安全风险评估案例分析

风险评估与应对案例分析

玉风公司为我国江西景德镇地区的一家大型企业，主要业务为生产和销售青花瓷器。该公司2006年末未经审计的财务报表显示的资产总额为35543万元，销售收入为12560万元，利润总额为2300万元。自2003年以来，玉风公司历年的财务报表均由中天华正会计师事务所审计。2006年3月，在执行完玉风公司2005年度财务报表审计业务、提交了无保留意见审计报告后，中天华正会计师事务所与玉风公司签订了其2006年度财务报表的审计业务约定书，并委派执行2005年度财务报表审计的A和B注册会计师继续负责该项审计业务。基于玉风公司2006年度的经营计划，该公司在本年度将进行全方位的改革。新的管理层上任时，向公司治理层及股东代表大会做出了将本年度销售收入比上年增加20%，否则将扣发全体高层管理人员全年奖金的承诺。中天华正事务所的业务负责人意识到这些情况将全面影响玉风公司的环境，故特别要求A和B注册会计师对玉风公司及其环境进行全面、深入的了解，并根据了解的情况于2006年末制订玉风公司2006年度财务报表的审计计划。

资料一：在了解玉风公司及其环境、评估重大的错报风险时，A和B注册会计师发现玉风公司2006年度主要发生了下列事项和情况：

（1）2005年以来，玉风公司所在地用于生产优质瓷器所需的特殊泥土初步显现出枯竭的迹象。为维持正常的经营，玉风公司自2005年8月起派出专家在全国各地寻找该种特殊泥土。2006年2月，经专家建议，并经董事会决定，玉风公司出资5000万元在四川省广远地区设立分公司，利用当地泥土生产瓷器。

（2）2006年初，为提高存货管理水平，玉风公司出资200万元为各个仓储部门配置了计算机信息系统，该系统使玉风公司各仓库之间实现了内部联网，出库单、入库单由原先的人工填写改为计算机打印。

（3）为寻找新的生产原料，玉风公司决定出资1000万元建立F研究基地，用于研究在当地泥土中添加化学原料，以改善泥土的品质的试验。该基地已于2006年4月份开始运行。

目录

[隐藏]

1 风险评估的定义

2 风险评估的内容

3 风险评估任务

4 风险评估过程注意事项

5 风险评估的三种可行途径

5.1 基线评估

5.2 详细评估

5.3 组合评估

6 风险评估的常用方法

风险评估（Risk Assessment）

风险评估的定义

风险评估（Risk Assessment）是指在风险事件发生之后，对于风险事件给人们的生活、生命、财产等各个方面造成的影响和损失进行量化评估的工作。

风险评估的内容

（1）对风险本身的界定。包括风险发生的可能性；风险强度；风险持续时间；风险发生的区域及关键风险点。

（2）对风险作用方式的界定。包括风险对企业的影响是直接的还是间接的；是否会引发其他的相关风险；风险对企业的作用范围等。

（3）对风险后果的界定。在损失方面：如果风险发生，对企业会造成多大的损失？如果避免或减少风险，企业需要付出多大的代价？在冒风险的利益方面：如果企业冒了风险，可能获得多大的利益？如果避免或减少风险，企业得到的利益又是多少？

风险评估任务

风险评估的主要任务包括：

 识别组织面临的各种风险

 评估风险概率和可能带来的负面影响

 确定组织承受风险的能力

 确定风险消减和控制的优先等级

 推荐风险消减对策

风险评估过程注意事项

在风险评估过程中，有几个关键的问题需要考虑。

首先，要确定保护的对象（或者资产）是什么？它的直接和间接价值如何？

其次，资产面临哪些潜在威胁？导致威胁的问题所在？威胁发生的可能性有多大？

第三，资产中存在哪里弱点可能会被威胁所利用？利用的容易程度又如何？

第四，一旦威胁事件发生，组织会遭受怎样的损失或者面临怎样的负面影响？

最后，组织应该采取怎样的安全措施才能将风险带来的损失降低到最低程度？

解决以上问题的过程，就是风险评估的过程。

根据对正大公司内部控制的了解和测试，请分别指出下列内部控制缺陷与哪些会计报表（财务报表）项目或科目的何种认定相关。

①会计人员乙同时登记产成品总账和明细账

②验收单未连续编号

③付款凭单每月末统一交给会计部

④会计部根据未附其他单据的付款凭单登记有关账簿

⑤由证券部直接支取投资款

⑥证券部的投资协议未经其他部门审核

⑦在公司章程或有关决议中未载明筹资的权限和批准程序

⑧银行出纳编制银行存款余额调节表

【答案】

①会计人员乙同时登记产成品总账和明细账与产成品的“完整性”、“计价和分摊”、“存在”或“发生”认定相关。

②验收单未连续编号与材料采购（或原材料，或存货，下同）的“完整性”、“存在”认定相关

③付款凭单月末交给会计部与材料采购的“存在”或“发生”、“计价和分摊”的认定相关

④会计部根据未附其他单据的付款凭单登记有关账簿与材料采购的“计价和分摊”、“存在”或“发生”认定相关

⑤由证券部直接支取款项与短期投资（或长期投资，下同）的“完整性”、“存在”或“发生”认定有关

⑥证券部的投资协议未经其他部门审核与投资的“存在”或“发生”认定有关。由证券部进行会计核算、会计部月末汇总与投资的“计价和分摊”、“完整性”认定有关。由证券部进行会计核算与投资的“存在”或“发生”的认定相关

⑦在公司章程或有关决议中未载明筹资的权限和批准程序与长期（或短期）借款的“存在”或“发生”的认定相关

⑧银行出纳编制银行存款余额调节表与银行存款的“计价和分摊”、“存在”或“发生”、“完整性”的认定有关

1.（2007年）W公司主要从事小型电子消费品的生产和销售，产品销售以W公司仓库为交货地点。W公司日常交易采用自动化信息系统（以下简称系统）和手工控制相结合的方式进行。系统自20×6年以来没有发生变化。W公司产品主要销售给国内各主要城市的电子消费品经销商。A和B注册会计师负责审计W公司20×7年度财务报表。

资料一：A和B注册会计师在审计工作底稿中记录了所了解的W公司及其环境的情况，部分内容摘录如下：

信息系统安全风险评估案例分析

某公司信息系统风险评估项目案例介绍

介绍内容：项目相关信息、项目实施、项目结论及安全建议。

一、 项目相关信息

项目背景：随着某公司信息化建设的迅速发展，特别是面向全国、面向社会公众服务的业务系统陆续投入使用，对该公司的网络和信息系统安全防护都提出了新的要求。为满足上述安全需求，需对该公司的网络和信息系统的安全进行一次系统全面的评估，以便更加有效保护该公司各项目业务应用的安全。

项目目标：第一通过对该公司的网络和信息系统进行全面的信息安全风险评估，找出系统目前存在的安全风险，提供风险评估报告。并依据该报告，实现对信息系统进行新的安全建设规划。构建安全的信息化应用平台，提高企业的信息安全技术保障能力。第二通过本次风险评估，找出公司内信息安全管理制度的缺陷，并需协助该公司建立完善的信息安全管理制度、安全事件处置流程、应急服务机制等。提高核心系统的信息安全管理保障能力。

项目评估范围：总部数据中心、分公司、灾备中心。项目业务系统：核心业务系统、财务系统、销售管理统计系统、内部信息门户、外部信息门户、邮件系统、辅助办公系统等。灾备中心，应急响应体系，应急演练核查。 评估对象：网络系统：17个设备，抽样率40%。主机系统：9台，抽样率50%。数据库系统：4个业务数据库，抽样率100%。应用系统：3个（核心业务、财务、内部信息门户）安全管理：11个安全管理目标。

二、 评估项目实施

评估实施流程图：

项目实施团队：（分工）

现场工作内容：

项目启动会、系统与业务介绍、系统与业务现场调查、信息资产调查统计、威胁调查统计、安全管理问卷的发放回收、网络与信息系统评估信息获取、机房物理环境现场勘察、系统漏洞扫描、系统运行状况核查。

评估工作内容：

资产统计赋值、威胁统计分析并赋值、各系统脆弱性分析、系统漏洞扫描结果分析、已有安全措施分析、业务资产安全风险的计算与分析、编写评估报告。