NIS2第21条的风险分析政策：最低内容要求

NIS2第21条的风险分析政策：最低内容要求本文档提供：风险分析政策五项最低要素判定表（表1）；方法论选型与文档化检查表（表2）；风险登记册与处理计划字段表（表3）；风险偏好与接受标准设定表（表4）；管理层批准证据链检查表（表5）；审查触发条件与记录表（表6）；政策失效排查表（表7）；一次从“政策文本完整、检查时拿不出证据”到“五项要素逐项对齐”的完整示例与变量表（表8）；决策规则6条与矛盾四段式1处；完整版、精简版、极简版三套场景操作序列；数据来源与时效说明表（表9）。2026-11-04这一节的标题读完你能拿到什么这一节在全文中的功能一、政策写了不等于要素齐了：五项最低内容逐项对照风险分析政策五项最低要素判定表（表1），五问定政策文本的合格线在写政策之前把“必须有”和“写了但不够”分开二、方法论：用哪个框架不是关键，文档化到什么程度才是方法论选型与文档化检查表（表2），含ISO27005与BSI200-3的选用条件固定方法论选择的记录要求，避免“选了但说不清怎么用”三、风险登记册和处理计划：字段不够，检查时对不上风险风险登记册与处理计划字段表（表3），逐字段写缺失后果把登记册从清单变成可追溯的风险台账四、风险偏好与接受标准：没有数的“接受”不构成批准风险偏好与接受标准设定表（表4），含残余风险接受的可核查条件把管理层的“接受”落成有数值、有条件的记录五、管理层批准：签了字不等于批对了内容管理层批准证据链检查表（表5），区分批准动作与批准内容固定批准记录的四个可检查要素六、审查：年度一次是底线，事件驱动触发才是关键审查触发条件与记录表（表6），含触发后动作和时限把审查从日历事项变成条件触发七、政策五项都写了，检查时只拿出三份文件，先查这五处政策失效排查表（表7），第一检查点是风险登记册的“残余风险接受”列定位“文本合规、证据缺失”的具体环节八、一次从“政策完整、证据不全”到逐项对齐的完整示例含四次试错、判断转折、终点与变量表（表8）演示五项要素在检查场景中的联动九、什么时候用现成框架，什么时候必须自建要素决策规则6条、矛盾四段式1处、权衡规则与退路处理框架复用与NIS2额外要求之间的缺口十、报送、内部合规、个人查数各走哪套流程三套场景的检查项实际增减，逐套写明底线按交付对象选择检查深度十一、每个判断的依据层级和复核方式数据来源与时效说明表（表9）交代关键判断的依据层级与复核路径按第一列在正文找对应那节，按第二列判断这节有没有要用的成品，按第三列判断这节是否对应当前卡住的位置。合规部门提交的风险分析政策文本共十四页，目录齐全，方法论、资产清单、风险登记册、处理计划、审批页都有。检查员翻了前五页，问了三个问题：风险登记册里哪一列记录的是管理层实际接受了的残余风险；处理计划中“责任人”一栏填的是岗位名还是人名；上一次审查是因为日历到期还是因为某个事件触发。政策文本中没有一页能直接回答这三个问题。一、政策写了不等于要素齐了：五项最低内容逐项对照NIS2第21(2)(a)条的原文只有一句话：“policiesonriskanalysisandinformationsystemsecurity”。这句话本身不列出内容要求，内容要求来自两个层面：实施条例对技术和方法的要求，以及监管检查中实际核查的证据形态。把两者合在一起，第21(2)(a)条在操作上要求政策至少覆盖五项要素：方法论、资产清单、风险登记册与处理计划、风险偏好与接受标准、管理层批准。表1五问按顺序走，每一问对应一个要素。表1风险分析政策五项最低要素判定表判定顺序问什么什么算合格不合格先做什么一个已填样例第1问政策中是否写明了风险分析使用的方法论，以及选择该方法的理由方法论名称具体，选择理由可读，且与实际执行的方法一致补写方法论段落，或修正政策中写的与实际执行不一致之处政策写“采用ISO27005:2022”，实际评估表结构与之不符，第1问不通过第2问资产清单是否覆盖全部信息系统，且每个资产有分类和责任人资产清单与信息系统台账可对应，分类字段和责任人字段非空补资产清单的分类与责任人列，缺这两列的清单不进入风险评估资产清单230项，其中41项责任人填的是部门名第3问风险登记册是否记录了风险、控制措施、残余风险和处理责任人四个字段齐全，且残余风险有数值或等级补残余风险字段，只有“高/中/低”而无接受依据的登记册不满足登记册列了风险和控制，残余风险列空白第4问风险偏好和接受标准是否有具体数值或条件，而非“低风险可接受”有阈值（如风险分值上限）或明确的接受条件把定性表述转为可核查的阈值或条件政策写“可接受的风险水平由管理层确定”，无数值第5问管理层批准是否有记录，且记录能对应到被批准的具体版本有批准记录，记录中的版本号或日期与政策文本一致补批准记录，或把批准记录与政策版本建立对应审批页有签字，但无版本号，无法证明批的是当前版本第1问的“与实际执行一致”是表1中最容易被跳过的一条。政策写了一套方法论，评估表用的是另一套，检查时两份文件放在一起，不一致本身就是不符合项。方法论的选择不需要是唯一的，ISO27005、BSIStandard200-3、NISTRMF都可以用，但选了之后要按选定的方法执行，政策文本和评估记录要能互相对上。第3问的“残余风险”是风险登记册与普通风险清单的分界线。风险清单列出风险和风险等级，风险登记册多出一列：在已有控制措施之后，剩余的风险是多少，由谁决定接受。没有这一列，登记册无法证明管理层对风险的接受是在知情条件下作出的。二、方法论：用哪个框架不是关键，文档化到什么程度才是NIS2不强制指定某一种风险评估方法论。ISO27005:2022、BSIStandard200-3、NISTRMF等都被认可，选择哪一种由实体根据自身情况决定，但选择的结果必须文档化，且文档化的颗粒度要足以让第三方复算评估过程。表2把方法论文档化的检查点逐项列出。表2方法论选型与文档化检查表检查项什么算合格什么算不合格不合格的修复动作一个已填样例方法论名称与版本写明了具体标准号和版本（如ISO27005:2022）只写“行业最佳实践”或“风险矩阵法”补标准号和版本ISO27005:2022，第6.2节风险识别方法写明了威胁源、脆弱性、现有控制的识别方式只写“识别风险”无具体方法补一段识别流程，说明输入来自威胁情报还是资产清单威胁情报加资产清单交叉识别风险分析尺度可能性与影响各自的分级标准和赋值规则可查有分级表但无赋值逻辑补赋值逻辑，或把分级表附在政策后可能性1—5级，影响按财务与运营双维度赋值风险评价标准写明了什么分值或条件下风险被视为“需处理”只有“高/中/低”，无阈值补阈值，阈值与风险偏好挂钩风险分值≥12进入处理计划处理选项列出了规避、降低、转移、接受四个选项，且说明了选择逻辑只写“采取控制措施”补处理选项清单和选择条件四个选项，按风险分值与成本选择比例性说明说明了方法论的选择与实体规模、暴露程度的关系无任何比例性说明补一段说明，解释为什么该方法适合该实体中型实体，选择ISO27005的简化路径第6项“比例性说明”是NIS2第21(1)条对“适当且比例”要求的直接落地。政策写了一套完整的方法论，但没有说明这套方法论与实体规模、风险暴露之间的关系，检查时可能被追问“为什么选这套而不是更轻或更重的”。比例性说明不需要长篇论证，一段话写清规模、暴露程度与方法论复杂度的对应关系即可。ISO27005:2022覆盖了表2前五项的大部分内容，但有两个缺口需要额外补：NIS2要求的比例性测试，以及年度审查的触发条件。ISO27005本身不规定审查周期，NIS2的实践共识是至少每年一次，加上事件驱动触发。政策中如果只引用ISO27005而不写审查触发条件，表1第1问虽然通过，第5项要素（审查）会在后续检查中暴露缺口。三、风险登记册和处理计划：字段不够，检查时对不上风险风险登记册是政策的核心证据。检查员通常不读政策全文，直接打开登记册，看列是否齐全、每行是否有对应的处理动作和责任人。表3列出登记册和处理计划各自的最低字段，逐字段写缺失后果。表3风险登记册与处理计划字段表文件字段什么算填了不填的后果一个已填样例风险登记册风险编号唯一编号，可与处理计划关联登记册与处理计划无法对应R-2026-017风险登记册风险描述一句话写清威胁、脆弱性和受影响资产检查时无法判断风险是否真实未修补的VPN漏洞可被利用访问客户数据库风险登记册可能性与影响有分级值和赋值依据风险等级无法复算可能性4，影响5，分值20风险登记册现有控制写明了已实施的控制措施残余风险无法计算已启用MFA，未修补漏洞风险登记册残余风险有数值或等级，且与接受标准对照管理层接受的对象不明确残余分值9，低于阈值12风险登记册风险责任人具名责任人，非部门名处理动作无人认领信息安全经理张某处理计划对应风险编号与登记册编号一致处理动作与风险脱节R-2026-017处理计划处理选项规避/降低/转移/接受之一处理逻辑不可追溯降低处理计划具体动作与完成日期动作可执行，日期可检查处理计划停留在意向2026-12-15前完成VPN补丁并复核处理计划责任人具名责任人同上网络安全主管李某“残余风险”和“风险责任人”两个字段在案例政策中都是空的或填了部门名。这两个字段恰好对应表1第3问和第4问。登记册有风险描述和控制措施，但没有残余风险列，管理层在审批页上签的字无法对应到“接受了什么残余风险”；责任人填部门名，处理动作的完成状态无法在部门内部追溯到具体的人。处理计划的“完成日期”需要是一个可检查的日期，不是“持续推进”或“长期”。检查员打开处理计划时，看的不是动作写得多详细，而是有没有一行能在某个日期之后被验证为完成或未完成。日期缺失时，处理计划在检查场景中不构成证据。四、风险偏好与接受标准：没有数的“接受”不构成批准风险偏好和接受标准是表1第4问的内容。NIS2第21条不要求风险偏好必须是一个单一数字，但要求接受标准可核查。政策中常见的写法是“低风险可接受，中高风险需管理层批准”，这句话没有给出“低”和“中高”的分界，检查时无法判断某一项残余风险是否已经被授权接受。表4风险偏好与接受标准设定表要素什么算可核查什么算不可核查修复动作一个已填样例风险分值的接受上限写明一个数值（如残余分值≤8可接受）“低风险可接受”无数字补数值，数值与风险矩阵的分级对应残余分值≤8由风险责任人接受；9—12由CISO接受；>12由管理层批准接受的条件写明在什么条件下可以接受（如补偿控制已到位）“视情况而定”补条件清单残余分值9—12时，需有补偿控制且补偿控制已验证接受的记录位置登记册的“接受决定”列或单独的接受记录口头接受，无书面记录在登记册中增加“接受决定”列登记册“接受决定”列记录批准人和日期超出标准的处理写明了超过接受上限时的升级路径只有标准，无超限处理补升级路径和时限超过12分的风险在5个工作日内提交管理层，未批准前不关闭与风险偏好的衔接接受标准与实体的风险偏好声明一致接受标准比风险偏好更宽松，无解释对齐两份文件，或写明偏离理由风险偏好声明中“不接受超过12分的残余风险”，登记册标准与之一致第1行的“分级接受”比单一阈值更可操作。残余分值≤8由风险责任人接受，9—12由CISO接受，>12由管理层批准。这样，登记册中每一行残余风险都有一个对应的接受层级，检查时不需要逐行追问“这个风险谁接受了”，看分值和批准人是否匹配即可。第5行“与风险偏好的衔接”是检查中容易被忽略的交叉核对点。如果政策中的接受标准是≤12分可接受，而风险偏好声明写的是“不接受超过10分的残余风险”，两份文件本身矛盾。检查员把两份文件并排时，矛盾不需要额外解释就构成发现项。五、管理层批准：签了字不等于批对了内容NIS2第20条要求管理机构批准网络安全风险管理措施，第21(2)(a)条的政策是其中之一。批准动作在检查中看的不是签字本身，而是签字能否对应到被批准的具体内容。表5把批准证据链拆成四个可检查要素。表5管理层批准证据链检查表要素什么算合格什么算不合格修复动作一个已填样例批准对象批准记录写明了被批准文件的名称和版本号只有“批准风险分析政策”，无版本号补版本号，或把批准记录与政策文本的版本页对应批准记录：风险分析政策v2.1批准内容批准记录覆盖了政策中的关键要素（方法论、接受标准、审查周期），而非仅批准“政策存在”批准记录只写“同意”，无要素说明在批准记录中列出被批准的关键要素，或附批准备忘录批准记录列明方法论、接受标准和年度审查要求已审阅批准人层级批准人属于管理机构或其正式授权的委员会批准人是风险部门负责人，非管理层补管理层批准，风险部门负责人的批准作为执行层签批批准人：董事会风险委员会批准时间与生效时间批准日期早于或等于政策生效日期，且与审查记录中的版本变更对应批准日期晚于生效日期，或批准后未更新生效日期修正日期逻辑，补版本变更记录批准2026-09-20，生效2026-10-01第2项“批准内容”是案例中最常见的缺口。批准页只有一行“同意”，签字是真的，但检查员无法从这一行判断管理层是否审阅了接受标准的具体数值。修复方式不需要重签，可以在批准记录后附一页批准备忘录，列出管理层审阅过的关键要素和对应的政策章节。备忘录不替代签字，它让签字的内容变得可核查。第4项“批准时间与生效时间”的逻辑在版本更新时容易出错。政策从v2.0更新到v2.1，批准日期是9月20日，但政策文本的生效日期仍写的是v2.0的1月1日。两个日期放在一起，检查员会问v2.1是从什么时候开始生效的。修复动作是把生效日期与批准日期挂钩，并在版本页记录每次变更的批准日期和生效日期。六、审查：年度一次是底线，事件驱动触发才是关键NIS2第21条没有在条文中规定审查周期。德国BSIG§30的转化中也没有法定审查周期，年度加事件驱动是实践中的共识建议。政策中如果只写“每年审查一次”，审查记录会变成日历驱动的例行公事，而第21(2)(a)条的风险分析需要响应的是风险环境的变化，不是日历翻页。表6把审查触发条件分为日历触发和事件触发两类，事件触发是表1第5问在操作层的核心。表6审查触发条件与记录表触发类型触发条件触发后动作时限记录位置一个已填样例日历触发距上次审查满12个月全面审查方法论、登记册、接受标准满12个月后的30天内启动审查记录首页上次审查2025-10-15，本次2026-10-20启动事件触发：重大变更信息系统架构发生重大变更（新增核心系统、迁移云环境）对受影响资产重新评估风险变更上线前完成评估变更记录关联审查记录2026-06客户数据迁移云环境，评估2026-05完成事件触发：重大事件发生须向CSIRT报告的安全事件评估事件暴露的风险是否已在登记册中，未覆盖的补入事件关闭后15个工作日内事件复盘记录关联登记册2026-08钓鱼事件，登记册补入“邮件过滤绕过”风险事件触发：威胁环境变化出现新的威胁类型或漏洞利用方式，影响本实体资产评估现有控制是否有效，必要时更新风险分析情报确认后30天内威胁情报记录关联审查2026-07新型勒索软件，评估VPN暴露面事件触发：监管或标准变化NIS2实施条例修订或ENISA指南更新评估政策与方法论是否需要对齐变化发布后60天内合规台账ENISA2025指南发布后，方法论文档补比例性说明事件触发的审查记录比日历触发更能证明政策是活的。案例中政策写了“每年审查”，审查记录也只有日历日期。检查员问“过去12个月有没有发生过需要触发审查的事件”，合规部门翻出一次云迁移和一次钓鱼事件，两次都没有关联到审查记录。政策中的审查条款因此被判定为“形式上存在、实质上未运行”。事件触发审查的记录不需要长篇报告。一次云迁移触发的审查，记录可以是变更单上附一段风险评估更新说明，指向登记册中受影响的风险编号和更新后的残余分值。关键不是文档的篇幅，是审查动作与触发事件之间的关联可以被检查员沿着编号或日期追溯。七、政策五项都写了，检查时只拿出三份文件，先查这五处表7政策失效排查表检查顺序第一检查点什么算异常换哪条路1打开风险登记册，看“残余风险”和“接受决定”两列是否非空残余风险列空白，或接受决定列只有“已接受”无批准人补残余风险数值和接受决定，接受决定列记录批准人和日期2看处理计划的“责任人”列是人名还是岗位名超过三行填的是部门名或岗位名逐行改为具名责任人，岗位名保留在辅助列3看管理层批准记录是否写明了被批准政策的版本号批准记录无版本号，或版本号与当前文本不一致补版本号对应，或附批准备忘录说明被批准的关键要素4看过去12个月的事件记录，是否有关联到审查记录发生过重大变更或安全事件，但审查记录只有日历触发补事件触发审查记录，或在下一次日历审查中追溯评估5看风险偏好声明中的数值与登记册接受标准是否一致两份文件的阈值不同，且无偏离说明对齐两份文件，或在政策中写明偏离理由和批准人第1项是排查起点。残余风险列空白时，表1第3问和第4问同时失效：登记册没有记录控制后的剩余风险，管理层批准页上的签字无法对应到任何具体的残余风险水平。第1项修复后，第2至4项的检查才有可读的基础。第5项的交叉核对在政策文本内部完整、但与风险偏好声明并排时暴露矛盾的情况下最有用。政策中的接受标准≤12分，风险偏好声明写“不接受超过10分的残余风险”，两份文件各自都完整，放在一起时阈值不一致。检查员不需要判断哪个正确，不一致本身就是需要修复的发现项。八、一次从“政策完整、证据不全”到逐项对齐的完整示例示例案例，细节为合理设定。起点。某中型能源企业，被成员国认定为重要实体。风险分析政策v2.0共十四页，方法论写的是ISO27005:2022，资产清单230项，风险登记册47行，处理计划31行，管理层批准页有董事会风险委员会签字。监管检查前自查，表1五问中第1问通过、第2问部分通过、第3至5问均不通过。检查员尚未到场。第一轮试错。信号是表1第3问不通过，残余风险列空白。合规部门的第一个假设是登记册缺少一列，补上即可。试了在登记册右侧增加“残余风险”列，按风险分值减控制有效性打分填了47行。填完后抽查三行，发现控制有效性的打分没有依据，同一类控制在不同的行里打了不同的有效性分值。新信息是残余风险不是登记册加一列就能产生的，它依赖控制有效性的评估标准。推翻“补列即可”的假设。换路：先定控制有效性评估规则，再补残余风险。第二轮试错。信号是控制有效性打分不一致。假设是评估人理解不同。试了在政策中加一段控制有效性评估说明，发给三个评估人重填。三个评估人对同一控制的打分仍然相差两到三个等级。新信息是说明文字不足以产生一致的评分，需要锚定示例。推翻“说明即可统一”的假设。换路：在登记册中附控制有效性评分锚点，每个等级配一行示例。第三轮试错。信号是残余风险填完后，表1第4问仍然不通过：政策写“低风险可接受”，没有数值。假设是把“低”定义为一个分值区间。试了在政策中补一句“残余分值≤8为低风险，可接受”。填完后检查发现，登记册中有9行残余分值在9—12之间，处理计划中没有对应的升级动作。新信息是接受标准不只是“低风险”的边界，还包括超出边界之后的升级路径。推翻“定义一个数即可”的假设。换路：补分级接受标准和升级路径。第四轮试错。信号是表1第5问：批准页有签字，但无版本号。假设是补一个版本号。试了在批准页加“批准v2.0”。复核时发现，政策在v2.0批准后做过一次文字修订，修订页的日期晚于批准日期，修订内容涉及接受标准的具体数值。新信息是批准的是修订前的版本，接受标准的数值未经管理层批准。推翻“补版本号即可”的假设。换路：把修订后的政策重新提交批准，批准记录写明关键要素。终点。风险分析政策v2.1。方法论段落后附比例性说明（一段，解释ISO27005简化路径与实体规模的对应）。资产清单补全责任人人名。登记册增加残余风险列（附控制有效性评分锚点）和接受决定列（记录批准人和日期）。接受标准改为三级：≤8风险责任人，9—12CISO加补偿控制验证，>12管理层批准，超过12分未批准不关闭。批准记录写明被批准版本为v2.1，并列出管理层审阅的关键要素（方法论、接受标准、审查触发条件）。审查记录补入一次云迁移触发的评估，关联登记册中更新的三个风险编号。表8完整示例变量表变量案例中情形如果变量不同处置变化实体认定重要实体关键实体检查频率和罚款上限不同，五项要素的内容要求不变政策版本修订后的批准状态修订未重新批准修订后已重新批准表1第5问直接通过，无需补批准备忘录残余风险列是否存在空白已有列但无评分锚点不需要加列，但需要补锚点使评分可复算控制有效性评估人数量三人一人评分一致性问题不突出，锚点仍建议保留接受标准的分级数三级（≤8、9—12、>12）单一阈值单一阈值下，超过阈值的风险没有升级路径，需补过去12个月事件触发数一次云迁移、一次钓鱼事件零事件触发日历审查仍须执行，但事件触发记录为空可以解释权重较高的变量是政策版本修订后的批准状态。修订涉及接受标准的具体数值但未重新批准时，批准记录覆盖的内容与实际执行的接受标准不一致，表1第5问从“有签字”变成“签字批的不是当前内容”。修复动作不是补一个版本号，是重新走批准流程。九、什么时候用现成框架，什么时候必须自建要素决策规则。第1条。如果实体已经运行ISO27001或基于ISO27005的风险管理流程，则风险分析政策可以以现有框架为主干，但必须补两项NIS2特定要素：比例性说明和事件驱动审查触发条件；两项缺一，政策不满足第21(2)(a)条的最低内容要求。第2条。如果政策中的接受标准只有“高/中/低”而无分值或条件，则该项不视为可核查的接受标准；先补分级接受阈值，再进入管理层批准。第3条。如果风险登记册有“残余风险”列但控制有效性评分无可复算的锚点，则残余风险数值不进入管理层批准材料；补锚点后重新计算受影响行的残余分值。第4条。如果管理层批准记录无版本号或批准备忘录，则该批准不视为对当前政策版本的批准；重新提交或补批准备忘录，写明被批准的关键要素。第5条。如果过去12个月发生过重大变更或须报告的安全事件，但审查记录只有日历触发，则补做事件触发审查，关联到登记册中受影响的风险编号；未补做之前，审查条款视为“形式存在、实质未运行”。第6条。如果风险偏好声明中的接受阈值与登记册接受标准不一致，则以两者中更严格者为准，直到政策修订对齐；偏离更严格阈值需要管理层书面批准并记录理由。矛盾：框架复用的效率与NIS2特定要素的不可替代性。矛盾陈述。实体通常已经运行一套风险管理框架，ISO27005或ISO27001的流程覆盖了风险识别、分析、评价和处理的大部分内容。复用这套框架可以避免从零建政策，效率最高。但NIS2第21(2)(a)条在框架覆盖的内容之外，额外要求比例性说明和事件驱动审查触发条件，这两项在ISO27005中不是强制要素。复用框架时，这两项往往被当作“框架里已经有了”而跳过，检查时暴露为缺口。案例中的政策以ISO27005为方法论，表2第6项比例性说明在初稿中不存在，审查条款也只写了年度周期。实质分析。框架解决的是“风险评估怎么做”，NIS2解决的是“做出来的评估要能被监管检查识别为合规”。两者的目标不完全重合。ISO27005的流程输出是一份风险登记册和处理计划；NIS2的检查要看的是登记册中残余风险是否被有权层级接受、审查是否响应了事件而不仅是日历。框架不阻止这些要素的存在，但也不强制它们以可检查的形式出现。复用的正确姿势是以框架为流程主干，在输出层增加NIS2特定的字段和触发条件，而不是假设框架自动覆盖了监管要求。权衡规则。框架复用优先用于方法论和风险识别流程，这两部分ISO27005和BSI200-3已经成熟；NIS2特定要素（比例性说明、分级接受标准、事件驱动审查、批准记录与版本的对应）在政策中单独成段或单独成表，不嵌入框架的方法论描述中，以便检查时可以直接定位。案例中修订后的政策把五项要素各设一个小标题，方法论段落引用ISO27005，比例性说明和审查触发条件各自独立成段。退路。如果实体规模较小、没有资源维护一套完整的ISO27005流程，则使用简化的风险矩阵方法，但五项要素的最低内容不缩减：方法论仍须写明并文档化（简化方法也是方法），资产清单和登记册的字段不减，接受标准仍须有数值或条件，批准记录仍须对应版本。简化的是评估的复杂度和频率，不是证据的可检查性。十、报送、内部合规、个人查数各走哪套流程完整版（面对监管检查或作为NIS2合规材料提交）。表1五问、表2六项方法论检查、表3登记册与处理计划字段、表4五项接受标准要素、表5四项批准证据链、表6五类审查触发全部执行；登记册逐行核对残余风险和接受决定列；批准记录与政策版本逐项对应。序列：五问定政策合格线→方法论文档化逐项检查→登记册和处理计划字段补齐→接受标准分级并写入政策→批准记录补版本和要素→审查记录补事件触发→表7五项排查。不能妥协的底线：残余风险有数值或等级且有接受人；处