识别频率设计：年度、季度、事件驱动的触发条件（频率规则、触发事件、资源匹配）

识别频率设计：年度、季度、事件驱动的触发条件（频率规则、触发事件、资源匹配）本文档提供：表2频率分层判定表；表3年度识别运行表；表4季度识别运行表；表5事件驱动触发清单；式(1)触发响应及时率；式(2)识别资源负荷比；表6频率与资源匹配表；表7停摆排查表；四条决策规则和一处矛盾；表8三套场景表；完整案例一个。2026-11-03表1目录与定位表这一节的标题读完你能拿到什么这一节在全文中的功能一、先按风险等级分层：哪类风险年度扫、哪类季度扫、哪类等事件触发表2频率分层判定表在排定识别计划前确定每一类风险的识别频率依据二、年度识别：全量重扫，重点在“假设是否还成立”表3年度识别运行表执行年度全量识别，更新风险清单的底层假设三、季度识别：只扫变化和逾期动作，不重开全量表4季度识别运行表在两次年度识别之间维持高频风险清单的时效性四、事件驱动：触发事件到达后，必须在时限内启动指定范围的识别表5事件驱动触发清单和式(1)把“出了事才想起来改清单”转为有时限、有范围的强制动作五、频率和资源怎么对：不能排一个跑不完的计划表6频率与资源匹配表和式(2)在识别容量约束下调整频率，而不是让计划空转六、识别计划跑了一轮就失去节律，先查这五处表7停摆排查表定位频率规则失效的具体环节七、什么时候加密、什么时候降频：四条规则和一处矛盾四条决策规则和矛盾权衡规则处理高频识别成本与低频识别滞后之间的取舍八、完整版、精简版、极简版按组织识别容量选表8三套场景表按团队规模和数据成熟度选择执行范围按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。风险清单上标注了“季度评审”，但上一次评审距现在已超过一个季度，期间发生了一次供应商断供和一次关键岗位离职，清单没有任何一行因这两件事发生变化。年度全量识别被安排在十二月，到十月时清单上超过60%的行与上一次填写时完全相同，包括“可能性”和“影响”两列。一、先按风险等级分层：哪类风险年度扫、哪类季度扫、哪类等事件触发识别频率不是“越多越好”，也不是“按日历平均分配”。没有单一的通用间隔适用于所有组织和所有类型的风险。频率由两个变量共同决定：风险等级（影响×可能性，或组织的风险评分）和环境变化速度。高风险、控制成熟度低、环境变化快的对象需要更短的间隔；低风险、控制稳定、环境变化慢的对象可以按更长的间隔执行，但在触发事件到达时仍须启动识别。表2频率分层判定表判定条件基础频率加密条件降频条件判定示例风险评分落在最高档（如16至25，5×5矩阵）季度过去两个季度评分上升，或控制测试失败连续四个季度评分未变且控制测试通过某供应商集中度风险评分20，季度识别风险评分落在中间档（如9至15）半年度环境变化速度加快（新增监管、新供应商接入）连续两个周期未变化且无触发事件某系统容量风险评分12，半年度识别风险评分落在低档（如4至8）年度该风险在上一年度发生过实际事件无某低频报表格式风险评分6，年度识别风险评分最低档（如1至3）年度或两年一次不加密连续两次年度识别无变化办公用品供应延迟风险评分3，两年一次无论评分高低，触发事件到达事件驱动，独立于基础频率——关键岗位离职触发该岗位依赖风险的即时识别有外部强制评审周期（监管、合同、认证）按外部要求的最短周期外部要求变更时重新对齐不得低于外部要求合同要求每半年提交一次风险报告，识别频率不得低于半年表2的分层结果是“基础频率”，不取代事件驱动。年度、季度、事件驱动是三层并行结构，不是三选一。年度识别负责全量重扫和假设更新，季度识别负责高频风险的时效性，事件驱动负责在两次排定识别之间补上突发变化。许多组织在实践中维持一个基准节奏（常见的是年度全量评审），再叠加基于风险等级的加密和事件触发的偏离周期识别。NISTSP800-30将评估分为准备、实施、沟通和维持四个步骤，维持步骤明确要求组织自行确定更新的频率和情形，并将监测哪些因素、多久监测一次写入风险管理策略。二、年度识别：全量重扫，重点在“假设是否还成立”年度识别的动作不是把去年的清单逐行抄一遍、确认“没变化”。清单上年复一年完全相同的评分，更可能说明没有人真正打开过它，而不是风险真的没有变化。年度识别的重点在三个动作：重新确认风险描述的假设是否仍然成立、重新核对风险清单的完整性、重新评估控制措施是否仍然有效。表3年度识别运行表动作打开什么看什么什么算完成不完成时退到哪里示例行假设复核每条风险的“风险描述”和“关键假设”字段描述中的业务前提、外部条件、时间窗口是否仍然成立每条风险有“假设仍成立”或“假设已变化，描述已更新”的记录退回风险负责人，与业务方确认前提条件某“供应商集中度”风险假设“双源供应”，年度复核发现第二来源已停产，描述更新完整性扫描过去12个月的事件记录、审计发现、监管通知、新项目清单是否有未被现有清单覆盖的风险主题新增风险已录入，或记录“扫描无新增并附扫描来源清单”退回来源负责人，补扫描遗漏的来源事件记录中3起“数据导出权限”事件在清单中无对应行，新增1条控制有效性复核每条高风险对应的控制测试记录控制在过去12个月是否实际运行、是否通过测试每条高风险控制有最近一次测试记录，失败的控制有整改状态退回控制负责人，补测试或补整改记录某审批控制最近一次测试在14个月前，补做测试后发现审批人字段为空评分校准全量风险的“可能性”和“影响”列评分是否仍与表2的锚定描述一致抽查10%的行手算核对，偏差行已修正退回评分人，按锚定描述重打某风险“影响”从4调至3，原因是业务量已下降清单状态更新清单的“状态”列（活跃/观察/已关闭）已关闭的风险是否有重新激活的条件记录每条已关闭风险有“重新激活条件”字段退回风险负责人补写某已关闭风险写明“若同一供应商再次出现交付延迟超过10天则重新激活”年度识别必须留下“变化记录”。评分没变的行要注明“已复核，确认无变化”；评分变化的行要写明变化原因。没有变化记录的行，在审计或复核中无法区分“认真确认过”和“根本没有看”。三、季度识别：只扫变化和逾期动作，不重开全量季度识别的容量有限，如果按年度识别的深度执行，会在两个季度内耗尽识别资源，第三个季度开始出现“有会议、无实质更新”的空转。季度识别的范围限定为三类：高风险行的评分和状态、上一季度识别的动作逾期情况、触发事件清单中在当季到达的事件所影响的行。中低风险行不在季度识别中逐行打开。表4季度识别运行表动作打开什么看什么什么算完成不完成时退到哪里示例行高风险行扫描评分最高的前20%行，或评分落在最高档的全部行可能性或影响是否发生可观察的变化（新事件、新数据、控制变化）每行有“无变化/已更新”记录，已更新的行重算评分退回风险负责人补判断依据某高风险行因触发事件（供应商断供）可能性从3调至4动作逾期检查清单中“截止日期”早于本次识别日期的行动作是否已完成、截止日期是否需要更新逾期行有“已完成”或“更新截止日期并写明延期原因”的记录退回动作负责人补记录某控制整改原截止6月30日，9月识别时未完成，更新至11月30日并写明原因触发事件处理状态检查表5触发清单中本季度到达的事件每个触发事件是否已启动对应范围的识别，识别是否在时限内完成每个触发事件有“已处理/未处理”记录，未处理的写明原因退回触发事件接收人，启动识别或记录未启动的理由某关键岗位离职触发依赖风险识别，记录显示识别在5个工作日内完成新风险观察项转入观察项列表中本季度出现变化条件的项是否已达到转入正式清单的条件达到条件的已转入，未达到的保留观察并写明下一次检查日期退回观察项负责人补判断某监管咨询文件在本季度发布最终稿，转入正式清单并评分季度识别的判定标准是“本季度清单是否因为这次识别发生了变化，或者有记录说明为什么没有变化”。连续两个季度既无变化、也无“确认无变化”记录的高风险行，在下一次年度识别中优先复核其评分是否已经失效。四、事件驱动：触发事件到达后，必须在时限内启动指定范围的识别事件驱动识别的失败很少是“没有识别”，是“识别启动得太晚”或“识别范围没有覆盖事件实际影响的行”。触发事件到达后，如果没有人接收、没有启动时限、没有指定范围，识别会在“等下次季度评审再说”中推迟到事件后果已经发生之后。表5事件驱动触发清单触发事件类型具体触发条件启动时限识别范围接收人示例行内部事件实际发生的事件或未遂事件（运营中断、质量逃逸、安全事故、数据事件）事件确认后2个工作日内该事件直接关联的风险行，及同一控制或同一流程上的其他行事件所属业务线的风险联络人一次审批绕过事件，启动对同一审批控制覆盖的全部风险行的识别组织变更关键岗位离职、重组、关键人员长期缺勤变更生效后5个工作日内依赖该岗位或该组织单元的风险行人力资源联络人和风险负责人某系统管理员离职，启动对其持有唯一权限的相关风险识别外部事件重大供应商变更或中断、新法规或标准发布、监管处罚或问询、关键基础设施中断获知后5个工作日内受该外部事件直接影响的依赖行，及同一类别下的其他行供应商管理、合规或基础设施负责人某主要供应商被收购，启动供应链集中度和合同条款相关风险的识别技术变更新系统上线、平台迁移、重大配置变更、第三方API弃用或配额变更变更上线前或获知后5个工作日内受该变更影响的系统依赖、接口依赖和数据治理风险行技术变更负责人某API配额口径从请求数改为令牌量，启动该接口依赖行的识别项目阶段变更项目从设计转入实施、从试运行转入生产、范围重大调整阶段转换确认后5个工作日内该阶段特有的风险主题（如试运行阶段的生产稳定性、生产阶段的容量和监控）项目风险负责人某系统从试运行转入生产，启动生产容量和监控覆盖的风险识别控制失效信号控制测试连续两次失败、内部审计发现重大缺陷、关键指标连续越线信号确认后5个工作日内该控制所覆盖的全部风险行，及依赖该控制的其他控制控制负责人和内部审计联络人某对账控制连续两次测试失败，启动其覆盖的财务错报风险识别式(1)触发响应及时率T=R按时÷R总×100%变量定义：T为触发响应及时率，以百分比表示；R按时为表5中触发事件在对应启动时限内实际启动识别的条数；R总为统计期内到达的触发事件总条数。R总从触发事件记录中计数，不剔除“认为不重要”的事件；如果接收人判断某触发事件不构成启动条件，记录“判定不启动”并写明依据，该条计入R总但不计入R按时。两个常见错误：把“启动识别”等同于“有人口头说了要看一下”，没有对应的识别记录或清单更新；R总只算“接收人认为重要的触发事件”，主观过滤后的统计无法暴露漏报。校验方法：手里有触发事件记录和对应的识别启动记录；逐条核对启动时间与事件到达时间之差是否在表5时限内；算出的T低于80%时，先检查接收人是否明确、启动时限是否被知晓，不直接归因于“资源不足”。示例：统计期内触发事件12条，其中9条在时限内启动识别，1条延迟启动，2条未启动（其中1条记录了“判定不启动”的依据，计入R总但不计入R按时）。T=9÷12×100%=75.0%。五、频率和资源怎么对：不能排一个跑不完的计划频率设计的最后一个约束是识别容量。年度全量、季度高风险、事件驱动的三层结构如果同时排满，负责识别的人员会在季度末发现“季度识别还没做完，年度识别又开始了”。频率和资源必须做一次显式的匹配计算，而不是默认“排了计划就有人做”。表6频率与资源匹配表识别活动单次估计工时（人时）频率（次/年）年化工时可投入人力（人）年可提供工时负荷比调整动作年度全量识别40140风险职能2人2×1,600=3,200—纳入总负荷计算季度高风险识别12448同上——纳入总负荷计算季度动作逾期检查6424同上——纳入总负荷计算事件驱动识别（按统计期平均值）8约1080同上——纳入总负荷计算合计——192—3,2006.0%容量充裕，可增加识别深度或覆盖范围上表的合计负荷比远低于可用工时，是因为单次工时的估计偏乐观。实际操作中，年度全量识别40人时通常需要2至3人协作一到两周，季度识别受会议协调和数据获取的拖累，单次工时可能是估计值的2至3倍。表6的用途不是精确预算，是暴露“排定频率对应的年化工时是否在可投入人力范围内”。负荷比超过60%时，频率计划在下一个周期开始出现延迟；超过80%时，延迟成为常态。式(2)识别资源负荷比L=(Σ单次工时×年频率)÷年可投入工时×100%变量定义：L为识别资源负荷比，以百分比表示；分子为表6中年度全量、季度识别、事件驱动识别等各项活动的年化工时之和；分母为实际投入风险识别的人力年可提供工时（扣除会议、行政和其他职责后的净可用工时，不是名义工时）。两个常见错误：分母用名义工时（如2,080小时/人/年），没有扣除会议、行政和其他职责，负荷比被低估；事件驱动的年频率用“过去一年实际发生次数”的低值估算，没有考虑触发事件在业务扩张或外部环境变化时可能集中到达。校验方法：手里有表6的各项工时估计和实际投入人力的净可用工时；算出的L超过60%时，本轮的频率计划需要调整（降频、缩小范围或增加人力），不把超负荷的计划当作可执行计划下发；L超过80%时，事件驱动识别的启动时限可能需要放宽，但放宽必须在表5中显式记录，不能默认延迟。示例：年度全量40人时×1次+季度高风险12×4+季度动作6×4+事件驱动8×10=192人时；实际投入风险识别的人力为1人，净可用工时约1,200小时（扣除会议、行政和其他职责后）。L=192÷1,200×100%=16.0%。负荷比看起来低，但该1人同时承担合规监测和报告编制，实际可用于识别的净工时可能只有400小时，L=48%。如果触发事件集中到达（如一个季度内发生5起），L会升至60%以上。六、识别计划跑了一轮就失去节律，先查这五处频率规则在纸面上写完之后，第一个季度按计划运行，第二个季度开始出现“季度识别会议因故取消”“事件驱动识别在事后补记录”“年度识别启动时发现上一轮的动作还有一半未关闭”。按表7顺序查，第一检查点不打开频率计划表，先打开过去四个季度的识别记录和动作清单。表7停摆排查表检查点打开什么看什么什么算正常不正常时怎么改一过去四个季度的识别记录每个季度是否有与频率计划对应的识别记录（年度、季度、事件驱动分别计数）每类识别有记录，取消或推迟有原因记录恢复节律，取消的识别在下一个可用窗口补做，并记录补做日期二式(1)的T值触发事件是否在时限内启动识别T≥80%逐条检查未按时启动的原因：接收人不明确、时限不知晓、判定不启动无依据三式(2)的L值负荷比是否超过60%L≤60%按表6调整：降频、缩小识别范围或增加人力；不把超负荷计划当作可执行计划四上一轮识别的动作清单逾期动作是否在本次识别中作为第一项处理逾期动作已处理或有明确的延期记录把逾期动作列入下一次识别的固定前置项，不跳过五触发事件记录与清单更新的对应每个触发事件是否导致了至少一条清单行的检查或更新记录触发事件与清单更新可对应补录触发事件对应的清单检查记录，或写明“检查后确认无变化”示例：检查点一发现过去四个季度中，两个季度的季度识别被取消，没有补做记录。检查点二发现T=58%，主要原因是“关键岗位离职”类触发事件没有明确的接收人，事件先到了人力资源部门，但人力资源部门不知道需要启动识别。在表5中补充接收人（人力资源联络人加风险负责人双接收）后，下一季度同类触发事件的启动时间从平均8个工作日缩短到3个。七、什么时候加密、什么时候降频：四条规则和一处矛盾决策规则：规则一：如果某高风险行在连续两个季度的识别中都出现评分上升，或该行对应的控制连续两次测试失败，则该行的识别频率从季度加密为月度，直到评分连续两个季度未再上升且控制测试通过；如果加密后连续三个月没有新的变化信号，恢复季度频率。规则二：如果某低风险行在过去两个年度识别中评分和描述均无变化，且该行没有到达任何触发事件，则该行的识别频率从年度降为两年一次；降频后在下一个年度识别周期中该行不逐行打开，只检查“是否到达触发事件”和“是否有外部强制评审要求变化”；触发事件到达时仍按表5启动。规则三：如果式(2)的L超过60%，频率调整的顺序是：先缩小季度识别的行数（从“评分最高的前20%”收紧到“最高档的全部行”），再考虑降低中低风险的年度识别深度（从逐行复核改为抽样复核加触发检查），最后才延长事件驱动识别的启动时限。延长启动时限必须在表5中显式修改，并记录“因识别容量约束延长”的依据，不默认延迟。规则四：如果某触发事件在到达后未被启动识别，且该事件在后续导致了实际后果或审计发现，该触发事件类型在表5中的启动时限缩短一档（如5个工作日改为2个工作日），接收人增加一名备份；如果同一类型触发事件在一年内出现两次“未启动”且均无后果，该类型不缩短时限，但接收人的判定“不启动”必须由上一级风险负责人复核。矛盾陈述：高频识别能更早发现变化，但每次识别都要占用风险负责人、控制负责人和业务方的时间，频率越高，参与识别的人越倾向于“走过场”以节省时间；低频识别能降低负担，但风险在两次识别之间发生变化时，清单的评分和动作滞后于实际暴露，直到下一次识别或事件发生才被修正。实质分析：频率的价值不在于“识别次数”，在于“每次识别是否产生了可区分的变化记录”。高频但无变化、无记录的识别，不产生提前发现的价值，只产生会议成本；低频但有触发事件兜底的识别，在稳定环境中可能是合理的，但在变化快的环境中会依赖触发事件的事后到达。识别频率的设计不是选择“高”或“低”，是把有限的识别容量分配给“变化速度最快、后果最重、且触发事件最不容易自动捕获”的那部分风险。权衡规则：按风险的“变化速度”分配频率，不按风险的“重要性评分”单独分配。一个评分很高但外部条件和内部控制都很稳定的风险，季度逐行复核的边际信息量有限；一个评分中等但外部条件快速变化（如依赖的供应商正在被收购、适用的法规正在修订）的风险，即使评分未到最高档，也需要更短的识别间隔。基础频率按表2的分层执行，加密条件中增加“该风险的外部条件在过去一个季度是否出现过可观察的变化”一项，命中即加密，不受评分档位限制。退路：如果频率计划在某一个季度全面延迟（年度识别推迟、季度识别取消、事件驱动识别积压），在下一个可用窗口不做“补完所有积压”，只做两件事：处理逾期动作中截止日期已过的行，以及处理表5中启动时限已过的事件驱动识别。年度和季度的常规识别按原计划的下一个周期执行，积压的常规识别不堆积到同一窗口，避免“补作业”式的识别变成形式。八、完整版、精简版、极简版按组织识别容量选有专职风险职能、年度全量和季度高风险识别可分开执行的组织走完整版；风险职能兼职、识别容量有限的组织走精简版；首次建立识别节律或识别容量不足一人的走极简版。三套版本的差异写在表8。表8三套场景表场景跑什么用哪个公式不能妥协的底线修复后重跑什么完整版表2分层、表3年度、表4季度、表5触发清单、表6资源匹配、表7五项排查式(1)、式(2)年度全量识别执行；高风险行有季度记录或“确认无变化”记录；每个触发事件有接收人和启动时限；L≤60%全量重跑：表7五项、T值、L值、触发事件与清单更新的对应精简版表2前四行（评分分层）、表3前三个动作、表4前两个动作、表5前三类触发事件、表6简化版（只算年度和季度）、表7前两项式(1)年度全量识别执行；高风险行每半年至少一次识别；触发事件有明确接收人只重跑表7前两项和T值极简版表2中“高风险季度、低风险年度”一行；表3假设复核和完整性扫描两项；表5内部事件和组织变更两类；表7第一项不计算T和L，以“是否有识别记录”和“触发事件是否有人接”替代每年至少一次全量识别；内部事件和组织变更到达时有人知道并启动检查；高风险行每年至少被打开一次只重跑表7第一项：上一轮识别是否有记录、触发事件是否有接收记录完整版适用于年度全量识别和季度高风险识别可以分开排期、且触发事件的接收人链条清晰的组织。精简版去掉季度识别中的动作逾期检查和新风险观察项转入，保留高风险行的半年度扫描和触发事件的最小清单。极简版的核心不是完成三层频率设计，是先回答两个问题：每年有没有一次全量识别，出了事有没有人负责启动检查。这两个问题的答案决定是否需要在第一轮就建立完整的频率规则。完整案例：某风险经理的第一轮识别频率设计示例案例，细节为合理设定。起点：风险清单38行，标注“季度评审”，但过去两个季度没有识别记录。年度全量识别安排在十二月，上一次执行是14个月前。过去12个月发生了一次供应商断供和一次关键岗位离职，清单没有因这两件事发生变化。第一轮试错。按“季度评审”的原有标注，在季度末安排了一次全量识别，试图把38行全部过一遍。信号：识别会议开了两个半小时，只过了前12行，后26行被跳过，会议记录写“下次继续”。下次没有发生。当时以为问题是会议时间不够，试了把会议延长到四小时，第二次识别仍然只过了15行，参与人开始在同一时间安排其他会议。新信息：季度频率本身没有错，错在“季度识别按全量深度执行”。推翻“季度=全量重扫”的假设，换路：按表2分层，季度识别只扫评分最高的前20%和高风险行，年度识别才做全量。第二轮试错。按评分分层后，季度识别范围从38行降到9行，一次会议可以走完。信号：走完9行后发现其中6行标注“无变化”，但没有“确认无变化”的记录，无法区分是认真看过还是跳过了。当时以为“说无变化”就够了，试了在会议记录里写“其余行无变化”，下一次审计时被问“怎么确认的”，答不出。新信息：无变化也需要记录复核动作。推翻“口头确认即可”的假设，换路：在表4中增加“无变化/已更新”字段，每行必须二选一，选“无变化”的由风险负责人签字。第三轮试错。季度识别有了记录后，供应商断供事件发生。信号：事件发生在季度识别之后、下一次季度识别之前，没有人启动识别，清单中供应商相关风险的评分在事件后两周仍未变化。当时以为事件会“自然进入下一次季度识别”，试了等到下一次季度会议，结果事件的影响已经传导到交付延迟，清单才更新。新信息：事件驱动识别不能等排定识别，必须在事件到达后有时限启动。推翻“排定识别可以覆盖事件”的假设，换路：建立表5触发清单，明确内部事件（含供应商断供）的接收人和2个工作日启动时限。第四轮试错。触发清单建立后，式(1)的T在第一个季度为62%，主要原因是“关键岗位离职”类事件的接收人不明确。式(2)的L用名义工时算为18%，看起来很低，但实际投入识别的人力同时承担合规监测和报告编制，净可用工时只有名义工时的三分之一，L实际为54%。信号：L接近60%，下一次增加加密条件或新增触发事件类型时，频率计划将不可执行。当时以为“先排上，做不完再说”，试了不调整，结果下一个季度出现识别记录补录（事后填写）和触发事件延迟启动。新信息：频率计划必须在资源容量内排定，超负荷的计划会在执行中自动降级，而且降级没有记录。推翻“计划可以超负荷”的假设，换路：按表6重新估算净可用工时，L超过60%时先缩小季度识别范围或合并低风险行，不把超负荷计划下发。终点：频率分层为年度全量（38行，假设复核+完整性扫描+控制有效性抽查）、季度高风险（9行，评分和状态+动作逾期）、事件驱动（表5五类触发事件，接收人和启动时限明确）；式(1)的T从62%升至85%（接收人补全后）；式(2)的L按净可用工时重算为54%，在60%以内；表7检查点一确认过去四个季度每个季度有识别记录或“取消并补做”记录；供应商断供事件在下一次触发事件统计中记录为“2个工作日内启动识别”，清单中供应商相关风险行已更新。表