象的定量指标分别是网络流量大小、网络连接数和网络通信主机数。

(3)评价的目标是确定各应用流的安全性。

(4)评估方法是以先定量后定性的方法为原则，具体方法如下:

1)制定各分组流量的安全评估规则，为量化评估提供依据。

2)参照安全评估规则，根据3个量化指标评价网络用户流量的安全性，并得到安全评分。

3)根据安全性评价集，将量化后的安全评分指标定性化。另外，对于攻击流进行特别评估，并且当出现攻击流时，攻击流安全等级代表主机安全等级。

安全评估子模型的结构如图3所示。

3.2.1各分组流量的安全定量评价

对于不同分组的通信行为和流量特点，本模块采用分指标量化评估的方法进行安全评估。表2中各指标的安全性划分是根据实验得出的结论。

对于各流量安全评估节点，A各节点应用分组流量的集合;L为网络连接的集合;H是各节点通信主机数集合;Sij是各节点量化评估的结果集合。定义安全评估函数F(A,L,H)=Sij(1≤i≤n,1≤j≤5)，用于表示目标节点流量安全评估的量化结果，从而实现对目标安全状况的定量分析。

将该评价方法设为F则该过程可用数学描述如下:

其中，Sij为各网络节点中应用流分组的安全评分。

3.2.2流量安全定性评价

量化后的安全评分对与安全程度的描述仍然有很大的不确定性，因此，需要将安全评分定性化以确定其所在的安全级别。每个安全级别确定安全分数以及对于攻击流的安全等级划分如表3—表5所示。

以上5个安全等级对于流量的安全性的区分如下:

(1)安全状态表明该分组流量属于正常情况;

(2)可疑状态表明该分组流量中有可疑成分或流量大小超过正常情况;

(3)威胁状态表明该类流量威胁到网络的正常运行和使用;

(4)危险状态主要指该分组流量危害网络的正常运行;

(5)高危状态表明该类分组的流量成分已严重危害网络正常运行。

量化安全评分经过定性划分后可以得到一个定性的流量安全评估矩阵Th，将该过程用运算h表示为

其中，Tij为第i台主机第j组应用流的安全等级。

4实验结果

4.1应用流的识别率

由于TARAS系统能够识别多种应用流量，因此识别算法的准确性是一个重要的指标。网络环境重的各种因素以及网络应用协议特征不断变化等原因，TARAS系统对应用流的识别存在漏报和误报的间题。应用流的识别率见表6。由表6的统计数据可以看到，TARAS对各种协议的识别存在漏报和误报的情况。具体来看，eMule应用由于大量使用UDP传输数据，因此识别率不高。另外，http协议通常使用传输层80端口，但这个端口也被QQ和MSN2个聊天软件使用，除此之外一些木马后门程序为了防止防火墙的封杀也往往使用该端口，因此，在识别过程中http协议会产生误报，即将非http协议数据也当作http协议计算。

4.2应用流的风险评估

为了测试TARAS系统风险评估的准确性，笔者在拥有8台主机的局域网中做相关测试，并以其中3台(主机17、主机77和主机177)进行实验。局域网内8台主机各应用分组流量状况如表7所示。关键业务和其他应用的分组流量为0。

主机17使用传统应用FTP执行下载任务，其他流量分组中无或只有极少流量，从表7可以看出，该主机的传统应用分组流量达到2Mb/s，此时传统应用流量分组应该达到威胁级别，而其他分组应该都是安全级别，主机的总体评价为安全。主机77不断受到Nimda蠕虫病毒的攻击，从表7可以发现，该主机高危分组的流量为2048kb/s，此时该分组应该达到高危级别，而其他分组由于流量为0因此为安全，主机的总体评价为高危。主机177使用BT进行下载，并使其流量达到1536kb/s，根据风险评估策略，该主机的P2P及流媒体分组应该达到威胁级别，其他分组应该都是安全级别，主机的总体评价为安全。表8为TETRAS系统对表7所示流量状况进行评估所得的风险评估结果。

对比表7和表8可以发现，TARAS系统能够正确地对网络中各主机流量状况进行风险评估。同时该实验结果也证实:虽然TARAS系统对于应用流的识别存在一定误差，但是该误差没有严重影响网络运行状况和风险级别安全，误差在可接受范围内。

5结束语

本文针对当前网络管理面临的问题，将应用流成份分析和风险评估引入到网络流量分析和评估领域中，设计并实现了应用流分析和评估系统——TARAS。该系统主要解决网络流量管理中的2个问题: