法律风险评估方法

法律风险评估方法

一个风险评估与排序的实用模型

摘 要

本文阐述了一个基于简单数学模型的实用且简便的风险评估与排序方法.

什么是风险

风险即是以下三个要素发生的机会:

威胁--事件或行为,一般来自系统外部,可能在某些地方会影响固有的弱点,造成影响.
弱点--系统内部考虑之中的弱点,可能在某些地方受到威胁所利用
影响--短期与长期组织影响,威胁碰巧利用弱点.
由于要求一个或更多的不预测的威胁与弱点的巧合,负面影响发生的可能性是很难确定的.一个系统可能很长一段时间运行有弱点(的程序)而未受影响,直到一些实际的威胁存在或利用它.在给定的时间筐架内一些威胁可能比另一些威胁更可能发生(例如：简单的键盘错误比中断更易发生).类似的,一些弱点可能只在短期内存在(如：当保安从运钞车进入金库时)而别的可能会长期存在(如:银行金库警报系统没有覆盖所有入口点).影响的变化也很大:有些可能使整个组织或系统置于严重的危险之中(如火灾);有些可能会对整体来说无关重要.

保险公司也许有能力去计算某种威胁与弱点存在的可能性并预测可能受到影响的程序,但是，这也是不严密的--或许艺术性多于科学.承保人赌其涵盖了所有风险:尽管给定的事件是不可预测的,但在一定时期的多数事件发生的可能性可以很大的可信度估计,大部分是基于早期的经验.尽管如此,这种手段仍存在着两个重要的问题.一些极度影响事件(如你的首席行政长官遭遇雷击)是很少发生以至人类的本性倾向于忽略这类事件,因此,承保人发现很难以理想的价格去销售相应政策.进一步,新的条件导入新的风险,但经验不足甚至使他们预测更困难.高技术主题的电子商务变化得非常快以至IT专家也要尽力跟起而不致落后.承保人在风险方面做得不比猜测多.

威胁与弱点的特定组合也许仅仅偶尔存在("坏运气"),十分显然,几乎没有弱点与/或威胁的系统就不大可能长期受到影响.另一方面,一个脆弱的系统,一个具有许多大的潜在影响(的系统)更有可能遭到毁坏，这是风险管理的基本点,它本身是任何一个组织完好管理中的重要元素.

管理者一般通过引导通缉资源转向风险缓和的活动如设置合适的控制框架，来寻求减少弱点、威胁与影响。

一个简易风险模型的来源

管理企业远远超过无风险活动。的确，承受可接受的风险（有些可能导致破产）能取得利润。正确管理的关键是知道缓和哪种风险以及何时把握机会。这就是为什么对风险有个良好的认识的重要这所在。在这里，提供一个简单的类数学模型以助计量风险。考虑风险的性质，你将得到如下的公式：

风险=威胁+弱点+影响

表面上看，该公式意味着具有高威胁、弱点或影响的系统是高风险的系统。尽管如此，是威胁与弱点的组合造成影响的存在。而对组织的破坏的程度依赖于一个事件的发生与影响的促使。用数学语言来说，逻辑与计算需要乘积而不是和，如：

风险=威胁*弱点*影响

包含至少两个重要因素（如：高威胁与弱点）的组合能产生比仅具较低或中等水平因素组合更高的风险。任何一个因素降为零风险将降得更大。

计算风险

为了使用模型去计算风险，你得检查与计量各单独组成要素（威胁、弱点与影响）。

最简单的方法是将这三个要素分成高（3分），中（2分），低（1分）或零（0分）。产生的风险分值在0 至27之间。作为替代，你也许宁愿用一个持续的百分数尺。如：

0% 25% 50% 75% 100% 受雷击
+- ---------- -+- ---------- -+- ---------- -+- ---------- -+ 的威胁
人受雷击 建筑物受雷击 被静电击死

使用百分数尺能得到的最大风险计分是1,000,000（100*100*100）。因而能为组织确定风险提供足够的详细（情况）。不论什么量度，过程是一样的。我们比较与对比风险因素，寻求一个企业价值合理延伸。一具厌风险管理者比喜风险管理者更可能估价风险，但是价值延伸应当更广泛地比较。正是这延伸赋予模型其真实的能量，允许我们去给风险排序。

实践中应用风险模型

本模型在实践环节中有许多效用，如风险评估与审计计划程序：



这个过程有两个重要的输出：一个风险排列（对组织管理者是有用的）与相匹配的排列过的审计计划（构造内部或与外部审计师工作）。“定期涮新”提供反映变化的风险因素分值更新的机会，如内部控制环境（养活弱点）的提高或新的市场压力（增加威胁）。

这个程序的理论基础使得计划审计工作与组织风险间的联系更清楚。

类似地，项目风险也能利用该模型评估以形成基本的项目风险管理。项目威胁依靠于项目的性质，但典型的包括政治、经济、社会与技术方面（被称为PEST分析）弱点包括不合适技能，刺激机制，财务或别的资源限制等。项目失败影响一般分为：

过多成本
推迟完成
顾客满意度低
该模型也能被用来联系这些因素与风险是否重要的建议，形成一个管理活动日程。风险计算应当随着取得新信息在项目过程中更新

这里是2008.5.22发布的:http://www.mof.gov.cn/news/20080704_3483_33394.htm 财政部 证监会 审计署 银监会 保监会关于印发《企业内部控制基本规范》的通知 财会[2008]7号 中直管理局，铁道部、国管局，总后勤部、武警总部，各省、自治区、直辖市、计划单列市财政厅（局）、审计厅（局），新疆生产建设兵团财务局、审计局，中国证监会各省、自治区、直辖市、计划单列市监管局，中国证监会上海、深圳专员办，各保监局、保险公司，各银监局、政策性银行、国有商业银行、股份制商业银行、邮政储蓄银行、资产管理公司，各省级农村信用联社，银监会直接管理的信托公司、财务公司、租赁公司，有关中央管理企业： 为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，促进企业可持续发展，维护社会主义市场经济秩序和社会公众利益，根据国家有关法律法规，财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制基本规范》，现予印发，自2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。执行本规范的上市公司，应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计。