风险评估流程及标准
风险评估流程
风险评估流程一、引言风险评估是指对特定活动、项目或决策可能带来的潜在风险进行系统性的评估和分析，以确定风险的概率和严重程度，并制定相应的风险管理策略。
本文将详细介绍风险评估的流程及其标准格式。
二、风险评估流程1. 确定评估目标在进行风险评估之前，首先需要明确评估的目标和范围。
确定评估目标有助于明确评估的重点和方法。
2. 收集信息收集相关信息是进行风险评估的重要步骤。
可以通过文献研究、数据分析、专家咨询等方式，获取与评估对象相关的信息和数据。
3. 识别风险识别风险是风险评估的核心步骤。
通过对收集到的信息进行分析和研究，确定可能存在的风险因素，并进行分类和归纳。
4. 评估风险概率评估风险概率是对风险事件发生的可能性进行定量或定性的评估。
可以利用统计数据、专家判断、历史经验等方法，确定风险事件发生的概率。
5. 评估风险严重程度评估风险严重程度是对风险事件发生后可能对组织或项目造成的影响进行评估。
可以通过制定评估指标和权重，对不同风险事件的严重程度进行量化评估。
6. 评估风险影响范围评估风险影响范围是对风险事件发生后可能影响到的范围进行评估。
可以通过绘制风险影响图、制定评估指标等方式，对风险事件的影响范围进行定量或定性的评估。
7. 制定风险管理策略根据评估结果，制定相应的风险管理策略。
风险管理策略可以包括风险避免、风险转移、风险减轻、风险接受等措施，以降低风险对组织或项目的影响。
8. 监控和反馈监控和反馈是风险评估流程的最后一步。
通过建立监控机制，对已识别的风险进行跟踪和监测，并及时调整风险管理策略。
三、标准格式的文本示例以下是一个标准格式的风险评估报告示例：1. 评估目标本次风险评估的目标是对公司新产品上市项目的潜在风险进行评估，以制定相应的风险管理策略。
2. 收集信息通过对市场调研报告、竞争对手分析、产品测试数据等进行收集和分析，获取与新产品上市相关的信息和数据。
3. 识别风险在收集的信息基础上，识别出可能存在的风险因素，如市场需求不确定、竞争压力增大、产品质量问题等，并对其进行分类和归纳。
风险评估流程
风险评估流程引言概述：在各行各业中，风险评估是一项至关重要的工作。
通过对潜在风险的评估和分析，企业能够及时识别和应对可能对其运营和利益产生负面影响的因素。
本文将介绍风险评估的流程，包括五个主要步骤：确定评估目标、识别潜在风险、评估风险的概率和影响、制定风险应对策略、监控和更新风险评估。
正文内容：1. 确定评估目标1.1 确定评估的范围和目的：明确评估所涉及的业务、项目或系统，并明确评估的目的，例如确保项目按计划推进，减少潜在损失等。
1.2 确定评估的时间范围：确定评估的起止时间，以便在合适的时间段内进行风险评估，并确保评估结果的有效性。
1.3 确定评估的参与者：确定参与评估的人员和部门，包括项目经理、风险评估专家和相关利益相关者。
2. 识别潜在风险2.1 收集相关信息：收集与评估目标相关的信息，包括项目计划、流程文档、历史数据等。
2.2 识别可能的风险因素：根据收集到的信息，识别可能对项目或业务产生负面影响的潜在风险因素，包括技术风险、市场风险、人力资源风险等。
2.3 分析风险的潜在影响：对每个潜在风险因素进行分析，评估其可能的影响程度和概率，并进行分类和排序。
3. 评估风险的概率和影响3.1 评估风险的概率：根据历史数据、专家意见和统计方法，评估每个风险发生的概率，并将其量化为百分比或其他度量指标。
3.2 评估风险的影响：根据风险发生时可能对业务或项目产生的影响，评估其严重程度和范围，并将其量化为财务损失、时间延误或声誉损害等指标。
3.3 综合评估结果：将风险的概率和影响综合考虑，确定每个风险的综合评估结果，以便确定哪些风险需要重点关注和应对。
4. 制定风险应对策略4.1 优先级排序：根据风险的综合评估结果，对风险进行优先级排序，确定哪些风险需要优先考虑和应对。
4.2 制定应对策略：根据风险的特点和影响程度，制定相应的风险应对策略，包括风险规避、风险转移、风险减轻和风险接受等。
4.3 实施风险应对措施：根据制定的应对策略，实施相应的风险应对措施，并确保其有效性和可行性。
风险评估流程
风险评估流程一、概述风险评估是指对特定活动、项目或者系统中的潜在风险进行识别、分析和评估的过程。
通过风险评估流程，可以匡助组织识别风险，制定风险管理策略，并采取适当的措施来降低或者消除风险对组织目标的影响。
本文将介绍一个标准的风险评估流程，包括风险识别、风险分析和风险评估三个主要步骤。
二、风险识别风险识别是风险评估流程的第一步，旨在识别潜在的风险。
以下是一个标准的风险识别步骤：1.明确评估对象：确定要评估的活动、项目或者系统。
2.采集信息：采集与评估对象相关的信息，包括相关文件、数据和专家意见。
3.制定评估标准：制定评估风险的标准和指标，以便在后续步骤中进行评估。
4.识别风险源：识别与评估对象相关的潜在风险源，包括内部和外部因素。
5.分析风险源：对识别的风险源进行详细分析，包括了解其发生的概率、影响程度和可能的后果。
6.记录风险源：将识别和分析的风险源记录下来，以备后续分析和评估使用。
三、风险分析风险分析是风险评估流程的第二步，旨在对识别的风险进行进一步的分析。
以下是一个标准的风险分析步骤：1.评估风险概率：根据风险发生的概率，对识别的风险进行评估，并确定其可能性的级别。
2.评估风险影响：根据风险发生后的影响程度，对识别的风险进行评估，并确定其影响的级别。
3.确定风险优先级：综合考虑风险的可能性和影响，确定风险的优先级，以便在后续步骤中进行重点管理。
4.分析风险关联性：分析不同风险之间的关联性，以确定是否存在相互影响或者积累效应。
5.制定风险预测：根据分析的结果，制定针对不同风险的预测和预警机制，以便及时采取相应措施。
四、风险评估风险评估是风险评估流程的最后一步，旨在对识别和分析的风险进行评估和综合。
以下是一个标准的风险评估步骤：1.综合评估风险：综合考虑风险的可能性、影响和优先级，对风险进行综合评估，并确定其评估结果。
2.制定风险管理策略：根据评估结果，制定相应的风险管理策略，包括风险避免、减轻、转移或者接受等策略。
风险评估流程
风险评估流程引言概述：风险评估是一个重要的过程，用于识别和评估潜在的风险，以便采取相应的措施来降低或消除这些风险。
本文将介绍风险评估的流程，并详细阐述其中的五个部分。
一、确定评估目标1.1 确定评估范围：首先，需要明确评估的范围，包括项目、产品或业务的具体范围。
这有助于确定评估所需的资源和时间。
1.2 确定评估目标：在评估范围的基础上，明确评估的目标，例如确定潜在风险的类型、评估风险的严重程度等。
这有助于提供一个明确的方向，以便更好地进行评估。
1.3 确定评估标准：为了评估风险，需要建立一套评估标准，包括风险的等级划分、评估方法和评估结果的解释等。
这有助于提供一个一致的评估标准，以便进行准确的评估。
二、收集信息2.1 收集相关数据：在进行风险评估之前，需要收集相关数据和信息，包括项目或业务的文档、历史数据、市场调研等。
这有助于获取全面的信息，以便更好地评估风险。
2.2 分析数据：收集到的数据需要进行分析，以便识别潜在的风险。
通过对数据的统计和比较，可以确定哪些因素可能导致风险，并对其进行进一步的研究和分析。
2.3 确定风险因素：在分析数据的基础上，需要确定潜在的风险因素，包括内部和外部因素。
这有助于更好地理解风险的来源和影响因素。
三、评估风险3.1 识别潜在风险：在确定风险因素后，需要对其进行识别，即确定可能出现的潜在风险。
这可以通过专家意见、经验和相关文献的参考来实现。
3.2 评估风险的概率和影响：对于识别的潜在风险，需要评估其发生的概率和对项目或业务的影响程度。
这有助于确定哪些风险需要优先考虑，并制定相应的应对措施。
3.3 制定风险评估报告：根据评估的结果，制定风险评估报告，包括风险的等级划分、风险的原因和影响、建议的应对措施等。
这有助于向相关方面传达评估结果，并为后续的风险管理提供依据。
四、制定风险应对措施4.1 优先考虑高风险：根据评估报告中的风险等级划分，优先考虑高风险的应对措施。
这可以通过制定相应的预防措施或应急计划来降低风险的发生和影响。
风险评估 流程
风险评估流程
风险评估的流程包括以下步骤：
1. 确定评估的目标和范围。
2. 组建评估团队：选择具备相关经验和专业知识的成员，并分配好各自的任务。
3. 进行系统调研：收集关于目标系统的所有相关信息，并进行深入了解。
4. 资产识别与赋值：识别评估范围内的所有资产，并调查资产破坏后可能造成的损失大小，根据危害和损失的大小为资产进行相对赋值。
5. 确定评估依据和方案：根据目标系统的特点，选择适当的评估标准和评估方法，并制定详细的评估方案。
6. 风险分析：对识别出的资产进行威胁分析、脆弱性分析，计算出资产的风险值。
7. 风险评估结果输出：根据风险分析的结果，形成风险评估报告，详细列出每项资产的风险值和相应的风险等级。
8. 制定风险应对措施：根据风险评估报告，制定相应的风险应对措施，降低或消除风险。
9. 定期更新：定期对目标系统进行风险评估，以确保系统的安全性。
以上信息仅供参考，如需了解更多信息，建议查阅相关书籍或咨询专业人士。
风险评估及风险控制程序
风险评估及风险控制程序一、背景介绍风险评估及风险控制程序是为了帮助企业识别和评估可能对业务运作产生负面影响的潜在风险，并制定相应的控制措施来降低风险发生的可能性和影响程度。
本文将详细介绍风险评估的步骤和风险控制的程序。
二、风险评估步骤1. 确定评估目标：明确风险评估的目的和范围，例如评估某个特定业务流程的风险或整个企业的风险状况。
2. 识别风险：通过收集和分析相关信息，识别可能对企业产生负面影响的风险。
可以采用以下方法进行风险识别：- 问卷调查：向相关部门或员工发放问卷，了解他们认为存在的风险。
- 专家咨询：请专业人士对企业进行风险识别和评估。
- 数据分析：分析历史数据、行业数据和市场趋势，找出可能的风险。
3. 评估风险的可能性和影响：对已识别的风险进行评估，确定其可能发生的概率和对企业的影响程度。
可以采用以下方法进行风险评估：- 矩阵评估法：将风险的可能性和影响程度分为不同等级，综合评估得出风险的优先级。
- 统计分析：利用统计方法对风险进行定量分析，如概率分布、回归分析等。
4. 制定风险应对策略：根据风险评估的结果，制定相应的风险应对策略。
常见的应对策略包括：- 风险避免：采取措施避免风险的发生，如停止某个高风险业务。
- 风险转移：将风险转移给第三方，如购买保险。
- 风险减轻：采取措施减轻风险的影响，如建立备份系统、加强安全控制等。
- 风险接受：对风险进行接受，但在风险发生时能够迅速应对。
5. 实施风险控制措施：根据制定的风险应对策略，实施相应的风险控制措施。
确保措施的有效性和可持续性，并监控其执行情况。
三、风险控制程序1. 风险监测和报告：建立风险监测和报告机制，定期对已实施的风险控制措施进行监测和评估，并向管理层报告风险状况和控制效果。
2. 内部控制体系：建立健全的内部控制体系，包括制度、流程和制度执行的监督机制，确保风险控制的有效性和合规性。
3. 培训和意识提升：开展风险管理培训，提高员工对风险的认识和应对能力，增强整体风险意识。
风险评估及风险控制程序
风险评估及风险控制程序一、背景介绍在现代社会中，各行各业都存在着各种各样的风险。
为了保障企业的安全和可持续发展，风险评估及风险控制程序是必不可少的。
本文将详细介绍风险评估及风险控制程序的标准格式及其内容要求。
二、风险评估程序1. 风险识别风险评估的第一步是识别潜在的风险，包括内部和外部风险。
内部风险可能包括人为疏忽、技术问题等，而外部风险可能包括自然灾害、市场变化等。
在这一步骤中，可以使用各种方法，如头脑风暴、问卷调查等，来收集和整理风险信息。
2. 风险分析在风险分析阶段，需要对已识别的风险进行评估和分析。
这包括确定风险的概率和影响程度，并将其分类为高、中、低风险。
可以使用各种工具和技术，如故障模式和影响分析（FMEA）、事件树分析（ETA）等，来帮助评估风险。
3. 风险评估在风险评估阶段，需要对已分析的风险进行综合评估，并确定其优先级。
这可以通过计算风险指数来实现，风险指数是根据风险概率和影响程度的乘积计算得出的。
根据风险指数的大小，可以将风险划分为高、中、低优先级。
4. 风险报告在风险评估程序的最后一步，需要编写一份详细的风险报告。
该报告应包括已识别的风险、风险分析结果、风险评估结果以及相应的建议和措施。
风险报告应以清晰、简洁的方式呈现，以便于相关人员理解和采取相应的措施。
三、风险控制程序1. 风险控制策略制定在风险控制程序的第一步，需要制定风险控制策略。
这包括确定风险控制的目标、原则和方法。
例如，可以采取风险规避、风险转移、风险减轻等策略来控制风险。
2. 风险控制措施实施在制定风险控制策略后，需要实施相应的风险控制措施。
这可能涉及到改变工作流程、加强员工培训、购买保险等。
在实施过程中，需要确保措施的有效性和可行性，并对其进行监控和评估。
3. 风险控制监控风险控制程序的一部分是对控制措施的监控。
这包括定期检查和评估控制措施的有效性，并根据需要进行调整和改进。
监控可以通过定期的内部审核和外部审计来实现。
风险评估流程
风险评估流程一、背景介绍风险评估是指对特定活动、项目或者决策的潜在风险进行全面评估和分析的过程。
通过风险评估，可以匡助组织识别和理解可能的风险，采取相应的措施来降低风险发生的可能性和影响。
本文将介绍风险评估的基本流程和标准格式。
二、风险评估流程1. 确定评估目标：明确风险评估的目标和范围，例如评估某个项目的风险或者整个组织的风险。
2. 采集信息：采集与评估对象相关的各种信息，包括项目计划、组织结构、相关法规等。
可以通过文件分析、访谈、调查问卷等方式进行信息采集。
3. 识别风险：在采集到的信息基础上，使用专业的工具和方法识别可能存在的风险。
常用的方法包括头脑风暴、故事板、流程图等。
4. 评估风险：对已识别的风险进行评估，主要包括风险的可能性和影响程度的评估。
可以使用定性或者定量的方法进行评估，如概率矩阵、风险矩阵等。
5. 优先排序：根据评估结果，对风险进行优先排序，以确定哪些风险需要优先处理。
可以使用风险优先级矩阵等工具进行排序。
6. 制定应对策略：根据评估结果和优先排序，制定相应的风险应对策略。
策略可以包括风险避免、风险转移、风险减轻和风险接受等。
7. 实施措施：根据制定的应对策略，实施相应的措施来降低风险。
这可能包括改变项目计划、加强监控措施、购买保险等。
8. 监控和更新：定期监控已实施的风险控制措施的有效性，并根据需要进行更新和调整。
风险评估是一个持续的过程，需要随时跟踪和应对新的风险。
三、标准格式样例下面是一个标准格式的风险评估报告样例：1. 评估目标：本次风险评估的目标是评估公司新产品开辟项目的潜在风险，以便制定相应的风险管理策略。
2. 采集信息：通过分析项目计划、组织结构和相关法规，采集了项目的背景信息、团队成员的职责和相关法律法规要求。
3. 识别风险：通过头脑风暴和故事板的方法，识别了项目中可能存在的风险，包括技术难题、市场需求变化、竞争对手等。
4. 评估风险：使用概率矩阵和影响矩阵对已识别的风险进行了评估，确定了各个风险的可能性和影响程度。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
日志/备份
数字签名
紧急响应服务
客户
• • • • • •
准备 识别 抑制事态发展 恢复系统 提出解决方案 总结经验教训
到 达 现 场 安全服务部
电 话
是 否 是否要现场支持 问题是否解决
否 提供其他资源
是 记录并存档
安全通告服务
• 系统地向用户传递最新安全技术和安全信息
安全培训服务
• • • • • • • 安全管理培训 评估方法培训 安全审计培训 安全加固培训 定制培训 CISP培训 ……
安全解决方 案建议
总体策略建 议
• • • • •
安全评估服务体系 风险评估内容与过程 风险评估服务相关组件 公司介绍 成功案例介绍
风险评估的跟进支持组件
cost
安全培训 应急响应
安全信息通告
安全加固 Osstmm2.1
time
安全加固服务流程
安全加固流程图
网络优化方案及系统加固方案
根据规范及系统特点生成风险规避方案
• • • • • • • • • •
BS7799-2 是建立信息安全管理系统（ISMS）的一 套规范（Specification for Information Security Management Systems），其中详细说明了建立、实 施和维护信息安全管理系统的要求，指出实施机构 应该遵循的风险评估标准，当然，如果要得到BSI 最终的认证（对依据BS7799-2 建立的ISMS 进行认 证），还有一系列相应的注册认证过程。作为一套 管理标准，BS7799-2 指导相关人员怎样去应用 ISO/IEC 17799，其最终目的，还在于建立适合企业 需要的信息安全管理系统（ISMS）。
半定量分析模型
信息资产
资产拥有者
影响
价值 弱点
后果
现有安 全措施
影响
风险
影响 可能性 概率
威胁来源
威胁
安全风险评估组件
资产调查 工具扫描弱点 主机弱点人工评估 基线安全评估 网络配置弱点评估
安全设备弱点评估
保 护 对 象 分 析
安 全 威 胁 评 估
网络架构安全评估
业务系统安全评估
基线安全评估特点
4
5
6
安全需求分析
售后服务
安全通告服务
项目阶段和提交文档
1
项目计 划 组织结 构 项目人 员 项目范 围
2
需求调研
3
BS7799审 计报告
4
安全风险评 估报告 安全策略评 估报告
5
客户安全现状 总体安全 解决方案
6
安全漏洞 跟踪、紧 急响应、 安全通告 服务、日 常安全信 息库维护
安全策略 建议
项目蓝图
客户需求定制
安全培训 安全咨询
基线安全评估
网络架构评估
管理安全评估 业务系统评估
安全评估组件的关系
安全体系 建设
安全风险 评估
安全规划
安全 解决方案
安全 策略 安全 培训 应急 响应
周期评 估加固
安全项 目建设
资产价值
• • • • •
安全评估服务体系 风险评估内容与过程 风险评估服务组件 公司介绍 成功案例介绍
1
2
3
完成详细方案设计 定义详细项目范围 定义报告格式 定义项目目标 作好网络环境准备 完成蓝图并与用户签署
•网络架构评估（网络架构、接入方式等 甲方项目组各负责人根据提供的需要 部门或者各业务系统的负责人） ） 准备的各类资料进行准备（双方） 实施计划草案 •安全设备评估（安全产品策略收集、防 提交项目各阶段的报告模版并双方确 会上进行计划的确认 病毒部署等） 认（双方） 会后对于未确认问题最快速度确认 •应用安全评估（业务流程、数据流、业 4-综合评估阶段 务连续性等） 6-支持和维护 网络风险评估报告 •策略评估（文档格式、文档体系、文档 培训 安全现状报告 内容) 漏洞跟踪售后服务 数据导入信息库和整理 •安全审计（调查问卷） 电话热线支持
保持已有的安全措施
是
风险是否接受
否
制定和实施风险处理 计划并评估残余风险
. . . . . . . . . . . . . . . . . .
是否接受残余风险
否
评估过程文档
是
实施风险管理
风险评估文件记录
审核策略
应急管理
安全域划分 安全控制
联系列表
应急流程 应急预案
网络架构评估方法
网络架构方面安全问题分为8个大类 每个类内容有3-5个子类 每个子类分为3-8个子项 每个子项分为5-15个知识点 根据稳定性、安全性、冗余性、扩展性、经济 性、易于管理性共六项内容对每个知识点进 行分配权重 按照可选、必选的规则 定义8大类的比重 进行综合加权评估
国家标准《信息安全评估指南》－风险 评估要素关系图
业务战略
依赖
脆弱性
暴露
资产
具有
资产价值
利用
未被满足 增加
成本
威胁ห้องสมุดไป่ตู้
增加
风险
导出
安全需求
演变
抵御
降低
被满足
安全事件
可能诱发
残余风险
未控制
安全措施
方框部分的内容为风险评估的基本要素，椭圆部分的内容是与这些要 素相关的属性。风险评估围绕着资产、威胁、脆弱性和安全措施这些基本 要素展开，在对基本要素的评估过程中，需要充分考虑业务战略、资产价 值、安全需求、安全事件、残余风险等与这些基本要素相关的各类属性。
顾问组 果基础上（评估记录单、 IT保障框架 问卷、访谈记录 )，完成综 group A---网络架构、安全设备评估 安全策略报告 合的风险评估报告和现状 group B---应用安全、策略及威胁评估 安全建设方案建议报告 报告 专业组： 工具小组----终端设备评估 人工小组 ----核心设备评估 2-项目定义和蓝图
管理安全评估特点
• • • • • 针对策略、流程、资产、人员管理 后续改善工作是持续的过程 内容广泛 历时较长 效果不直接
管理安全评估内容
IT管理安全评估 文档审计 顾问访谈 问卷调查 实地考察
策略文档
安全组织 策略发布 策略修订
资产管理
资产统计 资产定级 资产维护
流程管理
入网流程 维护流程 备份流程 应急流程
评估体系及相关 标准培训
安全评估体系及标准
• • • • • 安全评估服务体系 风险评估内容与过程 风险评估服务组件 ISO/IEC 17799(BS7799)、ISO/IEC TR 13335 国家标准《信息安全评估指南》
安全评估体系
安全加固 安全产品部署 紧急响应 安全风险评估
全面安全解决方案 （Total Solution）
• • • •
遵循以下标准： ISO 17799/BS7799 ISO 13335 GB《信息安全风险评估指南》
ISO17799(BS7799)
BS7799-1:1999（即ISO/IEC 17799:2000），信息安全管理实施细则（Code of Practice for Information Security Management），从10 个方面定义了127 项控 制措施，可供信息安全管理体系实施者参考使用，这10 个方面是： ������ 安全策略（Security policy）； ������ 组织安全（Organization security）； ������ 资产分类和控制（Asset classification and control）； ������ 人员安全（Personnel security）； ������ 物理和环境安全（Physical and environmental security）； ������ 通信和操作管理（Communication and operation management）； ������ 访问控制（Access control）； ������ 系统开发和维护（System development and maintenance）； ������ 业务连续性管理（Business continuity management）； ������ 符合性（Compliance）。
规章制度
岗位职责 登记制度 人员流动 保密制度
项目的主要阶段
1-项目准备与范围确定 5-体系规划和策略方案阶段安
项目计划 全体系设计、安全规划 3评估 过程： 项目组织结构、人员确认 安全策略制定 安全体系及建设规划建议报告 以 kickoff meeting 为启动标志 资产调查 方法： 项目工作环境 网络安全管理和技术解决方案 基础工作：资产调查 根据业务、设备等的评估结果 方法： 之前做好会前沟通和准备。如： 等级保护和分域保护 Kick off •资产评估（评估模型） 评估方法介绍（） 分 team 工作：顾问评估、专业安全评估 安全体系框架设计报告 需求调研，背景讨论 根据蓝图规定，在综合了 风险评估 评估设备范围整理（甲方） •威胁评估（评估模型） 风险评估方案的确定（） 小组 group 工作：各 team 中又各分两个小组 范围确定 依据ISO 17799 的安全管理标准 专业组和顾问组的评估成 资产管理和风险信息库 双方项目组通讯录（甲方涉及到的各
国家标准《信息安全评估指南》－风险 分析原理图
威胁识别 威胁出现的频率 安全事件的可能性 脆弱性识别 脆弱性的严重程度 安全事件的损失 资产识别 资产价值 风险值
国家标准《信息安全评估指南》－风险 评估实施流程图
风险评估准备 资产识别 威胁识别 脆弱性识别
已有安全措施的确认
评估过程文档
风险计算
风险分析 评估过程文档
准备阶段
风险规避
一人操作一人监督