風險評估及對策

從信息安全的角度來講，風險評估是對信息資產(chǎn)（即某事件或事物所具有的信息集）所面臨的威脅、存在的弱點、造成的影響，以及三者綜合作用所帶來風險的可能性的評估。作為風險管理的基礎(chǔ)，風險評估是組織確定信息安全需求的一個重要途徑，屬于組織信息安全管理體系策劃的過程。

風險評估的定義及常用方法如下：

一、風險評估：

風險評估（Risk Assessment） 是指，在風險事件發(fā)生之前或之后（但還沒有結(jié)束），該事件給人們的生活、生命、財產(chǎn)等各個方面造成的影響和損失的可能性進行量化評估的工作。即，風險評估就是量化測評某一事件或事物帶來的影響或損失的可能程度。

二、常用方法：

1、風險因素分析法

其一般思路是：調(diào)查風險源→識別風險轉(zhuǎn)化條件→確定轉(zhuǎn)化條件是否具備→估計風險發(fā)生的后果→風險評價。

2、模糊綜合評價法

3、內(nèi)部控制評價法

內(nèi)部控制評價法是指通過對被審計單位內(nèi)部控制結(jié)構(gòu)的評價而確定審計風險的一種方法。

4、分析性復核法

分析性復核法是注冊會計師對被審計單位主要比率或趨勢進行分析，包括調(diào)查異常變動以及這些重要比率或趨勢與預期數(shù)額和相關(guān)信息的差異，以推測會計報表是否存在重要錯報或漏報可能性。

5、定性風險評價法

定性風險評價法是指那些通過觀察、調(diào)查與分析，并借助注冊會計師的經(jīng)驗、專業(yè)標準和判斷等能對審計風險進行定性評估的方法。

6、風險率風險評價法

風險率風險評價法是定量風險評價法中的一種。

三、任務(wù)：

1、確定風險評估的主要任務(wù)；

2、識別評估對象面臨的各種風險；

3、評估風險概率和可能帶來的負面影響；

4、確定組織承受風險的能力；

5、確定風險消減和控制的優(yōu)先等級；

6、推薦風險消減對策。