1樓：
風險評估被分為三種。
基線評估
如果組織的商業運作不是很複雜，並且組織對資訊處理和網路的依賴程度不是很高，或者組織資訊系統多采用普遍且標準化的模式，基線風險評估（baseline risk asses**ent）就可以直接而簡單地實現基本的安全水平，並且滿足組織及其商業環境的所有要求。
採用基線風險評估，組織根據自己的實際情況（所在行業、業務環境與性質等），對資訊系統進行安全基線檢查（拿現有的安全措施與安全基線規定的措施進行比較，找出其中的差距），得出基本的安全需求，通過選擇並實施標準的安全措施來消減和控制風險。所謂的安全基線，是在諸多標準規範中規定的一組安全控制措施或者慣例，這些措施和慣例適用於特定環境下的所有系統，可以滿足基本的安全需求，能使系統達到一定的安全防護水平。組織可以根據以下資源來選擇安全基線：
國際標準和國家標準，例如bs 7799-1、iso 13335-4；
行業標準或推薦，例如德國聯邦安全域性it 基線保護手冊；
來自其他有類似商務目標和規模的組織的慣例。
當然，如果環境和商務目標較為典型，組織也可以自行建立基線。
基線評估的優點是需要的資源少，週期短，操作簡單，對於環境相似且安全需求相當的諸多組織，基線評估顯然是最經濟有效的風險評估途徑。當然，基線評估也有其難以避免的缺點，比如基線水平的高低難以設定，如果過高，可能導致資源浪費和限制過度，如果過低，可能難以達到充分的安全，此外，在管理安全相關的變化方面，基線評估比較困難。
基線評估的目標是建立一套滿足資訊保安基本目標的最小的對策集合，它可以在全組織範圍內實行，如果有特殊需要，應該在此基礎上，對特定系統進行更詳細的評估。
詳細評估
詳細風險評估要求對資產進行詳細識別和評價，對可能引起風險的威脅和弱點水平進行評估，根據風險評估的結果來識別和選擇安全措施。這種評估途徑集中體現了風險管理的思想，即識別資產的風險並將風險降低到可接受的水平，以此證明管理者所採用的安全控制措施是恰當的。
詳細評估的優點在於：
1、組織可以通過詳細的風險評估而對資訊保安風險有一個精確的認識，並且準確定義出組織目前的安全水平和安全需求；
2、詳細評估的結果可用來管理安全變化。當然，詳細的風險評估可能是非常耗費資源的過程，包括時間、精力和技術，因此，組織應該仔細設定待評估的資訊系統範圍，明確商務環境、操作和資訊資產的邊界。
組合評估
基線風險評估耗費資源少、週期短、操作簡單，但不夠準確，適合一般環境的評估；詳細風險評估準確而細緻，但耗費資源較多，適合嚴格限定邊界的較小範圍內的評估。基於次實踐當中，組織多是採用二者結合的組合評估方式。
為了決定選擇哪種風險評估途徑，組織首先對所有的系統進行一次初步的高階風險評估，著眼於資訊系統的商務價值和可能面臨的風險，識別出組織內具有高風險的或者對其商務運作極為關鍵的資訊資產（或系統），這些資產或系統應該劃入詳細風險評估的範圍，而其他系統則可以通過基線風險評估直接選擇安全措施。
這種評估途徑將基線和詳細風險評估的優勢結合起來，既節省了評估所耗費的資源，又能確保獲得一個全面系統的評估結果，而且，組織的資源和資金能夠應用到最能發揮作用的地方，具有高風險的資訊系統能夠被預先關注。當然，組合評估也有缺點：如果初步的高階風險評估不夠準確，某些本來需要詳細評估的系統也許會被忽略，最終導致結果失準。
中國內部控制框架和兩個coso框架的區別是什麼
2樓：不浮誇不解釋
我國《企業內部控制基本規範》與coso報告之比較分析
1．內部控制的認識比較
coso報告認為，內部控制是由董事會、管理層和員工共同設計並實施的，旨在為實現組織目標提供合理保證的過程。coso報告認為內部控制是一過程，是實現目標的手段，是與管理過程融合在一起的，是一個不斷髮現和解決問題的迴圈往復的動態過程。內部控制的有效性也只是這個「動態過程」中某個時點上的一種狀態。
我國《企業內部控制基本規範》所稱內部控制，是由企業董事會、監事會、經理層和全體員工實施的、旨在實現控制目標的過程。
2．內部控制的目標比較
coso報告指出，內部控制是為實現以下三類目標提供合理保證：經營的效率和效果、財務報告的可靠性、適用法律法規的遵循性。為應對未來外部環境變化給企業帶來的風險，新coso報告又增加了戰略目標。
我國《企業內部控制基本規範》指出內部控制旨在實現以下五類目標：企業戰略；經營的效率和效果；財務報告及管理資訊的真實、完整；資產安全；遵循國家法律法規和有關監管要求。可知，《基本規範》借鑑了coso報告的目標，同時考慮到我國國有大型企業比重大、國有資產流失嚴重的國情，增加了資產安全目標，這是我國內部控制規範對coso報告的補充。
3．內部控制的構成要素比較
coso報告認為，為實現內部控制的有效性，需要五個要素的支援：控制環境、風險評估、控制活動、資訊和溝通及監督。新coso報告包含了八個構成要素：
內部環境、目標設定、事項識別、風險評估、風險應對、控制活動、資訊與溝通、監控。我國《企業內部控制基本規範》在形式上借鑑了coso報告五要素框架，但同時進行了充實和豐富，在內容上體現了新coso報告風險管理的八要素框架的實質，即內部控制和風險管理日益融合、風險導向成為內部控制未來發展方向的趨勢。
4．內部控制的責任主體比較
在coso報告下，管理層對內部控制負主要責任，不但要向董事會下屬的審計委員會報告，還要評估內部控制的有效性並對外發布內部控制報告。我國的《企業內部控制基本規範》對內部控制的主要責任主體的責任分別進行規定：事會負責內部控制的建立健全和有效實施；監事會對董事會建立與實施內部控制進行監督；經理層負責組織領導企業內部控制的日常執行。
在coso報告中，內部控制的責任主體主要是管理層而我國《企業內部控制基本規範》卻強調了董事會對內部控制的重要責任，而且更加明確地規定各責任主體對內部控制的責任，使治理層和管理層的責任分工更加明確。
5．內部控制的外部審計比較
在coso報告下，審計師要在審計財務報表的同時對公司的財務報告內部控制進行審計，既要評價管理層對內部控制的評價，又要對內部控制的有效性發表意見。在我國，執行《企業內部控制基本規範》的上市公司，應當對本公司內部控制的有效性進行自我評價，披露年度自我評價報告，同時應當聘請具有**、**業務資格的會計師事務所對內部控制的有效性進行審計並出具審計報告。可見，我國《企業內部控制基本規範》和coso 報告都強制要求對內部控制進行外部審計。
三、完善我國企業內部控制評價制度的建議
《基本規範》及配套指引主要是在借鑑coso報告的基礎上，結合我國的具體情況進行適當修改完善後形成的。《基本規範》及其配套指引只規定了中國企業建立內控制度的基本原則、目標、框架及主要控制環節和相應核心控制點，如何從巨集觀上有效地促進並引導企業提高內控水平，還必須建立一系列規範統
一、具體明確、簡明實用的《企業內部控制評價制度》，藉以督促企業儘快務實地建立健全並持續改進內部控制制度。但至目前，如何建立中國企業內部控制評價制度，理論與實務界仍有諸多不同的看法。
本人認為應由證監會出臺統一的內部控制指引，與《內部控制基本規範》相配合，以統一內部控制相關概念界定、內部控制評價目標、內部控制評價要素等。這些制度的協調統一是完善內部控制制度並使之有效執行的基礎。在統一明確的制度指引下，上市公司能夠通過建立健全內部控制評價體系，合理規避經營風險，保證資產安全，提高經營效率和效果。
儘快統一內部控制自我評價制度和註冊會計師核實評價制度，降低註冊會計師執業風險，合理保證註冊會計師的利益。建議借鑑美國的經驗，將核實評價的範圍限定為與財務報告相關的內部控制評價。
審計師如何在財務報表審計中應用coso的企業風險管理框架分析和評價企業的風險和管理活動？拜託各位大神
3樓：哆姐
coso風險管理框架吧內部管理分為內部環境等八大要素，報告著重不只指出內部管理本身，而且需要提出的要點指導內部控制走向合理以及將風險降至可接受的風險水平。 其實，我們國家從最近幾年已經實現與國際審計接軌，coso風險管理框架符合我國風險導向審計。 如果你實際做過風險導向審計就會明白，我所說的下面的審計思路：
瞭解被審計單位內部控制環境 → 根據coso風險管理框架制定的五專案標八要素制定具體審計目標及計劃 → 通過一系列溝通或復原內控制度流程確定內部控制風險點 → 根據風險點實施控制測試，實質性測試以取證 → 與管理層溝通，出具審計報告。 其實你所提出的問題，並不難，只是在風險導向審計中，內部控制標的發生改變而已，只要熟悉coso框架組合的目標，就可以按照目標去審計，過程中哪個目標無法實現就在哪個過程找出風險點，按照框架模式給出可以將控制風險降至可接受水平的內部控制標準。 除了我給出的答案我還想向你提個問題，財務報表審計報告包括企業風險和管理活動的分析和評價？！
答案是否定的，企業風險和管理活動的分析評價是屬於非認定審計，財務報表審計是屬於認定審計，如果要對內部控制發表分析與評價，必須與被審計單位簽訂新的業務約定書，這樣才能保護cpa的業務風險。 年少氣盛千萬別逞強！
滿意請採納
風險管理的八大對策論述
從風險的本質是不確定性對目標的影響開始，論述風險管理的指揮 協調 控制職能，然後充分揭示風險管理的基礎 特點 原則 框架 過程 文化 規律 趨勢 應用等。明確了風險管理社會有三大效應，六大特點，揭示了風險管理價值至上 融合整體 構成決策等七大原則，簡述了風險管理框架執行的五大步驟，分析了風險評估三大...
在風險管理中風險識別的主要內容是
一 定義 風險識別，是風險管理的第一步，也是風險管理的基礎。只有在正確識別出自身所面臨的風險的基礎上，人們才能夠主動選擇適當有效的方法進行的處理。二 主要內容 1 環境風險，環境風險指由於外部環境意外變化打亂了企業預定的生產經營計劃，而產生的經濟風險。引起環境風險的因素有 1 國家巨集觀經濟政策變化...
在風險管理理論中，社會組織或者個人用
1.在風險管理理論中，社會組織或者個人用以降低風險的消極結果的決策過程被稱為 c a.風險評價b.風險估測c.風險管理d.保險 1.在風險管理理論中，社會組織或者個人用以降低風險的消極結果的決策過程被稱為 在風險管理理論中，社會組織或者個人，用以降低風險的消極結果的決策過程被稱為 1.在風險管理理論...