风险矩阵的审计：校准、使用、记录（审计项、校准、记录）

风险矩阵的审计：校准、使用、记录

（审计项、校准、记录）本文档提供：三个审计项的覆盖内容与取数文件表（表2）；评分标度定义与一致性审计检查表（表3）；矩阵结构与风险等级映射审计检查表（表4）；评分输入的取数与判断审计检查表（表5）；矩阵在决策中的引用方式审计检查表（表6）；评分依据、审批与版本追溯审计检查表（表7）；审计发现分级与判定依据表（表8）；审计结论认定与处置表（表9）；审计底稿要素与追溯链检查表（表10）。2026-11-10表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、风险矩阵审计的三个审计项与范围界定表2三个审计项覆盖内容表界定校准、使用、记录各自回答的问题和取数文件，确定检查深度二、校准审计（一）：评分标度的定义与一致性表3评分标度定义与一致性审计检查表核验可能性与影响两个维度的标度定义、等级描述和跨矩阵一致性三、校准审计（二）：矩阵结构与风险等级的映射表4矩阵结构与风险等级映射审计检查表核验矩阵的维度组合、风险等级划分和颜色编码与容忍度的对应四、使用审计（一）：评分输入的取数与判断表5评分输入的取数与判断审计检查表核验评分所依据的数据来源、判断记录和评分人资质五、使用审计（二）：矩阵在决策中的引用方式表6矩阵在决策中的引用方式审计检查表核验风险等级在审批、资源配置和报告中的引用一致性六、记录审计：评分依据、审批与版本追溯表7评分依据、审批与版本追溯审计检查表核验评分记录的完整性、审批链和矩阵版本的变更追溯七、审计发现分级与判定依据表8审计发现分级与判定依据表按影响范围、审计项和后果三项事实划分发现等级八、审计结论认定与处置表9审计结论认定与处置表把发现汇总为管控有效、基本有效、管控缺陷三档结论并匹配处置动作九、审计底稿与追溯链表10审计底稿要素与追溯链检查表核验底稿要素和三份材料的索引关系，支撑监管调阅十、案例：一次风险矩阵审计从标度核验到版本追溯完整案例复现三个审计项的检查联动、发现形成和结论认定的操作链一、风险矩阵审计的三个审计项与范围界定风险矩阵审计回答的问题是：风险矩阵的评分标度是否定义清晰、矩阵的使用是否一致、评分记录是否可追溯。三个审计项各有侧重。校准审计指向矩阵的设计质量，检查可能性与影响两个维度的标度定义是否明确、等级描述是否可区分、矩阵的风险等级划分是否与组织的容忍度对应。使用审计指向矩阵在实际风险管理中的执行状态，检查评分输入的取数是否有依据、评分判断是否有记录、风险等级在审批和资源配置中的引用是否一致。记录审计指向评分过程的留痕，检查评分依据是否完整、审批链是否齐备、矩阵版本变更是否有追溯。三个审计项之间存在递进关系。校准的缺陷会在使用中被放大：标度定义模糊的维度，评分人在使用时依赖个人理解，同一风险在不同部门的评分出现系统性差异。使用的缺陷会在记录中留下痕迹：评分无依据的风险，在记录审计中表现为评分依据栏空白或填写笼统。审计按校准、使用、记录的顺序推进，前一项的检查为后一项提供线索。审计范围的界定按风险矩阵的使用广度和风险等级的重要性确定。矩阵用于组织级风险登记册、覆盖全部风险类别且高风险等级对应重大决策的，纳入全面审计，覆盖三个审计项；矩阵用于部门级风险登记且风险等级仅作参考的，纳入重点审计，覆盖校准和使用；矩阵使用范围限于单一流程的，按抽样方式纳入一般审计。范围界定结果写入审计方案，方案经审计委员会批准。成品块：输入为风险矩阵文件、风险登记册和矩阵使用范围说明；动作为按表2确认三个审计项的覆盖内容和取数文件；输出为审计范围界定表；判定为每个审计项有覆盖内容、取数文件名称和检查深度。表2三个审计项覆盖内容表审计项核心问题覆盖内容取数文件检查深度校准矩阵的标度和等级划分能否支撑一致判断标度定义、等级描述、矩阵结构、容忍度对应矩阵文件、标度说明、容忍度声明全面审计逐项核验使用评分和等级引用在实际中是否一致评分输入、判断记录、等级引用风险登记册、评分记录、审批文件全面审计按风险类别抽样记录评分过程是否可追溯评分依据、审批链、版本变更评分底稿、审批记录、版本记录全面审计逐项核验表2第2行示例行中，审计项“使用”、核心问题“评分和等级引用在实际中是否一致”、覆盖内容“评分输入、判断记录、等级引用”、取数文件“风险登记册、评分记录、审批文件”、检查深度“全面审计按风险类别抽样”五项具体。三个审计项的检查结果在报告阶段汇总，校准审计的发现为使用审计提供核对线索，使用审计的发现为记录审计提供核对线索，线索传导记录写入底稿。二、校准审计（一）：评分标度的定义与一致性可能性标度的审计检查五个等级的定义是否有可区分的描述。每个等级应有时间频率或发生概率的量化区间，例如“5级：一年内发生多次（概率大于50%）”“3级：三年至五年内可能发生一次（概率10%至30%）”。等级描述只写“高”“中”“低”而无量化区间的，评分人无法形成一致判断，列为待完善项。影响标度的审计检查每个等级是否从财务、运营、合规、声誉等维度给出可观察的后果描述，各维度的等级描述与总体影响等级之间有对应规则。跨矩阵一致性的审计检查组织内不同业务单元或不同风险类别使用的矩阵，其标度定义是否一致。同一组织内存在多套矩阵时，可能性5级在一套矩阵中对应“一年内多次”，在另一套矩阵中对应“三年内一次”，两套矩阵的评分结果无法比较，风险登记册的汇总失去意义。一致性检查抽取不同矩阵的同一等级，对照其定义描述和量化区间，差异记录在检查表中。标度校准的审计方法为文档核验加评分人访谈。文档核验核对标度说明文件的等级定义和量化区间，访谈核对评分人对等级定义的理解是否一致。访谈抽取不同部门的评分人，就同一情景请其评分，评分差异超过一个等级的，标度定义的可区分性列为待完善项。成品块：输入为矩阵文件、标度说明文件和评分人名单；动作为按表3逐项核对可能性标度、影响标度和跨矩阵一致性；输出为标度审计记录；判定为每个等级有量化区间或可观察描述，跨矩阵同一等级的定义一致。表3评分标度定义与一致性审计检查表检查项检查内容合格形态待完善情形补正或升级动作可能性标度五个等级的量化区间每级有时间频率或概率区间等级只写“高/中/低”无区间补充量化区间，修订标度说明影响标度财务、运营、合规、声誉的等级描述每级有各维度的可观察描述部分维度无等级描述补充维度描述和对应规则跨矩阵一致性不同矩阵同一等级的定义对照同一等级的定义和区间一致不同矩阵定义存在差异统一标度定义或说明差异理由评分人理解一致性同一情景的评分差异不同评分人的评分差异不超过一个等级差异超过一个等级补充标度培训，修订等级描述标度与容忍度对应标度等级与容忍度声明的对应高风险等级对应容忍度声明中的不可接受区域对应关系待明确建立标度与容忍度的映射表3第3行示例行中，检查项“跨矩阵一致性”、检查内容“不同矩阵同一等级的定义对照”、合格形态“同一等级的定义和区间一致”、待完善情形“不同矩阵定义存在差异”、补正或升级动作“统一标度定义或说明差异理由”五项具体。跨矩阵一致性的差异写到具体等级和两套矩阵的定义描述，差异理由的说明须经矩阵维护角色审批。评分人理解一致性的访谈记录含情景描述、评分人岗位和评分结果，差异分析写入底稿。三、校准审计（二）：矩阵结构与风险等级的映射矩阵结构的审计检查两个维度的等级数量和组合方式。常见的矩阵为5×5结构，可能性5级、影响5级，组合为25个单元格。等级数量少于5级的矩阵，评分分辨率较低，相邻等级的区分度需要核对。矩阵结构的检查还包括维度方向的定义：可能性等级从低到高、影响等级从低到高，两个维度的方向在矩阵的横纵轴上标注清晰。风险等级映射的审计检查25个单元格到风险等级（如高、中高、中、低）的映射规则。映射规则以表格或公式形式表达，每个单元格对应一个风险等级，等级划分的边界与容忍度声明中的区域划分对应。高等级区域的单元格数量和位置反映组织对风险的容忍程度，高等级区域覆盖的单元格过多会使大量风险进入高等级、稀释高等级的警示作用，覆盖过少会使高风险被低估。映射规则的检查核对等级划分是否有书面依据、边界单元格的归属是否有说明。颜色编码的审计检查矩阵中颜色与风险等级的对应是否一致，不同矩阵使用相同颜色表示不同等级的，列为待完善项。颜色编码的检查还包括色盲可读性，仅用颜色区分等级而未加文字标注的，可读性列为待完善项。成品块：输入为矩阵文件、映射规则说明和容忍度声明；动作为按表4逐项核对矩阵结构、等级映射和颜色编码；输出为矩阵结构审计记录；判定为每个单元格有明确的风险等级，映射规则有书面依据，颜色与等级对应一致。表4矩阵结构与风险等级映射审计检查表检查项检查内容合格形态待完善情形补正或升级动作维度等级数量可能性与影响的等级数两个维度各有不少于5个等级等级数少于5个扩展等级数或说明分辨率依据维度方向标注横纵轴的方向和标注方向从低到高，标注清晰方向标注不清晰修订矩阵标注单元格映射规则25个单元格到风险等级的映射每个单元格有明确等级，映射有书面依据部分单元格归属不明补充映射规则，明确边界归属等级区域与容忍度高等级区域与容忍度不可接受区域的对应高等级区域覆盖容忍度不可接受的风险对应关系待明确调整映射规则或容忍度声明颜色编码一致性颜色与风险等级的对应同一颜色在不同矩阵中表示同一等级颜色对应不一致统一颜色编码可读性颜色之外的文字标注每个单元格有文字等级标注仅用颜色区分增加文字标注表4第3行示例行中，检查项“单元格映射规则”、检查内容“25个单元格到风险等级的映射”、合格形态“每个单元格有明确等级，映射有书面依据”、待完善情形“部分单元格归属不明”、补正或升级动作“补充映射规则，明确边界归属”五项具体。边界单元格的归属说明写到具体单元格的坐标和归属理由，例如“可能性4×影响4的单元格归属高等级，理由是该组合的期望损失超过容忍度上限”。颜色编码一致性的检查抽取不同矩阵的同一等级，核对颜色值是否一致。四、使用审计（一）：评分输入的取数与判断评分输入取数的审计检查评分所依据的数据是否有来源。可能性评分的数据来源包括历史事件记录、行业数据、专家判断，影响评分的数据来源包括财务测算、业务影响分析、合规评估。评分记录中数据来源栏空白或填写“经验判断”而无具体依据的，列为待完善项。数据来源的检查以“另一位评分人能否根据记录复现评分”为标准，复现路径写到具体文件和字段。评分判断记录的审计检查评分过程中的判断是否有留痕。可能性评分涉及对未来的判断，判断依据包括趋势分析、控制有效性评估和外部环境变化。影响评分涉及对后果的估计，估计依据包括损失金额测算、业务中断时长估计和监管后果分析。判断记录写到具体因素和权重，只有评分结果而无判断过程的，列为待完善项。评分人资质的审计检查评分人是否具备相应的风险管理知识和业务经验。资质检查包括评分人的岗位、培训记录和过往评分的质量记录。评分人未经培训或评分质量记录显示系统性偏差的，列为待完善项。成品块：输入为风险登记册、评分记录、数据来源文件和评分人培训记录；动作为按表5逐项核对取数来源、判断记录和评分人资质；输出为评分输入审计记录；判定为每项评分有数据来源和判断记录，评分人有培训记录。表5评分输入的取数与判断审计检查表检查项检查内容合格形态待完善情形补正或升级动作可能性取数历史事件、行业数据、专家判断的来源数据来源写到文件和字段来源空白或写“经验判断”补充数据来源和取数位置影响取数财务测算、业务影响、合规评估的来源数据来源写到测算文件编号来源缺失补充测算文件，明确取数口径判断记录趋势、控制有效性、外部环境的分析判断因素和权重有记录只有结果无判断过程补充判断记录，修订评分模板评分复现性另一位评分人按记录复现评分复现路径可追溯复现路径不完整补充复现所需的文件和字段评分人资质岗位、培训记录、质量记录评分人经培训，质量记录无系统性偏差评分人未经培训安排培训，培训后重新评分评分复核评分结果的复核记录复核人对评分依据有核对记录复核记录缺失补充复核记录表5第3行示例行中，检查项“判断记录”、检查内容“趋势、控制有效性、外部环境的分析”、合格形态“判断因素和权重有记录”、待完善情形“只有结果无判断过程”、补正或升级动作“补充判断记录，修订评分模板”五项具体。判断记录的因素和权重写到具体内容，例如“可能性评为4级，依据为近两年事件频率上升30%且控制有效性评估为部分有效，权重分别为60%和40%”。评分复核的记录含复核人、复核日期和复核意见。五、使用审计（二）：矩阵在决策中的引用方式风险等级在审批中的引用审计检查风险等级是否作为审批层级的依据。组织规定高风险事项须提交董事会或风险管理委员会审批的，检查实际审批记录中的风险等级与审批层级是否对应，风险等级为高但由部门层级审批的事项列为发现。引用一致性的检查还包括风险等级在审批文件中的表述是否与登记册一致，审批文件中的等级与登记册等级不同的，核对变更记录。风险等级在资源配置中的引用审计检查风险等级是否影响控制措施的优先级和资源分配。高风险事项的控制措施优先级应高于低风险事项，资源配置记录中的优先级排序与风险等级排序不一致的，列为待完善项。风险等级在报告中的引用审计检查风险报告中的等级分布和趋势与登记册的一致性，报告中的高等级风险数量与登记册中的数量不同的，核对差异原因。引用方式的审计方法为文档核验加抽样追溯。从登记册中抽取若干高风险事项，追溯到审批文件、资源配置记录和风险报告，核对三处的等级引用一致。成品块：输入为风险登记册、审批文件、资源配置记录和风险报告；动作为按表6逐项核对审批引用、资源配置引用和报告引用；输出为引用方式审计记录；判定为每项高风险事项在审批、资源配置和报告中的等级引用一致。表6矩阵在决策中的引用方式审计检查表检查项检查内容合格形态待完善情形补正或升级动作审批层级对应风险等级与审批层级的匹配高风险事项由董事会或风险管理委员会审批高风险事项由低层级审批补做审批或调整审批权限审批文件表述审批文件中的等级与登记册一致两处等级一致，变更记录可查两处等级不同且无变更记录核对差异原因，统一表述资源配置优先级控制措施优先级与风险等级的排序高风险事项的控制措施优先级高于低风险优先级与等级排序不一致调整资源配置或说明理由报告等级分布风险报告中的等级分布与登记册报告中的高等级数量与登记册一致数量不一致且无说明核对差异原因，补充说明等级变更追溯等级变更的记录和审批变更记录含日期、原因和审批变更记录缺失补充变更记录矩阵引用范围矩阵在决策文件中的引用覆盖重大决策文件引用风险等级决策文件未引用在决策模板中增加等级引用栏表6第2行示例行中，检查项“审批层级对应”、检查内容“风险等级与审批层级的匹配”、合格形态“高风险事项由董事会或风险管理委员会审批”、待完善情形“高风险事项由低层级审批”、补正或升级动作“补做审批或调整审批权限”五项具体。审批层级对应的检查以组织审批权限文件为依据，权限文件中的等级与审批层级对应关系清晰。报告等级分布的差异说明写到具体风险编号和差异原因。六、记录审计：评分依据、审批与版本追溯评分依据记录的审计检查每项风险的评分是否有配套记录：可能性评分的数据来源和判断记录、影响评分的测算依据和估计记录、评分人和复核人的签署。记录要素缺失的，按缺失项的性质分为待完善和发现。评分依据记录与登记册的评分结果在同一个风险编号下关联，记录散存于个人文件夹或邮件中的，追溯性列为待完善项。审批链的审计检查评分结果是否经过规定的复核和审批。复核记录含复核人、复核日期和复核意见，审批记录含审批层级和审批日期。复核人未参与评分过程的，复核的独立性成立；复核人与评分人为同一人的，复核的有效性列为发现。审批链的检查还包括评分变更的审批：评分结果在审批后发生变更的，变更是否有重新审批的记录。版本追溯的审计检查矩阵文件的版本管理和评分记录的历史追溯。矩阵文件的版本号、修订日期和修订内容记录在版本表中，旧版本存档保留。评分记录按风险编号和评估期间保存，历史评分的查询路径可追溯。版本追溯的检查包括矩阵修订后的重新评分：矩阵的标度或映射规则修订后，已评分的风险是否按新矩阵重新评分，未重新评分的风险在报告中的等级列为待完善项。成品块：输入为评分记录、复核审批记录、矩阵版本表和风险登记册；动作为按表7逐项核对评分依据、审批链和版本追溯；输出为记录审计记录；判定为每项评分有依据记录和复核签署，矩阵版本有变更记录，修订后已重新评分。表7评分依据、审批与版本追溯审计检查表检查项检查内容合格形态待完善情形补正或升级动作评分依据完整性数据来源、判断记录、评分人签署三项要素齐备，与登记册关联依据缺失或散存补充依据，统一归档复核独立性复核人与评分人的关系复核人未参与评分过程复核人与评分人为同一人重新安排复核，补充复核记录审批链完整性复核和审批的层级、日期复核审批记录齐备审批记录缺失补做审批，记录审批日期评分变更审批审批后变更的重新审批变更经重新审批后生效变更未经审批补做审批，追溯调整矩阵版本管理版本号、修订日期、修订内容版本表记录完整，旧版本存档版本记录缺失补充版本表，归档旧版本修订后重新评分矩阵修订后的重新评分记录已评分风险按新矩阵重新评分部分风险未重新评分安排重新评分，更新登记册表7第2行示例行中，检查项“复核独立性”、检查内容“复核人与评分人的关系”、合格形态“复核人未参与评分过程”、待完善情形“复核人与评分人为同一人”、补正或升级动作“重新安排复核，补充复核记录”五项具体。复核独立性的检查以评分记录中的评分人和复核人签署为依据，同一人签署两处的列为发现。矩阵修订后的重新评分记录含修订日期、重新评分日期和新旧评分的对照。七、审计发现分级与判定依据审计发现按影响范围、审计项和后果三项事实分级。一级发现指标度定义缺失或跨矩阵定义严重不一致导致风险等级无法比较、高风险事项未按审批权限审批、评分记录系统性缺失使风险等级无法追溯；处置动作为限期整改，整改期间风险等级的引用加注说明，重大决策的风险评估由风险职能重新核定。二级发现指部分标度等级定义不清晰、评分依据在特定风险类别中缺失、复核独立性在个别事项中不成立、矩阵修订后部分风险未重新评分；处置动作为限期整改，整改期间增加复核频率。三级发现指文档版本待更新、颜色编码待统一、判断记录待补充；处置动作为限期补正，不影响现有评分的引用。分级判定依据写到可观察的事实：影响范围（全部风险类别、特定类别或单一事项）、审计项（校准、使用或记录）、后果（已有决策失误或监管关注、存在潜在影响、无实际影响）。成品块：输入为表3至表7的审计记录；动作为按表8逐项判定影响范围、审计项和后果，确定发现等级；输出为审计发现清单与分级表；判定为每项发现有影响范围、审计项、后果三项依据和等级结论。表8审计发现分级与判定依据表发现等级影响范围审计项后果处置时限参照一级全部风险类别或多个业务单元校准或记录已造成决策失误或监管关注限期整改，重大决策风险重新核定二级特定风险类别或个别事项使用或记录存在潜在影响限期整改，增加复核频率三级文档或编码记录或文档无实际影响限期补正表8第2行示例行中，发现等级“二级”、影响范围“特定风险类别或个别事项”、审计项“使用或记录”、后果“存在潜在影响”、处置时限参照“限期整改，增加复核频率”五项具体。一级发现的整改方案含重大决策风险重新核定的范围和时间安排，方案经审计委员会审定后执行。后果项的判定以已有事实为准，潜在影响的判定写到具体风险类别和决策事项。八、审计结论认定与处置审计结论由三个审计项的发现汇总形成。管控有效：三个审计项均未发现一级和二级发现，或仅有三级发现且已完成补正；处置动作为常规跟踪，下一审计周期按计划复核。基本有效：存在二级发现无一级发现，或一级发现已启动整改且重大决策风险已重新核定；处置动作为限期整改，整改完成前对受影响风险类别增加复核频率。管控缺陷：存在一级发现且整改方案尚未审定，或一级发现的影响仍在持续；处置动作为向审计委员会报告，启动专项治理，矩阵修订和评分流程的调整提交上级审议。结论认定的依据写到发现清单的等级分布和整改状态。管控缺陷结论涉及重大决策风险的，风险职能同步评估对已决策事项的影响和补救安排。成品块：输入为表8的发现清单与分级；动作为汇总等级分布和整改状态，按表9认定结论档位；输出为审计结论记录；判定为每个审计项有发现等级分布，结论档位与等级分布匹配，处置动作与结论档位对应。表9审计结论认定与处置表结论档位认定条件处置动作报告路径管控有效无一级和二级发现，或仅有三级发现且已补正常规跟踪，下一周期复核审计报告报送审计委员会基本有效存在二级发现无一级发现，或一级发现整改方案已审定且重大决策风险已重新核定限期整改，受影响风险类别增加复核审计报告报送审计委员会，抄送风险管理委员会管控缺陷存在一级发现且整改方案未审定，或影响仍在持续专项治理，矩阵修订和评分流程调整提交上级审议向董事会报告，风险职能评估已决策事项的补救表9第2行示例行中，结论档位“基本有效”、认定条件“存在二级发现无一级发现，或一级发现整改方案已审定且重大决策风险已重新核定”、处置动作“限期整改，受影响风险类别增加复核”、报告路径“审计报告报送审计委员会，抄送风险管理委员会”四项具体。结论档位的认定以发现清单的最终状态为准，整改过程中的临时状态在报告中记录但不改变结论档位。九、审计底稿与追溯链审计底稿要素包括：审计范围与审计项引用、检查程序与执行记录、抽样清单与样本标识、取数文件与风险编号、发现的事实描述与证据编号、结论及其依据、编制人与复核人签署、复核意见与日期。校准审计的抽样清单列明抽取的矩阵版本和标度等级，使用审计的抽样清单列明抽取的风险编号和评分记录编号，记录审计的抽样清单列明抽取的评分底稿和审批记录。追溯链按风险编号和矩阵版本号建立，三份材料互相索引：审计方案提供三个审计项的覆盖内容和检查深度；审计报告按审计项记录检查结论和发现清单；底稿按风险编号保存评分记录、审批记录和矩阵版本表。监管检查调阅时，按风险编号逐层追溯，三层材料的编号、日期和评分数值保持一致。成品块：输入为检查过程中的程序记录、抽样清单和证据材料；动作为按表10核对底稿要素和三层材料的索引关系；输出为底稿完整性结论和追溯链检查记录；判定为要素齐备、三层材料字段一致，待完善项有补正安排。表10审计底稿要素与追溯链检查表底稿要素合格形态待完善情形复核检查点范围与审计项引用引用审计方案的审计项编号只写“按方案执行”，缺引用核对方案与底稿的对应程序与执行记录每组检查有执行步骤和结果使用审计抽样缺风险编号记录检查程序记录与表3至表7的对应抽样清单样本逐项列示，标识可追溯写“抽取若干”，无清单核对样本标识的可检索性取数文件风险编号和矩阵版本号文件名称缺版本号追溯取数文件的可得性发现与证据每项发现有证据编号发现描述缺证据支撑核对证据编号与发现的对应结论与依据结论对应发现等级分布结论写“基本符合”，缺等级分布核对结论与发现清单的对应编制与复核编制人、复核人、日期复核记录待补充核对复核签字的独立性三层一致性风险编号、版本号、评分数值逐项一致三层材料字段存在差异查明差异原因并统一记录表10第2行示例行中，底稿要素“程序与执行记录”、合格形态“每组检查有执行步骤和结果”、待完善情形“使用审计抽样缺风险编号记录”、复核检查点“检查程序记录与表3至表7的对应”四项具体。使用审计的抽样记录含风险编号、评分记录编号和审批文件编号，追溯时按风险编号在登记册、评分记录和审批文件中检索。十、案例：一次风险矩阵审计从标度核验到版本追溯示例案例，细节为合理设定。本案例的转折集中在跨矩阵标度定义差异、高风险事项审批层级降级和矩阵修订后未重新评分三处，第四处转折因第三轮修正后关键分叉已穷尽而未发生。起点：某机构对风险矩阵执行年度审计，范围覆盖校准、使用、记录三个审计项。审计对象包括组织级矩阵一份、部门级矩阵三份、风险登记册和年度评分记录。审计方案经审计委员会批准，检查深度为全面审计。第一次转折。信号：校准审计的跨矩阵一致性检查发现，组织级矩阵中可能性4级的定义为“一年内可能发生一次（概率30%至50%）”，部门级矩阵中可能性4级的定义为“三年内可能发生一次（概率10%至30%）”。假设：部门级矩阵的标度差异由业务特点造成，各部门的风险频率基线不同，差异属于合理设计。试了什么：调取三份部门级矩阵的标度说明和风险登记册中跨部门的汇总记录。新信息：三份部门级矩阵中有两份的4级定义与组织级不一致，风险登记册在汇总时直接采用各部门的评分结果，未做标度转换；同一风险在两个部门分别评为4级和3级，汇总后的等级取决于哪个部门的评分被采用。推翻的假设：标度差异属于合理设计。换哪条路：跨矩阵标度定义不一致定为二级发现，影响范围为部门级风险向组织级的汇总；整改措施为统一部门级矩阵与组织级矩阵的标度定义，风险登记册的汇总增加标度转换说明，统一后的矩阵在下一评估周期启用。这一轮把标度差异从合理设计修正为影响汇总一致性的发现。第二次转折。信号：使用审计的审批层级检查发现，登记册中评为高风险的十二项事项中，有三项的审批记录显示由部门层级审批，而审批权限文件规定高风险事项由风险管理委员会审批。假设：三项事项的审批发生在等级上调之前，审批时等级尚为中，属于时序问题。试了什么：核对三项事项的等级变更记录和审批日期。新信息：三项事项中，两项的等级在审批前已上调为高，等级变更记录和审批日期的先后顺序明确；一项的等级在审批后上调，审批时确实为中。推翻的假设：三项均为时序问题。换哪条路：两项高风险事项由部门层级审批定为二级发现，影响范围为高风险事项的审批合规性；整改措施为两项事项补做风险管理委员会审批，审批权限文件中增加“等级上调后重新履行审批”的条款；一项时序问题的事项在登记册中补充说明。这一轮把审批降级从时序问题修正为两项实质性的审批缺失。第三次转折。信号：记录审计的版本追溯检查发现，组织级矩阵在年度中期进行了一次修订，修订内容为影响标度5级的财务维度描述从“损失超过5000万元”调整为“损失超过3000万元”，修订后的矩阵版本号为V3.1。风险登记册中的评分记录显示，修订后有三十项风险未重新评分，其中八项按新标度可能上调等级。假设：未重新评分的风险按原评分继续使用，下一评估周期统一重评即可。试了什么：核对八项风险的当前等级和按新标度重评后的可能等级，调取矩阵修订的审批记录和重评安排。新信息：矩阵修订的审批记录中写明“修订后三个月内完成存量风险重评”，实际未执行重评；八项风险中三项的当前等级为“中”，按新标度重评后可能升至“高”，三项风险的控制措施优先级和审批层级按“中”等级安排。推翻的假设：下一周期统一重评可以接受。换哪条路：矩阵修订后未重新评分定为二级发现，影响范围为三十项存量风险的等级准确性；整改措施为在两周内完成八项可能上调等级的风险重评，其余二十二项在一个月内完成，重评结果更新登记册，升级为高等级的事项按高风险审批权限补做审批。这一轮把重评延迟从可接受安排修正为影响等级准确性的发现。终点：审计报告汇总三个审计项的发现，二级发现三项、三级发现两项，无