风险评估

　　风险评估（Risk Assessment）是指在风险事件发生之后，对于风险事件给人们的生活、生命、财产等各个方面造成的影响和损失进行量化评估的工作。

　　注册会计师风险评估是指注册会计师通过查找企业各业务单元、各种的经营活动和业务流程，来判断是否会存在风险，在风险分析中主要对识辨出来的风险以及其基本特征再进行进一步的定义和描述。

　　注册会计师风险评估的步骤包括，风险辨识、风险分析、风险评价。其中，风险辨识是指查找业务流程中有无风险、有哪些风险；风险分析是指分析和描述查找出的风险发生可能性的高低、风险发生的条件；风险评价是指评估风险对企业实现目标的影响程度、风险的价值等。

　　（1）对风险本身的界定。包括风险发生的可能性；风险强度；风险持续时间；风险发生的区域及关键风险点。

　　（2）对风险作用方式的界定。包括风险对企业的影响是直接的还是间接的；是否会引发其他的相关风险；风险对企业的作用范围等。

　　（3）对风险后果的界定。在损失方面：如果风险发生，对企业会造成多大的损失？如果避免或减少风险，企业需要付出多大的代价？在冒风险的利益方面：如果企业冒了风险，可能获得多大的利益？如果避免或减少风险，企业得到的利益又是多少？

　　风险评估的主要任务包括：

　　1、识别组织面临的各种风险

　　2、评估风险概率和可能带来的负面影响

　　3、确定组织承受风险的能力

　　4、确定风险消减和控制的优先等级

　　5、推荐风险消减对策

　　风险评估程序是由注册会计师所实施的为了解被审计单位及其环境并识别和评估财务报表重大错报风险的程序。风险评估程序的实质在于在风险导向审计模式下，注册会计师以重大错报风险的识别、评估和应对为审计工作的主线，并最终将审计风险控制在可以接受的低水平范围内。

　　风险评估程序主要包括风险识别和风险评估，其中风险识别指找出财务报表层次和认定层次的重大错报风险，风险评估指对重大错报发生的可能性和后果严重程度进行评估。

　　风险评估过程包括识别与财务报告相关的经营风险，以及针对这些风险所采取的措施。风险评估过程代表了被审计单位的风险意识，影响着管理层对风险的识别和防范。

　　如果注册会计师发现了与财务报表有关的风险因素，可通过向管理层询问和检查有关文件确定被审计单位的风险评估过程是否也发现了该风险。如果识别出管理层未能识别的重大错报风险，应考虑被审计单位的风险评估过程为何没有识别出这些风险，以及评估过程是否适合于具体环境，或者确定与风险评估过程相关的内部控制是否存在值得关注的内部控制缺陷。

　　在风险评估过程中，有几个关键的问题需要考虑。

　　1、要确定保护的对象（或者资产）是什么？它的直接和间接价值如何？

　　2、资产面临哪些潜在威胁？导致威胁的问题所在？威胁发生的可能性有多大？

　　3、资产中存在哪里弱点可能会被威胁所利用？利用的容易程度又如何？

　　4、一旦威胁事件发生，组织会遭受怎样的损失或者面临怎样的负面影响？

　　5、组织应该采取怎样的安全措施才能将风险带来的损失降低到最低程度？

　　解决以上问题的过程，就是风险评估的过程。

　　进行风险评估时，有几个对应关系必须考虑：

　　每项资产可能面临多种威胁

　　威胁源（威胁代理）可能不止一个

　　每种威胁可能利用一个或多个弱点

　　在风险管理的前期准备阶段，组织已经根据安全目标确定了自己的安全战略，其中就包括对风险评估战略的考虑。所谓风险评估战略，其实就是进行风险评估的途径，也就是规定风险评估应该延续的操作过程和方式。

　　风险评估的操作范围可以是整个组织，也可以是组织中的某一部门，或者独立的信息系统、特定系统组件和服务。影响风险评估进展的某些因素，包括评估时间、力度、展开幅度和深度，都应与组织的环境和安全要求相符合。组织应该针对不同的情况来选择恰当的风险评估途径。目前，实际工作中经常使用的风险评估途径包括基线评估、详细评估和组合评估三种。

　　财务风险评估报告是在事件识别的基础上，进一步考虑潜在事件影响企业目标实现的程度，为风险应对策略提供支持的书面凭证。风险评估既包括对企业个别潜在事件正面和负面影响的评估，也包括对企业分类潜在事件正面和负面影响的评估。