《GBT 24353-2022 风险管理 指南》之“6过程-6.7记录和报告”条款深度解读和专业应用指导材料（雷泽佳编制-2026B0）

《GB/T24353-2022风险管理指南》之“6过程-6.7记录和报告”条款深度解读和专业应用指导材料雷泽佳编制-2026B0《GB/T24353-2022风险管理指南》之“6过程-6.7记录和报告”条款深度解读和专业应用指导材料（雷泽佳编制-2026B0）标准条款标准条款涵义专业和深度解读标准条款应用（实施）操作专业指南特别注意事项提示6.7记录和报告

宜通过适当的工作机制，记录和报告风险管理过程及其结果。记录和报告旨在：

-在组织各层级通报风险管理活动及结果；

-为决策制定提供信息；

-改进风险管理活动；

-促进与相关方的互动，包括各层级的风险责任人。

在决定创建、留存和处理所记录信息时，宜考虑（但不限于）信息的用途、敏感性及内外部环境。

报告是组织治理不可或缺的一部分，可提升与相关方的沟通质量，并为最高管理层和监视机构履行职责提供支持；报告的考虑因素包括但不限于：

-区分相关方及其具体信息需求和要求；

-报告成本、频率和及时性；

-报告方式；

-信息与组织目标和决策的相关性。1）条款目的或意图

本条款确立了风险管理过程中记录和报告活动的总纲性要求，其核心目的是确保风险管理过程及其结果能够被系统地记录、有效地传递和恰当地利用；具体而言，本条款旨在实现以下目的：

-建立透明化与可追溯的风险管理机制：通过记录和报告，使风险管理过程的全貌和关键节点得以留存，形成完整证据链，支撑后续审核、检查和改进；

-实现风险信息在组织各层级的有效传递：确保董事会、最高管理层、风险责任人、业务部门及一线员工等不同层级的相关方，均能获取与其职责和决策需求相匹配的风险信息；

-为决策制定提供信息支撑：将风险分析、评价和应对的结果转化为可供决策者使用的信息，使风险管理真正嵌入组织的决策过程；

-持续改进风险管理活动：通过记录的历史信息和报告反馈，识别管理过程中的薄弱环节，推动风险管理方法、工具和流程的迭代优化；

-促进与相关方的有效互动：记录和报告是组织与内外部相关方（包括风险责任人、监管机构、投资者、合作伙伴等）之间沟通的重要载体，有助于形成共识、增强信任和落实责任；

本条款作为风险管理过程的收尾性环节（同时也是新一轮循环的起点），上承监视和评审的输出，下启组织治理和决策的输入，形成了风险管理“评估→应对→监视→记录报告→决策改进”的完整闭环；其中，“适当的工作机制”强调记录和报告不应是零散、随意或一次性的行为，而应是有组织、有制度、有流程的系统性安排；“报告是组织治理不可或缺的一部分”则明确了风险报告的治理属性，其不仅是风险管理的输出，更是治理层履行监督职责、落实风险问责的核心抓手，贯穿于风险管理三道防线的全责任链条。

2）核心术语专业解读

本条款涉及以下核心专业术语，依据相关术语标准进行深度解读：

-“记录”：指在风险管理过程中形成的、记载所开展活动及其结果的各种形式的信息载体；记录的核心功能是保存证据、支持追溯和为后续决策提供参考依据；记录既是风险管理过程合规性的证明，也是组织学习和持续改进的基础资料；依据风险管理术语标准，记录应具备完整性、准确性、可读性和可追溯性；记录的形式不限于书面文档，还包括电子数据、系统日志、音频视频、会议纪要等多种可留存的信息形态；

-“报告”：“风险报告”定义为“告知内部或外部利益相关者风险及其管理现状信息的沟通方式”；报告是风险信息从信息生产者向信息使用者传递的正式渠道，是组织治理不可或缺的组成部分；报告不同于原始记录，它是对风险信息进行筛选、整理、分析和提炼后的有目的性、有针对性、有受众意识的输出产物；报告按周期可分为定期报告与不定期报告，按内容可分为综合报告与专项报告，按受众可分为内部报告与外部报告；

-“相关方”：指“能影响、被影响或自认为会被某一决策或行动影响的个人或组织”；在记录和报告语境下，相关方包括但不限于：董事会、最高管理层、风险责任人、业务部门管理者、员工、监管机构、投资者、客户、供应商及社会公众等；

-“风险责任人”：指对特定风险的管理及应对措施的实施负有责任和权限的人员或组织实体；风险责任人既是记录和报告的重要信息源，也是记录和报告的重要受众；在三道防线体系中，第一道防线的业务单元负责人是其管辖范围内风险的首要责任人，承担风险信息的初始记录与报送职责；

-“风险沟通”：指“不同个体或组织间就风险及其管理进行信息和意见交换的互动过程”；报告是风险沟通的重要形式之一，但沟通的范围更广，还包括协商、反馈、对话等多种互动方式；

-“工作机制”：指为保障记录和报告活动有效开展而建立的一整套制度安排，包括责任分工、流程规范、标准模板、技术工具、审核审批路径、保留期限、安全保密要求等；

-“组织治理”：指组织在其运营和法律框架内，为实现其目标而设立的决策、监督和控制体系；报告是组织治理的有机组成部分，有效的风险报告能够提升治理层（董事会、监视机构）对风险状况的全面了解和监督能力；

-“监视机构”：指组织中承担风险管理监督职责的机构，通常包括监事会、审核委员会、风险管理委员会等，其通过风险报告获取组织风险全貌，履行监督、评价与问责职能。

3）涵义专业深度解读

-“记录和报告”与“沟通和协商”的关联与区别：本条款与“沟通和协商”条款共同构成风险管理过程的信息传递体系；“沟通和协商”侧重双向互动式的信息交流与意见征询，强调过程的参与性和包容性；本条款则侧重系统化的信息留存和结构化传递，强调信息的规范性、可追溯性和对决策的支持功能；二者相辅相成-记录和报告为沟通和协商提供信息基础，沟通和协商的结果又需要被记录和报告以形成闭环；沟通和协商贯穿风险管理全流程，而记录和报告是沟通成果的固化载体与正式输出渠道；

-“记录和报告”贯穿风险管理全过程：虽然本条款列在风险管理过程六个子条款的最后，但记录和报告并非仅在风险管理过程结束时才启动的活动；依据风险评估技术标准的要求，风险评估的结果、所使用的方法、假设条件的基本依据以及其他建议都宜妥善记录；风险分析中的影响因素（如观点分歧、偏见、风险认知、信息质量、假设和排除情形等）也宜记录并与决策者沟通；由此可见，记录和报告应贯穿风险识别、分析、评价、应对、监视等所有环节，是一种贯穿始终的持续性活动；从风险初始信息收集开始，每一项风险管理活动都应同步形成对应记录，而非事后补录，以保障信息的真实性与可追溯性；

-“记录”与“报告”的功能差异：记录侧重于“存证”，其主要功能是保存原始信息，保障可追溯性，为后续分析、验证、审核和改进提供基础素材；报告侧重于“传递”，其主要功能是将经过筛选、整合和提炼后的信息有针对性地传递给特定受众，以支持决策和行动；记录是报告的基础，报告是记录的价值延伸；记录强调全面性与原始性，报告强调针对性与价值性；记录面向过程追溯，报告面向决策支撑；

-“适当的工作机制”的深层含义：要求组织建立制度化的记录和报告安排，而非仅依赖个人自觉或临时性行为；这包括：明确记录和报告的责任主体；建立统一的标准格式和编码体系；规定记录的审核、归档、保存和处置流程；确定报告的内容标准、报送路径、频率和审批层级；以及将记录和报告纳入组织绩效管理考核体系；工作机制的设计应与组织的规模、复杂度、风险特征及治理结构相适配，避免过度繁琐导致执行成本过高，也避免过于宽松导致管理失效；

-创建、留存和处理记录信息的考虑因素：条款要求考虑信息的“用途”“敏感性”及“内外部环境”；其中，“用途”决定记录的内容详略、格式和保存期限；“敏感性”决定记录的保密等级、访问权限和安全保护措施；“内外部环境”决定记录的方式和媒介选择（如纸质或电子、本地或云端存储等），以及需遵守的法律法规和行业规范要求；对于涉及个人信息、商业秘密、国家秘密的记录，应单独设定分级保护与管控要求，确保符合数据安全、个人信息保护等法律法规规定；

-“报告是组织治理不可或缺的一部分”的深刻内涵：这一表述将报告提升到了组织治理的高度；有效的风险报告机制能够使董事会和监视机构（如监事会、审核委员会）全面了解组织的风险轮廓、风险应对成效和剩余风险水平，从而履行其监督和指导职责；同时，报告机制也是落实风险管理责任链的关键手段，通过报告使各层级风险责任人对其管理范围内的风险状况保持透明和负责任的状态；风险报告是治理层掌握风险全貌、监督管理层履职、开展风险问责的核心依据，也是董事会对股东及利益相关方承担受托责任的重要体现；其治理功能具体表现在：支持治理层评估管理层风险应对绩效；为重大决策提供风险维度的审阅意见；对外信息披露履行社会责任与合规义务；

-报告的四个考虑因素：条款列出的四个报告考虑因素构成一个完整的报告设计框架-“区分相关方及其具体信息需求和要求”解决报告“给谁看、看什么”的问题；“报告成本、频率和及时性”解决报告“多久做一次、投入多少资源”的问题；“报告方式”解决报告“用什么形式呈现”的问题；“信息与组织目标和决策的相关性”解决报告“内容是否关键、是否有助于决策”的问题；这四个因素相互关联，共同决定了报告机制的有效性和经济性；四个因素需统筹平衡，不能单一追求及时性而忽略成本，也不能为控制成本而牺牲信息相关性，最终目标是以合理的成本为决策提供充分、及时的风险信息。1）建立记录和报告工作机制的操作步骤

-明确责任分工：在风险管理计划或相关制度文件中，明确规定记录和报告工作的责任主体；通常，风险管理部门（或风险管理归口部门）负责统筹建立记录和报告机制，各风险责任人在其职责范围内负责具体记录的编制和更新，风险管理委员会（或类似机构）负责审议重大风险报告；按照三道防线职责划分，第一道防线业务单位负责一线风险信息的记录与报送；第二道防线风险管理职能部门负责汇总、分析与编制综合报告；第三道防线内部审核部门负责对记录报告的真实性、完整性进行监督评价；

-制定记录和报告制度文件：编制《风险管理记录和报告管理办法》或类似制度文件，明确记录的范围、内容要求、格式标准、保存期限、审核审批流程、访问权限和保密要求等；制度文件应同时明确迟报、漏报、瞒报的问责标准，将记录报告履职情况纳入绩效考核范畴；

-设计统一记录模板：设计并推行标准化的记录模板，包括但不限于：风险登记簿（风险登记表）、风险事件记录表、风险评估过程记录表、风险应对措施实施记录表、监视和评审记录表等；模板应包含必要的核心字段（如风险编号、风险名称、风险描述、风险源、风险类别、可能性、后果等级、风险等级、风险责任人、控制措施、应对措施、状态、更新时间等），并预留关联和扩展字段；模板设计应兼顾通用性与扩展性，既能满足常规风险管理需求，也能适配新兴风险、专项风险的特殊记录要求；

-建立风险登记簿制度：依据风险评估技术标准中的风险登记表技术，建立组织的风险登记簿（风险登记册）；风险登记簿汇集了有关风险的核心信息，包括风险描述、后果和可能性、风险来源或原因、当前控制措施、风险评级、风险责任人、应对计划和状态等，是记录工作的核心载体；风险登记簿可以是电子表格或数据库格式，宜具备可搜索、可比较、可关联和可报告的功能；风险登记簿应实行“动态更新、定期复盘”机制，重大风险变化实时更新，一般风险按月度或季度集中更新，每年度开展一次全面盘点与校验；

-设计分层分类报告体系：针对不同层级和不同相关方的信息需求，设计差异化的报告类型和内容；可包括：

•综合性风险报告：面向董事会和最高管理层，定期（如每季度或每半年）提供组织整体风险轮廓、重大风险变化、风险应对成效和风险趋势分析，内容和格式应简洁、直观、重点突出；

•专项风险报告：面向特定决策事项或特定风险领域，如重大投资风险评估报告、新业务风险分析报告、重大风险事件专题报告等，内容应深入、详尽，支持具体的决策需求；

•风险预警报告：面向风险责任人和相关业务部门，依据风险预警指标和预警区间，及时发出风险警示信息，内容包括风险指标值、预警等级、触发原因、建议应对措施等；

•风险事件报告：面向管理层和监管部门，依据法规和内部制度要求，对已发生的风险事件进行首报、续报和终报，内容包括事件基本情况、影响评估、应对措施和整改情况；

•日常风险管理简报：面向风险管理部门和风险责任人，定期（如每月）提供风险登记簿更新情况、应对措施实施进展、监视和评审结果等；

同时应明确对外报送的风险报告的审批流程与发布权限，确保对外信息披露的合规性与一致性。

-明确报告路径和审批流程：为每一种报告类型明确编制责任、审核层级、审批权限、报送对象和抄送范围；建立逐级上报和分类分送的报告路径，确保信息在适当层级和适当范围内传递；重大风险事项与紧急风险事件可设置“越级上报”通道，避免因层级审批延误处置时机；

-确定报告频率和时限：根据风险的性质、严重程度和决策需求，合理设定各类报告的编制频率和报送时限；例如：综合性风险报告可按季度或半年度编制；风险预警报告可根据预警机制实时或按日/周/月触发；重大风险事件报告应按首报（事件发生后2个工作日内）、续报（5个工作日内）、终报（处置结束后10个工作日内）的分级限时要求执行；对于高波动、高敏感的风险领域，应适当提高报告频率；对于长期稳定的风险领域，可适度降低频率，实现资源优化配置；

-建立记录和报告的信息化平台：宜利用信息技术系统（如风险管理信息系统、企业资源规划系统等）支持记录和报告工作，实现风险信息的集中存储、自动汇总、智能分析和可视化展示；信息系统应具备权限管理功能，确保信息的安全性和保密性；信息化平台应预留与其他业务系统的数据接口，实现风险数据与业务数据的自动同步，减少人工录入误差，提升报告效率。

2）创建、留存和处理记录信息的操作要点

-明确记录的信息用途：在创建记录前，首先明确该记录信息将被用于何种目的（如支持决策、满足合规要求、提供审核线索、支持事后分析等），据此确定记录的内容详略、格式要求和质量要求；用于外部监管报送、审核鉴证的记录，应严格遵循对应规范的格式与内容要求；用于内部管理改进的记录，可根据实际需求灵活调整颗粒度；

-评估信息敏感性：对记录信息进行保密等级分类（如公开、内部、敏感、机密等），依据分类确定访问权限、存储方式和传输方式；涉及商业秘密、个人隐私或国家安全的信息，应遵守相关法律法规的保密要求；敏感信息记录应采用加密存储、脱敏展示、权限分级管控等措施，传输过程应采用安全加密通道，严禁通过非合规渠道传递涉密风险信息；

-考虑内外部环境因素：记录的方式和媒介应充分考虑组织的信息技术基础设施、人员能力、法律法规要求（如电子签名法、数据安全法、个人信息保护法等）以及行业监管要求；对于不同区域、不同业务单元的记录，应保持一致性，同时考虑地方差异；跨国经营的组织还应兼顾属地的数据合规要求，如数据本地化、跨境数据传输审批等规则；

-确定记录保存期限：依据法律法规要求、信息用途和价值、审核要求等因素，制定各类记录的保存期限表；超过保存期限的记录，应按照规定的程序进行销毁或脱敏处理；涉及重大风险事件、重要决策、合规资质的记录应适当延长保存期限，确保责任可追溯；

-确保记录的可追溯性：记录应包含唯一标识（如风险编号、版本号）、创建日期、创建人、审核人、最后更新日期等信息，确保从记录可以追溯到原始活动及其责任人；修改已归档的记录应留存修改痕迹，注明修改原因、修改内容与修改人，禁止无痕迹篡改原始记录；

-定期审核和更新记录：建立定期审核机制，对记录的完整性、准确性和时效性进行检查；风险登记簿应随风险评估和应对活动的开展实时更新，至少在每个风险管理周期结束时进行一次全面审核；审核工作可结合内部审核、风险管理评价同步开展，重点核查记录与实际情况的一致性，杜绝“账实不符”的情况。

3）报告的编制和实施操作指南

-区分相关方及其具体信息需求：在编制报告前，首先全面识别报告的受众群体（如董事会、最高管理层、风险责任人、业务部门、监管部门、投资者等），并针对每一类受众的特点和职责，分析其具体的信息需求；例如：董事会关注战略风险、风险偏好遵守情况和整体风险轮廓；风险责任人关注其所负责风险的详细状态和应对进展；监管部门关注合规性、重大风险事件和整改情况；可通过定期调研、访谈等方式收集受众对报告的需求反馈，动态优化报告内容框架，避免供需错位；

-评估报告成本、频率和及时性：在确定报告频率时，应权衡信息更新的需要与编制成本之间的平衡；对于高风险、高变动性的领域，应提高报告频率和缩短报告周期；对于风险相对稳定或影响较小的领域，可适当降低频率；报告应及时编制和传递，避免因信息滞后导致决策失效；成本测算应涵盖人工编制成本、系统支撑成本、沟通协调成本等全维度要素，同时评估报告带来的决策价值与风险规避收益，实现投入产出平衡；

-选择合适的报告方式：报告方式应综合考虑受众偏好、信息复杂程度和传递效率；常见方式包括：书面报告（正式文件、纸质或电子文档）、演示文稿（用于会议汇报）、仪表盘（可视化实时展示风险状态）、电子邮件通知（用于预警和快速通报）、信息系统推送（定向发送至相关方工作平台）等；对于重大风险信息和重要决策事项，宜采用正式书面报告和当面汇报相结合的方式；面向高层管理者的报告宜多用图表、仪表盘等可视化形式，突出核心结论与关键数据，减少冗余文字描述；

-确保信息与组织目标和决策的相关性：报告内容应聚焦于与组织战略目标和当前决策需求相关的风险信息；避免罗列大量无关紧要的细节，重点突出对目标实现有重大影响的风险、超出风险偏好的风险、新出现的风险以及风险应对措施的关键进展；报告的结构和内容安排应便于读者快速获取关键信息，并支持其做出知情决策；报告应建立“风险-目标-决策”的关联逻辑，明确说明每项风险对对应目标的影响程度，以及可供决策者选择的应对方向；

-整合风险管理报告与组织其他管理报告：在可行的情况下，将风险管理报告与组织的绩效报告、财务报告、内部控制报告等有机结合，避免形成信息孤岛和重复报告，提升报告的整体效率和价值；可推动建立统一的管理报告平台，实现风险数据与绩效、财务、运营数据的同源共享与联动分析；

-报告内容的规范要求：依据风险评估技术标准的要求，报告中的风险宜以便于理解的术语描述，用于表示定量度量的单位宜明确且正确；提交风险评估结果的人员，宜重点说明其个人或其团队对结果的准确度和完整性的信心，充分沟通说明不确定性，以确保报告所表达的确定性不会高于实际；对于涉及假设、模型、估算的内容，应在报告中单独说明假设前提、模型局限与估算偏差范围，避免误导决策者；

-建立报告的反馈和改进机制：报告发出后，应主动收集受众对报告内容、格式和时效性的反馈意见，定期评估报告的有效性，并根据反馈不断优化报告的内容、形式和编制流程；可建立报告满意度评价机制，定期向受众开展调研，将评价结果作为报告体系优化的重要依据。1）避免记录和报告的形式化与“信息孤岛”

-切忌将记录和报告视为为了合规而做的表面文章；记录必须真实反映风险管理活动的全过程，而非事后补记或选择性记录，否则将丧失其作为决策依据和改进基础的价值；同时，应警惕各业务部门或职能部门各自为政，形成分割的、互不关联的“信息孤岛”；必须通过统一平台、统一标准和整合报告来确保风险信息的一致性和可比性；

-在推行标准化记录和报告的同时，也需警惕过度标准化带来的灵活性缺失；应为新兴、特殊或复杂风险的记录和报告保留个性化的空间，避免因格式限制而丢失关键信息；

2）处理好报告透明度与信息安全的关系

-报告在追求透明、充分沟通的同时，必须严格遵守信息安全和保密规定；尤其对于涉及商业秘密、客户隐私、敏感战略决策信息的报告，其分发范围和阅读权限必须有严格的控制和审批流程；信息的“敏感性”是决定报告内容和分发机制的关键阀门，任何时候都不得以追求效率为由放松对敏感信息的管控；

-组织应明确定义“敏感信息”的范围和密级，并就此对相关人员进行培训；对于向外部相关方（如监管、公众）披露的风险报告，更需经严格审查，确保披露内容不损害组织合法利益，且符合相关法律法规对信息披露的要求；

3）确保报告的决策相关性，防止信息过载

-报告失败的一个常见原因是为求“全面”而向决策者提供大量原始、未经提炼的数据和信息；这会造成信息过载，导致决策者无法快速识别出真正重要的风险信号；风险报告的精髓在于“提炼”和“聚焦”，必须将原始记录转化为与组织目标和决策直接相关的、结构化的洞察和观点；

-报告编制者应始终问自己：“这份报告的关键信息是什么？决策者需要基于此采取什么行动？”对于任何无助于回答这两个问题的信息都应考虑精简或作为附件备查；高层级的报告应追求“一页纸”原则，即在首页或概要部分呈现完整的核心信息；

4）重视报告中的不确定性沟通，避免过度确定化表述

-风险报告在呈现评估结果时，极易因为数据、模型和方法的局限性而产生一种“虚假的精确感”；为避免误导决策者，报告编制者必须清晰、坦诚地沟通与信息相关的不确定性；这包括但不限于：关键假设、数据缺口、敏感性分析结果、不同专家意见的分歧，以及对评估结果置信度的主观判断；

-应特别注意，不要因为高层管理者偏爱确定性结论，就对报告进行过度简化和美化；对不确定性的认知和管理能力本身就是组织治理成熟度的重要标志；应当在报告中专门设置一个板块或使用特定标识来强调不确定性因素，以此培养组织基于不确定信息进行决策的文化；附件6.6-1：风险管理过程记录和报告清单风险管理过程风险管理活动记录和报告类别记录和报告目的记录和报告名称记录和报告内容沟通和协商（6.2）识别相关方并确定沟通和协商方式沟通计划记录为决策制定提供信息；促进与相关方的互动；明确全流程沟通权责与渠道，保障风险管理协同推进相关方沟通和协商计划明确内外部相关方清单、沟通需求与频次、沟通渠道与方式、责任主体、沟通事项范围、反馈处理机制及保密要求，为全流程风险沟通提供制度遵循实施沟通和协商活动沟通活动记录在组织各层级通报风险管理活动及结果；促进与相关方的互动沟通和协商活动记录记录沟通时间、参与主体、沟通议题、各方意见与诉求、达成的共识、待跟进事项、分歧处理结果及后续跟进安排，留存沟通全过程可追溯证据范围、环境和准则（6.3）界定风险管理过程范围范围界定记录为决策制定提供信息；明确风险管理活动边界，避免管理缺位或过度投入风险管理范围界定书明确风险管理的适用对象（组织单元、业务活动、项目或决策事项）、时间周期、地理覆盖范围、纳入与排除事项、设定依据及审批意见，划定管理活动的清晰边界理解内外部环境环境分析记录为决策制定提供信息；识别风险产生的背景与驱动因素，支撑风险识别与评价的准确性内外部环境分析报告涵盖宏观环境（政治、经济、社会、技术、法律、环境）、行业竞争态势、监管要求、内部治理结构、资源能力、组织文化、相关方期望等分析结论，明确关键环境驱动因素及变化趋势界定风险准则风险准则记录为决策制定提供信息；改进风险管理活动；统一风险评判尺度，实现风险等级的一致性与可比性风险准则文件明确组织风险偏好与风险容忍度、可能性与后果的分级标准、多维度后果度量规则、风险等级判定矩阵、适用范围与修订机制，作为风险评价与应对决策的统一标尺风险评估：风险识别（6.4.2）发现、确认和描述风险风险识别记录在组织各层级通报风险管理活动及结果；为决策制定提供信息风险识别清单记录风险编号、风险名称、风险描述、风险源、风险类别、影响的目标与业务领域、识别依据、识别人员及日期，确保风险识别无重大遗漏风险评估：风险分析（6.4.3）了解风险性质、确定风险等级风险分析记录为决策制定提供信息；改进风险管理活动；明确风险发生逻辑与影响程度，支撑风险优先级判定风险分析报告说明分析采用的方法与工具、假设前提与数据来源、风险发生可能性与后果的分析过程、风险间关联性与组合效应、固有风险水平、不确定性说明及局限性提示风险评估：风险评价（6.4.4）将风险分析结果与风险准则比较，确定风险重要性风险评价记录为决策制定提供信息；在组织各层级通报风险管理活动及结果风险评价结果报告对照风险准则完成风险等级排序、明确重大风险清单、判定风险可接受性、提出优先处置建议、说明评价结论的置信水平，为风险应对决策提供直接依据风险应对：方案选择（6.5.2）制定和选择风险应对方案风险应对方案记录为决策制定提供信息；改进风险管理活动；平衡应对成本与收益，筛选最优风险处置策略风险应对方案选择记录列明备选应对策略、各方案的成本效益分析、适用条件与优劣势、方案比选依据、最终选定的应对策略、责任主体建议及审批意见风险应对：计划实施（6.5.3）编制和实施风险应对计划风险应对计划记录在组织各层级通报风险管理活动及结果；促进与相关方的互动风险应对计划明确应对目标、具体管控措施、资源配置需求、时间节点与里程碑、责任分工与协作机制、验收标准、应急预案及跟踪监控要求，指导应对工作落地执行风险应对：实施跟踪实施风险应对措施并跟踪进展风险应对实施记录在组织各层级通报风险管理活动及结果；改进风险管理活动风险应对实施记录/报告跟踪记录应对措施执行进度、阶段成果、执行偏差及原因、遇到的障碍与调整方案、措施完成情况、效果验证结论、未完成事项的后续安排风险应对：剩余风险管理确定剩余风险的可接受性剩余风险记录为决策制定提供信息；改进风险管理活动；验证应对措施有效性，把控最终风险敞口剩余风险评估报告描述应对措施实施后的剩余风险状态、剩余风险等级、与风险容忍度的比对结果、可接受性判定结论、后续监控要求及超预期情形的处置预案监视和评审（6.6）对风险管理过程进行持续监视和定期检查监视和评审记录改进风险管理活动；为决策制定提供信息；验证风险管理体系有效性，识别优化