风险评估实战指南：从表上有到管得住-风险清单热力图责任台账全流程拆解

INTERNALCONTROL·风险评估风险评估实战指南从表上有到管得住风险清单·热力图·责任台账三样工具全流程拆解与实务校准识别·排序·处置·回看四步闭环投资集团案例·重庆高温样本·双重预防借鉴CONTENTS目录01问题与背景45个项目44.16亿元、制度依据、核心问题02风险清单不是列得多而是列得真、沿用上年清单走样、财务业务接口03热力图评分口径问题、投资集团三步法、热力图正确使用04责任台账能用的台账要素、政策边界、年初填表年末翻柜05管理链与决策三样工具一起走样、风险评估管理链、决策桌四个问题06借鉴与实操工具双重预防机制借鉴、三张表工具、一次回看07总结与实践别把表上有当成风险已管住、三句话检验法、行动清单01问题与背景风险评估做了，为什么还是没管住风险？CHAPTERONE·BACKGROUND01/背景45个项目，44.16亿元：先倒查风险评估审计工作报告披露2025年公布的《国务院关于2024年度中央预算执行和其他财政收支的审计工作报告》披露：11户中央企业的45个项目，因违规决策、前期论证不充分等，不当增加投资成本等44.16亿元。四个值得追问的问题一个项目上马以前，风险究竟有没有摆到决策桌上？判断依据是什么？现有控制能不能接住？谁对剩下的风险负责？45个项目情况各不相同，公开报告也没有把每一笔成本都归到风险评估这一个环节，不能简单地说"只要做了风险评估，44.16亿元就一定不会发生"。可这组数字足以让人警醒。01/背景风险评估的制度依据与核心要求《企业内部控制基本规范》要求企业及时开展风险评估，识别与控制目标相关的内部风险和外部风险。采用定性与定量相结合的方法，对风险进行分析和排序。财政部等五部门发布，财会〔2008〕7号。《行政事业单位内部控制规范》要求单位至少每年进行一次经济活动风险评估。外部环境、经济活动或管理要求发生重大变化时，应当及时重估。风险评估工作小组由单位领导担任组长，评估结果应当形成书面报告并提交单位领导班子。规范讲的是责任和要求，没有规定全国统一的风险清单、热力图或责任台账表样今天不在概念上绕圈，直接扒一遍实务中最常见的三样工具：风险清单、热力图、责任台账。风险清单解决"有什么风险"，热力图解决"先管什么"，责任台账解决"谁在什么条件下采取什么行动"。这三样工具本身没有过时，真正过时的，是一年填一次、填完不再动的用法。02风险清单不是列得多，而是列得真CHAPTERTWO·RISKLIST02/风险清单风险清单：不是列得多，而是列得真风险清单解决的第一个问题，是单位究竟面临哪些会影响目标实现的不确定事项。实务中常见的清单要素风险事项：会影响目标实现的不确定事项原因：什么因素可能引发这个风险可能后果：风险发生后会造成什么影响现有控制和应对措施：目前有什么控制手段常见误区：别人的清单代替自己的评估审计机关发布的共性问题清单、专项审计发现和行业风险提示，可以作为识别素材。但要注意，它们不能代替本单位自己的风险评估。别人的问题清单，只能提醒你"这里可能有坑"；这个坑会不会影响本单位哪项目标、落在哪个业务环节，还得自己判断。核心问题：新变化没有被翻译成可判断、可分工、可跟踪的风险事件只写"技术风险""市场风险""极端天气风险"，看起来什么都有，实际谁也不知道该做什么。问题不在清单装不下新风险，而在新变化没有被翻译成一项可判断、可分工、可跟踪的风险事件。外面的世界换了天气，清单还停在上一季。02/风险清单财务懂流程，业务懂现场：中间缺一个接口只交给财务或内控部门容易看清审批、资金、凭证和流程。却未必掌握技术路线、项目条件、供应商能力和一线运行情况。风险评估变成了流程合规检查，看不到业务现场的真实风险。完全交给业务部门风险可能停留在业务判断里。业务人员说"这个供应商可能断供""这套系统升级可能影响服务"，结论没有进入统一清单。也没有变成监测指标、应急预案和责任安排。比较稳妥的做法：分工接起来，拼成完整判断业务部门说清风险事件、暴露点和可能后果；财务或内控牵头统一口径，核对现有控制和资金影响；管理层判断优先级、可接受程度和资源安排；内审、纪检监察、采购、资产、信息等岗位按职责提供证据和质询。风险评估工作小组的价值，就在这里。它不是把各部门叫来填同一张表，而是把各自掌握的一块事实拼成完整判断。02/风险清单从高温信号到行动清单：重庆提供了一个实务样本2024年重庆高温数据35℃以上高温日数全市平均59天。8月11日至9月21日的高温过程持续42天。面对持续高森林火险，重庆公开的防灭火做法包括日研判、日调度、日提醒、日通报、日抽查。建立市、区县、乡镇、网格四级责任体系和三级预案联动体系。真正值得内控实务借鉴的，是它把一项外部信号拆开了高温会不会推高森林火险和电力负荷？哪些地区、线路、场所和人群暴露更大？谁负责研判，谁负责提醒，谁负责巡查，谁负责处置？出现什么情形需要升级响应？每天留下什么记录，下一天怎样调整？这才是清单"活起来"的样子。03热力图图画出来了，分值依据在哪里CHAPTERTHREE·HEATMAP03/热力图热力图：图画出来了，分值依据在哪里热力图的基本方法从发生可能性和影响程度两个维度对风险分级。把结果放进不同区域，用颜色表示风险等级。把两个分值相乘，是一种常见的简化方法，但不是唯一方法。热力图是风险排序和沟通工具，不是法定统一表样，更不是精确测量仪器。难的是评分口径：表面上都是4分，背后的对象、时间和尺度却不一样控制前还是控制后？有的部门评的是控制措施实施以前的风险，有的评的是实施以后还剩下的风险。看一年还是看三年？有的看未来一年，有的看三年。只看财务还是综合影响？有的只看财务损失，有的把履职、公共服务、数据安全和声誉影响都算进去。这样的分数相乘以后，当然能画出一张颜色漂亮的图，却很难比较，也经不起追问。03/热力图实务对照：一家投资集团怎样给风险定级在参与一家投资集团风险评估时，我们没有一上来就发评分表，而是分三步走。1把风险说清通过部门访谈、历史项目、异常记录和经营财务资料，从集团层面到业务层面反复核对。最后形成20项需要共同关注的风险。每一项风险都要写清原因、事件、后果和现有控制，不能只写一个大词。2先定尺子，再打分统一评估的时间范围。分别说明可能性和影响程度的等级锚点。区分控制前风险和现有控制实施后的剩余风险。历史数据足够的用数据；数据不足的用相近案例、专业判断和情景分析，同时把判断依据和不确定性记下来。3把分歧摊开企业主要负责人、分管负责人、业务、财务和相关专业人员共同校准。外部专家可以提供独立质询，却不能替管理层决定企业愿意承担多大的风险。这样形成的热力图，价值不在颜色，而在它让管理层看见：哪些风险要优先投入资源，哪些还需要补证，哪些虽发生概率不高、后果却不能承受。03/热力图热力图的正确使用：排优先级，不是算命热力图的正确价值让管理层看见哪些风险要优先投入资源。哪些风险还需要补证。哪些风险虽发生概率不高、后果却不能承受，不能被一个平均分遮过去。常见误区把热力图当成精确测量仪器，追求小数点后几位。没有充分数据时，为了显得"科学"而硬凑小数点。先买一个复杂模型，却没有统一口径、锚点、证据和置信程度。关键提醒热力图排的是优先级，不是算命。没有充分数据时，不必为了显得"科学"而硬凑小数点。先统一口径、锚点、证据和置信程度，比先买一个复杂模型更要紧。行政事业单位还应结合实际关注履职合规、公共服务连续性、资金资产、数据安全、人员安全、绩效和声誉等影响。不同单位不必硬套同一分值，但同一次评估必须用同一把尺子。04责任台账最怕填完就不再更新CHAPTERFOUR·RESPONSIBILITYLEDGER04/责任台账一张能用的责任台账：至少写清这些要素台账要素具体要求风险责任部门明确哪个部门对这项风险负主要责任，不能写"有关部门"具体措施写清要做什么、怎么做，不能只写"加强管理、严格审核"协同部门明确哪些部门需要配合，各自承担什么职责完成时限或启动条件明确什么时候完成，或者出现什么情况时启动应对措施升级报告权限出现什么情形需要向上级报告，谁有权决定升级响应完成证据用什么证明措施已经执行并起作用，不能只写"已完成"复核日期什么时候回来检查措施是否真正起作用，剩余风险是否还在可接受范围只写"加强管理、严格审核、有关部门负责"，不叫落实责任，只是把问题又说了一遍。04/责任台账政策边界与最常见的走样政策边界：三类台账不能混为一谈重大经营风险事件监测台账：中央企业需要长期应对处置或整改落实的重大经营风险事件，纳入月度或季度监测台账。问题整改台账：行政事业单位针对突出问题和薄弱环节明确整改时限，建立问题整改台账。风险行动台账：把风险评估结果转成持续行动的实务工具，不是财政部规定的统一表样。最常见的走样：年初填表，年末翻柜内控牵头部门发通知，各部门填写风险名称、等级、责任人和措施。表收齐了，装订了，任务似乎也完成了。可风险变化没人更新，措施执行没人查，触发条件没人盯。年底拿出来的还是年初那一页。制度和流程是底座，台账是运行载体稳定的职责、权限和程序应当写进制度与岗位。具体风险、当期措施、触发条件和进展证据则要在台账中动态维护。两者不能互相代替。前两张表如果识别不真、排序不准，责任台账只会把错误继续传下去。即使前面都做对了，台账没有跟踪和复核，风险也不会因为写上了责任人就自动消失。05管理链与决策三样工具为什么总会一起走样CHAPTERFIVE·MANAGEMENTCHAIN05/管理链三样工具为什么总会一起走样不是三件孤立的文书清单识别错了，热力图排得再整齐也没有用。热力图口径乱了，台账就会把资源投向错误的地方。台账不跟踪，前面识别和排序最终停在纸上。它们不是三件孤立的文书，而是同一条管理链上的三个环节。风险评估不是填表，而是一条管理链目标和任务→风险事件→现有控制→剩余风险→应对行动→责任证据→复核更新。这条链上，任何一个环节断了，后面都会跟着失效。风险清单解决"有什么风险"，热力图解决"先管什么"，责任台账解决"谁在什么条件下采取什么行动"。三者必须连起来，才能形成完整的管理闭环。05/管理链把风险评估摆上决策桌为什么要单位领导任组长行政事业单位要求风险评估工作小组由单位领导担任组长，评估结果提交单位领导班子。因为关键判断不是财务部门能决定的。重大风险是否可接受、要不要暂停项目、调整资源、增加预算、改变供应商、启动应急预案，涉及履职目标、资源配置和管理权限。真正摆上决策桌，不是听一次汇报，而是问清四个问题第一，影响哪项目标、职责或公共服务？不只是"有风险"，而是说清风险会影响什么。第二，判断依据是什么？最大分歧和不确定性在哪里？不能只给结论，要给依据和分歧。第三，现有控制后剩余风险多大？单位能不能承受？这是管理层要做的判断。第四，谁在什么条件下采取什么行动？多久复核？不能只说"加强管理"，要落到行动和复核。06借鉴与实操工具一项风险，三张表，一次回看CHAPTERSIX·PRACTICALTOOLS06/借鉴从"双重预防"借鉴闭环逻辑双重预防机制是什么安全生产领域的双重预防机制，由风险分级管控和隐患排查治理两部分组成。2016年《关于推进安全生产领域改革发展的意见》提出，全面开展安全风险辨识评估分级，制定管控措施；强化隐患排查治理，形成自查自改自报闭环。这是一套已经在安全生产领域跑通的闭环逻辑。不能照搬到内控安全风险、经营风险和行政事业单位经济活动风险评估，在评估对象、法律责任和处置方式上并不相同。不能把安全生产的表样、术语和程序直接套到内控风险评估上。但可以借鉴它的运行逻辑。值得借鉴的三条运行逻辑第一，风险要分级。不同等级的风险，配置不同强度的管控资源。第二，责任要落到岗位。不能只写部门，要写到具体岗位和职责。第三，发现问题后闭环跟踪。自查、自改、自报，形成完整闭环。分清两个概念：风险等级用于配置不同强度的管控资源；发现具体隐患或控制缺陷后，再明确整改责任、时限和证据。不能把红色风险等同于马上整改，也不能因为风险等级低就不再监测。06/实操工具第一张表：风险识别单"采购风险""技术风险"不是完整风险。要写成可判断、可分工、可跟踪的风险事件。识别单要素具体要求受影响的职责目标写清这项风险影响哪项职责、目标、项目或公共服务，不能只写"有风险"原因、事件、后果什么原因引发什么事件，造成什么后果，三者要连起来写风险落点风险落在哪项业务、资产、资金、数据、人员、场所或供应商现有控制及执行证据现有制度、流程、系统、预案是什么，执行证据在哪里信息来源与确认信息从哪里来，什么时候确认，谁确认示例：核心业务依赖单一供应商；合同缺少替代和退出安排；供应商中断服务后可能导致窗口业务停办。06/实操工具第二张表：评估校准单同一次评估必须用同一把尺子。统一七个口径，才能让分数有比较意义。01评估时间范围看一年还是看三年？必须统一。不同时间范围的可能性和影响程度完全不同。02控制前风险不考虑现有控制措施时，风险的原始可能性和影响程度是多少。03发生可能性等级锚点要统一。什么情况算"高"，什么情况算"中"，什么情况算"低"，要有明确标准。04影响程度不能只看财务损失。要把履职、公共服务、数据安全、声誉等影响都算进去。05现有控制有效性现有控制措施是否有效？执行证据在哪里？不能只写"有制度"，要看执行效果。06剩余风险现有控制实施后还剩下多少风险？单位能不能承受？这是管理层要做的判断。07判断依据和置信程度：数据足够用数据，不足用相近案例、专业判断和情景分析，同时记录依据和不确定性。06/实操工具第三张表：风险行动台账把风险评估结果转成持续行动。责任最好写到机构或岗位，不只写个人姓名。台账要素具体要求应对方式规避、降低、转移、接受，先选应对方式，再定具体措施具体措施写清要做什么、怎么做，不能只写"加强管理、严格审核"风险责任部门明确哪个部门负主要责任，不能写"有关部门"事项负责人最好写到机构或岗位，不只写个人姓名，避免人员变动后责任落空协同部门明确哪些部门需要配合，各自承担什么职责完成时限或启动条件明确什么时候完成，或者出现什么情况时启动应对措施升级报告权限出现什么情形需要向上级报告，谁有权决定升级响应完成证据用什么证明措施已经执行并起作用，不能只写"已完成"剩余风险确认人措施执行后，谁来确认剩余风险是否在可接受范围下次复核日期什么时候回来检查措施是否真正起作用，剩余风险是否还在可接受范围06/实操工具一次回看：每次复核只问四句1风险信号变了没有？外部环境、政策、技术、市场、供应商等有没有发生变化？原来识别的风险事件是否还成立？有没有新的风险信号出现？2原来判断还准不准？原来的可能性和影响程度判断是否还成立？评分依据是否需要更新？最大分歧和不确定性有没有变化？3措施真正执行并起作用了吗？台账上的措施有没有真正执行？执行证据在哪里？措施是否真正起作用，还是只是"做了"但没有效果？4剩余风险还在可接受范围吗？措施执行后，剩余风险是否还在单位可接受范围内？如果超出，需要采取什么额外措施？谁来确认？触发重估的情形：重大政策变化、项目重要调整、系统上线、供应商异常、事故事件、审计发现等。07总结与实践别把"表上有"当成"风险已管住"CHAPTERSEVEN·SUMMARY07/总结别把"表上有"当成"风险已管住"风险清单、热力图、责任台账都没有过时。真正过时的，是一年填一次、填完不再动的用法。表上有，不等于风险已管住。关键不在"表上有"，而在能不能进入决策、行动与复核。风险评估不是财务或内控人员包打天下，而是一条跨部门协作链业务部门提供现场事实说清风险事件暴露点和后果财务/内控组织转换与校准统一口径核对控制和资金专业部门提供数据判断技术路线供应商能力管理层判断可接受程度优先级资源安排责任部门把措施做下去执行证据完成时限评价监督回来检查有没有真正起作用剩余风险确认这条链连起来，三张表才是管理工具；连不起来，就是三摞档案。07/总结下次拿到风险评估报告，先问三句话1风险怎么识别出来的？是沿用上年清单，还是结合本单位实际重新识别？信息来源是什么？谁确认的？有没有把新变化翻译成可判断、可分工、可跟踪的风险事件？2轻重按什么依据排出来的？评分口径是否统一？是控制前还是控制后？看一年还是看三年？只看财务还是综合影响？判断依据和置信程度是什么？最大分歧在哪里？3评完以后谁在什么条件下采取了什么行动？责任台账有没有动态维护？措施有没有真正执行？完成证据在哪里？什么时候复核？剩余风险谁确认？有没有进入决策桌？07/总结新技术新业务带来的风险评估挑战传统工具仍能用，但评估口径、更新频率、责任设计都要跟着变。变化更快新技术、新业务、数据资产带来的风险变化速度远超传统业务。一年评估一次的节奏可能跟不上风险变化。需要建立更灵活的触发式重估机制。历史样本更少新技术新业务往往缺乏历史数据和案例，难以用数据驱动的方法评估可能性和影响程度。需要更多依赖专业判断、情景分析和外部专家质询。责任边界更复杂数据资产、算法模型、第三方合作等新形态，往往涉及多个部门和外部主体，责任边界更加复杂。需要在风险评估中明确各方职责和协同机制。应对方向：传统工具仍能用，但三个方面要跟着变评估口径要更新：把数据安全、算法伦理、第三方依赖、业务连续性等新维度纳入影响程度评估。更新频率要加快：从"一年一次"转向"定期评估+触发式重估"，重大变化及时重估。责任设计要细化：明确跨部门、跨主体的职责分工和协同机制，责任写到机构或岗位。07/实践可以立即行动的清单本周可以做的三件事1.抽查3项高风险：看识别单、校准单、行动台账是否完整，措施是否有执行证据。2.统一评分口径：明确评估时间范围、控制前/后、影响维度，形成书面说明。3.设定复核日期：对台账中的每项风险，明确下次复核日期和触发重估的情形。本季度可以推进的三件事1.完善三张表模板：结合本单位实际，制定风险识别单、评估校准单、风险行动台账的标准模板。2.组织跨部门校准：业务、财务、专业部门共同校准风险评分，把分歧摊开，形成共识。3.建立决策桌机制：重大风险评估结果提交领导班子，明确四个问题的回答要求。本年度可以完善的三件事1.建立风险评估制度：明确风险评估的组织、流程、频率、成果运用和责任追究，形成制度保障。2.建设风险信息库：积累历史风险事件、评估结果、处置措施和效果，为后续评估提供数据支撑。3.融入内控评价：把风险评估结果作为内控评价的重要输入，形成"评估—控制—评价—改进"的闭环。风险评估不是填表而是一条管理链目标和任务→风险事件→现有控制→剩余风险→应对行动→责任证据→复核更新识别·排序·处置·回看四步闭环THANKYOU附录/误区风险评估常见误区汇总误区类型典型表现正确做法清单走样沿用上年清单，套用模板，补几项审计新发现；只写"采购风险""技术风险"等大词结合本单位实际重新识别；把新变化翻译成可判断、可分工、可跟踪的风险事件口径混乱有的评控制前有的评剩余风险；有的看一年有的看三年；有的只看财务有的综合影响统一七个口径：时间范围、控制前、可能性、影响程度、控制有效性、剩余风险、判断依据台账失效年初填表年末翻柜；只写"加强管理严格审核有关部门负责"；风险变化没人更新写清责任部门、具体措施、协同部门、完成时限、升级权限、完成证据、复核日期；动态维护部门孤岛只交财务/内控或只交业务；财务懂流程不懂现场，业务懂现场不懂统一口径业务说清风险事件，财务/内控统一口径，管理层判断优先级，专业部门提供证据质询脱离决策风险评估报告装订成册就完事；没有进入决策桌；重大风险是否可接受没人判断单位领导任组长，结果提交领导班子；问清四个问题：影响什么、依据是什么、剩余多大、谁行动缺乏回看评估完就不再看；措施执行没人查；剩余风险没人确认；重大变化不触发重估每次复核问四句：信号变了吗、判断准吗、措施有效吗、剩余可接受吗；重大变化及时重估附录/关系风险评估与内控评价的关系风险评估：事前识别与排序回答"有什么风险、先管什么、谁来管"。聚焦未来不确定事项的识别、分析和应对。成果是风险清单、热力图、责任台账。频率：至少每年一次，重大变化及时重估。内控评价：事后检查与改进回答"控制有没有、有效没效、怎么改"。聚焦已有控制设计和运行的有效性评价。成果是内控评价报告、问题整改台账。频率：至少每年一次，形成评价报告。两者关系：互为输入，形成闭环风险评估是内控评价的输入：风险评估识别的高风险领域，是内控评价的重点关注对象。内控评价是风险评估的验证：内控评价发现的控制缺陷，验证风险评估中"现有控制有效性"判断是否准确。形成闭环：风险评估→控制设计与运行→内控评价→问题整改→风险重估，持续改进。不能把两者混为一谈，也不能互相替代。风险评估关注"未来风险"，内控评价关注"已有控制"。附录/节奏风险评估的时间节奏：定期+触发定期评估：至少每年一次行政事业单位要求至少每年进行一次经济活动风险评估；企业要求及时开展风险评估。定期评估是基础，确保风险评估不被遗忘。触发式重估：出现以下情形时，应当及时重估外部环境变化重大政策变化、法律法规调整、市场环境剧变、技术革新、自然灾害等。内部重大调整机构改革、职能调整、重大项目上马或调整、系统上线、关键岗位人员变动等。风险事件发生事故事件、审计发现重大问题、供应商异常、数据安全事件、投诉举报等。动态监测：高风险领域月度或季度跟踪对重大经营风险事件，纳入月度或季度监测台账，跟踪处置进度。对高风险领域，建立常态化监测机制，及时发现风险信号变化。附录/组织风险评估的组织保障：四层架构第一层：领导班子对风险评估负总责。审议风险评估报告，判断重大风险可接受程度，决定资源配置和应对策略，批准风险评估制度和重大风险应对方案。行政事业单位要求单位领导任风险评估工作小组组长。第二层：风险评估工作小组组织实施风险评估。由单位领导任组长，财务/内控部门牵头，业务、专业、监督部门参加。负责制定评估方案、统一评估口径、组织跨部门校准、撰写评估报告、跟踪整改落实。第三层：业务与专业部门提供风险事实和专业判断。业务部门说清风险事件、暴露点和后果；专业部门（技术、采购、资产、信息等）提供数据、技术路线、供应商能力等专业判断；对本部门风险应对措施的执行负责。第四层：评价监督部门独立监督和验证。内审、纪检监察等部门对风险评估过程和结果进行独立质询，对控制有效性进行评价，对整改落实情况进行监督检查，确