尋找企業各事業單位、各項重要經營活動及重要業務流程有無風險、有哪些風險。風險種類

對辨識出的風險及其特徵進行明確的定義描述，分析並描述風險發生可能性的高低、風險發生的條件。風險發生可能性

對企業實現目標的影響程度、風險的價值等。影響程度

進行風險辨識、分析、評價，應將定性與定量方法結合。

風險分析應包括風險之間的關係分析，以便從風險策略上對風險進行統一集中管理。

繪製風險座標圖，將各項風險進行比較，初步確定各項風險管理的先後順序與策略。

風險評估應由企業組織相關職能部門和業務單位實施，也可聘請有關專業能力強的中介機構。

企業應對風險管理資訊實施動態管理。

應定期對風險管理工作進行自查和檢驗，報告及時報送企業風險管理職能部門。

定期檢視各部門風險管理狀況，並對跨部門及業務單位的風險管理解決方案進行評價，並送交企業總經理或其委託分管風險管理工作的高階主管。

應至少每年一次對各職能部門（包括風險管理職能部門）的風險管理工作進行監督評價，監督評價報告報送董事會或董事會下設的風險管理委員會和審計委員會。

提交全面風險管理年度報告；

審議風險管理策略和重大風險管理解決方案；

審議重大決策、重大風險、重大事件和重要業務流程的判斷標準；

審議重大決策的風險評估報告；

審議內部稽核部門提交的風險管理監督評估審計綜合報告；

審議風險管理組織機構設置及其職責方案；

辦理董事會授權的有關全面風險管理的其他事項。

研究提出全面風險管理工作報告；

研究提出跨職能部門的重大決策、重大風險、重大事件和重要業務流程的判斷標準和判斷機制；

研究提出跨職能部門的重大決策的風險評估報告；

研究提出風險管理處理和跨職能部門的重大風險管理解決方案；

負責對全面風險管理有效性的評估，研究提出全面風險管理的改善方案；

負責組織建立風險管理資訊系統；

負責組織協調全面風險管理日常工作；

負責指導、監督相關職能部門、各業務單位以及控股子企業進行全面風險管理工作；

辦理風險管理的其他有關工作。

內審部門對審計委員會負責，審計委員會對董事會負責；

內審部門在風險管理方面，主要負責研究提出全面風險管理監督評鑑體系，制定監督評鑑相關制度，進行監督與評價，出具監督評估審計報告；

定期與外聘及內部稽核人員會面，但無須管理階層出席；

審計委員會成員之間的不同意見如無法內部調解，應提請董事會解決；

審計委員會應每年對其權限及其有效性進行複核，並就必要的人員變更向董事會報告；

審計委員會的主要活動之一是核查對外報告合規的情況；

有助於維持內審的獨立性，覆核內審在組織中的地位、職能範圍、技術才能、專業應盡的義務。

風險偏好和風險承受度是針對公司的重大風險所製定的；

重大風險的風險偏好是企業的重大決策，應由董事會決定。

需要考慮的因素：風險個體、相互關係、整體形狀、產業因素

關鍵在於量化：風險偏好可以只定性、風險承受度一定要定量

風險衡量方法

風險量化的困難：方法誤差、數據、資訊系統、整合管理

要針對企業的重大風險，能反映企業重大風險管理的現況；

應在企業的風險評估中應用，並根據風險的變化隨時調整；

應用於衡量全面風險管理系統的運作效果。

風險承擔：未能辨識出的風險或非重大

風險規避：迴避、停止或退出，徹底絕緣

風險轉移：保險、非保險型的風險轉移、風險證券化

風險轉換：不會降低總風險（策略調整、使用衍生性商品，如放鬆交易信用標準，增加了應收帳款、擴大了銷售）

風險對沖：金融衍生性商品、多種經營、多種客戶群

風險補償：損失補償（提列準備金、緊急資本、交易價格附加風險溢酬）

風險控制：減少損失，降低機率

將資源用於需要優先管理的重大風險。

風險管理策略要隨著企業經營狀況的變化，經營策略的變化，外部環境的變化而調整。

1.不改變風險發生的可能性，也不改變風險所造成的直接損失程度；

2.風險理財需判斷風險的定價，因此量化的標準高；

3.應用範圍不包括商譽等，難以消除策略失誤所造成的損失；

4.技術性強，本身俱有風險，使用不當容易造成重大損失。

損失融資

風險資本

應急資本

保險

專業自保

（1）建立規範的公司治理結構和議事規則。

（2）董事會負責內部控制的建立健全和有效實施。監事會對董事會建立與實施內部控制進行監督。 經理層負責組織領導企業內部控制的日常運作。

（3）董事會下設立審計委員會。審計委員會負責審查企業內部控制，監督內部控制的有效實施和 內部控制自我評估狀況，協調內部控制審計及其他相關事宜等。審計委員會負責人應具備 相應的獨立性、良好的專業操守和專業勝任能力。

公司治理結構： 1.總體要求 2.分工 3.審計委員會

（4）設置內部機構，明確職責權限，將權利與責任落實到各責任單位。

（5）加強內部稽核工作，確保內部稽核機構設置、人員配備及工作的獨立性。 內部稽核機構應結合內部稽核監督，對內部控制的有效性進行監督檢查。 內部稽核機構對監督檢查中發現的內部控制缺陷，應依照企業內部稽核工作程序進行報告； 對監督檢查中發現的內部控制重大缺陷，有權直接向董事會及其審計委員會、監事會報告。

內部機構： 4.總體要求 5.內部稽核

（6）制定和實施永續發展的人力資源政策。

（7）將職業道德修養和專業勝任能力作為選拔和聘用員工的重要標準，實際加強員工培訓和 持續教育，不斷提升員工素質。

（8）加強文化建設，董監經及其他高階主管應在企業文化建設中發揮主導作用。 （企業文化）

（9）加強法制教育，增強董監經及其他高階主管和員工的法制觀念。

6、7人力資源 8.企業文化建設 9.法制教育

（1）根據設定的控制目標，全面系統持續地收集相關信息，及時進行風險評估。

（2）準確識別與實現控制目標相關的內部風險和外部風險，並確定相應的風險承受度。 風險承受度是企業能承擔的風險限度，包括整體風險承受能力和業務層面的可接受風險水準。

（3）識別內部風險。

（4）識別外部風險。

（5）採用定性與定量相結合的方法，依照風險發生的可能性及其影響程度對識別的風險進行分析和排序， 確定關注重點和優先控制的風險。

（6）根據風險分析的結果，結合風險承受度，權衡風險與效益，確定風險因應策略。

（7）綜合運用風險因應策略，以實現對風險的有效控制。

（8）結合不同發展階段和業務拓展情況，持續收集與風險變化相關的信息，進行風險識別和分析，及時調整風險應對策略。

控制措施

（8）企業應依據內部控制目標，結合風險因應策略，綜合運用控制措施，對各種業務及事項實施有效控制。

（9）企業應建立重大風險預警機制及突發事件緊急處理機制，明確風險預警標準，確保突發事件及時妥善處理。

（1）建立資訊與溝通制度，明確內部控制相關資訊的收集、處理與傳遞程序，確保訊息及時溝通，促進內部控制有效運作。

（2）對收集的各種內部資訊和外部資訊進行合理篩選、核對、整合，提高資訊的有用性。

（3）將內部控制相關資訊在企業內部以及企業與外部之間進行溝通與回饋。重要資訊應及時傳遞給董事會、監事會及經理層。

（4）利用資訊科技促進資訊的整合與分享，充分發揮資訊科技在資訊與溝通中的作用。

（5）建立反舞弊機制，堅持懲防並舉、重在預防的原則 ①未經授權或採取其他不法方式侵占、挪用企業資產，牟取不當利益； ②在財務會計報告及資訊揭露等方面存在的虛假記載、誤導性陳述或重大遺漏等； ③董事、監事、經理及其他高階主管濫權； ④相關機構或人員串通舞弊。

（6）建立檢舉投訴制度及檢舉人保護制度，檢舉投訴制度及檢舉人保護制度應及時傳達至全體員工。

（1）制定內部控制監督制度，明確內部稽核機構和其他內部機構在內部監督中的職責權限。 日常監督：常規、持續的監督檢查； 專案監督：對內部控制的某一或某些方面進行有針對性的監督檢查。 專案監督的範圍和頻率應根據風險評估結果以及日常監督的有效性等予以確定。

（2）制定內部控制缺陷認定標準，內部控制缺陷包括設計缺陷與運轉缺陷； 內部監督中發現的重大缺陷，追究相關責任單位或責任人的責任。

（3）定期對內部控制的有效性進行自我評價，並出具內部控制自我評價報告。 ①可授權內部稽核部門或專門機構負責內部控制評估的具體組織執行工作； ②內控缺陷依其影響程度分為重大缺陷、重要缺陷及一般缺陷； ③重大缺陷應由董事會予以最終認定。

（4）妥善保存內部控制建立與實施過程中的相關記錄或資料，確保內部控制建立與實施過程的可驗證性。

1）激發了專家想像力，有助於發現新的風險和全新的解決方案；

2）主要的利害關係人參與其中，有助於進行全面溝通；

3）速度較快且易於開展。

1）參與者可能缺乏必要的技術或知識，無法提出有效的建議；

2）腦力激盪法的實施過程和參與者提出的意見容易分散，較難保證全面性；

3）集體討論時可能出現特殊情況，導致某些有重要觀點的人保持沉默而其他人成為討論的主角。

1）由於觀點是匿名的，因而專家更有可能表達出那些不受歡迎的看法；

2）所有觀點有相同的權重，避免重要人物的觀點占主導地位；

3）專家不必一次聚集在某個地方，實施比較方便；

4）專家最終形成的意見具有廣泛的代表性。

1）權威人士的意見難免影響他人的意見；

2）有些專家可能礙於情面，不願意發表與其他人不同的意見；

3）有的專家可能出於自尊心而不願意修改自己原來的意見；

4）過程比較複雜，花費時間較長，這是德爾菲法的主要缺點。

它清晰明了，易於操作，且組織規模越大，流程越複雜，越能體現優越性。

此方法的使用效果依賴專業人員的程度。

簡單的定性方法，直觀明了。

1）需要對風險重要性等級標準、風險發生可能性、後果嚴重程度等做出主觀判斷，可能影響使用的準確性；

2）風險重要性等級是經由相互比較而確定的，因而無法透過數學運算得到整體風險的重要性等級；

3）如需要進一步探求風險原因，則採用此方法過於簡單，缺乏經驗證明及資料支持。

能夠計算出具有維修能力和多重降級狀態的系統的機率。

1）無論是故障或維修，都假設狀態變化的機率是固定的；

2）所有事項在統計上具有獨立性，因此未來的狀態獨立於一切過去的狀態，除非兩個狀態緊密相接；

3）需要了解狀態變化的各種機率；

4）有關矩陣運算的知識比較複雜，非專業人士很難看懂。

1）對於決策問題的細節提供了一個清楚的圖解說明；

2）能夠計算到達一種情形的最優路徑。

1）大的決策樹可能過於複雜，不容易與其他人溝通；

2）為了能夠用樹狀圖表示，可能有過度簡化環境的傾向。

提供決策者有價值的參考資訊；清楚地為風險分析指明方向；幫助企業制定緊急計畫。

1）所需的數據經常缺乏，無法提供可靠的參數變化；

2）分析時借助公式計算，未考慮各種不確定因素在未來發生變動的機率。

對於未來變化不大的情況能夠給出比較精確的模擬結果。

1）在存在較大不確定性時，模擬有些情境可能不夠現實；

2）對資料的有效性以及分析師和決策者開發現實情境的能力有很高的要求；

3）作為決策工具，所用情境可能缺乏充分的基礎，數據可能具有隨機性。

1）ETA 以清晰的圖形顯示了經過分析的初始事項之後的潛在情景，以及緩解系統或功能成敗的影響；

2）它能說明時機、依賴性，以及繁瑣的多米諾效應；

3）它生動地體現事件的順序。

1）一切潛在的初始事項都要進行識別，有可能錯過一些重要的初始事件；

2）事件樹只分析了某一系統的成功及故障狀況，未考慮延遲成功或恢復事項；

3）任何路徑都取決於路徑上先前分支點發生的事項。

·前推是根據歷史的經驗和數據推斷未來。

·後推是把未知的想像的事件及後果與一已知事件與後果聯繫起來，把未來風險事件歸結到有數據可查的造成這一風險事件的初始事件上，從而對風險做出評估和分析。

·旁推法就是利用類似項目的數據進行外推。

1）在資料充足可靠的情況下簡單易行；

2）結果準確率高，應用領域廣泛。

1）由於歷史事件的前提和環境已發生了變化，不一定適用於今天或未來；

2）沒有考慮事件的因果關係，有時必須在歷史資料的處理中加入專家或集體的經驗修正。

1）廣泛適用於人力設備和系統以及硬體、軟體和程序失效模式的分析；

2）辨識組件失效模式及其原因及對系統的影響，同時以可讀性較強的形式表達出來；

3）能夠在設計初期發現問題，因而避免了開支較大的設備改造；

4）辨識單一失效模式以適合系統安全的需要。

1）只能辨識單一失效模式，無法同時辨識多個失效模式；

2）除非充分控制並集中精力，否則採用此法較耗時且開支較大。