《GBT 24353-2022 风险管理 指南》之“6过程-6.6监视和评审”条款深度解读和专业应用指导材料（雷泽佳编制-2026B0）

《GB/T24353-2022风险管理指南》之“6过程-6.6监视和评审”条款深度解读和专业应用指导材料雷泽佳编制-2026B0《GB/T24353-2022风险管理指南》之“6过程-6.6监视和评审”条款深度解读和专业应用指导材料（雷泽佳编制-2026B0）标准条款标准条款涵义专业和深度解读标准条款应用（实施）操作专业指南特别注意事项提示6.6监视和评审

监视和评审的目的是确保和提升风险管理过程设计、实施和结果的质量和成效；宜将对风险管理过程的持续监视和定期检査及其结果作为风险管理过程内计划性工作的组成部分，并明确界定责任；

监视和评审宜贯穿于风险管理过程的所有阶段；监视和评审包括计划、收集和分析信息、记录结果和提供反馈；

监视和评审的结果宜纳入组织绩效管理、考核和报告活动中；1）条款目的或意图

-双重提升的核心目的：本条款确立了监视和评审在风险管理过程中的核心功能，其目的具有双重性，即“确保”和“提升”风险管理过程设计、实施和结果的质量与成效；“确保”侧重于通过持续监控，使过程维持在预期的质量与成效基准之上，防止其退化或偏离；“提升”则强调基于评审发现，主动寻求过程优化与价值创造的改进机会，驱动风险管理能力螺旋式上升；

-计划性与责任化的过程活动：它明确将监视和评审定位为风险管理过程内固有的、计划性的工作组成部分，而非外部附加的审计活动；这从源头上要求组织必须预先规划监视评审活动，并“明确界定责任”，将其固化为具体的角色与职责，确保活动有人负责、有人执行、有人跟进，避免活动的随意性和责任真空；

-动态闭环与价值导向：本条款作为风险管理过程的贯穿性支撑活动，上承风险评估与风险应对的执行输出，下启记录和报告的沟通与治理闭环，是风险管理过程实现动态迭代和持续改进的核心保障机制；其核心价值在于确立“持续监视知状态、定期检查判成效、纳入绩效促改进”的科学逻辑，从机制源头避免风险管理“一次性走过场”或“静态化存档”等形式主义倾向，确保风险管理过程的设计持续适宜、实施持续有效、结果持续有价值；

-质量与成效的界定：其中“质量”指风险管理过程的设计是否科学合理、实施是否规范到位、结果是否真实可靠；“成效”指风险管理过程是否实现了预期目标、是否有效支持了决策、是否为组织创造和保护了价值；监视和评审的最终目的是推动风险管理从“做了”向“做好了”“产生了价值”持续提升，契合“整合、动态性、持续改进”等风险管理核心原则。

2）核心术语专业解读

本条款涉及的核心概念均依托权威术语标准界定，内涵边界清晰：

-监视（monitoring）：指为识别当前状态与要求或期望绩效的差距，持续地检查、监控、观察或确认状态的活动；其核心特征是持续性和实时性，旨在及时发现偏差和变化，是一种“在线”的常规性活动，输出的主要是状态数据和偏差信息；

-评审（review）：指为实现既定目标而开展的、判定某一事项适宜性、充分性和有效性的活动；其核心特征是定期性和深度性，旨在判断对象是否仍然合适、够用和管用，是一种“阶段性”的评价性活动，输出的主要是结论和改进建议；

-持续监视与定期检查的关系：“持续监视”侧重过程运行的实时状态跟踪，“定期检查”侧重阶段性的合规性与成效核验，二者共同构成“日常监控+周期复盘”的双层机制；监视提供持续数据流和早期预警信号，评审基于监视积累的信息及其他输入开展深度分析和综合判断；监视重在“发现问题”，评审重在“分析原因、评价效果、推动改进”，两者相互配合、缺一不可；

-绩效管理、考核和报告：指组织将监视和评审结果系统纳入绩效管理体系、人员考核机制及内外部报告活动，使风险管理成效与组织整体绩效挂钩，确保风险管理不再是孤立的专业活动，而是融入组织治理与管理的有机组成部分；

-计划性工作：强调监视和评审活动不应是临时、被动的响应，而应在风险管理计划中预先进行策划、编排和资源配置，其本身就是一套需要被管理的结构化活动。

3）涵义专业深度解读

-第一层涵义——全链条的双重目的定位：条款开宗明义指出，监视和评审的目的覆盖“风险管理过程设计、实施和结果”三个层面；“设计”关注风险管理过程在架构、方法、程序上的合理性、适宜性和充分性；“实施”关注风险管理过程是否按设计要求被正确执行和落实；“结果”关注风险管理过程产出的风险信息、评估结论、应对措施是否准确、有效和可靠；三个层面层层递进、缺一不可，覆盖从制度设计到落地执行再到价值产出的全生命周期，避免仅关注“是否执行”而忽略“是否合理、是否有效”的片面评价；

-第二层涵义——计划性工作与责任界定：条款强调监视和评审不是临时性、被动性活动，而应作为“风险管理过程内计划性工作的组成部分”；这意味着组织需在风险管理计划中提前规划监视和评审的内容、方法、频次、资源分配和输出要求，并“明确界定责任”——将职责落实到具体角色和岗位，确保每一项活动都有人负责、有人执行、有人跟踪；这与风险管理框架中“明确组织角色、权限、职责和责任”的要求一脉相承，同时契合风险管理三道防线的责任划分逻辑；

-第三层涵义——贯穿所有阶段的全过程性：条款明确要求监视和评审“宜贯穿于风险管理过程的所有阶段”；这意味着监视和评审不是仅在风险管理过程结束后才进行的“事后检查”，而是与沟通和协商、明确范围环境准则、风险评估、风险应对以及记录和报告同步运行、并行不悖的贯穿性活动；它嵌入到风险管理过程的每一个环节，实现“事前预警、事中管控、事后复盘”的全时段覆盖，达成全过程、全要素的动态监控；

-第四层涵义——四步闭环的基本运行逻辑：条款将监视和评审的具体活动概括为“计划、收集和分析信息、记录结果和提供反馈”四个环节；这构成了完整的PDCA小循环：“计划（P）”是明确监视和评审的对象、方法、责任；“收集和分析信息（D/C）”是获取数据、识别偏差、分析原因；“记录结果（C）”是将发现和结论文档化；“提供反馈（A）”是将评审结果传递给相关决策者和责任方，推动改进；四个环节闭环运行，确保监视和评审活动本身也遵循结构化、可追溯的管理逻辑；

-第五层涵义——融入绩效体系的治理衔接：条款最后要求监视和评审的结果“宜纳入组织绩效管理、考核和报告活动中”；这是将风险管理从专业活动上升为管理治理活动的重要连接点；通过与组织绩效指标挂钩，使风险管理成为衡量部门和个人绩效的维度之一；通过纳入考核，强化责任落实；通过纳入报告，为最高管理层和监督机构提供决策支持，满足治理监督职责需要；这既是风险管理“整合原则”的具体体现，也是其价值实现的关键一跃，推动风险管理从专业条线工作融入组织整体治理与运营体系，实现风险管控与绩效提升的协同联动。1）制定监视和评审计划的操作步骤

-明确监视和评审的对象与范围：根据风险管理计划，确定具体监视评审对象，包括但不限于：风险管理过程的设计与运行情况、内外部环境的变化（如法律法规、技术、市场格局）、风险源及风险准则的持续适用性、风险应对计划的执行进度与效果、控制措施设计与运行的有效性、剩余风险的变化趋势、新兴风险演变态势等；

-确定监视的方法与频次：针对不同对象分别确定适用方法和频次；过程类指标（如应对计划完成率）可依托管理信息系统进行持续在线监视；结果类指标（如控制措施有效率达標率）可采用定期抽样测试；环境变化等定性信息可采用定期扫描与专题报告相结合的方式；对高风险领域和关键控制措施宜采用更高频次和更密集的监视；

-确定评审的周期与方式：明确定期评审节奏（如每季度、每半年、年度全面评审）以及触发临时评审的条件（如发生重大风险事件、内外部环境发生重大变化、组织战略或目标调整等）；评审方式可采用管理层评审会议、风险管理委员会专题评审、专项审计或独立评估等；

-明确责任分工：对应风险管理三道防线明确分层责任；第一道防线（业务职能部门）负责本领域风险与控制措施的日常持续监视；第二道防线（风险管理职能部门）负责统筹组织跨领域评审，并对监视活动提供方法指导和质控；第三道防线（内部审计部门）负责对监视和评审活动本身的充分性、有效性进行独立监督评价；将各项活动分解到具体岗位和责任人，形成RASCI（谁负责、谁批准、谁支持、谁被咨询、谁被告知）责任矩阵，并纳入岗位职责说明书；

-规划资源配置：确保监视和评审所需的人力、技术工具（如风险管理信息系统、预警平台、数据分析工具）、时间和预算得到充分保障；

-形成计划文件：将上述内容整合为正式的监视和评审计划，纳入风险管理计划或作为专项附件，经审批后发布执行。

2）实施持续监视的操作要点

-内外部环境持续监视：持续跟踪政治、经济、社会、技术、法律、环境等外部因素变化，以及组织内部治理结构、战略目标、资源能力、组织文化等内部因素变动，及时识别可能影响风险状况的新兴趋势和变化信号；

-风险因素变化监视：持续监视风险源、风险驱动因素、脆弱性、威胁等风险因素的变化，包括：风险管理范围的变化（如新业务领域、新部门或新资产）、评估对象价值的变化、新的或变化的威胁信息、新发现的脆弱点、残余风险的变化、风险后果的变化等；

-风险应对计划执行监视：对照风险应对计划，跟踪各项应对措施的启动时间、进度、资源投入和阶段性成果，定期检查是否存在进度偏差；

-控制措施有效性监视：持续监视控制措施是否按设计运行，是否达到预期风险降低效果，是否存在控制失效或控制不足的情况；控制措施的运行绩效应作为嵌入式过程，由业务流程负责人进行日常监督，不依赖内部审计等独立检查职能；

-关键风险指标（KRI）监视：建立并持续跟踪与风险水平相关的关键风险指标，设定预警阈值，当指标触及或超出阈值时及时触发预警和升级报告；指标设计应兼顾领先指标（预测性）和滞后指标（结果性），优先选取具有预测价值的领先指标，以实现风险的早期预警；

-风险事件监视：建立风险事件报告机制，及时收集、记录和分析已发生的风险事件（包括未遂事件、近失事件），识别事件模式、趋势和根本原因；

-收集和分析信息：将监视获取的数据进行系统化整理、验证和分析，运用趋势分析、偏差分析、根本原因分析等方法，提炼有意义的发现和结论。

3）实施定期评审的操作要点

-风险管理过程设计评审：定期评价风险管理过程设计是否仍然适宜（与内外部环境相适应）、充分（覆盖所有关键风险领域）和有效（能够实现预期目标）；重点关注风险管理过程与组织战略、业务决策的整合程度；

-风险评估结果评审：检查风险识别是否全面、风险分析是否准确、风险评价是否合理、风险等级排序是否需要调整；同步评审风险准则的持续适用性，确保风险评价的标尺与内外部环境、组织战略保持匹配；

-风险应对有效性评审：评价已实施的风险应对措施是否达到预期效果，成本效益是否合理；检查剩余风险是否在可接受范围内；识别是否需要采取进一步应对措施；

-风险因素变化趋势评审：综合分析监视阶段收集的风险因素变化信息，识别系统性趋势和模式，判断组织风险状况是否发生实质性变化；

-新兴风险识别评审：通过环境扫描、情景分析、风险情报循环等方法，主动识别和评估新出现的风险（包括技术变革、监管变化、地缘政治等因素引发的风险），并将其纳入风险管理体系；

-风险管理绩效指标评审：定期评审风险管理绩效指标的适宜性，确保其与组织战略和绩效指标保持一致；指标类型可包括成功指标（目标实现程度）、过程指标（流程遵循程度、监视评审行动有效性）和结果指标（应对措施完成情况、控制措施运行效果）；

-经验教训总结与反馈：系统分析成功和失败案例（包括事件和未遂事件），提炼经验教训，反馈到风险管理过程改进中；

-编制评审报告：将评审发现、结论和建议形成正式评审报告，内容包括评审范围、方法、主要发现、风险状态评估、改进建议等，并报送相关管理层和监督机构。

4）将监视和评审结果纳入绩效管理、考核和报告的操作要点

-建立风险管理绩效指标：将监视和评审结果量化为可考核的绩效指标，如：风险管理计划完成率、重大风险应对措施执行率、风险事件报告及时率、控制措施有效性达标率、风险评估更新及时性等；

-纳入部门和岗位绩效考核：将风险管理绩效指标分解到相关职能部门和业务单元，纳入其年度绩效考核体系；对风险责任人、风险管理部门和相关管理岗位，应将风险管理职责履行情况作为绩效考核的重要组成部分；

-纳入组织绩效报告体系：将监视和评审的核心结果（如风险状态变化、重大风险应对进展、风险事件统计分析、风险管理体系运行评价等）整合到组织定期绩效报告中，向管理层、董事会或监督机构报告；

-建立分层风险报告机制：建立“分级分类、按需适配”的报告体系，针对操作执行层、管理控制层、治理决策层分别设置不同的报告颗粒度与频次；操作层侧重具体风险数据和应对指引，管理层侧重风险状态综合评估和趋势分析，治理层侧重体系有效性总体评价和重大风险变化提示；

-闭环跟踪改进：对监视和评审中发现的问题和改进建议，建立整改台账，明确责任部门、整改措施、完成时限，并跟踪验证整改效果，确保问题得到根本解决，形成“监视发现问题→评审分析原因→制定改进措施→跟踪验证效果→更新风险管理过程”的闭环管理。1）防止监视和评审的形式化与“两张皮”

-监视和评审最普遍的风险是沦为“走过场”的合规性活动，仅为满足制度要求而开展，未能真正产生有价值的发现并推动改进；严禁将监视和评审简化为“文档合规性检查”，必须以实质性风险变化、控制实效与价值贡献为核心评价维度，而非仅检查文档是否齐全、流程是否“打勾”；

-监视和评审的信息必须被真正用于决策和改进，否则信息收集和分析将失去价值；建立了监视机制却不对发现的问题采取行动，比没有监视更损害风险管理文化的公信力；

-严禁将监视和评审活动与风险管理过程割裂，形成“做一套、记一套、评一套”的相互独立体系；监视和评审应嵌入日常管理流程，而非额外的“附加任务”。

2）警惕“监视”与“评审”的功能混淆或相互替代

-监视是持续性、常规性活动，旨在发现偏差和变化；评审是阶段性、深度性活动，旨在评价适宜性、充分性和有效性；两者不能相互替代——仅有监视而无评审，会导致“有数据无判断”；仅有评审而无监视，会导致“有判断无数据”；

-评审应基于监视所积累的数据和发现，而非凭空开展；同时，监视的结果需要通过评审获得更深入的分析和解读，两者形成有机配合关系。

3）确保监视和评审责任的明确界定与落实

-监视和评审的首要责任在于对风险管理负有管理职责的业务及职能管理人员，而非内部审计或独立评审等保证提供方；质量保证、独立评审和监管监督只是直线管理报告过程的有益补充，提供“另一种视角”，不能替代管理层的首要责任；

-控制措施的运行绩效应作为嵌入式管理过程，不应依赖内部审计或其他评审职能作为主要保证手段；若将内部审计或外部评价作为监视和评审的主要甚至唯一手段，将导致管理层主体责任虚化，整体保证机制弱化；

-清晰界定风险管理各环节的监视和评审责任，并将其纳入岗位职责和绩效考核，避免出现“人人都管、人人都不管”的责任真空。

4）防范环境分析的静态化与评审的滞后性

-内外部环境是动态变化的，监视和评审必须是持续过程，而非一次性活动或年度例行公事；应特别关注“弱信号”和趋势性变化，它们往往是新兴风险的重要来源；

-当组织战略、业务结构、监管环境发生重大变化，或发生重大风险事件后，必须及时启动临时评审，无需等待既定评审周期；环境变化的速度决定了监视和评审的频次，变化越快，频次应越高；

-防止固守初始风险评估结果而忽略环境变化带来的风险演变——年复一年使用相同风险信息而不更新，是监视和评审失效的典型表现。

5）确保监视和评审结果的有效运用与闭环管理

-监视和评审的结果必须纳入绩效管理、考核和报告活动，不能仅停留在风险管理部门的内部文件中；若结果不纳入绩效体系，则难以驱动责任落实和行为改变；

-报告内容应区分不同相关方的信息需求——操作层需要具体风险数据和应对指导，管理层需要风险状态综合评估和趋势分析，董事会和监督机构需要风险管理体系有效性总体评价和重大风险变化提示；

-监视和评审发现的改进机会应形成正式改进计划，明确责任人和完成时限，并跟踪验证改进效果，确保问题得到根本解决；仅发现问题而不推动改进，将使监视和评审失去根本意义。

6）关注新兴风险与预警指标的监视联动

-组织宜持续监视环境变化及其影响，跟踪新兴风险相关数据和信息以更新对特定因素的理解，确定并监视可以指示变化开始发生的先行指标；

-由于新兴风险具有动态演变特性，持续监视过程的结果尤为重要——应获取包括环境、已识别风险、可用数据信息、风险重要性以及正在实施措施等方面的信息，以便及时响应各类变化；

-应建立从弱信号捕获、分析、研判到决策响应的完整链条，避免弱信号在层层传递中衰减或丢失；组织应建立制度，从新兴风险应对中吸取经验教训，作为持续改进的一部分。附件6.6-1：监视和评审关系说明表比较维度监视（Monitoring）评审（Review）关系说明1.术语定义以识别当前状态与要求或期望绩效的差距，持续地检查、监控、观察或确认状态的活动。注：监视能用于风险管理体系、风险管理过程、风险或风险控制；是风险管理过程中常态化的状态感知活动，其本质是获取“正在发生什么”的信息，

可作用于风险管理全链条的任一环节。为实现既定目标而进行的，决定某一事项适宜性、充分性和有效性的活动。注：评审能用于风险管理体系、风险管理过程、风险或风险控制；是风险管理过程中阶段性的价值判断活动，其本质是回答“这意味着什么”以及“是否仍然合适”，

通常基于一定周期或特定触发条件启动。监视与评审是风险管理过程中两种相互区别、相互补充的支撑性技术手段，二者并非先后割裂的线性关系，而是并行嵌套的协同关系，共同服务于“确保和提升风险管理过程设计、实施和结果的质量和成效”这一核心目的。监视提供持续的运行状态数据与变化信号，评审则在此基础上进行深度的分析与价值判断，两者构成从“数据采集—状态感知”到“分析评价—价值判断”的完整认知闭环。2.核心目的与意图持续感知和识别风险管理过程当前运行状态与要求或期望绩效之间的差距，及时发现变化、异常和偏差，生成供后续分析和决策的原始信息，为动态调整和及时干预提供依据；同时对风险预警阈值的执行情况进行动态跟踪，为风险预警机制的有效运行提供数据支撑。其核心意图在于“确保”质量，维持过程稳定。定期对监视所获取的信息和数据进行系统分析和评价，判断风险管理过程及相关事项的适宜性（是否匹配当前环境）、充分性（是否全面覆盖）和有效性（是否达成预期目标），得出评价结论，驱动持续改进；同时验证风险管理总体目标的达成程度，评判风险管理资源配置的合理性与投入产出效益。其核心意图在于“提升”成效，驱动过程优化。监视是评审的前提和基础，评审是监视的深化和升华。监视的产出（数据和信息）是评审的核心输入，没有监视提供持续、准确的信息，评审将缺乏客观依据；评审的结论反过来指导监视的重点、频率和方法的调整优化，两者形成“监视→评审→改进→再监视”的螺旋上升循环，共同确保风险管理过程始终保持动态适宜和持续有效。二者形成“感知变化—判断价值”的完整认知链条，是6.6条款中“确保质量”与“提升成效”两大目标的分别载体与共同支撑。3.时间维度与频率特征持续性的活动，可以是连续不断的（如实时数据监控），也可以是高频次定期或不定期进行的。监视嵌入日常管理工作流程中，是日常工作的一部分，追求对状态变化的及时发现和快速响应；除常规周期性监视外，对重大风险、关键控制节点需实施不间断的实时监视，以最大限度地缩短从风险事件发生到被感知的时间差。定期性的活动，通常为间隔性的、有计划地开展（如按季度、半年、年度或项目阶段节点进行），属于偶发性的深度检查活动。评审频率受风险等级、业务规划周期、治理机构决策等因素影响，风险越高、环境变化越快，评审频率应相应提高；除既定周期的定期评审外，当发生重大风险事件、内外部环境出现重大变化、组织战略调整时，需立即启动临时评审，不受固定周期限制。监视的“持续性”与评审的“定期性”形成时间维度上的互补：监视提供时间轴上连续的“点状”状态感知，评审则提供时间节点上的“面状”系统评价。“常态持续+重点实时”的监视，与“定期复盘+临时触发”的评审相结合，既保证了风险管理过程在全时间维度上不出现监控盲区，又在关键节点进行系统性的深度检视，完整覆盖6.6条款“贯穿于风险管理过程的所有阶段”的全过程要求。4.活动性质与方式常规性、嵌入式的日常检查活动。通过例行检查、关键参数测量、指标跟踪、巡查、观察等方式，将监视活动融入日常业务操作和管理流程之中，是一种“融入式”的持续活动；可采用的技术方法包括关键风险指标管理、风险事件台账跟踪、控制穿行测试、返回测试、压力测试、动态环境扫描等，通过嵌入式设计减少额外管理成本。深度性、专题性的评价活动。通过会议研讨、文档审查、数据分析、访谈调研、专项审计等方式，对某一特定事项或领域进行系统性的深入检视和评价，是一种“集中式”的深度活动；可采用的技术方法包括风险控制自我评估、专项审计、标杆对标分析、独立第三方评价、管理评审会议等，注重系统性与证据支撑。监视的“日常融入”与评审的“集中专题”构成活动方式上的互补：监视覆盖日常运行的全过程，确保随时感知变化；评审则在特定时间点对监视积累的信息进行系统梳理和深度挖掘，识别出日常监视中不易发现的系统性问题和趋势性变化。二者的方法组合完整覆盖6.6条款明确的“计划、收集和分析信息、记录结果和提供反馈”四步工作流程：计划环节统领二者的实施安排，监视主导信息的持续收集，评审主导信息的深度分析和综合判断，记录结果和提供反馈则由二者共同完成。5.关注焦点与对象关注“状态”和“变化”，聚焦于：内外部环境因素的变化趋势；风险控制措施是否按设计持续运行；风险应对计划的执行进度；关键风险指标（KRI）是否在可接受阈值范围内；预警信号的产生与变化；同时跟踪已发生风险事件（含未遂事件、近失事件）的处置进展，捕捉新兴风险的早期弱信号。关注“适宜性”“充分性”和“有效性”，聚焦于：风险管理框架和过程设计是否仍然适宜当前环境；风险评估的前提假设是否仍然成立；风险应对措施是否充分有效；剩余风险是否在可接受范围内；风险管理过程是否实现了预期目标；同时审视风险管理组织架构、职责分工、资源配置的适宜性，以及风险管理文化建设与人员能力的匹配程度。监视关注“是什么在发生”（What），评审关注“这意味着什么、是否仍然合适”（SoWhat）。监视发现变化事实，评审判断这些变化的意义和影响。两者对象一致（均覆盖风险管理体系、过程、风险和控制），但切入维度不同：监视聚焦“运行过程是否合规、状态是否偏离”，评审聚焦“体系设计是否合理、整体是否有效”，从过程与体系两个层面共同保障风险管理全链条的质量，形成从“事实发现”到“价值判断”的认知递进。6.输出成果与用途输出监视记录、数据报表、指标趋势图、预警信号、异常报告等；典型输出包括关键风险指标仪表盘、风险预警通知单、偏差分析台账、风险事件统计报表、运行监控记录等。用于：及时发现问题并启动纠正措施；为评审提供客观数据和信息输入；支持日常管理决策和动态调整。其成果是反映过程运行状态的“晴雨表”。输出评审报告、评价结论、改进建议、适宜性判定等；典型输出包括风险管理有效性评价报告、专项风险评审意见书、管理改进决议、年度风险管理工作报告等。用于：确认风险管理过程的有效性；识别改进机会和方向；为绩效管理、考核和报告提供依据；驱动风险管理框架和过程的优化调整。其成果是评判体系整体价值的“体检报告”。监视的产出是评审的基础输入，评审的产出是监视数据价值实现的最终体现。监视成果是过程性考核的核心依据，评审成果是整体性绩效评价的核心依据，二者共同支撑6.6条款“纳入组织绩效管理、考核和报告活动”的落地要求，实现从专业数据到管理价值的转化，达成风险管理与组织管理的深度融合。7.实施主体与责任由风险责任人、流程负责人、业务操作层等承担日常风险管理职责的人员负责实施，是日常管理职责的组成部分。监视责任应明确界定并纳入岗位职责和工作描述；对应风险管理三道防线：第一道防线（各职能部门、业务单位）负责本领域日常运行监视，承担监视的首要责任；第二道防线（风险管理职能部门）负责跨领域风险的汇总监视与预警管理，提供方法支持和质量控制。由风险管理部门、管理层、治理机构（如风险管理委员会、董事会）等负责组织和实施，必要时可引入独立评审方（如内部审计、外部专家）以增强客观性。评审责任应在风险管理计划中明确界定；对应风险管理三道防线：第二道防线负责组织开展常规业务评审；第三道防线（内部审计部门）负责独立的有效性评审；董事会及风险管理委员会负责最高层级的体系评审；必要时可聘请外部专业机构开展独立评价。监视责任定位于“日常管理线”——由一线风险责任人承担；评审责任定位于“治理监督线”——由管理层和治理机构承担。责任分层与风险管理三道防线完全契合，通过“执行层监视+管理层评审+治理层监督”的三级责任体系，落实6.6条款“明确界定责任”的要求，既确保日常监视的及时性和有效性，又保证了评审的独立性和权威性，两条责任线相互配合，不重叠、不替代，共同构成完整的监视和评审责任体系。8.在风险管理过程中的定位作为风险管理过程的两大支撑活动之一，贯穿于范围环境准则确定、风险评估（识别、分析、评价）、风险应对（方案选择、计划编制与实施、剩余风险评估）及记录报告等所有阶段，是确保风险管理过程持续有效运行的基础保障；在范围环境准则阶段跟踪内外部环境变动；在风险评估阶段动态更新风险因素与风险等级；在风险应对阶段监控措施执行进度与控制效果；在记录报告阶段验证信息的准确性与及时性。是实现全过程动态管理的关键。同样作为风险管理过程的两大支撑活动之一，贯穿于风险管理过程的所有阶段，在每个阶段结束时或阶段性节点上，对阶段成果进行系统评价，确保各阶段输出的质量和适宜性，为下一阶段工作提供可靠前提；在各阶段节点开展阶段成果质量评审，在风险管理周期末开展全流程有效性评审，为下一周期的过程优化提供输入。是实现全过程闭环管理的关键。监视和评审共同