【文章內容簡介】 況，并根據(jù)環(huán)境變化及風險評估等情況， 及時對發(fā)展戰(zhàn)略作出調整。 (1)人力資源政策是否有利于企業(yè)可持續(xù)發(fā)展和內部控制的冇效執(zhí)行；是否明 確各崗位職責權限、任職條 件和工作要求，選拔是否三公，是否因事設崗、以崗 選人。 (2)是否制定并實施關于員工辭退與辭職、聘用、培訓、健康與安全、薪酬、 ff升與獎懲、考核等方面的管理制度；是否建立員工培訓長期制度。 (3)楚否設置嚴謹?shù)目冃Э己酥笜梭w系，并嚴格考核評價，以此作為確定員工 薪酬、職級調整和解除勞動同等的重要依據(jù)；是存在人才流失現(xiàn)象；是對 關鍵崗位員 I:訂強制休假制度或定期輪崗制度等方面的安排；是否對掌握國家秘 密或重要秘密的 W工離崗有限制性的規(guī)定；是否將布效執(zhí)行內部控制納入企業(yè)績 效考評體系。 (1)公 ifj足采収切實科效的措施，積極培存： ^街 {^丨身特 1： ^1的企業(yè)文化，打造 以主業(yè)為核心的企業(yè)品牌，促進企業(yè)長遠發(fā)展。 (2)公司董事、監(jiān)事、經(jīng)理及其他高級管理人員是否在文化建設和履行社會責 任中起到表率作用，是否促進文化建設在內部各層級的有效溝通；是否做到文化 建設與發(fā)展戰(zhàn)備的有機結合，使員工自身價值在企業(yè)發(fā)展中得到充分體現(xiàn)；是否 重視并購重組后的企業(yè)文化建設，平等對待被并購方的員工，促進并購雙方的文 化融合。 (3)公司是否建立企業(yè)文化評估制度，重點對經(jīng)理和其他 高級管理人員、監(jiān)事、 董事在企業(yè)文化建設中的責任履行情況、全體員工對企業(yè)經(jīng)營管理行為與企業(yè)文 化的一致性、員工對企業(yè)未來發(fā)展的信心、參與企業(yè)并購重組各方文化的融合度、 企業(yè)品牌的社會影響力，以及企業(yè)核心價值觀的認同感做出評估；是否研究影響 企業(yè)文化建設的不利因素，分析深層次的原因，及時采取措施加以改進。 (1)公司是否建立嚴格的安全生產(chǎn)管理體系、操作規(guī)范和應急預案，切實做到 安全生產(chǎn)；是否落實安全生產(chǎn)責任，對安全生產(chǎn)的投入，包括人力、物力等，是 否能保證及時發(fā)現(xiàn)、排隊生產(chǎn) 安全隱患；發(fā)生生產(chǎn)安全事故，是否妥善處理，排 除故障，減輕損失，追究責任。是否有遲報、諒報、瞞報重大生產(chǎn)安全事故現(xiàn)象。 (2)公司是否建立嚴格的產(chǎn)品質量控制和檢驗制度并嚴格執(zhí)行，是否有良好的 售后服務，能夠妥善處理消費者提出的投訴和建議。 (3)公司是否制定環(huán)境保護與資源節(jié)約制度，采取措施促進環(huán)境保護、生態(tài)建 設和資源節(jié)約并實現(xiàn)節(jié)能減排目標；是否實施清潔生產(chǎn)，合理幵發(fā)利用不可再生 資源。 (4)公司是否依法保護員工的合法權益，保持工作崗位相對穩(wěn)定，積極促進充 分就業(yè)；是否實現(xiàn)按勞分配、同工同 酬、建立科學的員工薪酬制度和激勵機制， 是否建立高級管理人員與員工薪酬的正常增長機制；是否及時辦理員工社會保險， 足額繳納社會保險費；是否維護員工健康，落實休息休假制度；是否積極彡 T?展員 工職業(yè)教育培訓，創(chuàng)造平等發(fā)展機會。 風險評估系統(tǒng)在風險管理中居于核心位置。風險評估是對企業(yè)存在的弱點、 面臨的風險以及帶來的影響進行辨識，并對風險的客觀存在、發(fā)生的概率、造成 的損失和范圍等進行全面的估計與衡量，并制定相應的應對措施和監(jiān)控手段。 事件識別是進行風 險評估的基礎和前提，風險管理的第一步是確定企業(yè)所面 臨的各種風險，進行風險分類，發(fā)現(xiàn)導致風險的各種原因。扎實的風險識別，是 風險評估和控制的效果得到保證的前提。在全面風險管理框架下，風險識別的 0 標，就是要廣泛、持續(xù)地收集與本企業(yè)風險和風險管理相關的內部、外部初始信 息，發(fā)現(xiàn)企業(yè)面臨的各種風險。 風險評估使?。后w能夠考慮潛在事項影響 1:1標實現(xiàn)的程度。管理者應從兩個角 度 —— 可能性和影響 —— 對事項進行評估，并且通常采用定性和定量相結合的方 法。應該個別或分類考察整個主體中 潛在事項的正面和負面影響?；诠檀骘L險 和剩余風險來進行風險評估。在風險評估過程中，可以采用多種操作方法，包括 基于模型（ Modelbased)的分析方法、駐于知識（ Knowledgebased)的分析方 法、定量（ Quantitative)分析和定性（ Qualitative)分析，不管是什么方法， 共同的目標是確定公司各業(yè)務層面面臨的風險及其影響，以及目前風險管理水平 與組織安全需求之間的差距。本文以定量分析和定性分析及兩者相結合的方法進 行評估。 (1)定量分析。記景風險分析有四個靈要 的概念： 風險因素（ Exposure Factor, HF) 或者說損失的裡度，即特定風險對特 定資產(chǎn)造成損失的 I39。l分比； ?Y— 預期損失（ Single Loss [Expectancy, SLB) 即特定風險打― 丨能造 成的潛在損失總景； 姆年發(fā)生頻率（ Annualized Rate of Occurrencc, ARO) 即某種風險在 年內估計會發(fā)生的頻率。 年度預期損失（ Annualized Loss Expectancy, ALE) 或者稱作 EAC (Estimated Annual Cost)，表示特定資產(chǎn)在一年內遭受損失的預期值。 通過研究定量分析的過程，可對特定資產(chǎn)面臨的風險進行量化，過程如下： ①首先，辨別資產(chǎn)并為其賦予數(shù)值或貨幣金額； ②通過風險和缺陷評估，評價特定風險作用于特定資產(chǎn)所造成的影響，即 EF (取值在 0%?100%之間）； ③計算特定風險發(fā)生的頻率，即 ARO。 ④計算資產(chǎn)的 SLE: SLE = Asset Value X EF ⑤計算資產(chǎn)的 ALE: ALE = SLE X ARO 舉例：假定山航集團投資 10， 000， 000元建了一個貨運倉庫，其最大的威脅是 火災，一旦火災發(fā)生，貨運倉庫的估計損失程度是 35%。根據(jù)相關部門和歷史資 料推斷，該貨運倉庫所在的地 K每 10 年會發(fā)生一次火災，那么可得出了 ARO為 ?；谝陨蠑?shù)據(jù)，山航集團貨運倉庫的 ALE將是 350， 000元。 進行定量分析，最關鍵的指標有兩個是：每年發(fā)生的頻率（ ARO)和其他損失 事件的威脅，可能會導致特定風險對特定資產(chǎn)造成損失的百分比（ EF)。從純理 論角度看，定量分析可以對安全風險進行準確的分類，但它有一個前提，那就是 供參考的數(shù)據(jù)指標 是準確的，但在實踐中，由于數(shù)據(jù)統(tǒng)計缺乏長期性，計算過程 又極易出錯，且影響風險的因素復雜多變，很難將所有因素都加以量化，定量分 析所依據(jù)的數(shù)據(jù)的可靠性是很難保證的。所以，目前的信息安全風險分析，采用 定量分析或者純定量分析方法的已經(jīng)比較較為少見。 (2)定量與定性分析相結合 ,通過風險坐標圖的形式來顯示公司面臨的風險。 風險坐標圖是把風險發(fā)生可能性的高低、風險發(fā)生后對目標的影響程度，作 為兩個維度繪制在同一個平面上（即繪制成直角坐標系）。對風險發(fā)生可能性的高 低、風險對目標影響程度的評估有定性、 定量等方法。定性方法是直接用文字描 述風險發(fā)生可能性的高低、風險對目標的影響程度，如“極低”、“低”、“中 等”、“高”、“極高”等。定量方法是對風險發(fā)生可能性的高低、風險對目標 影響程度用具有實際意義的數(shù)量描述，如對風險發(fā)生可能性的高低用概率來表示， 對目標影響程度用損失金額來表示。 表 41通過列出公司對風險發(fā)生可能性的定性、定量評佔標準及其相互對應 關系，供實際操作中參考。 ②風險控制，即采取控制措施，將風險控制在企業(yè)可承受的范圍，可通過降 低風險發(fā)生的概率或降低風險 對計劃的作用程度來實現(xiàn)。 ③風險轉移，即通過分包、保險、遠期合約等方法將某些風險轉移給其他經(jīng) 濟主體承擔。 ④風險接受，即當潛在風險的影響程度在企業(yè)可承受范圍內或者其管理成本 超過預期收益時，不采取行動而是接受風險帶來的影響，并運用風險準備金等手 段彌補風險承擔者的損失。 公司根據(jù)風險管理策略，針對各類風險或每一項重大風險制定風險管理解決 方案。方案應包括：所涉及的管理及業(yè)務流程，風險解決的具體目標，風險事件 發(fā)生前、中、后所采取的具體應對措施，所需的條件、手段等資源， 所需的組織 領導，以及風險管理工具（如：關鍵風險指標管理、損失事件管理等）。在實踐工 作中，主要監(jiān)控措施包括： ①建立崗位授權制度。對風險管理所涉及的各崗位明確規(guī)定授權的范圍、條 件、對象和額度等，任何組織和個人必須在授權范圍內履行職責，不得超越授權。 ②建立風險報告制度。明確規(guī)定接受報告人與報告人，報告的內容、時間、 傳遞路線、負責處理報告的部門和人員、頻率等。 ③建立風險管理批準制度。對公司風險管理涉及的重大事項，明確規(guī)定批準 的范圍和額度、條件、程序、必備文件以及有權批準的部門和人員及 其相應責任； ④建立風險管理責任制度。按照責任、義務和權利相統(tǒng)一的原則，明確規(guī)定 各崗位、有關部門和業(yè)務單位、人員應負的責任和獎懲制度。 ⑤建立審計檢查制度。結合風險管理的有關要求、方法、標準與流程，明確 規(guī)定屯計檢查的對象、內容、方式和負責屯計檢查的部門等。 ⑥建立考核評價制度。將風險管理執(zhí)行情況與取位的績效考核相結合，與績 效薪酬掛鉤。 ⑦建立重大風險預警制度。對重大風險制定應急預案，及時發(fā)布預警信息， 進行持續(xù)不斷的監(jiān)測，并根據(jù)情況變化調整控制措施。 ⑧建立企業(yè)法律顧問制度。大力加強 企業(yè)法律風險防范機制建設，形成由企 業(yè)決策層主導、企業(yè)總法律顧問牽頭、企業(yè)法律顧問提供業(yè)務保障、全體員工共 同參與的法律風險責任體系。完善公司重大法律糾紛案件的備案管理制度。 ⑨建立重要崗位權力制衡制度。要明確不相容崗位的設置與分離，主要包括： 會計記錄、業(yè)務經(jīng)辦、授權批準、稽核檢查和財產(chǎn)保管等職責。對風險管理所涉 及的重要崗位可通過一崗雙職、雙人、雙責，相互制約；明確相關崗位的主管部 門或主管人員對其應采取的檢查監(jiān)督辦法和應負的主管責任；將該崗位作為內部 帶計的重點等。 系統(tǒng) 風險管理信息體系包括信息收集及處理和傳遞的及時性、反舞弊機制的健全 性、溝通的順暢性、利用信息化程度四個方而，具體內容如下： 公司必須重視信息系統(tǒng)在內部控制中的作用，根據(jù)風險管理要求，結合組織 架構、業(yè)務范圍、地域分布、技術能力等因素，制定信息系統(tǒng)建設整體規(guī)劃，加 大投入力度，有序組織信息系統(tǒng) Jf?發(fā)、運行與維護，優(yōu)化管理流程，防范經(jīng)營