风险评估结果汇总表
被审计单位：索引号：2500 项目：截止日/期间：
编制：复核：
日期：日期：
一、识别的重大错报风险汇总表
二、财务报表层次风险应对方案表
风险评估程序的运用 新的审计准则强调“风险导向”的审计理念。所以07年考试的综合题就考了一个20分的综合题。从07年开始，考试的出题方式发生了一些变化形成了三分天下的局面：审计的基础理论、方法（6-12章）占30%的分值、风险导向的审计理论（9-11章）占30%的分值，审计实务（13-17章）占30%的分值。其他的占10%左右的分值。当然审计报告是必考的，会结合审计实务一起考。 学习审计，要先有一个正确的思路。这非常关键，就是假设你是一个CPA，让你去审计，要知道先干啥，再干啥。如果没有一个整体的思路，可能不知道审计在讲啥。像盖楼，你要先有一个图纸，比如要盖30层，然后再计算一下每一层要用多少砖、多少水泥，最后算一下整栋楼要用多少砖、水泥等，工程造价是多少钱，也就是要有一个计划。 审计的过程大体上是： 1、先了解一下被审计单位的环境（看看能不能审，对方是否诚信，自己是不是具备专业胜任能力，知彼知已） 2、签订业务约定书（正式接手审计业务） 3、了解被审计单位及其环境（也就是运用风险评估程序，看看哪里可能出错） 4、实施进一步的审计程序，包括控制测试和实施性程序。 也就是针对第3步评估出来的重大错报风险，有针对性的采取最恰当的审计程序，找出具体的错报。这实际上也就是风险应对
5、汇总错报，判断意见类型，出具报告。 大体上的过程是这样的，写得不够细。 第九章内容挺多，考试估计太多不会考死记硬背的东西，看一下07年的考题就知道了，会结合第13-17章的内控等考实务方面的题，这种机率比较高。 风险评估的思路也就是：先从总体上估计一下哪里可能出错（评估），根据评估结果采取针对性的程序（风险应对）。风险评估理念的好处是避免了审计的盲目性，提高了效率，降低了成本。 一、必须记记的内容（书上都有，指出来的是第9章的重点） （一）风险评估需运用的三大程序 1、询问（被审计单位管理层和内部其他相关人员） 2、实施分析程序（考实务可能要大量地用到分析） 3、观察和检查 （二）了解被审计单位及其环境的6个方面（注意简答题） ⅰ行业状况、法律环境与监管环境以及其他外部因素；（外部环境）ⅱ被审计单位的性质；（内部环境） ⅲ被审计单位对会计政策的选择与运用；（内部环境） ⅳ被审计单位的目标、战略以及相关经营风险（内部环境） ⅴ被审计单位财务业绩的衡量和评价；（内、外部环境） ⅵ被审计单位的的内部控制（内部环境） 识别被审计单位及其环境在上述各方面与以前各期相比发生的“重大变化”，对于充分了解被审计单位及其环境、识别和评估重大错报风
职业健康安全合规性评价表单位名称： 序号分类重大风险监测（控）结果 适应法律、 法规名称 相关条款 合规性 评价结 果 备 注 1 劳 动 保 护 高温施工未合理安排作业 时间 共计监测20次， 其中不合格4 次，整改后复查 合格4次 《防暑降温 措施管理办 法》安监总安 健〔2012〕89 号 第八条符合 高温作业无防护第七条符合高温作业现场茶水供应缺 少 第十一条符合 未正确使用个人防护用品建筑施工作 业劳防用品 防护配备及 使用标准 JGJ184-2009 第2.02条符合 使用有害有毒材料无防护 用品 第符合 防水作业区域未保证空气 流畅 《建设工程 安全生产管 理条例》 第二十八 条 符合 2 消 防在危险场所动火无专人监 护、未配备有效的防火器 材共计监测40次， 其中不合格12 次，整改后复查 合格12次 建设工程施 工现场消防 安全技术规 范 GB50720-201 1 第符合 防火重点部位不配备消防 器材 第5条符合 高空焊接作业未对地面易 燃物进行保护 第符合 3 方 案 措 无施工组织设计（方案） 安全技术措施或未按方案 实施 共计监测20次， 其中不合格5 次，整改后复查 合格5次 《建设工程 安全生产管 理条例》 第二十六 条 符合 施工组织设计（方案）安 全技术措施未经审批 符合
施高支模施工安全专项方案未经专家论证《危险性较 大的分部分 项工程安全 管理办法》建 质[2009]87 号 第九条符合 高支模施工脚手架搭设未 按方案实施 第十六条符合 4 人 员 教 育 、 资 质 施工队伍和人员不具备相 应资质 共计监测15次， 其中不合格3 次，整改后复查 合格3次 《建设工程 安全生产管 理条例》 第二十条符合 特殊工种和机操人员未经 培训合格，未做到持证上 岗 《建筑施工 特种作业人 员管理规定》 建质 [2008]75号 第四条符合 作业人员未按规定接受岗 前安全教育、班前未接受 安全交底 《建设工程 安全生产管 理条例》 第27条、 第36条 符合 5 安 全 设 施 大临设施未进行验收投入 使用 共计监测16次， 其中不合格2 次，整改后复查 合格2次 《施工现场 临时建筑物 技术规范》J GJ/T 188-20 09 第10条符合 支护设施已有变形未有措 施调整 《建筑施工 土石方工程 安全技术规 范》 JGJ180-2009 符合作业时先挖后支护符合 危险部位和区域缺乏安全 防护设施和警示标志 《安全生产 法》 第三十六 条 符合 6 临 时 用 电 现场缺乏相应的专业电 工，电工不掌握所有用电 设备的性能共计监测85次， 其中不合格32 次，整改后复查 合格32次 《施工现场临 时用电安全技 术规范》 （JGJ46-2005 ） 第符合 停用设备未拉闸断电，锁 好开关箱 第符合 架设外电防护设施时无电 气工程技术人员和专职安 第符合
1111单位:1111系统安全项目信息安全风险评估报告 我们单位名 日期
报告编写人: 日期： 批准人：日期： 版本号：第一版本日期 第二版本日期 终板
目录 1概述 (5) 1.1项目背景 (5) 1.2工作方法 (5) 1.3评估范围 (5) 1.4基本信息 (5) 2业务系统分析 (6) 2.1业务系统职能 (6) 2.2网络拓扑结构 (6) 2.3边界数据流向 (6) 3资产分析 (6) 3.1信息资产分析 (6) 3.1.1信息资产识别概述 (6) 3.1.2信息资产识别 (7) 4威胁分析 (7) 4.1威胁分析概述 (7) 4.2威胁分类 (8) 4.3威胁主体 (8) 4.4威胁识别 (9) 5脆弱性分析 (9) 5.1脆弱性分析概述 (9) 5.2技术脆弱性分析 (10) 5.2.1网络平台脆弱性分析 (10) 5.2.2操作系统脆弱性分析 (10) 5.2.3脆弱性扫描结果分析 (10) 5.2.3.1扫描资产列表 (10) 5.2.3.2高危漏洞分析 (11) 5.2.3.3系统帐户分析 (11) 5.2.3.4应用帐户分析 (11)
5.3管理脆弱性分析 (11) 5.4脆弱性识别 (13) 6风险分析 (14) 6.1风险分析概述 (14) 6.2资产风险分布 (14) 6.3资产风险列表 (14) 7系统安全加固建议 (15) 7.1管理类建议 (15) 7.2技术类建议 (15) 7.2.1安全措施 (15) 7.2.2网络平台 (16) 7.2.3操作系统 (16) 8制定及确认................................................................................................................. 错误!未定义书签。9附录A：脆弱性编号规则.. (17)
风险评估：购货与付款循环审计 一、了解主要业务活动→评价控制程序的缺陷→识别认定层次的重大错报风险 （风险评估程序，教材P207-209） （1）编制请购单（仓库或其他部门） 根据请购物资进行授权审批，每张请购单必须经过负预算责任的主管人员签字批准。（请购与审批岗位分离） （2）编制订购单 采购部门对经过批准的请购单发出订购单，询价后确定最佳供应商，但询价与确定供应商的职能要分离（询价与确定供应商岗位分离） （3）验收商品，编制验收单 验收部门先比较所收商品与订购单上的要求是否相符，然后再盘点商品并检查商品有无损坏，验收部门验收后编制一式多联，预先编号的验收单，是支持资产或费用以及与采购有关的负债的“存在或发生” 认定的重要凭证（采购与验收岗位分离） （4）储存已验收的商品存货（储存岗位与验收岗位分离） （5）编制付款凭单（付款审批） ①购货发票内容与验收单、订购单一致 ②购货发票计算是否正确进行复核 ③编制有预先编号的付款凭单，并附上订购单、验收单、购货发票。 ④独立检查付款凭单计算的最好的充气娃娃https://www.doczj.com/doc/f22517267.html,正确性 ⑤在付款凭单上填入应借记的资产或费用账户名称。 ⑥在凭单上签字批准照此凭单要求付款 （6）确认与记录负债 （7）付款 （8）记录现金、银行存款支出 二、审查购货的真实性（教材P210表11-1第四栏，重点掌握） 审查购货的真实性即证明“所记录的购货都确已收到物品或已接受劳务，并符合购货方的最大利益”，其常用实质性测试程序有： 1、复核采购明细账、总账及应付账款明细账，注意是否有大额或不正常的金额。 2、检查购货发票、验收单、订货单和请购单等原始凭证的是否合理与真实。 3、从原始凭证追查存货的采购至存货永续盘存记录。 4、检查取得的固定资产（实物）（从明细账追查到原始凭证追查到实物，逆查，查购货交易的高估） 三、审查购货的完整性（教材P210表11-1第四栏，重点掌握） 审查购货的完整性即证明“已发出的购货业务已记录”，其常用的实质性测试有： （1）从验收单追查至采购明细账（顺查，查低估） （2）从购货发票追查至采购明细账（顺查，查低估） 四、采购与付款不相容岗位（教材P212+P213，重点掌握） 采购与付款业务循环的以下六项职务必须分离，否则出现舞弊或舞弊之后不能被及时发现： 1、采购业务的请购与请购审批； 2、询价业务与确定供应商； 3、确定供应商与验收； 4、采购合同的订立与执行；
青岛威斯丽精密五金有限公司安全、健康和卫生条件风险评估1．目的 建立并维持程序以鉴别与评估所有作业或活动的安全、健康和卫生风险，并对鉴别出的安全、健康和卫生风险进行区分，列出重点和优先次序，以便采取相应的措施对风险加以控制。 2．范围 一切具有安全、健康和卫生风险的作业或活动，生产过程中存在的噪声、触电、燃烧、爆炸、打击、坠落、碰撞、刺割等危险因素。 3.权责 3.1由安全主管会同各部门安全负责人定期对危险因素进行评估,并针对性地制定预防整改措施； 3.2各部门相关人员给予协助、配合； 3.3相关部门负责落实预防整改措施； 3.4安全主任对各项预防整改措施的落实情况实施监督、检查,并评核其有效性； 3.5社会责任委员会进行稽查，并对不符项提出整改要求。 4.危害辨识，危险评价和危险控制计划 5: 法律及法规要求 本公司以中华人民共和国相关法律法规的要求为基础,并充分参考了我国政府已经批准签署或加入的涉及社会责任规范的国际公约同时遵照了: <<中华人民共和国宪法>>及历次宪法修正案 <<中华人民共和国劳动法>> <<中华人民共和国劳动合同法>> <<中华人民共和国就业促进法>> <<中华人民共和国工会法>> <<中华人民共和国妇女权益保障法>> <<中华人民共和国未成年保护法>> <<中华人民共和国安全生产法>> <<中华人民共和国职业病防护法>>
<<中华人民共和国劳动争议调节仲裁法>> <<中华人民共和国环境保护法>> <<中华人民共和国水污染防治法>> <<中华人民共和国大气污染防治法>> <<中华人民共和国固体废物污染防治法>> <<中华人民共和国环境噪音污染防治法>> <<中华人民共和国产品质量法>> <<中华人民共和国消费者权益保护法>> 6.目标 6.1因工伤亡事故为零； 6.2特大、重大、一般火灾事故为零； 6.3重大机械事故为零； 6.4急性中毒事故为零； 6.5因工负伤频率控制在千分之六以内； 6.6未造成人员伤亡但造成严重经济损失的重大安全事故为零； 6.7重大责任交通事故为零。 7.职业安全卫生管理方案 为实现保障员工生命安全和健康的目标，按照BSCI《职业安全、健康和卫生管理方案控制程序》制定本单位职业安全卫生管理方案，落实公司职业安全卫生的目标和要求。 7.1、领导作为本单位全体员工职业安全卫生的第一责任人，为单位实施、控制和改进职业安全卫生工作审批人力、物力、资金和技术资源。 7.2、领导、各班组长、负责人带头执行职业卫生与保健规范，并根据本单位岗位分配表的规定各负其责。 7.3、各级员工应认真完成职业安全卫生培训任务，特别是职业安全卫生技术方面的培训，提高“一不伤害自己，二不公约伤害对方，三不被对方伤害”的自我保护能力，从而达到本质健康、安全。 7.4、各级员工应积极参与改善单位安全卫生工作的讨论、协商；单位确保各方面员工在安全卫生事务上的代表性。 7.5、执行公司职业安全卫生管理任务与要求，全体员工按规定享受保健费、参加文体活动、定期接受体检、参加有关培训。 7.6、单位每半年进行单位内部自检；发现问题和隐患及时整改。
《手术安全核对》与《手术风险评估》使用说明 一、卫生部《2008年医院管理年活动方案》重点工作之二 “病人安全目标”中“目标五、严格防止手术患者、手术部位及术式发生错误”，是具体落实的措施 二、各医院要将《手术安全核对》与《手术风险评估》工作制度化。 根据本院实际情况，制定具体的流程。每一例手术均需执行此项工作，每个月、季、年都应进行总结，提出改进意见与措施 三、通过采用国际上通用的“手术风险分级”方法。 不但可以了解手术风险程度外，还可以准确地比较各医院之间“手术部位感染率” 的差距，也可以与国际上水平作横向比较 四、手术风险分级标准（NNIS）简介： 在国际医疗质量指标体系中是按照美国“医院感染监测手册”中的“手术风险分级标准（NNIS）”将手术分为四级，即NNIS0级、NNIS1级、NNIS2级和NNIS3级，然后分别对各级手术的手术切口感染率进行比较，从而提高了该指标在进行比较时的准确性和可比性。 1.手术风险标准依据，是根据1.手术切口清洁程度， 2.麻醉分级， 3.手术持续时间这三个关键变量进行计算的。定义如下： （1）手术切口清洁程度 手术风险分级标准中将手术切口按照其清洁程度分为四类： I类手术切口（清洁手术）：手术野无污染；手术切口无炎症；患者没有进行气道、食道和/或尿道插管；患者没有意识障碍 II类手术切口（相对清洁手术）：上、下呼吸道，上、下消化道，泌尿生殖道或经以上器官的手术；患者进行气道、食道和/或尿道插管；患者病情稳定；行胆囊、阴道、阑尾、耳鼻手术的患者 III类手术切口（清洁-污染手术）：开放、新鲜且不干净的伤口；前次手术后感染的切口；手术中需采取消毒措施（心内按摩除外）的切口 IV类手术切口（污染手术）：严重的外伤，手术切口有炎症、组织坏死，或有内脏引流管 （2）麻醉分级(ASA分级) 手术风险分级标准中根据患者的临床症状将麻醉分为六级(ASA分级)。 P1：正常的患者；P2：患者有轻微的临床症状；P3：患者有明显的系统临床症状；P4：
XXXXXXXX信息系统 信息安全风险评估报告模板 项目名称： 项目建设单位： 风险评估单位： ****年**月**日
目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)
5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)
附件： 国家电子政务工程建设项目非涉密信息系统信息安全风险评估报告格式 项目名称： 项目建设单位： 风险评估单位： 年月日
目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)
5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)
XXXXX公司 信息安全风险评估报告 历史版本编制、审核、批准、发布实施、分发信息记录表
一. 风险项目综述 1.企业名称: XXXXX公司 2.企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持欢迎下载 2
3.ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。 4.ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。 二. 风险评估目的 为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。 三. 风险评估日期： 2017-9-10至2017-9-15 四. 评估小组成员 XXXXXXX。 五. 评估方法综述 1、首先由信息安全管理小组牵头组建风险评估小组； 2、通过咨询公司对风险评估小组进行相关培训； 3、根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方 法； 4、各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产 清单； 5、对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级； 6、根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A制定相关的风险控制措施； 7、对于可接受的剩余风险向公司领导汇报并得到批准。 六. 风险评估概况 欢迎下载 3
欢迎下载 4 如下： 1. 2017-9-10 ~ 2017-9-10，风险评估培训； 2. 2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法； 3. 2017-9-12 ~ 2017-9-12，本公司各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类； 4. 2017-9-13 ~ 2017-9-13，本公司各部门编写风险评估表，识别信息资产的脆弱性和面临的威胁，评估潜在风险，并在ISMS 工作组内审核； 5. 2017-9-14 ~ 2017-9-14，本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表； 6. 2017-9-15 ~ 2017-9-15，各部门修订风险评估表，识别重大风险，制定控制措施；ISMS 工作组组织审核，并最终汇总形成本报告。 . 七. 风险评估结果统计 本次风险评估情况详见各部门“风险评估表”，其中共识别出资产190个，重要资产115个，信息安全风 险115个，不可接受风险42个.
第七章风险评估 一、单项选择题 1、下列有关内部控制的相关表述中，注册会计师不认可的是（）。 A、内部控制中人工成分和自动化成分的组合，因被审计单位使用信息技术的性质和复杂程度而异 B、人工系统的控制可能包括对交易的批准和复核，编制调节表并对调节项目进行跟进 C、被审计单位可能采用自动化程序生成、记录、处理和报告交易，在这种情况下以电子文档取代纸质文件 D、信息系统中的控制全部是自动化控制 2、下列有关了解内部控制的相关表述中，注册会计师不认可的是（）。 A、询问本身并不足以评价控制的设计以及确定其是否得到执行，注册会计师应当将询问与其他风险评估程序结合使用 B、除非存在某些可以使得控制得到一贯运行的自动化控制，否则注册会计师对控制的了解并不足以测试控制运行的有效性 C、获取某一人工控制在某一时点得到执行的审计证据，并不能证明该控制在所审计期间内的其他时点也有效运行 D、任何情况下，对内部控制的了解均不能替代控制测试 3、注册会计师在了解的以下事项中，属于行业状况的是（）。 A、生产经营的季节性和周期性 B、国家的特殊监管要求 C、与被审计单位相关的税务法规是否发生变化 D、是否存在新出台的法律法规 4、下列有关了解内部控制的相关说法中，注册会计师认可的是（）。 A、注册会计师应该了解被审计单位所有的内部控制 B、注册会计师应当了解被审计单位是否已建立风险评估过程，如果被审计单位已建立风险评估过程，注册会计师应当了解风险评估过程及其结果 C、内部控制包括下列要素：控制环境、风险应对过程、与财务报告相关的信息系统和沟通、控制活动、对控制的监督 D、在了解被审计单位控制活动时，注册会计师无须了解被审计单位如何应对信息技术导致的风险 5、财务报表层次的重大错报风险很可能源于（）。 A、薄弱的控制环境 B、控制活动执行不力 C、对控制的监督无效 D、风险评估过程有缺陷 6、以下有关了解被审计单位内部控制的各项中，不正确的是（）。
附件： 信息安全风险评估报告格式 项目名称： 项目建设单位： 风险评估单位： 年月日
目录 一、风险评估项目概述 (1) 1.1工程项目概况 (1) 1.1.1 建设项目基本信息 (1) 1.1.2 建设单位基本信息 (1) 1.1.3承建单位基本信息 (2) 1.2风险评估实施单位基本情况 (2) 二、风险评估活动概述 (2) 2.1风险评估工作组织管理 (2) 2.2风险评估工作过程 (2) 2.3依据的技术标准及相关法规文件 (2) 2.4保障与限制条件 (3) 三、评估对象 (3) 3.1评估对象构成与定级 (3) 3.1.1 网络结构 (3) 3.1.2 业务应用 (3) 3.1.3 子系统构成及定级 (3) 3.2评估对象等级保护措施 (3) 3.2.1XX子系统的等级保护措施 (3) 3.2.2子系统N的等级保护措施 (3) 四、资产识别与分析 (4) 4.1资产类型与赋值 (4) 4.1.1资产类型 (4) 4.1.2资产赋值 (4) 4.2关键资产说明 (4) 五、威胁识别与分析 (4)
5.2威胁描述与分析 (5) 5.2.1 威胁源分析 (5) 5.2.2 威胁行为分析 (5) 5.2.3 威胁能量分析 (5) 5.3威胁赋值 (5) 六、脆弱性识别与分析 (5) 6.1常规脆弱性描述 (5) 6.1.1 管理脆弱性 (5) 6.1.2 网络脆弱性 (5) 6.1.3系统脆弱性 (5) 6.1.4应用脆弱性 (5) 6.1.5数据处理和存储脆弱性 (6) 6.1.6运行维护脆弱性 (6) 6.1.7灾备与应急响应脆弱性 (6) 6.1.8物理脆弱性 (6) 6.2脆弱性专项检测 (6) 6.2.1木马病毒专项检查 (6) 6.2.2渗透与攻击性专项测试 (6) 6.2.3关键设备安全性专项测试 (6) 6.2.4设备采购和维保服务专项检测 (6) 6.2.5其他专项检测 (6) 6.2.6安全保护效果综合验证 (6) 6.3脆弱性综合列表 (6) 七、风险分析 (6) 7.1关键资产的风险计算结果 (6) 7.2关键资产的风险等级 (7) 7.2.1 风险等级列表 (7)
健 康 风 险 评 估 表 ~ 日期：年月日
健康风险评估调查表 调查日期：□□□□年□□月□□ 调查员：______ — 请在正确的答案后面，打√。 1.性别：①男②女 2.出生日期：□□□□年□□月□□日 3.职业： ⑴农林牧渔水利业生产人员⑵生产、运输设备操作人员及有关人员 ⑶商业、服务人员⑷国家机关、党群组织、企业、事业单位负责人⑸ 办事人员和有关人员⑹专业技术人员⑺军人⑻其他劳动者 ⑼在校学生⑽未就业⑾家务⑿离退休人员 4.文化程度 ⑴未接受正规学校教育⑵小学未毕业⑶小学毕业⑷初中毕业 ⑸高中/中专/技校⑹大专毕业⑺本科毕业⑻研究生及以上 5.婚姻状况 ⑴未婚⑵已婚⑶同居⑷丧偶⑸离婚⑹分居⑺其他 6.身高：厘米 7.] 8.体重：公斤 9.您是否听说过“全民健康生活方式行动”/健康一二一行动： ①是②否 10.您是否听说过全民健康生活方式日①是②否，请跳至题11. 11.您能说出具体是哪一天吗□□月□□日 12.您认为健康生活方式包括哪些内容： A.平衡饮食①是②否 B.适量运动\②否 C.不吸烟①是②否 D.不酗酒①是②否 E. 保持心理平衡①是} F. 保持充足的睡眠①是②否
G. 讲究个人卫生①是②否 13.您认为不健康的生活方式和下列哪些慢性病有关： A.心脏病①是( B.中风①是②否 C.糖尿病①是②否 D.肿瘤①是②否 ~①是②否 F.高血脂①是②否 G.超重、肥胖①是②否 14.您有下列哪些不健康的生活方式： 、①是②否 B.口味比较咸①是②否 C.经常吃油腻的食品如红烧肉等①是②否 D.蔬菜、水果摄入不够{②否 E.锻炼不够①是②否 F.吸烟①是②否 G.经常酗酒①是| 15.与一年前相比，您的饮食结构有什么变化（可多选） ①无变化②食物种类多样化③多吃蔬菜、水果④注重粗细搭配⑤多 喝奶或奶制品（酸奶、奶粉）⑥常吃鱼、蛋、禽和瘦肉。⑦其他，请列出 16.您是否经常吃新鲜水果（不包括罐头、果脯等加工后的水果） ①每天都吃②有时吃③很少吃④不吃 17.您是否经常吃新鲜蔬菜（不包括腌、晒、泡制等） ①每天都吃②有时吃③很少吃④不吃 18.您知道推荐的成人身体活动水平吗 A.生活、出行加运动，每天至少运动6000步。①是$ B.每周至少150分钟中等强度有氧运动①是②否 19.与一年前相比，您主动参加锻炼的次数有无变化 ①增加②减少③无变化 20.您每周大概有几天进行中等及以上强度体力活动（只计算那些每次至少10 分钟的活动）。
健康风险评估表
日期：年月日 健康风险评估调查表 调查日期：□□□□年□□月□□ 调查员：______ 请在正确的答案后面，打√。 1.性别：①男②女 2.出生日期：□□□□年□□月□□日 3.职业： ⑴农林牧渔水利业生产人员⑵生产、运输设备操作人员及有关人员 ⑶商业、服务人员⑷国家机关、党群组织、企业、事业单位负责人⑸ 办事人员和有关人员⑹专业技术人员⑺军人⑻其他劳动者 ⑼在校学生⑽未就业⑾家务⑿离退休人员 4.文化程度 ⑴未接受正规学校教育⑵小学未毕业⑶小学毕业⑷初中毕业 ⑸高中/中专/技校⑹大专毕业⑺本科毕业⑻研究生及以上 5.婚姻状况 ⑴未婚⑵已婚⑶同居⑷丧偶⑸离婚⑹分居⑺其他 6.身高：厘米 7.体重：公斤 8.您是否听说过“全民健康生活方式行动”/健康一二一行动： ①是②否 9.您是否听说过全民健康生活方式日？①是②否，请跳至题11. 10.您能说出具体是哪一天吗？□□月□□日 11.您认为健康生活方式包括哪些内容： A.平衡饮食①是②否 B.适量运动①是②否 C.不吸烟①是②否 D.不酗酒①是②否
E. 保持心理平衡①是②否 F. 保持充足的睡眠①是②否 G. 讲究个人卫生①是②否 12.您认为不健康的生活方式和下列哪些慢性病有关： A.心脏病①是②否 B.中风①是②否 C.糖尿病①是②否 D.肿瘤①是②否 E.高血压①是②否 F.高血脂①是②否 G.超重、肥胖①是②否 13.您有下列哪些不健康的生活方式： A.食物种类较单一①是②否 B.口味比较咸①是②否 C.经常吃油腻的食品如红烧肉等①是②否 D.蔬菜、水果摄入不够①是②否 E.锻炼不够①是②否 F.吸烟①是②否 G.经常酗酒①是②否 14.与一年前相比，您的饮食结构有什么变化？（可多选） ①无变化②食物种类多样化③多吃蔬菜、水果④注重粗细搭配⑤多喝奶或奶制品（酸奶、奶粉）⑥常吃鱼、蛋、禽和瘦肉。⑦其他，请列出 15.您是否经常吃新鲜水果（不包括罐头、果脯等加工后的水果）？ ①每天都吃②有时吃③很少吃④不吃 16.您是否经常吃新鲜蔬菜（不包括腌、晒、泡制等）？ ①每天都吃②有时吃③很少吃④不吃 17.您知道推荐的成人身体活动水平吗？ A.生活、出行加运动，每天至少运动6000步。①是②否 B.每周至少150分钟中等强度有氧运动①是②否 18.与一年前相比，您主动参加锻炼的次数有无变化？ ①增加②减少③无变化
练习5 实施风险评估程序答案
一、单项选择题 1．注册会计师了解被审计单位及其环境的目的是（C）。 A．为了进行风险评估程序 B．收集充分适当的审计证据 C．为了识别和评估财务报表重大错报风险 D．控制检查风险 2．注册会计师对行业状况、法律环境与监管环境以及其他外部因素了解的范围和程度会因被审计单位所处行业、规模以及其他因素的不同而不同，注册会计师应当将了解的重点放在（B ）。 A．风险评估程序 B．对被审计单位的经营活动可能产生重要影响的关键外部因素以及与前期相比发生的重大变化 C．重大错报风险 D．重大错报风险和检查风险 3．内部控制的目标不包括（B ）。 A．财务报告的可靠性 B．审计风险处在低水平 C．经营的效率和效果 D．在所有经营活动中遵守法律法规的要求 4．注册会计师通常不实施下列风险评估程序，以获
取有关控制设计和执行的审计证据（D）。 A．询问被审计单位的人员B．观察特定控制的运用 C．检查文件和报告D．分析程序5．关于控制环境的说法不正确的是（D）。 A．控制环境包括治理职能和管理职能，以及治理层和管理层对内部控制及其重要性的态度、认识和措施 B．控制环境设定了被审计单位的内部控制基调，影响员工对内部控制的认识和态度。良好的控制环境是实旖有效内部控制的基础 C．在评价控制环境的设计和实施情况时，注册会计师应当了解管理层在治理层的监督下，是否营造并保持了诚实守信和合乎道德的文化，以及是否建立了防止或发现并纠正舞弊和错误的恰当控制 D．在审计业务承接阶段，注册会计师就需要对控制环境作出最终评价 二、多项选择题 1．风险评估程序包括（ABCD）。 A．询问被审计单位管理层和内部其他相关人员B．分析程序 C．观察和检查
职业健康安全危险源辩识 紧急情况影响计划清单 编制：季恩来日期：2017年6月18日 审核：郭其江日期：2017年 6月 18 日批准：日期：2017年 6月 20 日单位名称：广州地铁乌铁监理项目部
职业健康安全危险源辨识、风险评价表单位：乌铁监理项目部时间：2017年6月18日 总NO 部门NO 活动产品服务危险源事故类型 风险评价有无 控制 措施 时态状态频次 L E C D 等级 1 土建队 1 土方开挖开挖基坑放坡不够或支撑走动未加固 造成塌方 坍塌 3 1 40 120 三级有AC B 很少 2 土方开挖基坑周边无护拦造成坠落高处坠落 3 6 3 5 4 二级有AC B 很少 3 土方开挖基坑边缘土质疏松挖掘设备倾翻机械伤害0.1 1 15 1.5 一级有 C B 极少 4 土方开挖排水不畅基坑积水塌方坍塌 1 6 1 6 一级有AC A 很少 5 土方开挖无信号坑槽运材料坠物高处坠落 1 6 1 6 一级有AC B 很少 6 土方开挖无安全标识坠人高处坠落 1 6 1 6 一级有AC B 很少 7 搅拌机离合器、制动器不灵敏、钢丝绳断丝 造成坠斗伤人 机械伤害0.5 6 15 45 二级有 C B 极少 8 搅拌机司机无证上岗其他伤害 1 6 3 18 一级有AC A 很少 9 搅拌机噪声其他伤害 6 3 1 18 一级有ABC A 经常 10 搅拌机操作过程中粉尘排放其他伤害 1 6 3 18 一级有ABC A 经常 11 塔吊钢丝绳断丝超标机械伤害0.1 6 40 24 二级有 C B 极少 12 塔吊吊物不牢坠物高处坠落0.2 6 15 45 二级有 C B 极少 13 塔吊塔身倾斜或塔臂折断造成事故机械伤害0.5 6 15 45 二级有 C B 极少 14 塔吊司机无证上岗其他伤害0.1 6 100 60 二级有 C B 极少备注：时态：A；过去B：现在C：将来状态：A：正常B：异常C：紧急
B-12 编号：01 序号活动、产品、服务 涉及 部门 危险源及风险 风险级别评价是否为 重大风险 事故发生的可能性事故后果的严重性风险级别 1 日常办公用电、施工生产过 程中 各部门触电、漏电人体伤害 B II 3 Y 2 办公过程中复印机的使用办公室气味、噪声/人体伤害 C III 5 N 3 复印机维修办公室扎伤/机械伤害 C III 5 N 4 日常办公更换电灯各部门触电、漏电/人体伤害 B II 3 Y 5 电灯等灯具各部门坠落/人体伤害、财产损失 B II 3 N 6 办公中电脑的使用各部门辐射/体伤害 B III 4 N 7 办公中电脑的使用各部门荧光屏爆炸/人体伤害、财产损失 C II 4 N 8 日常日光灯的使用各部门日光灯管爆炸/人体伤害、财产损失 C II 4 N 9 日常办公环境中吸烟各部门烟气/人体伤害 B III 4 N 10 日常办公汽车的使用各部门噪声、尾气排放/人体伤害 B III 4 N 11 日常办公汽车的使用各部门车辆事故/人体伤害 B II 3 Y 12 办公场所装修各部门有毒气体/中毒与窒息 C III 5 N 13 日常办公生活各部门电梯钢丝绳断/人体伤害、财产损失 C II 4 N 14 日常办公生活各部门上下电梯门夹伤、跌伤/人体伤害 B III 4 N 15 日常办公生活各部门楼梯上面掉下东西/物体打击 B III 4 N 16 日常办公生活各部门雷电袭击、火灾爆炸/人体伤害、财 产损失 B I 2 Y 17 日常办公生活各部门毒虫盯咬、疾病传播/人体伤害 B III 4 N 编制人/日期：审核人/日期：
B-12 编号：02 序号活动、产品、服务 涉及 部门 危险源及风险 风险级别评价是否为 重大风险 事故发生的可能性事故后果的严重性风险级别 18 日常施工施工部安全设施不全/跌伤、摔伤、扎伤、 设备损失 B III 4 N 19 日常办公施工各部门交通事故/人体伤害 B II 3 Y 20 日常施工施工部标识放置错误/人体伤害 B III 4 N 21 下桩切割木料施工部割伤/人体伤害 B III 4 N 22 现场勘查测量施工部勘探仪器倒塌/物体打击伤害 B III 4 N 23 日常施工各部门疾病传播、毒虫盯咬/人体伤害 B III 4 N 24 日常施工办公各部门雷电袭击、突然冰雹、台风、地 震、海啸/人体伤害财产损失 C II 4 N 25 日常办公生活各部门垃圾清理/人体伤害、物体打击 C III 2 N 26 日常办公生活各部门接开水/烫伤人体伤害 B III 4 N 27 施工生产、材料运输设备/施工扬尘的排放/人体健康 B III 4 N 28 施工中各类机动车辆的使用设备/施工噪声/影响人体健康 B II 3 Y 29 施工中各类机动车辆的使用设备/施工翻车/机械人体伤害 B II 3 Y 30 施工中各类机动车辆的使用设备/施工汽柴油燃烧爆炸/人体伤害财产损失 B II 3 Y 31 施工中各类机动车辆的维修设备/施工扎、夹伤/人体伤害 B III 4 N 32 挖掘机使用设备/施工坠落臂/人体伤害财产损失 B II 3 Y 33 挖掘机使用设备/施工指挥失误/人体伤害财产损失 C II 4 N 34 焊接设备部烧伤、烫伤、光辐射/人体伤害 B III 4 N 编制人/日期：审核人/日期：
安全健康风险评估
<< 中华人民共和国劳动法>> 青岛威斯丽精密五金有限公司安全、健康和卫生条件风险评估 1．目的 建立并维持程序以鉴别与评估所有作业或活动的安全、健康和卫生风险，并对鉴别出的安全、健康和卫生风险进行区分，列出重点和优先次序，以便采取相应的措施对风险加以控制。 2．范围 一切具有安全、健康和卫生风险的作业或活动，生产过程中存在的噪声、触电、燃烧、爆炸、打击、坠落、碰撞、刺割等危险因素。 3.权责 3.1由安全主管会同各部门安全负责人定期对危险因素进行评估,并针对性地制定预防整改措施； 3.2各部门相关人员给予协助、配合； 3.3相关部门负责落实预防整改措施； 3.4安全主任对各项预防整改措施的落实情况实施监督、检查,并评核其有效性； 3.5社会责任委员会进行稽查，并对不符项提出整改要求。 4. 危害辨识，危险评价和危险控制计划 5: 法律及法规要求 本公司以中华人民共和国相关法律法规的要求为基础,并充分参考了我国政府已经批准签署或加入 的涉及社会责任规范的国际公约同时遵照了: << 中华人民共和国宪法>> 及历次宪法修正案 << 中华人民共和国劳动合同法>>
<< 中华人民共和国就业促进法>> << 中华人民共和国工会法>> << 中华人民共和国妇女权益保障法>> << 中华人民共和国未成年保护法>> << 中华人民共和国安全生产法>> << 中华人民共和国职业病防护法>> << 中华人民共和国劳动争议调节仲裁法>> << 中华人民共和国环境保护法>> << 中华人民共和国水污染防治法>> << 中华人民共和国大气污染防治法>> << 中华人民共和国固体废物污染防治法>> << 中华人民共和国环境噪音污染防治法>> << 中华人民共和国产品质量法>> << 中华人民共和国消费者权益保护法>> 6.目标 6.1因工伤亡事故为零； 6.2特大、重大、一般火灾事故为零； 6.3重大机械事故为零； 6.4急性中毒事故为零；
青岛威斯丽精密五金有限公司安全、健康与卫生条件风险评估 1.目得 建立并维持程序以鉴别与评估所有作业或活动得安全、健康与卫生风险,并对鉴别出得安全、健康与卫生风险进行区分,列出重点与优先次序,以便采取相应得措施对风险加以控制。 2.范围 一切具有安全、健康与卫生风险得作业或活动,生产过程中存在得噪声、触电、燃烧、爆炸、打击、坠落、碰撞、刺割等危险因素。 3、权责 3、1由安全主管会同各部门安全负责人定期对危险因素进行评估,并针对性地制定预防整改措施; 3、2各部门相关人员给予协助、配合; 3、3相关部门负责落实预防整改措施; 3、4安全主任对各项预防整改措施得落实情况实施监督、检查,并评核其有效性; 3、5社会责任委员会进行稽查,并对不符项提出整改要求。 4、危害辨识,危险评价与危险控制计划 5: 法律及法规要求 本公司以中华人民共与国相关法律法规得要求为基础,并充分参考了我国政府已经批准签署或加入得涉及社会责任规范得国际公约同时遵照了: <<中华人民共与国宪法>>及历次宪法修正案 <<中华人民共与国劳动法>> <<中华人民共与国劳动合同法>>
<<中华人民共与国就业促进法>> <<中华人民共与国工会法>> <<中华人民共与国妇女权益保障法>> <<中华人民共与国未成年保护法>> <<中华人民共与国安全生产法>> <<中华人民共与国职业病防护法>> <<中华人民共与国劳动争议调节仲裁法>> <<中华人民共与国环境保护法>> <<中华人民共与国水污染防治法>> <<中华人民共与国大气污染防治法>> <<中华人民共与国固体废物污染防治法>> <<中华人民共与国环境噪音污染防治法>> <<中华人民共与国产品质量法>> <<中华人民共与国消费者权益保护法>> 6、目标 6、1因工伤亡事故为零; 6、2特大、重大、一般火灾事故为零; 6、3重大机械事故为零; 6、4急性中毒事故为零; 6、5因工负伤频率控制在千分之六以内;
（一）了解被审计单位及其环境(不包括内部操纵) 一、审计目标 从以下方面了解被审计单位及其环境，并评估相应重大错报风险： 1．行业状况、法律环境与监管环境以及其他外部因素； 2．被审计单位的性质； 3．被审计单位对会计政策的选择和运用； 4．被审计单位的目标、战略以及相关经营风险； 5．被审计单位财务业绩的衡量和评价。 二、行业状况、法律环境与监管环境以及其他外部因素 （一）实施的风险评估程序
（二）了解的内容和评估出的风险2 1．行业状况 （1）所在行业的市场供求与竞争 （2）生产经营的季节性和周期性 1此处应详细记录了解被审计单位及其环境时实施的风险评估程序，包括询问、观看、检查和分析程序。记录的内容应包括实施审计程序的性质、时刻和范围。 2此处评估出的风险，最终应汇总至风险评估结果汇总表。
（3）产品生产技术的变化 （4）能源供应与成本 （5）行业的关键指标和统计数据 2．法律环境及监管环境 （1）适用的会计准则、会计制度和行业特定惯例
（2）对经营活动产生重大阻碍的法律法规及监管活动 （3）对开展业务产生重大阻碍的政府政策，包括货币、财政、税收和贸易等政策 （4）与被审计单位所处行业和所从事经营活动相关的环保要求 3．其他外部因素 （1）宏观经济的景气度 （2）利率和资金供求状况 （3）通货膨胀水平及币值变动
（4）国际经济环境和汇率变动 三、被审计单位的性质 （一）实施的风险评估程序 （二）了解的内容和评估出的风险 1．所有权结构 （1）所有权性质（属于国有企业、外商投资企业、民营企业依旧其他类型）：
（2）所有者和其他人员或单位的名称，以及与被审计单位之间的关系 （3）控股母公司 2．治理结构 （1）猎取或编制被审计单位治理结构图 （2）对图示内容作出详细解释讲明 3．组织结构 （1）猎取或编制被审计单位组织结构图