时间：2023-09-10 14:48:00
引言：易发表网凭借丰富的文秘实践，为您精心挑选了九篇风险识别与风险评估的区别范例。如需获取更多原创内容，可随时联系我们的客服老师。
关键词：电子政务外网；等级保护测评；风险评估；风险评估模型
中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2014）34-8337-02
1 等级保护背景下的电子政务外网风险评估
电子政务外网提供非的社会公共服务业务，全国从中央各部委、到省、市、县，已经形成了一张大庞大的网络系统，有的地方甚至覆盖到了乡镇、社区村委会，有效提高了政府从事行政管理和社会公共服务效率。今后凡属社会管理和公共服务范畴及不需在国家电子政务内网上部署的业务应用，原则上应纳入国家政务外网运行，它按照国家政务外网统一规划，建立网络安全防护体系、统一的网络信任体系和信息安全等级保护措施。
随着政务外网的网络覆盖的扩大及接入的政务单位越来越多、政务外网应用的不断增加，各级政务移动接入政务外网的需求也在增加，对政务外网的要求和期望越大，网络安全和运维的压力也越大，责任也更大。由于政务外网与互联网逻辑隔离，主要满足各级政务部门社会管理、公共服务、市场监管和经济调节等业务应用及公务人员移动办公、现场执法等各类的需要，网络和电子政务应用也成为境外敌对势力、黑客等攻击目标。随着新技术的不断涌现和大量使用，也对电子政务外网网络的安全防护、监控、管理等带来新的挑战。按照国家政务外网统一规划，建立网络安全防护体系、统一的网络信任体系和信息安全等级保护措施是必须的。
为保障电子政务外网的安全有效运行，我们应以风险管理理念来统筹建设网络和信息安全保障体系。在国家信息系统安全等级保护的大背景下，2011年国家信息中心下发了《关于加快推进国家电子政务外网安全等级保护工作的通知》，强化了电子政务外网的等级保护制度以及等级测评要求，要求对政务外网开展等级测评，全面了解和掌握安全问题、安全保护状况及与国家安全等级保护制度相关要求存在的差距，分析其中存在的安全风险，并根据风险进行整改[1]。
系统安全测评、风险评估、等级测评都是信息系统安全的评判方法[2，3]，其实它们本没有本质的区别，目标都是一样的，系统安全测评从系统整体来对系统的安全进行判断，风险评估从风险管理的角度来对系统的安全状况进行评判，而等级测评则是从等级保护的角度对系统的安全进行评判。不管是系统安全测评[1]、风险评估、等级测评，风险的风险与计算都是三者必不可少的部分。
2 电子政务主要风险评估方法简介
电子政务外网风险评估有自评估、检查评估、第三方评估（认证）评估模式，都需利用一定的风险评估方法来进行相关风险的评估。从总体上来讲，主要有定量评估、定性评估两类。在进行电子政务系统信息安全风险评估过程中，采用的主要风险评估方法有：OCTAVE、SSE-CMM、FAT（故障树方法）、AHP （层次分析）以及因素分析法、逻辑分析法、德尔菲法、聚类分析法、决策树法、时许模型、回归模型等方法。研究风险评估模型的方法可以运用马尔可夫法、神经网络、模糊数学、决策树、小波分析等[4-6]。OCTAVE 方法是一个系统的方法，它从系统的高度来进行信息安全的安全防护工作，评估系统的安全管理风险、安全技术风险，它提高了利用自评估的方式制定安全防范措施的能力。它通过分析重要资产的安全价值、脆弱性、威胁的情况，制定起风险削减计划，降低重要资产的安全风险。电子政务外网需要从实际出发，不能照搬其它评估方法，根据电子政务外网实际，本设计基于OCTAVE 评估模型，设计了一个电子政务外网风险分析计算模型。
3 基于OCTAVE模型的一个电子政务外网风险计算模型设计
3.1 风险评估中的资产、威胁、脆弱性赋值的设计
保密性、完整性和可用性是评价资产的三个安全属性。风险评估中的资产价值不是以资产的经济价值来衡量，而是由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。
资产价值应依据资产在保密性、完整性和可用性上的赋值等级，经过综合评定得出。综合评定方法可以根据自身的特点，选择对资产保密性、完整性和可用性最为重要的一个属性的赋值等级作为资产的最终赋值结果；也可以根据资产保密性、完整性和可用性的不同等级对其赋值进行加权计算得到资产的最终赋值结果。本设计模型根据电子政务外网的业务特点，依据资产在保密性、完整性和可用性上的赋值等级进行加权计算（保密性α+完整性β+和可用性γ），α、β、γ为权重系数，权重系数的确定可以采用专家咨询法、信息商权法、独立性权数等。本设计方案采用专家咨询法。资产、威胁、脆弱性的赋值可以从0-10，赋值越高，等级越高。
脆弱性识别是风险评估中最重要的一个环节。脆弱性是资产本身存在的，如果没有被相应的威胁利用，单纯的脆弱性本身不会对资产造成损害。脆弱性识别的依据可以是国际或国家安全标准，也可以是行业规范等，如国家信息安全漏洞共享平台（CNVD）漏洞通报、CVE漏洞、微软漏洞通报等。
资产、威胁、脆弱性的识别与赋值依赖于专家对三者的理解，不同的人员对三者的赋值可能不同，甚至差别很大，可能会不能真实的反映实际情况。为了识别与赋值能准确反映实际情况，可以采用一定的方法来进行修正。本设计采用头脑风暴法、德尔菲法去获取资产、威胁、脆弱性并赋值、最后采用群体决策方法确定资产、威胁、脆弱性的识别与赋值。这样发挥了三个方法的特点，得到的赋值准确性大大提高。
判断威胁出现的频率是威胁赋值的重要内容，评估者应根据经验和（或）有关的统计数据来进行判断[7]。判断威胁出现的频率是可能性分析的重要内容，如果仅仅从近一两年来各种国内、国际组织的对于整个社会或特定行业的威胁及其频率统计，以及的威胁预警等来判断是不太准确的，因为它没有与具体的电子政务外网应用实际联系起来，实际环境中通过检测工具（如IPS等）以及各种日志发现的威胁及其频率的统计也应该考虑进去。
本设计模型采用综根据经验和（或）有关的统计数据来进行判断，并结合具体电子政务外网实际，从历史生产系统的IPS等获取各种威胁及其频率的统计，并采用马儿可夫方法计算出某个时段内某个威胁发生的概率。马尔可夫方法是一种定量的方法，具有无后效性的特点，适用于计算实时的动态信息系统威胁发生概率。它利用IPS等统计某一时段的发生了哪些威胁，构建出各种威胁之间的状态转移图，使用马尔可夫方法计算出该时段内某个威胁发生的概率。计算出的威胁发生概率结果可以进行适当的微调，该方法要求记录的样本具有代表性。
3.2 风险计算模型设计
通常风险值计算涉及的风险要素为资产、威胁、和脆弱性。 在完成了资产识别、威胁识别、脆弱性识别，以及已有安全措施确认后，将采用适当的方法与工具确定威胁利用脆弱性导致安全事件发生的可能性，并综合安全事件所作用的资产价值及脆弱性的严重程度，判断安全事件造成的损失对组织的影响，即安全风险计算。
风险值=R（资产，威胁，脆弱性）= R（可能性（威胁，脆弱性），损失（资产价值，脆弱性严重程度））。可根据自身电子政务外网实际情况选择相应的风险计算方法计算风险值，如目前最常用的矩阵法或相乘法等。矩阵法主要用于两个要素值确定一个要素值的情形，相乘法主要用于两个或多个要素值确定一个要素值的情形。
本设计模型采用风险计算矩阵方法。矩阵法通过构造一个二维矩阵，形成安全事件的可能性与安全事件造成的损失之间的二维关系；相乘法通过构造经验函数，将安全事件的可能性与安全事件造成的损失进行运算得到风险值。
在使用矩阵法分别计算出某个资产对应某个威胁i，某个脆弱性j的风险系数[Ri，j]，还应对某个资产的总体安全威胁风险值进行计算，某个资产总体风险威胁风险=Max（[Ri，j]），i，j=1，2，3…。组织所有资产的威胁风险值为所有资产的风险值之和。
3.3 对风险计算模型的改进
在风险值=R（A，T，V）的计算模型中，由资产赋值、危险、脆弱性三元组计算出风险值， 并没有把安全防护措施因素对风险计算的影响考虑在内，该文把风险值=R（A，T，V）改进为风险值=R（A，T，V，P），其中P为安全防护措施因素。P因素不仅影响安全事件的可能性，也影响安全事件造成的损失，把上面的公式改进为风险值=R（L（T，V，P），F（Ia，Va，P ））。对于L（T，V，P），F（Ia，Va，P ）的计算可以采用相乘法等。如果采用矩阵法，对L（T，V，P）的可以拆分计算L（T，V，P）=L（L（T，V），L（V，P））。
在计算出单个资产对应某个脆弱性、某个威胁、某个防护措施后的风险值后，还应总体上计算组织内整体资产面临的整体风险。单个风险（一组风险）对其它风险（一组风险）的影响是必须考虑的，风险之间的影响有风险之间的叠加、消减等。有必要对风险的叠加效应、叠加原理、叠加模型进行研究。
3.4 风险结果判定
为实现对风险的控制与管理，可以对风险评估的结果进行等级化处理。可将风险划分为10，等级越高，风险越高。
风险等级处理的目的是为风险管理过程中对不同风险的直观比较，以确定组织安全策略。组织应当综合考虑风险控制成本与风险造成的影响，提出一个可接受的风险范围。对某些资产面临的安全风险，如果风险计算值在可接受的范围内，则该风险是可接受的，应保持已有的安全措施；如果风险计算值高于可接受范围的上限值，则该风险是不可接受的，需要采取安全措施以降低、控制或转移风险。另一种确定不可接受的风险的办法是根据等级化处理的结果，不设定可接受风险值的基准，对达到相应等级的风险都进行处理。
参考文献：
[1] 国家电子政务外网管理中心.关于加快推进国家电子政务外网安全等级保护工作的通知[政务外网[2011]15号][Z].2011.
[2] 等级保护、风险评估和安全测评三者之间的区别与联系[EB/OL].http：///faq/faq.php？lang=cn&itemid=23.
[3] 赵瑞颖.等级保护、风险评估、安全测评三者的内在联系及实施建议[C].第二十次全国计算机安全学术交流会论文集，2005.
[4] 李煜川.电子政务系统信息安全风险评估研究――以数字档案馆为例[D].苏州：苏州大学，2011.
[5] 陈涛，冯平，朱多刚.基于威胁分析的电子政务信息安全风险评估模型研究[J].情报杂志，2011（8）：94-99.
一、传统风险导向审计模型
传统风险导向审计也称为控制风险导向审计，是指审计人员在审计过程中将风险分析、评价与控制融入传统审计方法之中，进而获取审计证据，形成审计结论的一种审计取证模式。
模型（审计风险=固有风险×控制风险×检查风险）可以解决交易类别、账户余额、披露和其他具体认定层次的错报，发现经济交易和事项本身的性质和复杂程度发生的错报，发现企业管理当局由于本身的认知和技术水平造成的错报，以及企业管理当局局部和个别人员舞弊和造假造成的错报，从而将审计风险控制在比较满意的水平。
二、现代风险导向审计模型
风险导向审计也称为经营风险导向审计，是指以被审计单位的战略经营风险为导向，通过“战略分析――流程分析――经营业绩评价――财务报表剩余风险分析”的基本思路，将会计报表重大错报风险和经营风险联系起来，从而提出了审计师从源头分析和发现会计报表错报的观念。
2003年10月国际审计和保证准则委员会（IAASB）了国际审计准则第315号（ISA315）： “了解被审计单位及其环境并评估重大错报风险”，将传统风险导向审计下的审计风险模型修改为：审计风险＝重大错报风险×检查风险，明确规定了审计工作以评估财务报表重大错报风险作为新的起点和导向。
三、两个模型的比较
传统风险导向审计模式与现代风险导向审计模式的本质区别在于审计理念和审计技术方法的不同，后者是对前者的改进，其主要区别如下：
（一）审计起点不同。传统风险导向审计方法通过综合评估固有风险和控制风险以确定实质性测试的范围、时间和程序，由于固有风险难以评估，审计的起点往往为企业的内部控制。
现代风险导向审计方法通过综合评估经营控制风险以确定实质性测试的范围、时间和程序，其审计起点为企业的战略系统及其业务流程。假如企业的业务流程不重要或风险控制很有效，则将实质性测试集中在例外事项上。这种新模式的优点是将审计的重心前移到风险评估，这将有利于充分识别和评估会计报表重大错报的风险，因此主要针对风险设计、实施控制测试和实质性测试程序。此外，注册会计师轻易全面把握企业可能存在的重大风险，有利于节省审计成本，克服因缺乏全面性观点而导致的审计风险。
（二）风险评估识别以分析性复核程序为中心。现代风险导向审计注重运用分析性复核程序，以识别可能存在的重大错报风险；而传统风险导向审计对于信息的再加工程度不高，分析性程序主要用在报表分析上。分析性复核程序已成为现代风险审计方法最重要的程序，为适应分析性程序功能扩大的要求，分析性程序开始走向多样化：在数据分析上，不但对财务数据进行分析，也要对非财务数据进行分析；在分析工具上，借鉴现代治理方法，把战略分析、绩效分析、财务分析以及前景分析等分析工具运用到风险评估之中，使风险因素不再唯一，变一元风险评估为多元风险评估，使得出的风险评估结果更加可靠。
（三）风险评估方式由直接评估转变为间接评估。传统风险导向审计的风险评估是一种直接的方式，即直接评估重大错报的概率。现代风险导向审计模式是从经营风险评估入手，间接地对审计风险进行评估，因为经营风险越高，审计风险也越大，也就是治理舞弊的可能性越大；并且从经营风险中能更有效地发现财务报表潜在的重大错报，因为财务报表是经营的反映，假如经营风险未能在报表中得到体现，则财务报表很可能失真。此外，会计政策、会计估计的合理性评估也只有从经营风险入手，才能进行正确的评估。
（四）审计程序实施具有个性化。传统风险导向审计模式的审计程序是标准化形式，对不同的被审计单位都使用标准相同的审计程序，其缺陷是没有充分贯彻风险导向审计思想，使注册会计师无法突破客户预先设置或防范的措施，难以做出正确的审计结论。现代风险导向审计方法要求注册会计师将评估及识别的审计风险与实施的审计程序相结合，针对不同客户以及客户不同的风险领域实施个性化的审计程序。
（五）审计证据的内涵扩大。在现代风险导向审计方式下，审计重心向风险评估转移，审计证据也由内部向外部转移。因此，注册会计师必须充分了解企业整体经营环境，由此评估客户的经营及审计风险，同时必须从外部取得大量的外部证据来证实风险评估的恰当性。风险导向审计模式下，注册会计师形成审计结论所依据的审计证据不仅包括实施控制测试和实质性测试获取的证据，还包括了解企业及其环境获取的证据。
（六）扩充了内部控制要素。传统风险导向审计方法下的内部控制是指被审计单位为了保证业务活动的有效进行，保护资产的安全和完整，发现、纠正错误与防止舞弊，保证会计资料的真实、合法、完整而制定和实施的政策与程序。内部控制要素包括控制环境、会计系统和控制程序。现代风险导向审计方法下的内部控制是指被审计单位为了合理保证财务报告的可靠性、经营的效率和效果以及对法律法规的遵循，由治理当局和其他人员设计和执行的政策和程序。内部控制的三要素扩充为五要素，即控制环境、被审计单位的风险评估过程、与财务报告相关的信息系统和沟通、控制活动和对控制的监督。
（七）对注册会计师的专业知识提出了更高要求。现代风险导向审计下审计结果主要依靠风险评估，要求把握现代治理知识和行业知识（包括市场、研发、生产等方面），这对注册会计师提出了更高的要求。注册会计师应该是复合型人才，不但要把握一般常用分析工具，还要接受现代治理知识和行业专业知识培训。
内容摘要:宏观环境风险因素通过与企业内部风险因素的的共振影响企业的生产经营。形成这种内外共振的必要条件就是内、外两个风险因素具有相同的频率。共振的振幅巨大对企业的破坏力企业难以承受。为了避免共振现象的发生,企业要不断完善自己的风险评估方法。基于共振理论的风险评估方法弥补了现有评估方法各个环节衔接不当的缺陷,统筹考虑内外部风险因素,使风险评估工作更加准确。
关键词:风险 共振 集合
风险评估概述
(一)风险概述
风险的定义。一些学者把风险定义为损害发生的可能性。与上述意见不同,另外一些经济学家把风险定义为损失发生的不确定性,还有一种意见,把风险定义为预期与实际结果的偏离。在本文中,将风险定义为对企业的生存、发展造成损害的可能性,对其控制不当的结果是预期与实际结果的偏离。
风险的分类。风险按其来源分类,可以分为来自企业内部的风险和来自企业外部的风险,简称为内部风险和外部风险。内部与外部的划分,是以企业为界限的。
内部风险。内部风险是指来源于企业系统内部的会对企业的生存、发展造成损害的可能性,如果对内部风险控制不当,会造成企业运行结果与预期目标的偏离。
外部风险。外部风险是指来源于企业系统之外的宏观市场环境中会对企业的生存、发展造成损害的可能性,即宏观环境风险。虽然这些风险发生于企业系统之外,但仍然会对企业产生影响,如果没有及时地发现和应对这些风险,仍然会造成企业目标的偏离。
(二)风险评估
风险评估是对影响企业目标实现的现有的和潜在的风险进行识别和度量并进行评价的过程。广义的风险评估涵盖风险管理的各个要素,而狭义的风险评估仅指对风险的识别和度量。本文所指的风险评估是指狭义的风险评估,即仅包括风险识别、风险衡量和风险评价,重点关注导致风险发生的潜在风险因素、风险发生的可能性大小和风险发生后对企业的影响程度。
基于共振理论的风险评估方法的提出
(一)共振理论的启示
共振理论概述。共振理论是指两个或两个以上的物体具有相同的振动频率,一个物体振动会引起另一个物体的振动,并且在共振情况下的振幅要比单个物体自己振动的振幅要大。由此可见,共振发生的条件是频率相同。共振具有传递性,一个本来静止的物体,可以由另一个物体的振动引起自己的振动。而共振的结果很重要,它的振幅要比单个物体自己振动的振幅要大,具有更强的破坏性。
用共振理论解释企业风险的爆发。本文把企业内、外部的各种风险都进行细分为单个的风险因素,对于各风险因素来讲,其频率就是导致风险因素爆发的根本原因,那么包含了所有内部风险因素频率的集合将其定义为内部风险频率集。同理,将包含了所有宏观环境风险因素的频率的集合称为宏观环境风险频率集。再对这两个集合求交集,即得出风险频率交集,在这个集合中的频率就是将会发生共振的频率。
基于共振理论的定义,在这个交集中的频率是内、外部风险共有振动频率,满足共振的基本条件。而共振具有传递性,本来在企业中处于静止状态的内部风险因素,可能由于宏观环境中风险的振动而随之振动起来,使企业的风险加剧。特别值得关注的是,内、外部风险因素共振造成的破坏力要远大于其单个振动时的破坏力,所以具有这样频率的风险因素是需要重点关注的。
这就可以解释为什么市场环境不好时,失败的企业数量大幅上升,就是因为宏观环境风险频率集变大,与内部风险频率集发生共振的机会就大,而共振产生的破坏力强,一旦超过了企业的承受能力,企业便会走向失败。通过这一理论也可以解释企业的成败是内外部共同作用的结果,如果内部控制系统完美,宏观环境风险没有作用的切入点,那么再坏的环境也不会影响企业。但是,企业没有静止的,只要运动就会伴随着风险。为了更好地应对风险,就要求企业做好风险评估工作。
(二)基于共振理论的风险评估方法概述
1.现有的风险评估方法的缺陷,表现为:
没有系统的评估方法。目前,风险评估的方法虽然多种多样,但其着眼点仅是风险评估中的某一个具体环节,并没有形成完整、系统的评估体系,各个环节各自为战严重地削弱了评估方法的系统性。
忽视外部因素的影响。现在的评估方法,几乎将全部评估重点都放在企业内部因素上,即使有涉及到外部环境因素的,也只是赋予少部分的权重,没有考虑内外因的相互关系。外因是通过内因起作用的,所以不仅要考虑到外部环境因素的作用,也要研究它和内部因素的相互作用关系。
2.基于共振理论的风险评估方法。针对现有风险评估方法的不足之处,本文提出基于共振理论的风险评估方法,力求形成一套贯穿风险识别、风险衡量和风险评价的完整的风险评估体系,并在重视内部因素的同时,考虑外部环境因素的影响。通过分析外部环境因素与内部因素的相互作用关系,对内部风险因素进行修正。通过共振矩阵系统的反映风险评估的各个环节。在重视内部风险的同时,通过共振系数和相关系数显示出环境对于企业的影响作用,力求使评估结果更加准确和切合实际。
基于共振理论的评估方法的具体操作
(一)识别内、外部风险
企业内部风险及其识别。企业内部风险是指来自于企业内部的,由于经营不善或者管理疏漏而形成的风险。它是企业风险的直接来源。企业内部风险由于产生于企业内部,所以企业具有主动权,能够对这类风险施加控制和影响。主要包括营运风险、组织风险、财务风险、人事风险、信息系统风险等。
企业可以以现有的风险清单为基础,从中找出企业中存在的风险因素,但这只有标准化的风险因素。而每个企业都有自己特定的内部环境,许多特有风险因素没有出现在风险清单里。针对这些特有风险,可以运用控制自我评估的方法将其识别出来,以使企业的风险识别工作更加全面。
宏观环境风险及其识别。企业宏观环境,是指那些会给企业带来市场机会或环境威胁的主要社会力量,直接或间接地影响企业的管理。主要包括政治和法律环境、经济环境、科技环境、社会文化环境及自然环境等。宏观环境风险就是在这些环境中存在的对企业构成威协的风险。
在对宏观环境风险进行识别时,可以借鉴战略管理中的PETS分析法并结合企业实际按照政治和法律环境风险、经济环境风险、科技环境风险、社会文化环境风险和其他环境风险进行识别。
(二)构建共振矩阵
首先将整个风险系统分为内部风险系统和宏观环境风险系统,将内部风险系统再向下细分为若干个风险子系统,如营运风险子系统、信息风险子系统、销售风险子系统等。进一步把风险子系统再细分为具体的内部风险因素,记作Ii(i=1,2,3…)。同理,让宏观环境风险系统细分为若干个风险子系统,如政治环境风险子系统、经济环境风险子系统、科技环境风险子系统等,再将各风险子系统中的宏观环境风险因素识别出来,记作Oj(j=1,2,3…)。在此基础之上,构建共振矩阵(如图1)。
共振矩阵是用于列示企业的所有内、外部风险因素的矩阵,其横坐标为内部风险因素,纵坐标为宏观环境风险因素。这样矩阵中各交叉点显示的都是内外部风险的相互作用系数,即后述的共振系数和相关系数。风险矩阵的最大优点在于可以把任何一对内外部风险因素结合起来,评估其相互作用关系,也就是将内外部风险统筹考虑。
(三)进行风险衡量
衡量风险因素的变异程度。本文使用变异程度测定的方法,用变异系数衡量指标的偏离程度。值得注意的是,有一些风险因素是指标形式的,便于量化考核。但有一些指标是定性的,难于量化,这时可以使用专家打分的方法,将这些风险因素量化。变异系数的计算公式为:
其中,V是风险因素的变异系数,用于衡量风险因素与预期指标的偏离程度;S是该风险因素的标准差;X是期望值,在这里可以使用企业的理想指标作为期望,这样计算出的变异系数即是实际与预期的偏离程度,也是风险爆发后的结果。
计算共振系数。如前文所述,那些具有出现在风险频率交集中的频率的风险因素是重点要关注的风险因素。由于共振的破坏力远大于单个风险因素振动时造成的影响,所以那些内外部共振的风险因素的变异系数要以乘数倍增加,这个乘数称之为“共振系数”,记作Gij。但是,在物理学上尚没有计算共振产生的振幅的计算方法,通常都是通过测量得出。之于风险评估工作来说就要依据行业和企业历史数据,利用风险评估人员的经验和个人素质进行评估,估算出一个共振系数,但可以肯定的是共振系数一定大于1。
计算相关系数。相关系数是用于说明两个风险因素间相互作用关系的系数,它的取值范围为[-1,1]。取值为正说明内外部风险正相关,即宏观环境对内部风险因素有放大作用;反之,取值为负,说明内外部风险负相关,即宏观环境对内部风险因素有抵销作用。
(四)风险评价
在进行风险评价环节,首先将所权重分配给各风险子系统,即Wi使之和为1,再在各风险子系统内进行分配权重,分配至各风险因素,即wi,风险子系统内的权重之和也为1,并在风险矩阵中注明。之后,将在风险衡量环节得出的变异系数Vi填入风险矩阵,wi与Vi的乘积即为没有进行修正时的评价结果。但这是不准确的,接下来对这一结果进行修正。所有的相关系数有正有负,其取值范围为[-1,1]。若计算出的相关系数为负数,即表明宏观环境对内部风险因素有弥补作用,则用变异系数Vi乘上(1+相关系数);反之,如果相关系数为正且不为1时,说明宏观环境对内部风险因素有扩大作用,也用变异系数Vi乘以(1+变异系数);而当相关系数为1时,即产生了共振效应,为了与之区别,用共振系数Gij表示。而Gij的取值大于2,其具体数值由评估人员估计产生。由此,可以推出Vi'=[∑(1+Rij)+∑Gij]Vi。最后,得到最终评价结果∑wiVi'。这个结果数值越大,说明与预期偏离越远,说明企业的风险越大;反之,数值越小,说明越与预期值相符,企业面临的风险越小。
参考文献:
1.刘钧.风险管理概论.清华大学出版社,2008
2.James Roth,Ph.D. 郑桓圭译.最佳内部控制评估实务―自我评估与风险评估.中国内部审计协会,1999
3.徐二明.企业战略管理.中国经济出版社,2006
4.杜莹芬.企业风险管理.经济管理出版社,2008
关键词：消费品安全 政府监管 风险评估 诺模图法 风险矩阵法 RAPEX法
中图分类号：F76 文献标识码：A 文章编号：1674-098X（2014）11（c）-0155-04
欧盟委员会（EC）的2004 RAPEX方法[1]是首个得到政府监管机构广泛应用的消费品安全官方风险评估方法。非政府学术组织EuroSafe在2005年设立风险评估工作组（EuroSafe WGRA），EC在其研究成果基础上形成了2010 RAPEX方法[2]，该方法是目前欧盟各成员国政府的正式官方评估方法[3]。受EC健康与消费者保护总司（DG-SANCO）资助的EMARS项目（它提出了著名的锤子案例[4]）、英国RPA[5]等风险研究机构都致力于不断发展消费品安全风险评估方法。在正式评估方法中，除了RAPEX方法，诺模图法、风险矩阵法也得到广泛应用[3-5]。而欧盟REACH法规的技术指南文件（TGD）、国际化学品安全规划署（IPCS）的“Risk Assessment Terminology”（2004年），联合国粮农组织/世界卫生组织（FAO/WHO）的“Food Safety Risk Analysis”（2006年）、国际风险管理理事会（IRGC）的“White Paper”（2006年）提供的化学危害风险评估方法主要适用于消费品生产过程[3-5]。美国消费品安全委员会（CPSC）主要应用定性风险评估方法对消费品安全进行A、B、C三级管理，CPSC也使用“安全饮用水法案”（SDWA，1996年）中的评估规则[6]，CPSC在化学危害定量评估方法上遵循美国国家科学委员会的NAS指南（1994年）[7]。国际标准化组织的消费者政策委员会（ISO COPOLCO）的指南文件“Consumer product safety a practical guide for suppliers”（2006年）及其标准则主要适用于消费品的设计及生产阶段[3-5]。中国的消费品安全风险评估通则（GB/T22760，2008年）与RAPEX方法基本一致[8]。
该文以政府监管视角选择最广泛使用的2004 RAPEX、2010 RAPEX方法、诺模图法和风险矩阵法应用案例进行比较分析[3-5]，并分析消费品安全风险评估方法的进一步发展方向。
1 消费品安全风险评估基本流程
风险和风险评估在各个领域的定义和方法有所不同。在产品安全评价理论中，风险通常表示为伤害事件的发生概率及严重程度的函数，各种消费品安全风险评估方法的基本评估流程是大同小异的，均是在识别消费品危险的基础上，估计各风险要素的程度（至少包括两个基本风险要素：伤害的严重程度和伤害的发生概率），然后用模型将各风险要素合成风险水平/等级（批量评估应先确定单体风险水平）。各个方法的主要区别在于将其他风险要素（例如消费者属性、危险可获得性和危险暴露参数等）的考虑置于哪个阶段，是置于危险识别阶段，还是置于严重程度估计、发生概率估计阶段，抑或直接作为独立风险要素与两个基本要素进行合成（图1）。
在消费品供应链的不同阶段实施安全风险评估应选择与该阶段相适应的风险评估方法，相关评估方法按适用范围分类如图2所示（参考了参考文献[3]，但做了补充和修改）。对于政府监管机构而言，更关心的是准备上市和上市后的消费品安全风险，即：消费品在上市时应符合安全的一般要求，而在上市后只要发现产品存在严重安全风险就应及时隔离（risk averse）。因此，以政府监管视角研究上市阶段和上市后消费品安全风险评估方法的有效应用具有必要性。
4 讨论
（1）从应用案例可看出，2010 RAPEX
法与2004 RAPEX法的主要区别在于：2010 RAPEX法将消费人群区分、风险缓减要素区分从后置改为前置，严重程度和发生概率的分等进行了扩充，消费人群区分、风险缓减要素区分仍由主观判定。两个方法中风险要素的打分主观性强，要求评估人员具备足够的专业知识和足够准确的数据来源。未来的评估方法可能将消费人群作为独立风险要素进行识别和估计，在消费品化学危害日益受到重视的情况下，消费人群区分可能相应调整，例如孕妇可能作为弱势人群进行考虑。
（2）斯洛文尼亚诺模图法的输入参数比其他方法增加，各参数的分等扩充，其评估输出（风险等级）相应细化。与RAPEX法比较，它识别出火灾危险风险高于其他危险。危险事件发生时，火灾更容易造成群死群伤，因此该评估结果与事实也是相符的。
（3）比利时风险矩阵法引入了暴露程度这一参数扩充矩阵维度。对后果严重性的赋值中，该方法对导致“所有使用者和旁观者死亡”“所有使用者死亡”“数人死亡”和“一个死亡”的严重度分别区分，且从100分到15分赋值，区分度极大，但在政府监管角度，对“死亡”后果均应0容忍，评估时应加以注意。
（4）该文在参阅相关文献时，发现各个评估方法应用的术语高度不一致。如果对术语名称翻译和定义不加以界定明确，可能导致对同一危险信息，各评估方法的参数输入不一致，其输出大相径庭。
（5）目前的评估方法对化学危害风险的识别能力偏弱。例如对“长期药物接触和辐射暴露”伤害的严重程度从轻到重划分为“腹泻呕吐局部症候”“可逆的内脏损害”“神经系统损害、不可逆的内脏损害”“癌症（白血病）、影响生殖、影响后代、中枢神经系统抑郁症”四等的划分尚嫌粗。欧盟REACH法规的技术指南文件提供了一种化学危害风险评估的有价值的思路。
（6）目前对评估方法的发展研究主要集中在评估模型的改进，从定性向定量向模糊评价发展，但实证研究表明，作为简单、快速、经济、有效（risk averse）和有决断力（resolved）的方法，定性风险评估能对消费品安全风险进行有效评估[3-5]。在政府监管视角，最好把资源直接用于减小风险的努力，而不是尽量达到风险评估的绝对精确。实际上，定量风险评估的大部分输入数据是高度主观的，同时，要生成确切的输出，它要求有一个详尽和全面的时间链模型，这对范围极广的现代消费品领域是难度极大的。对定性风险评估方法而言，应减小评估的主观性，重点应研究伤害严重程度和发生概率的科学分等，其基础工作是尽早形成共享的消费品伤害数据库。
（7）从应用案例可看出，各个评估方法均基于各风险因子相对独立的假设，从而对各个风险因子独立进行评估。有学者研究认为，某些风险因子具有相互联系和影响关系，具有连通性（connectivity），并引入了连通性矩阵的概念，但这一理论在消费品领域尚未有成熟应用。
5 结论
（1）以政府监管视角来看，2004 RAPEX、2010 RAPEX方法和斯洛文尼亚诺模图法均能对消费品安全风险进行有效评估。
（2）未来消费品安全风险评估方法的发展，首先应统一规范术语使用以改善评估的一致性；其次应发展伤害严重程度和发生概率的科学分等体系以减小评估的主观性；另外应注重消费品化学危害风险评估方法的研究。
参考文献
[1] Guidelines for the management of the Community Rapid Information System（RAPEX）and for notifications presented in accordance with Artide 11 of Directive 2001/95/EC[R]，Commission Decision 2004/418/EC of 29 April 2004.OJ L 151，2004.
[2] Commission Decision of 16 December 2009 laying down guidelines for the management of the Community Rapid Information System‘RAPEX’established under Artide 12 and of the notification procedure established under Artide 11 of Directive 2001/95/EC（the General Product Safety Directive） （notified under document C（2009） 9843）[R]，Commission Decision 2010/15/EU of 26 January 2010. OJ L 22， 2010.
[3] Dirk van Aken.Related risk assessment activities[R].Hague： Voedsel en Waren Autoriteit， 2007.
[4] Enhancing Market Surveillance through Best Practices（EMARS）project.Product Safety-Best Practice Techniques in Market Surveillance[R].Amsterdam： EMARS，2013.
[5] Pete Floyd， Tobe A.Nwaogu，Rocio Salado，et al.RPA REPORTAssured Quality-Establishing a Comparative Inventory of Approaches and Methods Used by Enforcement Authorities for the Assessment of the Safety of Consumer Products Covered by Directive 2001/95/EC on General Product Safety and Identification of Best Practices [R].J497/GPSD Implementation， Norfolk：Risk & Policy Analysts Limited（RPA），2006.
[6] CPSC.Research & Statistics-consumer opinon surrveys[EB/OL].（2014-10-20）[2014-4-29].http：//cpsc.gov/en/Research Statistics.
[7] National Research Council.Science and Judgment in Risk Assessment （1994）[M].Washington D.C.：National Academy Press，1994.
关键词：风险导向审计；审计模式；适用性分析
随着国内外重大审计失败事件的不断发生，风险导向审计作为一种重要的审计理念和方法，受到审计职业界和学者的关注。中国注册会计师协会在2004年10月了新的审计风险准则征求意见稿，要求注册会计师在审计中使用现代风险导向审计方法，实施风险评估程序，降低审计风险，提高审计质量。如果审计风险准则一旦正式生效，将使我国的审计风险准则与国际接轨，并引导中国注册会计师实务由传统风险导向审计向现代风险导向审计转变。因此，对现代风险导向审计模式的理解以及在我国的适用性分析就显得十分重要。
一、风险导向审计概述
随着社会经济的发展变化，审计方法适应审计环境的变化经历了三个发展阶段：一是审计发展的早期，由于企业组织结构简单、业务性质单一，注册会计师的审计工作目的是为了促使受托责任人在授权经营过程中做出诚实、可靠的行为，审计方式是详细审计。审计的重心在资产负债表，是对会计凭证和账簿的详细审计，旨在发现和防止错误与舞弊，这种审计方法就是账项基础审计方法（accountingnumber-basedauditapproach）。二是从1950年代起，以内部控制测试为基础的抽样审计在西方国家得到广泛应用，这种审计方法重点在于注册会计师了解、测试和评价内部控制设计的合理性和执行的有效性。对内部控制存在缺陷的环节，注册会计师通常将其涉及交易和账户余额作为审计的重点，甚至进行详细审计；对于可以信赖的内部控制环节，通常将其涉及的交易和账户余额进行抽样审计，以提高审计效率和降低审计费用。从方法论的角度，这种审计方法被称作制度基础审计方法（system-basedauditapproach）。三是1970年代以后，由于制度基础审计方法显露缺陷，一种新的、以风险防范为基础的风险导向审计模式逐渐兴起，从方法论的角度，注册会计师以审计风险模型为基础进行的审计方法称为风险导向审计方法（risk-orientedauditapproach）。
回顾审计方法的发展历程，风险导向审计模式已成为审计方法发展的国际趋势。风险导向审计模式合理地扬弃了作为制度导向审计模式基础的“无利害关系假设”，把指导思想建立在“合理的职业怀疑假设”的基础上，不只依赖对被审计单位管理层所设计和执行内部控制制度的检查与评价，而且实事求是地对公司管理层是否诚信、是否有舞弊造假的驱动始终保持一种合理的职业警觉，将审计的视野扩大到被审计单位所处的经营环境（微观、中观乃至宏观），将风险评估贯穿于审计工作的全过程。与传统的制度基础审计相比较，主要有以下区别：
（一）审计模式不同
制度基础审计模式以内部控制为核心，对控制风险的评估仅通过确定内部控制的可依赖程度来减少实质性测试的工作量，而对固有风险的评估常流于形式；风险导向审计模式不仅通过内部控制评估控制风险，还结合其他风险因素尤其是固有风险综合考虑，通过对企业环境、发展战略、公司治理结构等方面的评估，发现其潜在的经营风险及财务风险，并评估财务报表发生重大错报的风险，以便使审计风险降至可接受水平。
（二）审计基础不同
制度基础审计以内部控制制度为基础，根据被审单位内部控制制度的健全性及符合性评审结果，确定实质性测试的范围和重点；风险导向审计则以风险评估为基础，对影响被审单位经济活动的多种内外因素进行评估，确定审计范围、重点和方法，其不仅重视与内部控制系统直接相关的因素，而且重视各种环境因素。
（三）审计方法不同
两种审计模式都采用抽样技术，但风险导向审计是通过建立审计风险模型将风险量化。因此，相对于制度基础审计来说，风险导向审计的抽样技术是更完全意义上的审计抽样，更注重利用分析性测试方法，从而可以有效降低审计风险。
二、风险导向审计的两种模式
风险导向审计自产生以来经历了两个阶段，理论界把以传统审计风险模型“审计风险=固有风险×控制风险×检查风险”为基础进行的审计称为传统风险导向审计模式；而将1990年代后期开始，在国际会计师事务所内部推行并逐渐被审计理论与实务界接受的，以“审计风险=重大错报风险×检查风险”的模型为基础，以被审计单位的经营风险为导向的审计方法称作现代风险导向审计模式。
传统风险导向审计模式与现代风险导向审计模式的本质区别在于审计理念和审计技术方法的不同，后者是对前者的改进，其主要区别如下：
（一）审计起点不同
传统风险导向审计运用的审计风险模型中，固有风险是指假定不存在相关内部控制时，某一账户或交易类别单独或连同其他账户、交易类别产生重大错报或漏报的可能性。控制风险是指某一账户或交易类别单独或连同其他账户、交易类别产生错报或漏报，而未能被内部控制防止、发现或纠正的可能性。传统风险导向审计方法通过综合评估固有风险和控制风险以确定实质性测试的范围、时间和程序，由于固有风险难以评估，审计的起点往往为企业的内部控制（如果没有必要测试内部控制，审计的起点则为会计报表项目）。
现代风险导向审计方法通过综合评估经营控制风险以确定实质性测试的范围、时间和程序，其审计起点为企业的战略系统及其业务流程。如果企业的业务流程不重要或风险控制很有效，则将实质性测试集中在例外事项上。这种新模式的优点是将审计的重心前移到风险评估，这将有利于充分识别和评估会计报表重大错报的风险，因此，主要针对风险设计、实施控制测试和实质性测试程序。此外，注册会计师容易全面掌握企业可能存在的重大风险，有利于节省审计成本，克服因缺乏全面性观点而导致的审计风险。
（二）风险评估识别以分析性复核程序为中心
现代风险导向审计注重运用分析性复核程序，以识别可能存在的重大错报风险；而传统风险导向审计对于信息的再加工程度不够，其分析性程序主要用在报表分析上。分析性复核程序已成为现代风险审计方法最重要的程序，为了适应分析性程序功能扩大的要求，分析性程序开始走向多样化：在数据分析上不但要对财务数据进行分析，也要对非财务数据进行分析；在分析工具上借鉴现代管理方法，把战略分析、绩效分析、财务分析及前景分析等分析工具运用到风险评估之中，使风险因素不再惟一，变一元风险评估为多元风险评估，使得出的风险评估结果更加可靠。
（三）风险评估方式由直接评估转变为间接评估
传统风险导向审计的风险评估是一种直接的方式，即直接评估重大错报的概率。现代风险导向审计模式是从经营风险评估入手，间接地对审计风险进行评估，因为经营风险越高，审计风险也越大，也就是管理舞弊的可能性越大；并且从经营风险中能更有效地发现财务报表潜在的重大错报，因为财务报表是经营的反映，如果经营风险未能在报表中得到体现，则财务报表很可能失真。此外，会计政策、会计估计的合理性
评估也只有从经营风险入手，才能进行正确的评估。
（四）审计程序实施具有个性化
传统风险导向审计模式审计程序是标准化形式，对不同的被审计单位都使用标准相同的审计程序，其缺陷是没有足够贯彻风险导向审计思想，使注册会计师无法突破客户预先设置或防范的措施，难以做出正确的审计结论。现代风险导向审计方法要求注册会计师将评估及识别的审计风险与实施的审计程序相结合，针对不同客户以及客户不同的风险领域实施个性化的审计程序。
（五）审计证据的内涵扩大
在现代风险导向审计方式下，审计重心向风险评估转移，审计证据也由内部向外部转移。因此，注册会计师必须充分了解企业整体经营环境，由此评估客户的经营及审计风险，同时必须从外部取得大量的外部证据来证明风险评估的恰当性。风险导向审计模式下，注册会计师形成审计结论所依据的审计证据不仅包括实施控制测试和实质性测试获取的证据，还包括了解企业及其环境获取的证据。
（六）扩充了内部控制要素
传统风险导向审计方法下的内部控制是指被审计单位为了保证业务活动的有效进行，保护资产的安全和完整，发现、纠正错误与防止舞弊，保证会计资料的真实、合法、完整而制定和实施的政策与程序。内部控制要素包括控制环境、会计系统和控制程序。现代风险导向审计方法下的内部控制是指被审计单位为了合理保证财务报告的可靠性、经营的效率和效果以及对法律法规的遵循，由治理当局、管理当局和其他人员设计和执行的政策和程序。内部控制的三要素扩充为五要素，即控制环境、被审计单位的风险评估过程、与财务报告相关的信息系统和沟通、控制活动和对控制的监督。
（七）对注册会计师的专业知识提出了更高要求
现代风险导向审计对注册会计师的专业素质提出更高要求，其重心从会计、审计知识转向管理和行业知识。现代风险导向审计下审计结果主要依赖风险评估，风险评估的各种分析方法要求掌握现代管理知识和行业知识（包括市场、研发、生产等方面），这对注册会计师提出了更高的要求。注册会计师应该是复合性人才，不但要掌握一般常用分析工具，还要接受现代管理知识和行业专业知识训练。
三、现代风险导向审计模式在我国的适用性分析
基于上述分析，现代风险导向审计模式是审计发展的一种必然趋势。2003年10月，国际审计与鉴证准则委员会（IAASB）通过了新的审计风险准则；中注协也在2004年10日了修订后的审计风险准则征求意见稿，不仅将使我国的审计风险准则与国际接轨，同时也为提高审计质量、降低审计风险提供了技术支持。审计风险准则一旦正式生效，将引导中国注册会计师实务由传统风险导向审计向现代风险导向审计转变，会对我国的注册会计师审计理念、审计程序及审计责任产生非常大的影响。
然而，目前要在我国推行风险导向审计模式还存在一定的制约条件和需要解决的问题：
（一）会计师事务所审计成本与效益问题
实施风险导向审计模式的前提是成本能得到补偿。现代风险导向审计模式在审计计划阶段和执行控制测试阶段，注册会计师关注的范围扩大，程度加深，导致工作时间和审计成本的增加，在市场竞争激烈的情况下，成本的增加往往不可能过渡到收费的同步增加。此外，还需要一定的投入来培训注册会计师，使他们掌握业务流程和行业知识等有关方面的知识。如果这些成本得不到补偿，就会使一部分中小会计师事务所在竞争中无法生存。
（二）信息系统的建设问题
现代风险导向审计的重要特征是审计重心前移，注册会计师必须首先执行风险评估程序，充分了解客户整体经营环境，然后针对风险不同的客户、客户不同的风险领域，设计个性化的审计程序。因此，会计师事务所必须建立强大的信息系统，以便注册会计师在风险评估时了解企业的战略、流程风险管理、业绩衡量等。而目前国内很多事务所对行业风险和企业经营风险缺乏了解，客户的相关信息不够充分，信息系统的建设还达不到现代风险导向审计的要求，导致风险评估不准确。因此，风险导向审计的运用仅限于老客户，对新客户还是将大量时间用于实质性测试。
（三）审计从业人员素质问题
现代风险导向审计对审计从业人员的业务素质提出了新要求，不仅要具备丰富的审计理论和实践经验，还要具备必需的管理学知识和经济学知识，能够运用系统的、战略的观点充分了解、分析企业所处的宏观经济环境和行业发展状况，对有可能导致企业会计报表错报风险的内外部因素进行客观、系统的分析与评价，将审计视角扩展到内部控制以外，从较高层面上评估风险，而不是仅仅注重企业会计处理的细节。
（四）辅助审计软件的使用与完善问题
现代风险导向审计方法中分析性程序占据非常重要的地位，辅助审计软件的使用在其中发挥着重要的作用。西方发达国家大量运用分析性程序的条件是辅助审计程序的开发和运用，它可以直接对数据库进行加工分析，依据软件模型自行处理数据，使运用分析性测试程序成为节约成本的重要手段。另外，采用审计软件使统计抽样的样本更具代表性，审计抽样风险可控，为风险导向审计提供了技术支持。目前，我国在审计软件的开发和使用上不够理想，还有待提高，而且大部分注册会计师缺少相应的技术准备，在现阶段推行现代风险导向审计方法只能是一种愿望。
如上所述，目前在我国全面推行现代风险导向审计模式还受到许多制约，尽管它有很多优越之处，但在我国还不能够普遍推行。当前我国独立审计准则主要是以制度基础审计模式为基础的，而且相当一部分从事小规模企业审计工作的会计师事务所和注册会计师，基本上仍然在运用账项基础审计模式。但是，现代风险导向审计的实行是一种理念的改变，我们可将制度基础审计与风险导向审计有机结合。即使在现行审计准则仍然主要以制度基础审计模式为基础的情况下，吸取风险导向审计模式的基本观点和做法，则是完全可行的。通过把风险导向审计中控制风险的理念和方法融合到制度基础审计中，使其他审计模式忽略审计风险的缺陷得到弥补，将会为探索适合我国的现代风险导向审计模式积累有益的实践经验。
参考文献：
〔1〕陈毓圭。对风险导向审计方法的由来及其发展的认识〔J〕。会计研究，2004，（2）。
〔2〕常勋，黄京菁。从审计模式的演进看风险导向审计〔J〕。财会通讯，2004，（7）。
1信息安全风险评估的方法
1.1定性分析方法
这是评估方法具有的一个明显特点就是它的主观性较强，在风险评估人员主观上对资产风险因素所面临的威胁以及漏洞等作出评估判断的过程。它的结构构成包括故障树分析法、事件树分析法以及原因———后果法等。（1）故障树分析法。这种分析方法的适用于对风险事件的发生源之间关系以及它的深层次原因进行探究的，它的主要目的是在发现信息故障后对信息安全所进行的定性分析。从它的运行原理来看，它是把信息系统中发生的结果来作为首要解决的问题，分析总结出不愿发生事件的形成因素，从而确定出各个因素之间的逻辑关系。（2）事件树分析方法。这种方法是在原有的信息系统风险基础上，来对这些信息安全风险事件发生可能产生的风险结果进行详细的分析探究，它的分析工作开展的一个显著特点就是需要对序列组中可能发生的危险事故的结果进行合理的列举，需要注意的是这并代表是最后的结果，只是其中的一个环节，但是它的缺点就是不适于进行大范围的普适。（3）原因———后果分析方法。这种分析方法从运行原理的实质上来看，它是对前两种分析方法的一种融合，它是前两种分析方法所具有显著特点的结合，但是，这种方法也有应用的缺点，就是它在大型的、复杂的信息系统中应用并起不到应有的效果。
1.2定量分析方法
这种分析方法是对定性方法的一种改进，削弱了定性方法的主观性，但是在一些大型复杂的信息系统中，就很可能造成一些定量数据难以获得，需要浪费较多的时间成本，基于此，它的应用最为广泛的是定量的故障树分析法和风险评审技术两种。
1.3定性分析和定量分析相结合的方法
这种两相结合的方法在现代应用领域中是最为常见的，也是最适合的形式，这两种方法相结合的主要目的是为了有效的弥补定性分析法和定量分析法之间的缺陷，因此，它的综合性就会相对强一些。这种分析模式，适用范围最为广泛的并且最为主流的是层次分析法。
2在业务流程基础上的信息安全风险评估方法
2.1信息资产的辨别
信息安全风险评估主要是针对于信息和信息处理设备所受到的威胁、影响以及威胁事件发生后所带来的损失而进行的评估预测，那么所进行评估的内容主要涉及到四个要素，即资产、威胁、漏洞以及原有的安全措施。对于这四个要素之间的关系论述，它们是属于相互关系、相互作用的因素，各自对系统风险的影响各不相同，共同构成复杂的风险评估系统工程。我们在实际的风险评估工作中，主要是对已经存在的风险提出一系列有效的安全防范措施，并依据风险措施实行采取合理的控制措施，从而使风险控制到最合理的范围内，那么这么讲就可以把它的具体实施流程划分为两大部分，即对风险的分析和对风险的控制。
2.2业务流程的风险模型分析
在业务开展的基本流程中，对于位置变动资产的识别可以在它的开始阶段就进行，这是对位置变动来说的，而对于位置固定的资产识别，就需要对每一个具体业务的节点进行逐一开展。对于位置固定资产的识别来说，因为其自身需要有大量的人工操作，因此它的风险一般是集中于业务节点环节上，并且各个节点上的风险类别、发生方式、起源以及造成的后果影响都是不相同的。此外，由于这些风险的产生是因为位置固定资产而引起的，因此，在业务流程的过程中一般只需要对位置固定资产的风险采取相应的控制措施就可以了，这样也就确保了位置别动不会对资产的保密性、完整性以及可用性造成威胁。
3总结
关键词:电子政务 信息安全
0 引言
随着电子政务不断推进，社会各阶层对电子政务的依赖程度越来越高，信息安全的重要性日益突出，在电子政务的信息安全管理问题中，基于现实特点的电子政务信息安全体系设计和风险评估[1]模型是突出的热点和难点问题。本文试图就这两个问题给出分析和建议。
1 电子政务信息安全的总体要求
随着电子政务应用的不断深入，信息安全问题日益凸显，为了高效安全的进行电子政务，迫切需要搞好信息安全保障工作。电子政务系统采取的网络安全措施[2][3]不仅要保证业务与办公系统和网络的稳定运行，另一方面要保护运行在内部网上的敏感数据与信息的安全，因此应充分保证以下几点：
1.1 基础设施的可用性：运行于内部专网的各主机、数据库、应用服务器系统的安全运行十分关键，网络安全体系必须保证这些系统不会遭受来自网络的非法访问、恶意入侵和破坏。
1.2 数据机密性：对于内部网络，保密数据的泄密将直接带来政府机构以及国家利益的损失。网络安全系统应保证内网机密信息在存储与传输时的保密性。
1.3 网络域的可控性:电子政务的网络应该处于严格的控制之下，只有经过认证的设备可以访问网络，并且能明确地限定其访问范围，这对于电子政务的网络安全十分重要。
1.4 数据备份与容灾:任何的安全措施都无法保证数据万无一失，硬件故障、自然灾害以及未知病毒的感染都有可能导致政府重要数据的丢失。因此，在电子政务安全体系中必须包括数据的容灾与备份，并且最好是异地备份。
2 电子政务信息安全体系模型设计
完整的电子政务安全保障体系从技术层面上来讲，必须建立在一个强大的技术支撑平台之上，同时具有完备的安全管理机制，并针对物理安全，数据存储安全，数据传输安全和应用安全制定完善的安全策略
在技术支撑平台方面，核心是要解决好权限控制问题。为了解决授权访问的问题， 通常是将基于公钥证书（PKC）的PKI（Public Key Infrastructure）与基于属性证书（AC）的PMI（Privilege Management Infrastructure)结合起来进行安全性设计，然而由于一个终端用户可以有许多权限， 许多用户也可能有相同的权限集， 这些权限都必须写入属性证书的属性中， 这样就增加了属性证书的复杂性和存储空间， 从而也增加了属性证书的颁发和验证的复杂度。为了解决这个问题，作者建议根据X.509标准建立基于角色PMI的电子政务安全模型。该模型由客户端、验证服务器、应用服务器、资源数据库和LDAP 目录服务器等实体组成，在该模型中：
2.1 终端用户：向验证服务器发送请求和证书， 并与服务器双向验证。
2.2 验证服务器：由身份认证模块和授权验证模块组成提供身份认证和访问控制，是安全模型的关键部分。
2.3 应用服务器： 与资源数据库连接， 根据验证通过的用户请求，对资源数据库的数据进行处理， 并把处理结果通过验证服务器返回给用户以响应用户请求。
2.4 LDAP目录服务器：该模型中采用两个LDAP目录服务器， 一个存放公钥证书（PKC）和公钥证书吊销列表（CRL），另一个LDAP 目录服务器存放角色指派和角色规范属性证书以及属性吊销列表ACRL。
安全管理策略也是电子政务安全体系的重要组成部分。安全的核心实际上是管理，安全技术实际上只是实现管理的一种手段，再好的技术手段都必须配合合理的制度才能发挥作用。需要制订的制度包括安全行政管理和安全技术管理。安全行政管理应包括组织机构和责任制度等的制定和落实；安全技术管理的内容包括对硬件实体和软件系统、密钥的管理。
3 电子政务信息安全管理体系中的风险评估
电子政务信息安全等级保护是根据电子政务系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度。等级保护工作的要点是对电子政务系统进行风险分析，构建电子政务系统的风险因素集。
3.1 信息系统的安全定级 信息系统的安全等级从低到高依次包括自主保护级、指导保护级、监督保护级、强制保护级、专控保护级五个安全等级。对电子政务的五个安全等级定义，结合系统面临的风险、系统特定安全保护要求和成本开销等因素，采取相应的安全保护措施以保障信息和信息系统的安全。
3.2 采用全面的风险评估办法 风险评估具有不同的方法。在ISO/IEC TR13335-3《信息技术IT安全管理指南:IT安全管理技术》中描述了风险评估方法的例子，其他文献，例如NIST SP800-30、AS/NZS 4360等也介绍了风险评估的步骤及方法，另外，一些组织还提出了自己的风险评估工具，例如OCTAVE、CRAMM等。
电子政务信息安全建设中采用的风险评估方法可以参考ISO17799、OCTAVE、CSE、《信息安全风险评估指南》等标准和指南，从资产评估、威胁评估、脆弱性评估、安全措施有效性评估四个方面建立风险评估模型。其中，资产的评估主要是对资产进行相对估价，其估价准则依赖于对其影响的分析，主要从保密性、完整性、可用性三方面进行影响分析;威胁评估是对资产所受威胁发生可能性的评估，主要从威胁的能力和动机两个方面进行分析;脆弱性评估是对资产脆弱程度的评估，主要从脆弱性被利用的难易程度、被成功利用后的严重性两方面进行分析;安全措施有效性评估是对保障措施的有效性进行的评估活动，主要对安全措施防范威胁、减少脆弱性的有效状况进行分析;安全风险评估就是通过综合分析评估后的资产信息、威胁信息、脆弱性信息、安全措施信息，最终生成风险信息。
在确定风险评估方法后，还应确定接受风险的准则，识别可接受的风险级别。
4 结语
电子政务与传统政务相比有显著区别，包括:办公手段不同，信息资源的数字化和信息交换的网络化是电子政务与传统政务的最显著区别;行政业务流程不同，实现行政业务流程的集约化、标准化和高效化是电子政务的核心;与公众沟通方式不同，直接与公众沟通是实施电子政务的目的之一，也是与传统政务的重要区别。在电子政务的信息安全管理中，要抓住其特点，从技术、管理、策略角度设计完整的信息安全模型并通过科学量化的风险评估方法识别风险和制定风险应急预案，这样才能达到全方位实施信息安全管理的目的。
参考文献：
[1]范红，冯国登，吴亚非.信息安全风险评估方法与应用.清华大学出版社.2006.
随着电子政务应用的不断深入，信息安全问题日益凸显，为了高效安全的进行电子政务，迫切需要搞好信息安全保障工作。电子政务系统采取的网络安全措施[2][3]不仅要保证业务与办公系统和网络的稳定运行，另一方面要保护运行在内部网上的敏感数据与信息的安全，因此应充分保证以下几点：
1.1基础设施的可用性：运行于内部专网的各主机、数据库、应用服务器系统的安全运行十分关键，网络安全体系必须保证这些系统不会遭受来自网络的非法访问、恶意入侵和破坏。
1.2数据机密性：对于内部网络，保密数据的泄密将直接带来政府机构以及国家利益的损失。网络安全系统应保证内网机密信息在存储与传输时的保密性。
1.3网络域的可控性:电子政务的网络应该处于严格的控制之下，只有经过认证的设备可以访问网络，并且能明确地限定其访问范围，这对于电子政务的网络安全十分重要。
1.4数据备份与容灾:任何的安全措施都无法保证数据万无一失，硬件故障、自然灾害以及未知病毒的感染都有可能导致政府重要数据的丢失。因此，在电子政务安全体系中必须包括数据的容灾与备份，并且最好是异地备份。
2电子政务信息安全体系模型设计
完整的电子政务安全保障体系从技术层面上来讲，必须建立在一个强大的技术支撑平台之上，同时具有完备的安全管理机制，并针对物理安全，数据存储安全，数据传输安全和应用安全制定完善的安全策略
在技术支撑平台方面，核心是要解决好权限控制问题。为了解决授权访问的问题，通常是将基于公钥证书（PKC）的PKI（PublicKeyInfrastructure）与基于属性证书（AC）的PMI（PrivilegeManagementInfrastructure)结合起来进行安全性设计，然而由于一个终端用户可以有许多权限，许多用户也可能有相同的权限集，这些权限都必须写入属性证书的属性中，这样就增加了属性证书的复杂性和存储空间，从而也增加了属性证书的颁发和验证的复杂度。为了解决这个问题，作者建议根据X.509标准建立基于角色PMI的电子政务安全模型。该模型由客户端、验证服务器、应用服务器、资源数据库和LDAP目录服务器等实体组成，在该模型中：
2.1终端用户：向验证服务器发送请求和证书，并与服务器双向验证。
2.2验证服务器：由身份认证模块和授权验证模块组成提供身份认证和访问控制，是安全模型的关键部分。
2.3应用服务器：与资源数据库连接，根据验证通过的用户请求，对资源数据库的数据进行处理，并把处理结果通过验证服务器返回给用户以响应用户请求。
2.4LDAP目录服务器：该模型中采用两个LDAP目录服务器，一个存放公钥证书（PKC）和公钥证书吊销列表（CRL），另一个LDAP目录服务器存放角色指派和角色规范属性证书以及属性吊销列表ACRL。
安全管理策略也是电子政务安全体系的重要组成部分。安全的核心实际上是管理，安全技术实际上只是实现管理的一种手段，再好的技术手段都必须配合合理的制度才能发挥作用。需要制订的制度包括安全行政管理和安全技术管理。安全行政管理应包括组织机构和责任制度等的制定和落实；安全技术管理的内容包括对硬件实体和软件系统、密钥的管理。
转贴于中国论文下载中心www
3电子政务信息安全管理体系中的风险评估
电子政务信息安全等级保护是根据电子政务系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度。等级保护工作的要点是对电子政务系统进行风险分析，构建电子政务系统的风险因素集。
3.1信息系统的安全定级信息系统的安全等级从低到高依次包括自主保护级、指导保护级、监督保护级、强制保护级、专控保护级五个安全等级。对电子政务的五个安全等级定义，结合系统面临的风险、系统特定安全保护要求和成本开销等因素，采取相应的安全保护措施以保障信息和信息系统的安全。
3.2采用全面的风险评估办法风险评估具有不同的方法。在ISO/IECTR13335-3《信息技术IT安全管理指南:IT安全管理技术》中描述了风险评估方法的例子，其他文献，例如NISTSP800-30、AS/NZS4360等也介绍了风险评估的步骤及方法，另外，一些组织还提出了自己的风险评估工具，例如OCTAVE、CRAMM等。
电子政务信息安全建设中采用的风险评估方法可以参考ISO17799、OCTAVE、CSE、《信息安全风险评估指南》等标准和指南，从资产评估、威胁评估、脆弱性评估、安全措施有效性评估四个方面建立风险评估模型。其中，资产的评估主要是对资产进行相对估价，其估价准则依赖于对其影响的分析，主要从保密性、完整性、可用性三方面进行影响分析;威胁评估是对资产所受威胁发生可能性的评估，主要从威胁的能力和动机两个方面进行分析;脆弱性评估是对资产脆弱程度的评估，主要从脆弱性被利用的难易程度、被成功利用后的严重性两方面进行分析;安全措施有效性评估是对保障措施的有效性进行的评估活动，主要对安全措施防范威胁、减少脆弱性的有效状况进行分析;安全风险评估就是通过综合分析评估后的资产信息、威胁信息、脆弱性信息、安全措施信息，最终生成风险信息。
在确定风险评估方法后，还应确定接受风险的准则，识别可接受的风险级别。
4结语
电子政务与传统政务相比有显著区别，包括:办公手段不同，信息资源的数字化和信息交换的网络化是电子政务与传统政务的最显著区别;行政业务流程不同，实现行政业务流程的集约化、标准化和高效化是电子政务的核心;与公众沟通方式不同，直接与公众沟通是实施电子政务的目的之一，也是与传统政务的重要区别。在电子政务的信息安全管理中，要抓住其特点，从技术、管理、策略角度设计完整的信息安全模型并通过科学量化的风险评估方法识别风险和制定风险应急预案，这样才能达到全方位实施信息安全管理的目的。
参考文献：
[1]范红，冯国登，吴亚非.信息安全风险评估方法与应用.清华大学出版社.2006.
[2]李波杰，张绪国，张世永.一种多层取证的电子商务安全审计系统微型电脑应用.2007年05期.
关键词：注册会计师 风险评估 风险管理 内部控制
一、引言
2010年美国公众公司会计监督委员会(Public Company Accounting Oversight Board，PCAOB)通过了新的审计准则(审计准则第8号至第15号)，以规范审计师对审计风险的评估和反应。目的是监督公众公司的审计师编制信息量大、公允和独立的审计报告，以保护投资者利益并增进公众利益。在PCAOB此次行动之前，不断有人发出强烈的信息，让审计职业人员在风险管理中扮演更积极的角色。而且PCAOB早在两年前就已经提出了实施具体风险评估准则的信息，这些准则旨在解决从最初计划到结果评估的审计过程问题。这些新准则是在审计促进成熟风险评估中非常重要的一步，可以把审计师未能发现的重大错报事故风险降到最小。PCAOB执行主席丹尼尔・格尔泽尔说一旦这些标准被采用，在审计财务申明中发现，适当计划以及实施审计以解决这些风险问题以增强投资者的信息是非常重要的。这些审计标准包括：审计风险、审计计划、审计参与监督、计划执行审计中的思考、重大错报事故的确认与评估、审计师对重大错报事故的回应、评估审计结果以及审计证据。它们贯穿了从初始计划阶段到审计结果评估的整个审计流程。PCAOB主席丹尼尔・高泽(DanielL，Goelzer)说：这些新准则的出台意味着在促进精密的审计风险评估与将审计人员未能发现重大误报的风险降至最低方面迈出了重要一步。识别风险，并通过正确地审计计划和开展审计活动来应对风险，对于提升投资者对经审计财务报表的信心是至关重要的。
二、风险评估、企业风险管理与审计风险
(一)注册会计师风险评估 风险导向审计的核心是审计风险，任何审计业务都必须将审计风险控制在可接受的风险水平内。因此风险导向审计要求注册会计师加强对被审计单位及其环境的了解，在审计的所有阶段都要实施风险评估程序，并将识别和的评估的风险与实施的审计程序挂钩，而且要求针对重大的各类交易、账户余额和列报实施实质性程序，可以说风险评估程序是风险导向审计模式落实到审计工作的核心环节，风险导向审计下审计风险模型如下：审计风险=重大错报风险×检查风险。审计风险是指财务报表存在重大错报而注册会计师发表不恰当审计意见的可能性。重大错报风险是指财务报表在审计钱存在重大错报的可能性，检查风险是指某一认定存在错报，该错报单独或连同其他错报是重大的，但注册会计师未能发现这种错报的可能性。注册会计师合理设计审计程序的性质、时间和范围，并有效执行审计程序，以控制检查风险。注册会计师采取以下方法展开审计工作：(1)注册会计师应当针对财务报表层次的重大错报风险置顶总体应对措施；(2)注册会计师应当针对认定层次的重大错报风险设计和实施进一步审计程序，包括测试控制的执行有效性以及实施实质性程序；(3)注册会计师应当评价风险评估的结果是否适当，并确定是否已经获取充分、适当的审计证据；(4)注册会计师应当将实施关键的程序形成审计工作记录。我们发现，注册会计师以针对评估的财务报表层次重大错报风险为起点，确定总体应对措施，并有针对评估的认定层次重大错报风险设计和实施进一步审计程序，以将审计风险控制在可接受的低水平。风险导向的核心是审计风险，控制审计风险的关键是风险评估程序，另一方面，企业必须准确地评价和有效地管理各项与企业成功息息相关的风险。管理层不但需要准确地了解各项业务风险以及不良控制的后果，并且能够根据所确认风险的残余影响的轻重程度分配资源和关注程度。所以注册会计师的风险评估将有利于企业的风险管理。
(二)企业的风险管理 每个企业在经营中存在各种风险，而我们这里讨论的企业风险管理中的风险概念与金融市场的风险概念有所不同，当然金融风险也是企业(特别是金融类企业)面临的风险之一，企业风险就是企业面临的可能导致企业亏损的各种不确定性事件，降低企业的价值。所以风险管理需要做的就是尽量避免这种不确定性事件的发生，或者是降低不确定性事件发生后对企业造成的损失。企业风险管理包括四个环节：风险识别、风险评估、风险应对、风险监察。第一，风险识别是指尽力识别可能对企业取得成功产生影响的风险，包括整个业务面临的较大的风险，以及与每个项目或较小的业务单位关系的风险，识别潜在风险可以认识到企业面临的各种风险类型，而且风险识别程序应该在企业内的多个层级得以执行，这与注册会计师的风险评估贯彻于整个审计过程一样。第二，风险评估是在识别了各种风险后，对风险的的性质、风险的类型、风险的发生频率等进行评价，这种评价最主要分为两方面，一个是影响，另一个是可能性，企业可能还会采用敏感性分析或者决策树等方法对风险的性质进行全面的认识。这与注册会计师的风险评估相似，不过更加具体、全面。第三，风险应对是指对上述评估的风险采取相应的措施，以避免该风险对企业产生的损失，风险应对的策略包括风险降低(如分散投资，就是一种降低风险的措施)，风险消除(使得该风险事件发生的概率降低为零)，风险转移(将风险的后果采用保险、合同等方式转移出企业)，风险保留(定期风险复核、控制风险情境)。第四，风险监察是指企业监测目标的实现过程，关注新的风险和相关损失，企业需要对风险进行监察，并在需要时不断作出调整。风险检查者定期检查正在发生的亏损，以了解他们的控制建议得以实施，并设计过程来改善风险管理的过程，制定一项战略来应对出现的新风险。
(三)风险评估与经营风险、审计风险 企业的风险识别是风险管理的第一步，是指对企业面临的，以及潜在的风险加以判断、归类和鉴定风险性质的过程。企业的风险一般可以分为两类：系统风险和非系统风险。系统风险是由公司之外的各种因素引起的，如战争、经济衰退、通货膨胀、高利率等与政治、经济和社会相联系的风险，是不能通过多元化投资而分散的，因此又称作不可分散风险或市场风险。非系统风险也被称作可分散风险，它是由公司本身的商业活动和财务活动带来的，如企业的管理水平、研究与开发、消费者需求的改变、市场营销风险以及法律诉讼等，其可以通过多元化投资组合而分散，是公司特有的风险。而现代风险导向审计将风险评估、风险应对与审计程序联系起来，这就使得注册会计师审计不仅仅是出具审计报告的鉴证业务，也可以起到促进企业风险管理的作用，注册会计师审计过程中必须进行风险评估，风险评估的过程是为了能够获得尽可能准确的财务报表重大错报风险信息，以控制审计风险，企业风险管理的过程是为了控制企业经营风险，从审计风险与企业经营风险的关系，我们发现：其一，风险评估是指评估被审计单位风险，评估的过程是企业风险管理中的一个环节，所以在性质上他们具有相似性。其二，风险评估的程序包括：了
解被审计单位及其环境、了解被审计单位的内部控制等，而风险管理也需要进行这些工作，方法包括：观察、检查、分析程序，穿行测试等。风险评估。其三，风险评估的目的相同：对于注册会计师而言，风险评估的目的是为了了解被评估的财务报表重大错报风险，并且制定风险应对措施，有效地实施审计程序；对于企业而言，风险评估的目的是为了控制企业的风险点，防止企业出现亏损的不利情况而实现企业价值增值。风险评估使企业考虑潜在事项如何影响目标的实现。管理当局应从两个角度对事项进行评估：可能性和严重程度，并且通常采用定性和定量相结合的方法。在不要求定量化的地方，或者在定量评估所需的可靠数据无法取得或获取和分析数据不具有成本效益时，管理者通常采用定性评估技术。定量技术精确度更高，通常应用在更加复杂的活动中，以对定性技术进行补充。评估风险时既要考虑固有风险，也要考虑剩余风险。固有风险是管理当局没有采取任何措施来改变风险的可能性或影响的情况下，一个企业所面临的风险。剩余风险是在管理当局应对风险后所残余的风险。审计中注册会计师更多关注的是审计风险以及企业的经营风险，但是对于企业其他风险管理(如制度风险管理、法律风险管理)考虑不足，当然这是注册会计师收益成本分析后的结果，但是注册会计师必须区分企业经营风险与审计风险，经营风险是指实现不了经营目标和战略的可能性，经营失败是经营风险的扩大化，指企业由于经济或经济条件的变化而无法满足投资者的预期，经营失败的极端情况是申请破产。诚然企业经营失败可能使得注册会计师面临审计诉讼，经营风险与审计风险有一定的相关性，但风险导向的核心是审计风险，而不是企业的经营风险。
三、注册会计师风险评估与企业风险管理关系
(一)二者时间发展顺序 环境变化促使越来越多的企业实施全面风险管理，也促进了风险导向审计的发展：从20世纪90年代开始，随着新的科技技术和经济全球化带来企业组织结构虚拟化、集约化、专业化及扁平化等新的商业特征，许多跨国公司开始实施全面风险管理方法，一些国际咨询公司和会计师事务所也开始运用这一概念并将其同咨询或审计业务相结合。全面风险管理体系正在随着企业治理的完善而越发受到重视，风险管理的概念逐步引入到我国的企业中，使得我国企业的风险管理工作纳入了公司治理的范围。2004年9月，COSO了《企业风险管理框架》。该框架是在《内部控制――整体框架》报告的基础上，结合《萨班斯――奥克斯法案》在报告方面的要求，明确提出企业风险管理是由企业董事会、管理层和其他员工共同参与，应用于企业战略制定，以及企业内部各层次和部门，用于识别可能对企业造成影响的事项，管理风险为企业目标的实现提供合理保证。同时该框架还指出：企业风险管理框架由内部环境、目标制定、事项识别、风险评估、风险反应、控制活动、信息和沟通、监控八个相互关联的要素构成。这也奠定了企业风险管理系统的组织模式。风险导向审计的发展也与全面的风险管理系统构建同步，2003年10月，国际会计师联合会下属的国际审计准则委员会了三个新的国际审计风险准则，并从2004年12月15日或之后开始的期间财务报表审计起执行这三个新准则。2004年10月，中国注册会计师协会根据国际审计准则的最新发展，对已修订的四个新审计风险准则在全国范围内征求意见，并且于2007年1月1日开始实施。风险导向审计已经深入了我国审计的实际工作，为审计业务的展开提供了指引。
(二)二者业务性质相互影响 全面风险管理为现代风险导向审计风险评估提供了更好的基础为了评估客户是否有效地监督和控制了其战略风险及其他经营风险，注册会计师必须识别、收集和处理大量与客户经营活动相关的证据。当企业没有实施全面风险管理时，收集这些证据即使在理论上是可行的，但为此付出的成本对注册会计师而言也常常是不经济的。注册会计师的风险评估程序对企业风险管理有以下益处：(1)了解企业的外部环境风险以及内部控制成为风险评估的重要组成部分，注册会计师也将公司内部控制的有效性作为风险应对的考虑因素。所以注册会计师关于企业内部控制的评价将为企业的风险管理提供建议。(2)注册会计师在实施控制测试与实质性测试时，会将交易的内部控制目标与关键内部控制联系起来，然后将测试的结果与风险评估的结果进行对比，这将有助于公司相关交易所涉及人员在业务流程中履行好自己的职责，注册会计师审计可以起到监督作用，发现企业内部控制的风险点。企业风险管理对注册会计师的风险评估有以下益处：第一，企业风险管理的完善性与企业内部控制系统有着很强的相关性，所以如果企业建立了一整套风险管理的体系，那么注册会计师的风险评估程序就会减少程序，因为风险评估在整个审计过程中的验证过程都是可靠的。第二，企业风险管理的方式与注册会计师风险评估。企业全员参与风险管理，从整个企业组合的角度实施风险管理，增强了企业风险管理的有效性，注册会计师能够在更大程度上信赖企业的全面风险管理，实施风险评估。第三，企业风险管理系统的完善性越不好，注册会计师所涉及的这部分程序设计需要越谨慎，而风险评估程序后提出建议的边际贡献越高，这二者之间的交互作用就在于风险评估程序是对风险管理的一种再监察。
(三)二者存在的不同 当然二者存在着以下区别：注册会计师风险评估更多是对内部控制有效性的评估，这种评估是因为审计的效率所决定的，而企业的风险管理需要覆盖企业的整体层面和各个业务流程，所以我们注册会计师的风险评估结果对于企业而言是一种参考，注册会计师的风险评估只是对内部控制水平高低的一个评价，这并不能完全说明企业风险管理的有效性。注册会计师可以通过对企业内部控制系统有效性评价来评估客户监督和控制其战略风险及其他经营风险的情况，如果仅仅是审计过程，注册会计师不需要提出风险管理改进建议，他们评估的财务报表重大错报风险只是为了控制检查风险，进而控制审计风险。所以注册会计师审计过程的风险评估与企业风险管理过程中的风险评估目的相似，但企业风险管理的目的和注册会计师的风险评估还是存在不同。
四、企业风险管理及风险评估路径
(一)风险评估报告与企业风险管理 (图1)呈现了风险导向审计的框架，风险导向审计最大的要点就在于实施基本审计程序前的风险评估。而且后来的审计程序结果会不断检验风险评估的结果，不断地修正与调险估计水平，在整个审计过程中都需要进行风险评估过程，所以注册会计师可以在审计完成后形成风险评估的最终结果，形成风险评估报告，以评价内部控制的有效性及风险管理控制的水平。该报告可能涉及内部环境、企业风险评估、风险反应、控制活动、信息和沟通、监控等要素，对企业内部控制的测试结果进行一个总结性陈述，形成风险评估报告。风险评估报告作为风险导向审计阶段性成果在审计完成后反馈给被审计客户，以帮助被审计客户进一步完善内部控制水平，但我们必须意识到：风险评估报告不是审计报告的子报告，风险评估报告仅仅为被审计单位进一步提高内部控制水平而用，而非鉴证报告，注册会计师不需要提供保证。
(二)风险评估报告与信息系统风险管理 注册会计师评价内部控制有效性的要求里就包括了评价信息系统的有效性，所以注
