核保险风险評估工作指引

❶ 你好！你有《金融机构洗钱和恐怖融资风险评估及客户分类管理指引》工作方案 请共享一下，收费没问题的

金融机构洗钱和恐怖融资风险评估及客户分类管理指引

为深入实践风险为本的反洗钱方法，指导金融机构评估洗钱和恐怖融资（以下统称洗钱）风险，合理确定客户洗钱风险等级，提升反洗钱和反恐怖融资（以下统称反洗钱）工作有效性，根据 《 中华人民共和国反洗钱法 》 等法律制定本指引。
第一章总则
一、基本原则
（一）风险相当原则。
金融机构应依据风险评估结果科学配置反洗钱资源，在洗钱风险较高的领域采取强化的反洗钱措施，在洗钱风险较低的领域采取简化的反洗钱措施。
（二）全面性原则。除本指引所列的例外情形外，金融机构应全面评估客户及地域、业务、行业（职业）等方面的风险状况，科学合理地为每一名客户确定风险等级。
（三）同一性原则。金融机构应建立健全洗钱风险评估及客户风险等级划分流程，赋予同一客户在本金融机构唯一的风险等级，但同一客户可以被同一集团内的不同金融机构赋予不同的风险等级。
（四）动态管理原则。金融机构应根据客户风险状况的变化，及时调整其风险等级及所对应的风险控制措施。
（五）自主管理原则。金融机构经评估论证后认定，自行确定的风险评估标准或风险控制措施的实施效果不低于本指引或其中某项要求，即可决定不遵循本指引或其中某项要求，但应书面记录评估论证的方法、过程及结论。
（六）保密原则。金融机构不得向客户或其他与反洗钱工作无关的第三方泄露客户风险等级信息。
二、功能
（一）本指引所列风险评估要素及其风险子项是金融机构全面科学评估洗钱风险的参考指标，为金融机构划分客户洗钱风险等级提供依据。
（二）本指引所确定的工作流程是金融机构科学整合内部各类资源，特别是发挥业务条线了解客户的基础性作用，有效评估、管理洗钱风险的必要管理措施。
（三）本指引有助于指导金融机构依据洗钱风险评估及客户风险等级划分结果，优化反洗钱资源配置。
三、适用范围本指引适用于金融机构开展洗钱风险评估、客户洗钱风险等级划分及其他风险管理工作。支付机构及其他应履行反洗钱义务的特定非金融机构可参照本指引开展相关工作。
银行业金融机构可根据实际风险状况，自主决定是否将本指引的要求运用于一次性交易客户。
保险业金融机构可根据实际风险状况，自主决定是否将本指引的要求运用于投保人以外的其他人员。
金融机构和特定非金融机构的行业自律组织可根据本指引进一步制定分行业的指引。
第二章风险评估指标体系
一、指标体系概述
洗钱风险评估指标体系包括客户特性、地域、业务（含金融产品、金融服务）、行业（含职业）四类基本要素。金融机构应结合行业特点、业务类型、经营规模、客户范围等实际情况，分解出某一基本要素所蕴含的风险子项。金融机构可根据实际需要，合理增加新的风险评估指标。例如，金融机构可区分新客户和既有客户、自然人客户和非自然人客户等不同群体的风险状况，设置差异化的风险评级标准。
二、风险子项
（一）客户特性风险子项。金融机构应综合考虑客户背景、社会经济活动特点、声誉、权威媒体披露信．息以及非自然人客户的组织架构等各方面情况，衡量本机构对其开展客户尽职调查工作的难度，评估风险。风险子项包括但不限于：
1 ．客户信息的公开程度。客户信．息公开程度越高，金融机构客户尽职调查成本越低，风险越可控。例如，对国家机关、事业单位、国有企业以及在规范证券市场上市的公司开展尽职调查的成本相对较低，风险评级可相应调低。
2 ．金融机构与客户建立或维持业务关系的渠道。渠道会对金融机构尽职调查工作的便利性、可靠性和准确性产生影响。例如，在客户直接与金融机构见面的情况下，金融机构更能全面了解客户，其尽职调查成果比来源于间接渠道的成果更为有效。不同类的间接渠道风险也不尽相同，例如，金融机构通过关联公司比通过中介机构更能便捷准确地取得客户尽职调查结果。
3 ．客户所持身份证件或身份证明文件的种类。身份证件或身份证明文件越难以查验，客户身份越难以核实，风险程度就越高。
4 ．反洗钱交易监测记录。金融机构对可疑交易报告进行回溯性审查，有助于了解客户的风险状况。在成本允许的情况下，金融机构还可对客户的大额交易进行回溯性审查。
5 ．非自然人客户的股权或控制权结构。股权或控制权关系的复杂程度及其可辨识度，直接影响金融机构客户尽职调查的有效性。例如，个人独资企业、家族企业、合伙企业、存在隐名股东或匿名股东公司的尽职调查难度通常会高于一般公司。
6 ．涉及客户的风险提示信．息或权威媒体报道信．息。金融机构如发现，客户曾被监管机构、执法机关或金融交易所提示予以关注，客户存在犯罪、金融违规、金融欺诈等方面的历史记录，或者客户涉及权威媒体的重要负面新闻报道评论的，可适当调高其风险评级。
7 ．自然人客户年龄。年龄与民事行为能力有直接关联，与客户的财富状况、社会经济活动范围、风险偏好等有较高关联度。
8 ．非自然人客户的存续时间。客户存续时间越长，关于其社会经济活动的记录可能越完整，越便于金融机构开展客户尽职调查。金融机构可将存续时间的长度作为衡量客户风险程度的参考因素。
（二）地域风险子项。金融机构应衡量客户及其实际受益人、实际控制人的国籍、注册地、住所、经营所在地与洗钱及其他犯罪活动的关联度，并适当考虑客户主要交易对手方及境外参与交易金融机构的地域风险传导问题。风险子项包括但不限于：
1 ．某国（地区）受反洗钱监控或制裁的情况。金融机构既要考虑我国的反洗钱监控要求，又要考虑其他国家（地区）和国际组织推行且得到我国承认的反洗钱监控或制裁要求。经营国际业务的金融机构还要考虑对该业务有管辖权的国家（地区）的反洗钱监控或制裁要求。
2 ．对某国（地区）进行反洗钱风险提示的情况。金融机构应遵循中国人民银行和其他有权部门的风险提示，参考金融行动特别工作组（英文简称 FATF ）、亚太反洗钱组织（英文简称 APG ）、欧亚反洗钱及反恐怖融资组织（英文简称 EAG ）等权威组织对各国（地区）执行 FATF 反洗钱标准的互评估结果。
3 ．国家（地区）的上游犯罪状况。金融机构可参考我国有关部门以及 FATF 等国际权威组织发布的信息，重点关注存在较严重恐怖活动、大规模杀伤性武器扩散、毒品、走私、跨境有组织犯罪、腐败、金融诈骗、人口贩运、海盗等犯罪活动的国家（地区） , 以及支持恐怖主义活动等严重犯罪的国家（地区）。对于我国境内或外国局部区域存在的严重犯罪，金融机构应参考有权部门的要求或风险提示，酌情提高涉及该区域的客户风险评级。
4 ．特殊的金融监管风险。例如避税型离岸金融中心。对于其住所、注册地、经营所在地与本金融机构经营所在地相距很远的客户，金融机构应考虑酌情提高其风险评级。
（三）业务（含金融产品、金融服务）风险子项。金融机构应当对各项金融业务的洗钱风险进行评估，制定高风险业务列表，并对该列表进行定期评估、动态调整。金融机构进行风险评级时，不仅要考虑金融业务的固有风险，而且应结合当前市场的具体运行状况，进行综合分析。风险子项包括但不限于：
1 ．与现金的关联程度。现金业务容易使交易链条断裂，难于核实资金真实来源、去向及用途，因此现金交易或易于让客户取得现金的金融业务（以下简称关联业务）具有较高风险。考虑到我国金融市场运行现状和居民的现金交易偏好，现金及其关联业务的普遍存在具有一定的合理性，金融机构可重点关注客户在单位时间内累计发生的金额较大的现金交易情况或是具有某些异常特征的大额现金交易情况。此项标准如能结合客户行业或职业特性一并考虑将更为合理。
2 ．非面对面交易。非面对面交易方式（如网上交易）使客户无需与工作人员直接接触即可办理业务，增加了金融机构开展客户尽职调查的难度，洗钱风险相应上升。金融机构在关注此类交易方式固有风险的同时，需酌情考虑客户选择或偏好此类交易方式所具有的一些现实合理性，特别是在以互联网为主要交易平台的细分金融领域（如证券市场的二级市场交易），要结合反洗钱资金监测和自身风险控制措施情况，灵活设定风险评级指标。例如，可重点审查以下交易：
( 1 ）由同一人或少数人操作不同客户的金融账户进行网上交易；
( 2 ）网上金融交易频繁且 IP 地址分布在非开户地或境外；
( 3 ）使用同一 IP 地址进行多笔不同客户账户的网银交易；
( 4 ）金额特别巨大的网上金融交易；
( 5 ）公司账户与自然人账户之间发生的频繁或大额交易；
( 6 ）关联企业之间的大额异常交易。
3 ．跨境交易。跨境开展客户尽职调查难度大，不同国家（地区）的监管差异又可能直接导致反洗钱监控漏洞产生。金融机构可重点结合地域风险，关注客户是否存在单位时间内多次涉及跨境异常交易报告等情况。
4 ．代理交易。由他人（非职业性中介）代办业务可能导致金融机构难以直接与客户接触，尽职调查有效性受到限制。鉴于代理交易在现实中的合理性，金融机构可将关注点集中于风险较高的特定情形，例如：
( 1 ）客户的账户是由经常代理他人开户人员或经常代理他人转账人员代为开立的；
( 2 ）客户由他人代办的业务多次涉及可疑交易报告；
( 3 ）同一代办人同时或分多次代理多个账户开立；
( 4 ）客户信．息显示紧急联系人为同一人或者多个客户预留电话为同一号码等异常情况。
5 ．特殊业务类型的交易频率。对于频繁进行异常交易的客户，金融机构应考虑提高风险评级。
银行业金融机构可关注开（销）户数量、非自然人与自然人大额转账汇款频率、涉及自然人的跨境汇款频率等。
证券业金融机构可关注交易所预警交易、大宗交易、转托管和指定（撤指）、因第三方存款单客户多银行业务而形成的资金跨银行或跨地区划转等。
期货业金融机构可关注盗码交易、自然人客户违规持仓、对倒、对敲等异常行为。
保险业金融机构可关注投保频率、退保频率、团险投保人数明显与企业人员规模不匹配、团险保全业务发生率、申请保单质押贷款（保单借款）金额或频率、生存保险受益人变更频率、万能险追加保费金额或频率等。
信托公司可关注客户购买、转让信托产品的频率或金额等。
在业务关系建立之初，金融机构可能无法准确预估出客户使用的全部业务品种，但可在重新审核客户风险等级时审查客户曾选择过的金融业务类别。
（四）行业（含职业）风险子项。
金融机构应评估行业、身份与洗钱、职务犯罪等的关联性，合理预测某些行业客户的经济状况、金融交易需求，酌情考虑某些职业技能被不法分子用于洗钱的可能性。本指引对此基本要素不再细分风险子项，金融机构可从以下角度进行评估：
1 ．公认具有较高风险的行业（职业）。原则上，按照我国反洗钱监管制度及 FATF 建议等反洗钱国际标准应纳入反洗钱监管范围的行业（职业），其洗钱风险通常较高。
2 ．与特定洗钱风险的关联度。例如，客户或其实际受益人、实际控制人、亲属、关系密切人等属于外国政要。
3 ．行业现金密集程度。例如，客户从事废品收购、旅游、餐饮、零售、艺术品收藏、拍卖、娱乐场所、博彩、影视娱乐等行业。
三、指标使用方法
本指引运用权重法，以定性分析与定量分析相结合的方式来计量风险、评估等级。中国人民银行鼓励金融机构研发其他风险计量工具或方法，金融机构自主研发的风险计量工具或方法应能全面覆盖本指引所列风险子项，并有书面文件对其设计原理和使用方法进行说明。
（一）金融机构应对每一基本要素及其风险子项进行权重赋值，各项权重均大于 0 ，总和等于 100 。对于风险控制效果影响力越大的基本要素及其风险子项，赋值相应越高。对于经评估后决定不采纳的风险子项，金融机构无需赋值。同一基本要素或风险子项所概括的风险事件，在不同的细分金融领域内有可能导致不同的危害性后果发生。即使是处于同一细分金融领域内的不同金融机构，也可能因为客户来源、销售渠道、经营规模、合规文化等方面的原因而面临不同的风险状况，从而对同一风险事件的风险程度作出不同的判断。因此，每个金融机构需结合自身情况，合理确定个性化的权重赋值。
（二）金融机构应逐一对照每个风险子项进行评估。例如，金融机构采用五级分类法时，最高风险评分为 5 ，较高风险评分为 4 ，一般风险评分为 3 ，较低风险评分为 2 ，低风险评分为 1 。金融机构应根据各风险子项评分及权重赋值计算客户风险等级总分，计算公式为 Pi：，其中 a 代表风险子项评分， p 代表权重， m 代表金融机构所选取的风险分级数（例如三级分类、五级分类等） , n 代表风险子项数量。客户风险等级．得分最高 1 00 分。
（三）金融机构应建立客户风险等级总分（区间）与风险等级之间的映射规则，以确定每个客户具体的风险评级，引导资源配置。金融机构确定的风险评级不得少于三级。从有利于运用评级结果配置反洗钱资源角度考虑，金融机构可设置较多的风险评级等次，以增强反洗钱资源配置的灵活性。
四、例外情形
（一）对于风险程度显著较低且预估能够有效控制其风险的客户，金融机构可自行决定不按上述风险要素及其子项评定风险，直接将其定级为低风险，但此类客户不应具有以下任何一种情形：
1 ．在同一金融机构的金融资产净值超过一定限额（原则上，自然人客户限额为 20 万元人民币，非自然人客户限额为 50 万元人民币），或寿险保单年缴保费超过 1 万元人民币或外币等值超过 1000 美元，以及非现金夏交保费超过 20 万元人民币或外币等值超过 2 万美元；
2 ．与金融机构建立或开展了代理行、信托等高风险业务关系；
3 ．客户为非居民，或者使用了境外发放的身份证件或身份证明文件；
4 ．涉及可疑交易报告；
5 ．由非职业性中介机构或无亲属关系的自然人代理客户与金融机构建立业务关系；
6 ．拒绝配合金融机构客户尽职调查工作。对于按照上述要求不能直接定级为低风险的客户，金融机构逐一对照各项风险要素及其子项进行风险评估后，仍可能将其定级为低风险。
（二）对于具有下列情形之一的客户，金融机构可直接将其风险等级确定为最高，而无需逐一对照上述风险要素及其子项进行评级：
1 ．客户被列入我国发布或承认的应实施反洗钱监控措施的名单；
2 ．客户为外国政要或其亲属、关系密切人；
3 ．客户实际控制人或实际受益人属前两项所述人员；
4 ．客户多次涉及可疑交易报告；
5 ．客户拒绝金融机构依法开展的客户尽职调查工作；
6 ．金融机构自定的其他可直接认定为高风险客户的标准。不具有上述情形的客户，金融机构逐一对照各项风险基本要素及其子项进行风险评估后，仍可能将其定级为高风险。
第三章风险评估及客户等级划分操作流程
一、时机
（一）对于新建立业务关系的客户，金融机构应在建立业务关系后的 10 个工作日内划分其风险等级。
（二）对于已确立过风险等级的客户，金融机构应根据其风险程度设置相应的重新审核期限，实现对风险的动态追踪。原则上，风险等级最高的客户的审核期限不得超过半年，低一等级客户的审核期限不得超出上一级客户审核期限时长的两倍。对于首次建立业务关系的客户，无论其风险等级高低，金融机构在初次确定其风险等级后的三年内至少应进行一次复核。
（三）当客户变更重要身份信息、司法机关调查本金融机构客户、客户涉及权威媒体的案件报道等可能导致风险状况发生实质性变化的事件发生时，金融机构应考虑重新评定客户风险等级。
二、操作步骤
（一）收集信息。金融机构应根据反洗钱风险评估需要，确定各类信息的来源及其采集方法。信息来源渠道通常有：
1 ．金融机构在与客户建立业务关系时，客户向金融机构披露的信息；
2 ．金融机构客户经理或柜面人员工作记录；
3 ．金融机构保存的交易记录；
4 ．金融机构委托其他金融机构或中介机构对客户进行尽职调查工作所获信息。
5 ．金融机构利用商业数据库查询信息；
6 ．金融机构利用互联网等公共信息平台搜索信息。
金融机构在风险评估过程中应遵循勤勉尽责的原则，依据所掌握的事实材料，对部分难以直接取得或取得成本过高的风险要素信息进行合理评估。为统一风险评估尺度，金融机构应当事先确定本机构可预估信息列表及其预估原则，并定期审查和调整。
（二）筛选分析信息。评估人员应认真对照风险评估基本要素及其子项，对所收集的信．息进行归类，逐项评分。如果同一基本要素或风险子项对应有多项相互重复或交叉的关联性信息存在时，评估人员应进行甄别和合并。如果同一基本要素或风险子项对应有多项相互矛盾或抵触的关联性信息存在时，评估人员应在调查核实的基础上，删除不适用信息，并加以注释。
金融机构工作人员整理完基础信息后，应当整体性梳理各项风险评估要素及其子项。如发现要素项下有内容空缺或信息内容不充分的，可在兼顾风险评估需求与成本控制要求的前提下，确定是否需要进一步收集补充信息。
金融机构可将上述工作流程嵌入相应业务流程中，以减少执行成本。例如，从客户经理或营销人员开始寻找目标客户或与客户接触起，即可在自身业务范围采集信．息，并随着业务关系的逐步确立，由处在业务链条上的各类人员在各自职责范围内负责相应的资料收集工作。
（三）初评。除存在前述例外情形的客户外，金融机构工作人员应逐一分析每个风险评估基本要素项及其子项所对应的信息，确定出相应的得分。对于材料不全或可靠性存疑的要素信息，评估人员应在相应的要素项下进行标注，并合理确定相应分值。在综合分析要素信．急的基础上，金融机构工作人员累计计算客户评分结果，相应确定其初步评级。
金融机构可利用计算机系统等技术手段辅助完成部分初评工作。
（四）复评。初评结果均应由初评人以外的其他人员进行复评确认。初评结果与复评结果不一致的，可由反洗钱合规管理部门决定最终评级结果。
第四章风险分类控制措施
金融机构应在客户风险等级划分的基础上，采取相应的客户尽职调查及其他风险控制措施。
一、对风险较高客户的控制措施金融机构应对高风险客户采取强化的客户尽职调查及其他风险控制措施，有效预防风险。可酌情采取的措施包括但不限于：
（一）进一步调查客户及其实际控制人、实际受益人情况。
（二）进一步深入了解客户经营活动状况和财产来源。
（三）适度提高客户及其实际控制人、实际受益人信息的收集或更新频率。
（四）对交易及其背景情况做更为深入的调查，询问客户交易目的，核实客户交易动机。
（五）适度提高交易监测的频率及强度。
（六）经高级管理层批准或授权后，再为客户办理业务或建立新的业务关系。
（七）按照法律规定或与客户的事先约定，对客户的交易方式、交易规模、交易频率等实施合理限制．
（八）合理限制客户通过非面对面方式办理业务的金额、次数和业务类型。
（九）对其交易对手及经办业务的金融机构采取尽职调查措施。
二、对风险较低客户的控制措施金融机构可对低风险客户采取简化的客户尽职调查及其他风险控制措施，可酌情采取的措施包括但不限于：
（一）在建立业务关系后再核实客户实际受益人或实际控制人的身份。
（二）适当延长客户身份资料的更新周期。
（三）在合理的交易规模内，适当降低采用持续的客户身份识别措施的频率或强度。例如，逐步建立对低风险客户异常交易的快速筛选判断机制。对于经分析排查后决定不提交可疑交易报告的低风险客户，金融机构仅发现该客户重复性出现与之前已排除异常交易相同或类似的交易活动时，可运用技术性手段自动处理预警信息。对于风险等级较低客户异常交易的对手方仅涉及各级党的机关、国家权力机关、行政机关、司法机关、军事机关、人民政协机关和人民解放军、武警部队等低风险客户的，可直接利用技术手段予以筛除。
（四）在风险可控情况下，允许金融机构工作人员合理推测交易目的和交易性质，而无需收集相关证据材料。
第五章管理与保障措施
一、风险管理政策金融机构应在总部或集团层面建立统一的洗钱风险管理基本政策，并在各分支机构、各条线（部门）执行。
客户风险管理政策应经金融机构董事会或其授权的组织审核通过，并由高级管理层中的指定专人负责实施。
金融机构．总部、集团可针对分支机构所在地区的反洗钱状况，设定局部地区的风险系数，或授权分支机构根据所在地区情况，合理调整风险子项或评级标准。
金融机构应对自身金融业务及其营销渠道，特别是在推出新金融业务、采用新营销渠道、运用新技术前，进行系统全面的洗钱风险评估，按照风险可控原则建立相应的风险管理措施。
二、组织管理措施
金融机构应完善风险评估流程，指定适当的条线（部门）及人员整体负责风险评估工作流程的设置及监控工作，组织各相关条线（部门）充分参与风险评估工作。
金融机构应确保客户风险评估工作流程具有可稽核性或可追溯性。
三、技术保障措施
金融机构应确保洗钱风险管理工作所需的必要技术条件，积极运用信．息系统提升工作有效性。系统设计应着眼于运用客户风险等级管理工作成果，为各级分支机构查询使用信息提供方便。
四、代理业务管理
金融机构委托其他机构开展客户风险等级划分等洗钱风险管理工作时，应与受托机构签订书面协议，并由高级管理层批准。受托机构应当积极协助委托机构开展洗钱风险管理。由委托机构对受托机构进行的洗钱风险管理工作承担最终法律责任。
金融机构应建立专门机制，审核受托机构确定的客户风险等级。

❷ 跨境委托贷款对于美元委托贷款，在用途上有没有限制，可否结汇、还贷 或者说，是否可以将美元结汇后作人

金融机构洗钱和恐怖融资风险评估及客户分类管理指引

为深入实践风险为本的反洗钱方法，指导金融机构评估洗钱和恐怖融资（以下统称洗钱）风险，合理确定客户洗钱风险等级，提升反洗钱和反恐怖融资（以下统称反洗钱）工作有效性，根据 《 中华人民共和国反洗钱法 》 等法律制定本指引。
第一章总则
一、基本原则
（一）风险相当原则。
金融机构应依据风险评估结果科学配置反洗钱资源，在洗钱风险较高的领域采取强化的反洗钱措施，在洗钱风险较低的领域采取简化的反洗钱措施。
（二）全面性原则。除本指引所列的例外情形外，金融机构应全面评估客户及地域、业务、行业（职业）等方面的风险状况，科学合理地为每一名客户确定风险等级。
（三）同一性原则。金融机构应建立健全洗钱风险评估及客户风险等级划分流程，赋予同一客户在本金融机构唯一的风险等级，但同一客户可以被同一集团内的不同金融机构赋予不同的风险等级。
（四）动态管理原则。金融机构应根据客户风险状况的变化，及时调整其风险等级及所对应的风险控制措施。
（五）自主管理原则。金融机构经评估论证后认定，自行确定的风险评估标准或风险控制措施的实施效果不低于本指引或其中某项要求，即可决定不遵循本指引或其中某项要求，但应书面记录评估论证的方法、过程及结论。
（六）保密原则。金融机构不得向客户或其他与反洗钱工作无关的第三方泄露客户风险等级信息。
二、功能
（一）本指引所列风险评估要素及其风险子项是金融机构全面科学评估洗钱风险的参考指标，为金融机构划分客户洗钱风险等级提供依据。
（二）本指引所确定的工作流程是金融机构科学整合内部各类资源，特别是发挥业务条线了解客户的基础性作用，有效评估、管理洗钱风险的必要管理措施。
（三）本指引有助于指导金融机构依据洗钱风险评估及客户风险等级划分结果，优化反洗钱资源配置。
三、适用范围本指引适用于金融机构开展洗钱风险评估、客户洗钱风险等级划分及其他风险管理工作。支付机构及其他应履行反洗钱义务的特定非金融机构可参照本指引开展相关工作。
银行业金融机构可根据实际风险状况，自主决定是否将本指引的要求运用于一次性交易客户。
保险业金融机构可根据实际风险状况，自主决定是否将本指引的要求运用于投保人以外的其他人员。
金融机构和特定非金融机构的行业自律组织可根据本指引进一步制定分行业的指引。
第二章风险评估指标体系
一、指标体系概述
洗钱风险评估指标体系包括客户特性、地域、业务（含金融产品、金融服务）、行业（含职业）四类基本要素。金融机构应结合行业特点、业务类型、经营规模、客户范围等实际情况，分解出某一基本要素所蕴含的风险子项。金融机构可根据实际需要，合理增加新的风险评估指标。例如，金融机构可区分新客户和既有客户、自然人客户和非自然人客户等不同群体的风险状况，设置差异化的风险评级标准。
二、风险子项
（一）客户特性风险子项。金融机构应综合考虑客户背景、社会经济活动特点、声誉、权威媒体披露信．息以及非自然人客户的组织架构等各方面情况，衡量本机构对其开展客户尽职调查工作的难度，评估风险。风险子项包括但不限于：
1 ．客户信息的公开程度。客户信．息公开程度越高，金融机构客户尽职调查成本越低，风险越可控。例如，对国家机关、事业单位、国有企业以及在规范证券市场上市的公司开展尽职调查的成本相对较低，风险评级可相应调低。
2 ．金融机构与客户建立或维持业务关系的渠道。渠道会对金融机构尽职调查工作的便利性、可靠性和准确性产生影响。例如，在客户直接与金融机构见面的情况下，金融机构更能全面了解客户，其尽职调查成果比来源于间接渠道的成果更为有效。不同类的间接渠道风险也不尽相同，例如，金融机构通过关联公司比通过中介机构更能便捷准确地取得客户尽职调查结果。
3 ．客户所持身份证件或身份证明文件的种类。身份证件或身份证明文件越难以查验，客户身份越难以核实，风险程度就越高。
4 ．反洗钱交易监测记录。金融机构对可疑交易报告进行回溯性审查，有助于了解客户的风险状况。在成本允许的情况下，金融机构还可对客户的大额交易进行回溯性审查。
5 ．非自然人客户的股权或控制权结构。股权或控制权关系的复杂程度及其可辨识度，直接影响金融机构客户尽职调查的有效性。例如，个人独资企业、家族企业、合伙企业、存在隐名股东或匿名股东公司的尽职调查难度通常会高于一般公司。
6 ．涉及客户的风险提示信．息或权威媒体报道信．息。金融机构如发现，客户曾被监管机构、执法机关或金融交易所提示予以关注，客户存在犯罪、金融违规、金融欺诈等方面的历史记录，或者客户涉及权威媒体的重要负面新闻报道评论的，可适当调高其风险评级。
7 ．自然人客户年龄。年龄与民事行为能力有直接关联，与客户的财富状况、社会经济活动范围、风险偏好等有较高关联度。
8 ．非自然人客户的存续时间。客户存续时间越长，关于其社会经济活动的记录可能越完整，越便于金融机构开展客户尽职调查。金融机构可将存续时间的长度作为衡量客户风险程度的参考因素。
（二）地域风险子项。金融机构应衡量客户及其实际受益人、实际控制人的国籍、注册地、住所、经营所在地与洗钱及其他犯罪活动的关联度，并适当考虑客户主要交易对手方及境外参与交易金融机构的地域风险传导问题。风险子项包括但不限于：
1 ．某国（地区）受反洗钱监控或制裁的情况。金融机构既要考虑我国的反洗钱监控要求，又要考虑其他国家（地区）和国际组织推行且得到我国承认的反洗钱监控或制裁要求。经营国际业务的金融机构还要考虑对该业务有管辖权的国家（地区）的反洗钱监控或制裁要求。
2 ．对某国（地区）进行反洗钱风险提示的情况。金融机构应遵循中国人民银行和其他有权部门的风险提示，参考金融行动特别工作组（英文简称 FATF ）、亚太反洗钱组织（英文简称 APG ）、欧亚反洗钱及反恐怖融资组织（英文简称 EAG ）等权威组织对各国（地区）执行 FATF 反洗钱标准的互评估结果。
3 ．国家（地区）的上游犯罪状况。金融机构可参考我国有关部门以及 FATF 等国际权威组织发布的信息，重点关注存在较严重恐怖活动、大规模杀伤性武器扩散、毒品、走私、跨境有组织犯罪、腐败、金融诈骗、人口贩运、海盗等犯罪活动的国家（地区） , 以及支持恐怖主义活动等严重犯罪的国家（地区）。对于我国境内或外国局部区域存在的严重犯罪，金融机构应参考有权部门的要求或风险提示，酌情提高涉及该区域的客户风险评级。
4 ．特殊的金融监管风险。例如避税型离岸金融中心。对于其住所、注册地、经营所在地与本金融机构经营所在地相距很远的客户，金融机构应考虑酌情提高其风险评级。
（三）业务（含金融产品、金融服务）风险子项。金融机构应当对各项金融业务的洗钱风险进行评估，制定高风险业务列表，并对该列表进行定期评估、动态调整。金融机构进行风险评级时，不仅要考虑金融业务的固有风险，而且应结合当前市场的具体运行状况，进行综合分析。风险子项包括但不限于：
1 ．与现金的关联程度。现金业务容易使交易链条断裂，难于核实资金真实来源、去向及用途，因此现金交易或易于让客户取得现金的金融业务（以下简称关联业务）具有较高风险。考虑到我国金融市场运行现状和居民的现金交易偏好，现金及其关联业务的普遍存在具有一定的合理性，金融机构可重点关注客户在单位时间内累计发生的金额较大的现金交易情况或是具有某些异常特征的大额现金交易情况。此项标准如能结合客户行业或职业特性一并考虑将更为合理。
2 ．非面对面交易。非面对面交易方式（如网上交易）使客户无需与工作人员直接接触即可办理业务，增加了金融机构开展客户尽职调查的难度，洗钱风险相应上升。金融机构在关注此类交易方式固有风险的同时，需酌情考虑客户选择或偏好此类交易方式所具有的一些现实合理性，特别是在以互联网为主要交易平台的细分金融领域（如证券市场的二级市场交易），要结合反洗钱资金监测和自身风险控制措施情况，灵活设定风险评级指标。例如，可重点审查以下交易：
( 1 ）由同一人或少数人操作不同客户的金融账户进行网上交易；
( 2 ）网上金融交易频繁且 IP 地址分布在非开户地或境外；
( 3 ）使用同一 IP 地址进行多笔不同客户账户的网银交易；
( 4 ）金额特别巨大的网上金融交易；
( 5 ）公司账户与自然人账户之间发生的频繁或大额交易；
( 6 ）关联企业之间的大额异常交易。
3 ．跨境交易。跨境开展客户尽职调查难度大，不同国家（地区）的监管差异又可能直接导致反洗钱监控漏洞产生。金融机构可重点结合地域风险，关注客户是否存在单位时间内多次涉及跨境异常交易报告等情况。
4 ．代理交易。由他人（非职业性中介）代办业务可能导致金融机构难以直接与客户接触，尽职调查有效性受到限制。鉴于代理交易在现实中的合理性，金融机构可将关注点集中于风险较高的特定情形，例如：
( 1 ）客户的账户是由经常代理他人开户人员或经常代理他人转账人员代为开立的；
( 2 ）客户由他人代办的业务多次涉及可疑交易报告；
( 3 ）同一代办人同时或分多次代理多个账户开立；
( 4 ）客户信．息显示紧急联系人为同一人或者多个客户预留电话为同一号码等异常情况。
5 ．特殊业务类型的交易频率。对于频繁进行异常交易的客户，金融机构应考虑提高风险评级。
银行业金融机构可关注开（销）户数量、非自然人与自然人大额转账汇款频率、涉及自然人的跨境汇款频率等。
证券业金融机构可关注交易所预警交易、大宗交易、转托管和指定（撤指）、因第三方存款单客户多银行业务而形成的资金跨银行或跨地区划转等。
期货业金融机构可关注盗码交易、自然人客户违规持仓、对倒、对敲等异常行为。
保险业金融机构可关注投保频率、退保频率、团险投保人数明显与企业人员规模不匹配、团险保全业务发生率、申请保单质押贷款（保单借款）金额或频率、生存保险受益人变更频率、万能险追加保费金额或频率等。
信托公司可关注客户购买、转让信托产品的频率或金额等。
在业务关系建立之初，金融机构可能无法准确预估出客户使用的全部业务品种，但可在重新审核客户风险等级时审查客户曾选择过的金融业务类别。
（四）行业（含职业）风险子项。
金融机构应评估行业、身份与洗钱、职务犯罪等的关联性，合理预测某些行业客户的经济状况、金融交易需求，酌情考虑某些职业技能被不法分子用于洗钱的可能性。本指引对此基本要素不再细分风险子项，金融机构可从以下角度进行评估：
1 ．公认具有较高风险的行业（职业）。原则上，按照我国反洗钱监管制度及 FATF 建议等反洗钱国际标准应纳入反洗钱监管范围的行业（职业），其洗钱风险通常较高。
2 ．与特定洗钱风险的关联度。例如，客户或其实际受益人、实际控制人、亲属、关系密切人等属于外国政要。
3 ．行业现金密集程度。例如，客户从事废品收购、旅游、餐饮、零售、艺术品收藏、拍卖、娱乐场所、博彩、影视娱乐等行业。
三、指标使用方法
本指引运用权重法，以定性分析与定量分析相结合的方式来计量风险、评估等级。中国人民银行鼓励金融机构研发其他风险计量工具或方法，金融机构自主研发的风险计量工具或方法应能全面覆盖本指引所列风险子项，并有书面文件对其设计原理和使用方法进行说明。
（一）金融机构应对每一基本要素及其风险子项进行权重赋值，各项权重均大于 0 ，总和等于 100 。对于风险控制效果影响力越大的基本要素及其风险子项，赋值相应越高。对于经评估后决定不采纳的风险子项，金融机构无需赋值。同一基本要素或风险子项所概括的风险事件，在不同的细分金融领域内有可能导致不同的危害性后果发生。即使是处于同一细分金融领域内的不同金融机构，也可能因为客户来源、销售渠道、经营规模、合规文化等方面的原因而面临不同的风险状况，从而对同一风险事件的风险程度作出不同的判断。因此，每个金融机构需结合自身情况，合理确定个性化的权重赋值。
（二）金融机构应逐一对照每个风险子项进行评估。例如，金融机构采用五级分类法时，最高风险评分为 5 ，较高风险评分为 4 ，一般风险评分为 3 ，较低风险评分为 2 ，低风险评分为 1 。金融机构应根据各风险子项评分及权重赋值计算客户风险等级总分，计算公式为 Pi：，其中 a 代表风险子项评分， p 代表权重， m 代表金融机构所选取的风险分级数（例如三级分类、五级分类等） , n 代表风险子项数量。客户风险等级．得分最高 1 00 分。
（三）金融机构应建立客户风险等级总分（区间）与风险等级之间的映射规则，以确定每个客户具体的风险评级，引导资源配置。金融机构确定的风险评级不得少于三级。从有利于运用评级结果配置反洗钱资源角度考虑，金融机构可设置较多的风险评级等次，以增强反洗钱资源配置的灵活性。
四、例外情形
（一）对于风险程度显著较低且预估能够有效控制其风险的客户，金融机构可自行决定不按上述风险要素及其子项评定风险，直接将其定级为低风险，但此类客户不应具有以下任何一种情形：
1 ．在同一金融机构的金融资产净值超过一定限额（原则上，自然人客户限额为 20 万元人民币，非自然人客户限额为 50 万元人民币），或寿险保单年缴保费超过 1 万元人民币或外币等值超过 1000 美元，以及非现金夏交保费超过 20 万元人民币或外币等值超过 2 万美元；
2 ．与金融机构建立或开展了代理行、信托等高风险业务关系；
3 ．客户为非居民，或者使用了境外发放的身份证件或身份证明文件；
4 ．涉及可疑交易报告；
5 ．由非职业性中介机构或无亲属关系的自然人代理客户与金融机构建立业务关系；
6 ．拒绝配合金融机构客户尽职调查工作。对于按照上述要求不能直接定级为低风险的客户，金融机构逐一对照各项风险要素及其子项进行风险评估后，仍可能将其定级为低风险。
（二）对于具有下列情形之一的客户，金融机构可直接将其风险等级确定为最高，而无需逐一对照上述风险要素及其子项进行评级：
1 ．客户被列入我国发布或承认的应实施反洗钱监控措施的名单；
2 ．客户为外国政要或其亲属、关系密切人；
3 ．客户实际控制人或实际受益人属前两项所述人员；
4 ．客户多次涉及可疑交易报告；
5 ．客户拒绝金融机构依法开展的客户尽职调查工作；
6 ．金融机构自定的其他可直接认定为高风险客户的标准。不具有上述情形的客户，金融机构逐一对照各项风险基本要素及其子项进行风险评估后，仍可能将其定级为高风险。
第三章风险评估及客户等级划分操作流程
一、时机
（一）对于新建立业务关系的客户，金融机构应在建立业务关系后的 10 个工作日内划分其风险等级。
（二）对于已确立过风险等级的客户，金融机构应根据其风险程度设置相应的重新审核期限，实现对风险的动态追踪。原则上，风险等级最高的客户的审核期限不得超过半年，低一等级客户的审核期限不得超出上一级客户审核期限时长的两倍。对于首次建立业务关系的客户，无论其风险等级高低，金融机构在初次确定其风险等级后的三年内至少应进行一次复核。
（三）当客户变更重要身份信息、司法机关调查本金融机构客户、客户涉及权威媒体的案件报道等可能导致风险状况发生实质性变化的事件发生时，金融机构应考虑重新评定客户风险等级。
二、操作步骤
（一）收集信息。金融机构应根据反洗钱风险评估需要，确定各类信息的来源及其采集方法。信息来源渠道通常有：
1 ．金融机构在与客户建立业务关系时，客户向金融机构披露的信息；
2 ．金融机构客户经理或柜面人员工作记录；
3 ．金融机构保存的交易记录；
4 ．金融机构委托其他金融机构或中介机构对客户进行尽职调查工作所获信息。
5 ．金融机构利用商业数据库查询信息；
6 ．金融机构利用互联网等公共信息平台搜索信息。
金融机构在风险评估过程中应遵循勤勉尽责的原则，依据所掌握的事实材料，对部分难以直接取得或取得成本过高的风险要素信息进行合理评估。为统一风险评估尺度，金融机构应当事先确定本机构可预估信息列表及其预估原则，并定期审查和调整。
（二）筛选分析信息。评估人员应认真对照风险评估基本要素及其子项，对所收集的信．息进行归类，逐项评分。如果同一基本要素或风险子项对应有多项相互重复或交叉的关联性信息存在时，评估人员应进行甄别和合并。如果同一基本要素或风险子项对应有多项相互矛盾或抵触的关联性信息存在时，评估人员应在调查核实的基础上，删除不适用信息，并加以注释。
金融机构工作人员整理完基础信息后，应当整体性梳理各项风险评估要素及其子项。如发现要素项下有内容空缺或信息内容不充分的，可在兼顾风险评估需求与成本控制要求的前提下，确定是否需要进一步收集补充信息。
金融机构可将上述工作流程嵌入相应业务流程中，以减少执行成本。例如，从客户经理或营销人员开始寻找目标客户或与客户接触起，即可在自身业务范围采集信．息，并随着业务关系的逐步确立，由处在业务链条上的各类人员在各自职责范围内负责相应的资料收集工作。
（三）初评。除存在前述例外情形的客户外，金融机构工作人员应逐一分析每个风险评估基本要素项及其子项所对应的信息，确定出相应的得分。对于材料不全或可靠性存疑的要素信息，评估人员应在相应的要素项下进行标注，并合理确定相应分值。在综合分析要素信．急的基础上，金融机构工作人员累计计算客户评分结果，相应确定其初步评级。
金融机构可利用计算机系统等技术手段辅助完成部分初评工作。
（四）复评。初评结果均应由初评人以外的其他人员进行复评确认。初评结果与复评结果不一致的，可由反洗钱合规管理部门决定最终评级结果。
第四章风险分类控制措施
金融机构应在客户风险等级划分的基础上，采取相应的客户尽职调查及其他风险控制措施。
一、对风险较高客户的控制措施金融机构应对高风险客户采取强化的客户尽职调查及其他风险控制措施，有效预防风险。可酌情采取的措施包括但不限于：
（一）进一步调查客户及其实际控制人、实际受益人情况。
（二）进一步深入了解客户经营活动状况和财产来源。
（三）适度提高客户及其实际控制人、实际受益人信息的收集或更新频率。
（四）对交易及其背景情况做更为深入的调查，询问客户交易目的，核实客户交易动机。
（五）适度提高交易监测的频率及强度。
（六）经高级管理层批准或授权后，再为客户办理业务或建立新的业务关系。
（七）按照法律规定或与客户的事先约定，对客户的交易方式、交易规模、交易频率等实施合理限制．
（八）合理限制客户通过非面对面方式办理业务的金额、次数和业务类型。
（九）对其交易对手及经办业务的金融机构采取尽职调查措施。
二、对风险较低客户的控制措施金融机构可对低风险客户采取简化的客户尽职调查及其他风险控制措施，可酌情采取的措施包括但不限于：
（一）在建立业务关系后再核实客户实际受益人或实际控制人的身份。
（二）适当延长客户身份资料的更新周期。
（三）在合理的交易规模内，适当降低采用持续的客户身份识别措施的频率或强度。例如，逐步建立对低风险客户异常交易的快速筛选判断机制。对于经分析排查后决定不提交可疑交易报告的低风险客户，金融机构仅发现该客户重复性出现与之前已排除异常交易相同或类似的交易活动时，可运用技术性手段自动处理预警信息。对于风险等级较低客户异常交易的对手方仅涉及各级党的机关、国家权力机关、行政机关、司法机关、军事机关、人民政协机关和人民解放军、武警部队等低风险客户的，可直接利用技术手段予以筛除。
（四）在风险可控情况下，允许金融机构工作人员合理推测交易目的和交易性质，而无需收集相关证据材料。
第五章管理与保障措施
一、风险管理政策金融机构应在总部或集团层面建立统一的洗钱风险管理基本政策，并在各分支机构、各条线（部门）执行。
客户风险管理政策应经金融机构董事会或其授权的组织审核通过，并由高级管理层中的指定专人负责实施。
金融机构．总部、集团可针对分支机构所在地区的反洗钱状况，设定局部地区的风险系数，或授权分支机构根据所在地区情况，合理调整风险子项或评级标准。
金融机构应对自身金融业务及其营销渠道，特别是在推出新金融业务、采用新营销渠道、运用新技术前，进行系统全面的洗钱风险评估，按照风险可控原则建立相应的风险管理措施。
二、组织管理措施
金融机构应完善风险评估流程，指定适当的条线（部门）及人员整体负责风险评估工作流程的设置及监控工作，组织各相关条线（部门）充分参与风险评估工作。
金融机构应确保客户风险评估工作流程具有可稽核性或可追溯性。
三、技术保障措施
金融机构应确保洗钱风险管理工作所需的必要技术条件，积极运用信．息系统提升工作有效性。系统设计应着眼于运用客户风险等级管理工作成果，为各级分支机构查询使用信息提供方便。
四、代理业务管理
金融机构委托其他机构开展客户风险等级划分等洗钱风险管理工作时，应与受托机构签订书面协议，并由高级管理层批准。受托机构应当积极协助委托机构开展洗钱风险管理。由委托机构对受托机构进行的洗钱风险管理工作承担最终法律责任。
金融机构应建立专门机制，审核受托机构确定的客户风险等级。

❸ 环境污染责任保险投保需要先办理环评报告吗

第一：《关于环境污染责任保险工作的指导意见》（环发〔2007〕189号）

提高环境污染事故预防能力。保险公司要指导投保企业开展环境事故预防管理，提高企业环境事故预防能力。承保前，保险公司应对投保企业进行风险评估，根据企业生产性质、规模、管理水平及危险等级等要素合理厘定费率水平。承保后，要主动定期对投保企业环境事故预防工作进行检查，及时指出隐患与不足，并提出书面整改意见，督促投保企业加强事故预防能力建设，并将有关情况报送当地环保部门。具备条件的环保部门可以根据国家的要求或地方的规定，把部分行业或企业是否投保与项目环境影响评价、“三同时”等制度结合起来。

第二：《环境保护部保监会关于开展环境污染强制责任保险试点工作的指导意见》（环发〔2013〕10号）

四、健全环境风险评估和投保程序

企业投保或者续签保险合同前，保险公司可以委托或者自行对投保企业开展环境风险评估。

鼓励保险经纪机构提供环境风险评估和其他有关保险的技术支持和服务。

投保企业环境风险评估可以按照下列规定开展：

（一）对已有环境风险评估技术指南的氯碱、硫酸等行业，按照技术指南开展评估。

（二）对尚未颁布环境风险评估技术指南的行业，可以参照氯碱、硫酸等行业环境风险评估技术指南规定的基本评估方法，综合考虑生产因素、厂址环境敏感性、环境风险防控、事故应急管理等指标开展评估。

本意见规定的涉重金属企业、按地方有关规定已被纳入投保范围的企业，以及其他高环境风险企业，经过环境风险评估后，应当及时与保险公司签订保险合同，并将投保信息报告当地环保部门和保险监管部门。

保险监管部门应当引导和监督保险公司做好承保相关服务。

七、完善促进企业投保的保障措施

（一）强化约束手段

对应当投保而未及时投保的企业，环保部门可以采取下列措施：

1.将企业是否投保与建设项目环境影响评价文件审批、建设项目竣工环保验收、排污许可证核发、清洁生产审核，以及上市环保核查等制度的执行，紧密结合。

2.暂停受理企业的环境保护专项资金、重金属污染防治专项资金等相关专项资金的申请。

3.将该企业未按规定投保的信息及时提供银行业金融机构，为其客户评级、信贷准入退出和管理提供重要依据。

第三：2015年9月，党中央、国务院印发的《生态文明体制改革总体方案》明确提出：“在环境高风险领域建立环境污染强制责任保险制度。”

在当前形势政策和联动形势下，保险单位有权利对投保单位进行环境风险评估。但是生态环境部门也可以将投保与环境评价文件审批、竣工环保验收、排污许可核发、清洁生产审核，以及上市环保核查等制度的执行，紧密结合在一起。

注意的是：保险公司在接受企业投保时，是保险公司对企业进行环境风险评估的，这个环境风险评估不是指的环境评价，当你投保了环境污染强制责任险时，对环境评价文件审批、竣工环保验收、排污许可核发、清洁生产审核，以及上市环保核查等有促进作用。

❹ 中央企业全面风险管理指引的指引内容

第一条为指导国务院国有资产监督管理委员会（以下简称国资委）履行出资人职责的企业（以下简称中央企业）开展全面风险管理工作，增强企业竞争力，提高投资回报，促进企业持续、健康、稳定发展，根据《中华人民共和国公司法》、《企业国有资产监督管理暂行条例》等法律法规，制定本指引。
第二条中央企业根据自身实际情况贯彻执行本指引。中央企业中的国有独资公司董事会负责督导本指引的实施；国有控股企业由国资委和国资委提名的董事通过股东（大）会和董事会按照法定程序负责督导本指引的实施。
第三条本指引所称企业风险，指未来的不确定性对企业实现其经营目标的影响。企业风险一般可分为战略风险、财务风险、市场风险、运营风险、法律风险等；也可以能否为企业带来盈利等机会为标志，将风险分为纯粹风险（只有带来损失一种可能性）和机会风险（带来损失和盈利的可能性并存）。
第四条本指引所称全面风险管理，指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。
第五条本指引所称风险管理基本流程包括以下主要工作：
（一）收集风险管理初始信息；
（二）进行风险评估；
（三）制定风险管理策略；
（四）提出和实施风险管理解决方案；
（五）风险管理的监督与改进。
第六条本指引所称内部控制系统，指围绕风险管理策略目标，针对企业战略、规划、产品研发、投融资、市场运营、财务、内部审计、法律事务、人力资源、采购、加工制造、销售、物流、质量、安全生产、环境保护等各项业务管理及其重要业务流程，通过执行风险管理基本流程，制定并执行的规章制度、程序和措施。
第七条企业开展全面风险管理要努力实现以下风险管理总体目标：
（一）确保将风险控制在与总体目标相适应并可承受的范围内；
（二）确保内外部，尤其是企业与股东之间实现真实、可靠的信息沟通，包括编制和提供真实、可靠的财务报告；
（三）确保遵守有关法律法规；
（四）确保企业有关规章制度和为实现经营目标而采取重大措施的贯彻执行，保障经营管理的有效性，提高经营活动的效率和效果，降低实现经营目标的不确定性；
（五）确保企业建立针对各项重大风险发生后的危机处理计划，保护企业不因灾害性风险或人为失误而遭受重大损失。
第八条企业开展全面风险管理工作，应注重防范和控制风险可能给企业造成损失和危害，也应把机会风险视为企业的特殊资源，通过对其管理，为企业创造价值，促进经营目标的实现。
第九条企业应本着从实际出发，务求实效的原则，以对重大风险、重大事件（指重大风险发生后的事实）的管理和重要流程的内部控制为重点，积极开展全面风险管理工作。具备条件的企业应全面推进，尽快建立全面风险管理体系；其他企业应制定开展全面风险管理的总体规划，分步实施，可先选择发展战略、投资收购、财务报告、内部审计、衍生产品交易、法律事务、安全生产、应收账款管理等一项或多项业务开展风险管理工作，建立单项或多项内部控制子系统。通过积累经验，培养人才，逐步建立健全全面风险管理体系。
第十条企业开展全面风险管理工作应与其他管理工作紧密结合，把风险管理的各项要求融入企业管理和业务流程中。具备条件的企业可建立风险管理三道防线，即各有关职能部门和业务单位为第一道防线；风险管理职能部门和董事会下设的风险管理委员会为第二道防线；内部审计部门和董事会下设的审计委员会为第三道防线。 第十一条实施全面风险管理，企业应广泛、持续不断地收集与该企业风险和风险管理相关的内部、外部初始信息，包括历史数据和未来预测。应把收集初始信息的职责分工落实到各有关职能部门和业务单位。
第十二条在战略风险方面，企业应广泛收集国内外企业战略风险失控导致企业蒙受损失的案例，并至少收集与该企业相关的以下重要信息：
（一）国内外宏观经济政策以及经济运行情况、本行业状况、国家产业政策；
（二）科技进步、技术创新的有关内容；
（三）市场对该企业产品或服务的需求；
（四）与企业战略合作伙伴的关系，未来寻求战略合作伙伴的可能性；
（五）该企业主要客户、供应商及竞争对手的有关情况；
（六）与主要竞争对手相比，该企业实力与差距；
（七）本企业发展战略和规划、投融资计划、年度经营目标、经营战略，以及编制这些战略、规划、计划、目标的有关依据；
（八）该企业对外投融资流程中曾发生或易发生错误的业务流程或环节。
第十三条在财务风险方面，企业应广泛收集国内外企业财务风险失控导致危机的案例，并至少收集该企业的以下重要信息（其中有行业平均指标或先进指标的，也应尽可能收集）：
（一）负债、或有负债、负债率、偿债能力；
（二）现金流、应收账款及其占销售收入的比重、资金周转率；
（三）产品存货及其占销售成本的比重、应付账款及其占购货额的比重；
（四）制造成本和管理费用、财务费用、营业费用；
（五）盈利能力；
（六）成本核算、资金结算和现金管理业务中曾发生或易发生错误的业务流程或环节；
(七)与该企业相关的行业会计政策、会计估算、与国际会计制度的差异与调节（如退休金、递延税项等）等信息。
第十四条在市场风险方面，企业应广泛收集国内外企业忽视市场风险、缺乏应对措施导致企业蒙受损失的案例，并至少收集与该企业相关的以下重要信息：
（一）产品或服务的价格及供需变化；
（二）能源、原材料、配件等物资供应的充足性、稳定性和价格变化；
（三）主要客户、主要供应商的信用情况；
（四）税收政策和利率、汇率、股票价格指数的变化；
（五）潜在竞争者、竞争者及其主要产品、替代品情况。
第十五条在运营风险方面，企业应至少收集与该企业、本行业相关的以下信息：
（一）产品结构、新产品研发；
（二）新市场开发，市场营销策略，包括产品或服务定价与销售渠道，市场营销环境状况等；
（三）企业组织效能、管理现状、企业文化，高、中层管理人员和重要业务流程中专业人员的知识结构、专业经验；
（四）期货等衍生产品业务中曾发生或易发生失误的流程和环节；
（五）质量、安全、环保、信息安全等管理中曾发生或易发生失误的业务流程或环节；
（六）因企业内、外部人员的道德风险致使企业遭受损失或业务控制系统失灵；
（七）给企业造成损失的自然灾害以及除上述有关情形之外的其他纯粹风险；
（八）对现有业务流程和信息系统操作运行情况的监管、运行评价及持续改进能力；
（九）企业风险管理的现状和能力。
第十六条在法律风险方面，企业应广泛收集国内外企业忽视法律法规风险、缺乏应对措施导致企业蒙受损失的案例，并至少收集与该企业相关的以下信息：
（一）国内外与该企业相关的政治、法律环境；
（二）影响企业的新法律法规和政策；
（三）员工道德操守的遵从性；
（四）该企业签订的重大协议和有关贸易合同；
（五）该企业发生重大法律纠纷案件的情况；
（六）企业和竞争对手的知识产权情况。
第十七条企业对收集的初始信息应进行必要的筛选、提炼、对比、分类、组合，以便进行风险评估。 第十八条企业应对收集的风险管理初始信息和企业各项业务管理及其重要业务流程进行风险评估。风险评估包括风险辨识、风险分析、风险评价三个步骤。
第十九条风险评估应由企业组织有关职能部门和业务单位实施，也可聘请有资质、信誉好、风险管理专业能力强的中介机构协助实施。
第二十条风险辨识是指查找企业各业务单元、各项重要经营活动及其重要业务流程中有无风险，有哪些风险。风险分析是对辨识出的风险及其特征进行明确的定义描述，分析和描述风险发生可能性的高低、风险发生的条件。风险评价是评估风险对企业实现目标的影响程度、风险的价值等。
第二十一条进行风险辨识、分析、评价，应将定性与定量方法相结合。定性方法可采用问卷调查、集体讨论、专家咨询、情景分析、政策分析、行业标杆比较、管理层访谈、由专人主持的工作访谈和调查研究等。定量方法可采用统计推论（如集中趋势法）、计算机模拟（如蒙特卡罗分析法）、失效模式与影响分析、事件树分析等。
第二十二条进行风险定量评估时，应统一制定各风险的度量单位和风险度量模型，并通过测试等方法，确保评估系统的假设前提、参数、数据来源和定量评估程序的合理性和准确性。要根据环境的变化，定期对假设前提和参数进行复核和修改，并将定量评估系统的估算结果与实际效果对比，据此对有关参数进行调整和改进。
第二十三条风险分析应包括风险之间的关系分析，以便发现各风险之间的自然对冲、风险事件发生的正负相关性等组合效应，从风险策略上对风险进行统一集中管理。
第二十四条企业在评估多项风险时，应根据对风险发生可能性的高低和对目标的影响程度的评估，绘制风险坐标图，对各项风险进行比较，初步确定对各项风险的管理优先顺序和策略。
第二十五条企业应对风险管理信息实行动态管理，定期或不定期实施风险辨识、分析、评价，以便对新的风险和原有风险的变化重新评估。 第二十六条本指引所称风险管理策略，指企业根据自身条件和外部环境，围绕企业发展战略，确定风险偏好、风险承受度、风险管理有效性标准，选择风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等适合的风险管理工具的总体策略，并确定风险管理所需人力和财力资源的配置原则。
第二十七条一般情况下，对战略、财务、运营和法律风险，可采取风险承担、风险规避、风险转换、风险控制等方法。对能够通过保险、期货、对冲等金融手段进行理财的风险，可以采用风险转移、风险对冲、风险补偿等方法。
第二十八条企业应根据不同业务特点统一确定风险偏好和风险承受度，即企业愿意承担哪些风险，明确风险的最低限度和不能超过的最高限度，并据此确定风险的预警线及相应采取的对策。确定风险偏好和风险承受度，要正确认识和把握风险与收益的平衡，防止和纠正忽视风险，片面追求收益而不讲条件、范围，认为风险越大、收益越高的观念和做法；同时，也要防止单纯为规避风险而放弃发展机遇。
第二十九条企业应根据风险与收益相平衡的原则以及各风险在风险坐标图上的位置，进一步确定风险管理的优选顺序，明确风险管理成本的资金预算和控制风险的组织体系、人力资源、应对措施等总体安排。
第三十条企业应定期总结和分析已制定的风险管理策略的有效性和合理性，结合实际不断修订和完善。其中，应重点检查依据风险偏好、风险承受度和风险控制预警线实施的结果是否有效，并提出定性或定量的有效性标准。 第三十一条企业应根据风险管理策略，针对各类风险或每一项重大风险制定风险管理解决方案。方案一般应包括风险解决的具体目标，所需的组织领导，所涉及的管理及业务流程，所需的条件、手段等资源，风险事件发生前、中、后所采取的具体应对措施以及风险管理工具（如：关键风险指标管理、损失事件管理等）。
第三十二条企业制定风险管理解决的外包方案，应注重成本与收益的平衡、外包工作的质量、自身商业秘密的保护以及防止自身对风险解决外包产生依赖性风险等，并制定相应的预防和控制措施。
第三十三条企业制定风险解决的内控方案，应满足合规的要求，坚持经营战略与风险策略一致、风险控制与运营效率及效果相平衡的原则，针对重大风险所涉及的各管理及业务流程，制定涵盖各个环节的全流程控制措施；对其他风险所涉及的业务流程，要把关键环节作为控制点，采取相应的控制措施。
第三十四条企业制定内控措施，一般至少包括以下内容：
（一）建立内控岗位授权制度。对内控所涉及的各岗位明确规定授权的对象、条件、范围和额度等，任何组织和个人不得超越授权做出风险性决定；
（二）建立内控报告制度。明确规定报告人与接受报告人，报告的时间、内容、频率、传递路线、负责处理报告的部门和人员等；
（三）建立内控批准制度。对内控所涉及的重要事项，明确规定批准的程序、条件、范围和额度、必备文件以及有权批准的部门和人员及其相应责任；
（四）建立内控责任制度。按照权利、义务和责任相统一的原则，明确规定各有关部门和业务单位、岗位、人员应负的责任和奖惩制度；
（五）建立内控审计检查制度。结合内控的有关要求、方法、标准与流程，明确规定审计检查的对象、内容、方式和负责审计检查的部门等；
（六）建立内控考核评价制度。具备条件的企业应把各业务单位风险管理执行情况与绩效薪酬挂钩；
（七）建立重大风险预警制度。对重大风险进行持续不断的监测，及时发布预警信息，制定应急预案，并根据情况变化调整控制措施；
(八)建立健全以总法律顾问制度为核心的企业法律顾问制度。大力加强企业法律风险防范机制建设，形成由企业决策层主导、企业总法律顾问牵头、企业法律顾问提供业务保障、全体员工共同参与的法律风险责任体系。完善企业重大法律纠纷案件的备案管理制度；
（九）建立重要岗位权力制衡制度，明确规定不相容职责的分离。主要包括：授权批准、业务经办、会计记录、财产保管和稽核检查等职责。对内控所涉及的重要岗位可设置一岗双人、双职、双责，相互制约；明确该岗位的上级部门或人员对其应采取的监督措施和应负的监督责任；将该岗位作为内部审计的重点等。
第三十五条企业应当按照各有关部门和业务单位的职责分工，认真组织实施风险管理解决方案，确保各项措施落实到位。 第三十六条企业应以重大风险、重大事件和重大决策、重要管理及业务流程为重点，对风险管理初始信息、风险评估、风险管理策略、关键控制活动及风险管理解决方案的实施情况进行监督，采用压力测试、返回测试、穿行测试以及风险控制自我评估等方法对风险管理的有效性进行检验，根据变化情况和存在的缺陷及时加以改进。
第三十七条企业应建立贯穿于整个风险管理基本流程，连接各上下级、各部门和业务单位的风险管理信息沟通渠道，确保信息沟通的及时、准确、完整，为风险管理监督与改进奠定基础。
第三十八条企业各有关部门和业务单位应定期对风险管理工作进行自查和检验，及时发现缺陷并改进，其检查、检验报告应及时报送企业风险管理职能部门。
第三十九条企业风险管理职能部门应定期对各部门和业务单位风险管理工作实施情况和有效性进行检查和检验，要根据本指引第三十条要求对风险管理策略进行评估，对跨部门和业务单位的风险管理解决方案进行评价，提出调整或改进建议，出具评价和建议报告，及时报送企业总经理或其委托分管风险管理工作的高级管理人员。
第四十条企业内部审计部门应至少每年一次对包括风险管理职能部门在内的各有关部门和业务单位能否按照有关规定开展风险管理工作及其工作效果进行监督评价，监督评价报告应直接报送董事会或董事会下设的风险管理委员会和审计委员会。此项工作也可结合年度审计、任期审计或专项审计工作一并开展。
第四十一条企业可聘请有资质、信誉好、风险管理专业能力强的中介机构对企业全面风险管理工作进行评价，出具风险管理评估和建议专项报告。报告一般应包括以下几方面的实施情况、存在缺陷和改进建议：
（一）风险管理基本流程与风险管理策略；
（二）企业重大风险、重大事件和重要管理及业务流程的风险管理及内部控制系统的建设；
（三）风险管理组织体系与信息系统；
（四）全面风险管理总体目标。 第四十二条企业应建立健全风险管理组织体系，主要包括规范的公司法人治理结构，风险管理职能部门、内部审计部门和法律事务部门以及其他有关职能部门、业务单位的组织领导机构及其职责。
第四十三条企业应建立健全规范的公司法人治理结构，股东（大）会（对于国有独资公司或国有独资企业，即指国资委，下同）、董事会、监事会、经理层依法履行职责，形成高效运转、有效制衡的监督约束机制。
第四十四条国有独资公司和国有控股公司应建立外部董事、独立董事制度，外部董事、独立董事人数应超过董事会全部成员的半数，以保证董事会能够在重大决策、重大风险管理等方面作出独立于经理层的判断和选择。
第四十五条董事会就全面风险管理工作的有效性对股东（大）会负责。董事会在全面风险管理方面主要履行以下职责：
（一）审议并向股东（大）会提交企业全面风险管理年度工作报告；
（二）确定企业风险管理总体目标、风险偏好、风险承受度，批准风险管理策略和重大风险管理解决方案；
（三）了解和掌握企业面临的各项重大风险及其风险管理现状，做出有效控制风险的决策；
（四）批准重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；
（五）批准重大决策的风险评估报告；
（六）批准内部审计部门提交的风险管理监督评价审计报告；
（七）批准风险管理组织机构设置及其职责方案；
（八）批准风险管理措施，纠正和处理任何组织或个人超越风险管理制度做出的风险性决定的行为；
（九）督导企业风险管理文化的培育；
（十）全面风险管理其他重大事项。
第四十六条具备条件的企业，董事会可下设风险管理委员会。该委员会的召集人应由不兼任总经理的董事长担任；董事长兼任总经理的，召集人应由外部董事或独立董事担任。该委员会成员中需有熟悉企业重要管理及业务流程的董事，以及具备风险管理监管知识或经验、具有一定法律知识的董事。
第四十七条风险管理委员会对董事会负责，主要履行以下职责：
（一）提交全面风险管理年度报告；
（二）审议风险管理策略和重大风险管理解决方案；
（三）审议重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制，以及重大决策的风险评估报告；
（四）审议内部审计部门提交的风险管理监督评价审计综合报告；
（五）审议风险管理组织机构设置及其职责方案；
（六）办理董事会授权的有关全面风险管理的其他事项。
第四十八条企业总经理对全面风险管理工作的有效性向董事会负责。总经理或总经理委托的高级管理人员，负责主持全面风险管理的日常工作，负责组织拟订企业风险管理组织机构设置及其职责方案。
第四十九条企业应设立专职部门或确定相关职能部门履行全面风险管理的职责。该部门对总经理或其委托的高级管理人员负责，主要履行以下职责：
（一）研究提出全面风险管理工作报告；
（二）研究提出跨职能部门的重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；
（三）研究提出跨职能部门的重大决策风险评估报告；
（四）研究提出风险管理策略和跨职能部门的重大风险管理解决方案，并负责该方案的组织实施和对该风险的日常监控；
（五）负责对全面风险管理有效性评估，研究提出全面风险管理的改进方案；
（六）负责组织建立风险管理信息系统；
（七）负责组织协调全面风险管理日常工作；
（八）负责指导、监督有关职能部门、各业务单位以及全资、控股子企业开展全面风险管理工作；
（九）办理风险管理其他有关工作。
第五十条企业应在董事会下设立审计委员会，企业内部审计部门对审计委员会负责。审计委员会和内部审计部门的职责应符合《中央企业内部审计管理暂行办法》（国资委令第8号）的有关规定。内部审计部门在风险管理方面，主要负责研究提出全面风险管理监督评价体系，制定监督评价相关制度，开展监督与评价，出具监督评价审计报告。
第五十一条企业其他职能部门及各业务单位在全面风险管理工作中，应接受风险管理职能部门和内部审计部门的组织、协调、指导和监督，主要履行以下职责：
（一）执行风险管理基本流程；
（二）研究提出本职能部门或业务单位重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；
（三）研究提出本职能部门或业务单位的重大决策风险评估报告；
（四）做好本职能部门或业务单位建立风险管理信息系统的工作；
（五）做好培育风险管理文化的有关工作；
（六）建立健全本职能部门或业务单位的风险管理内部控制子系统；
（七）办理风险管理其他有关工作。
第五十二条企业应通过法定程序，指导和监督其全资、控股子企业建立与企业相适应或符合全资、控股子企业自身特点、能有效发挥作用的风险管理组织体系。 第五十三条企业应将信息技术应用于风险管理的各项工作，建立涵盖风险管理基本流程和内部控制系统各环节的风险管理信息系统，包括信息的采集、存储、加工、分析、测试、传递、报告、披露等。
第五十四条企业应采取措施确保向风险管理信息系统输入的业务数据和风险量化值的一致性、准确性、及时性、可用性和完整性。对输入信息系统的数据，未经批准，不得更改。
第五十五条风险管理信息系统应能够进行对各种风险的计量和定量分析、定量测试；能够实时反映风险矩阵和排序频谱、重大风险和重要业务流程的监控状态；能够对超过风险预警上限的重大风险实施信息报警；能够满足风险管理内部信息报告制度和企业对外信息披露管理制度的要求。
第五十六条风险管理信息系统应实现信息在各职能部门、业务单位之间的集成与共享，既能满足单项业务风险管理的要求，也能满足企业整体和跨职能部门、业务单位的风险管理综合要求。
第五十七条企业应确保风险管理信息系统的稳定运行和安全，并根据实际需要不断进行改进、完善或更新。
第五十八条已建立或基本建立企业管理信息系统的企业，应补充、调整、更新已有的管理流程和管理程序，建立完善的风险管理信息系统；尚未建立企业管理信息系统的，应将风险管理与企业各项管理业务流程、管理软件统一规划、统一设计、统一实施、同步运行。 第五十九条企业应注重建立具有风险意识的企业文化，促进企业风险管理水平、员工风险管理素质的提升，保障企业风险管理目标的实现。
第六十条风险管理文化建设应融入企业文化建设全过程。大力培育和塑造良好的风险管理文化，树立正确的风险管理理念，增强员工风险管理意识，将风险管理意识转化为员工的共同认识和自觉行动，促进企业建立系统、规范、高效的风险管理机制。
第六十一条企业应在内部各个层面营造风险管理文化氛围。董事会应高度重视风险管理文化的培育，总经理负责培育风险管理文化的日常工作。董事和高级管理人员应在培育风险管理文化中起表率作用。重要管理及业务流程和风险控制点的管理人员和业务操作人员应成为培育风险管理文化的骨干。
第六十二条企业应大力加强员工法律素质教育，制定员工道德诚信准则，形成人人讲道德诚信、合法合规经营的风险管理文化。对于不遵守国家法律法规和企业规章制度、弄虚作假、徇私舞弊等违法及违反道德诚信准则的行为，企业应严肃查处。
第六十三条企业全体员工尤其是各级管理人员和业务操作人员应通过多种形式，努力传播企业风险管理文化，牢固树立风险无处不在、风险无时不在、严格防控纯粹风险、审慎处置机会风险、岗位风险管理责任重大等意识和理念。
第六十四条风险管理文化建设应与薪酬制度和人事制度相结合，有利于增强各级管理人员特别是高级管理人员风险意识，防止盲目扩张、片面追求业绩、忽视风险等行为的发生。
第六十五条企业应建立重要管理及业务流程、风险控制点的管理人员和业务操作人员岗前风险管理培训制度。采取多种途经和形式，加强对风险管理理念、知识、流程、管控核心内容的培训，培养风险管理人才，培育风险管理文化。 第六十六条中央企业中未设立董事会的国有独资企业，由经理办公会议代行本指引中有关董事会的职责，总经理对本指引的贯彻执行负责。
第六十七条本指引在中央企业投资、财务报告、衍生产品交易等方面的风险管理配套文件另行下发。
第六十八条本指引的《附录》对本指引所涉及的有关技术方法和专业术语进行了说明。
第六十九条本指引由国务院国有资产监督管理委员会负责解释。
第七十条本指引自印发之日起施行。

❺ 人民银行重大决策风险评估制度

中国人民银行关于印发《金融机构洗钱和恐怖融资风险评估及客户分类管理指引》的通知

中国人民银行上海总部,各分行、营业管理部,各省会（首府）城市中心支行,各副省级城市中心支行；国家开发银行、各政策性银行、国有商业银行、股份制商业银行，中国邮政储蓄银行；中国银联、农信银资金清算中心、城市商业银行资金清算中心：

为深入实践风险为本的反洗钱方法，指导金融机构评估洗钱和恐怖融资（以下统称洗钱）风险，合理确定客户洗钱风险等级，提升反洗钱和反恐怖融资工作有效性，根据《中华人民共和国反洗钱法》等法律规定，中国人民银行制定了《金融机构洗钱和恐怖融资风险评估及客户分类管理指引》(以下简称《指引》)，现印发给你们，并就执行《指引》中的有关事项通知如下，请遵照执行。

一、金融机构工作安排

金融机构可按照《指引》所确定的自主管理原则，决定是否执行《指引》。

（一）决定全部或部分执行《指引》规定的金融机构应按照以下要求开展工作：

1.在2013年3月15日前制定执行《指引》的工作方案，报中国人民银行或中国人民银行授权对该金融机构实施反洗钱监管的当地中国人民银行分支机构（以下统称当地中国人民银行分支机构）。

2.在2013年12月31日前按照《指引》要求，制定或修改完善反洗钱内控制度及操作流程（以下统称新内控制度），并向中国人民银行或当地中国人民银行分支机构报备。

3.在2015年1月1日前实施新内控制度，按照《指引》要求，启动洗钱和恐怖融资风险评估以及客户风险等级划分等工作。

4.在2015年12月31日前，完成对新内控制度实施前已与本机构建立业务关系客户的风险等级的重新确认工作。工作量特别大的金融机构可向中国人民银行申请适当延长工作期限。

（二）决定不执行《指引》的金融机构应在2013年9月15日前完成评估论证工作，并向中国人民银行或当地中国人民银行分支机构书面报告评估论证的方法、过程及结论。金融机构在30个工作日内未收到中国人民银行或当地中国人民银行分支机构反馈异议的，可不再执行本通知要求。

二、中国人民银行监管工作要求

中国人民银行或其分支机构收到金融机构提交的工作方案及相关报告后，如有不同意见，应在30个工作日内向金融机构反馈。

中国人民银行及其分支机构应将金融机构、金融机构分支机构执行符合《指引》要求的新内控制度以及按自主管理原则确立的其他反洗钱措施情况，作为反洗钱监管重点。

请中国人民银行上海总部，各分行、营业管理部，各省会（首府）城市中心支行，大连、青岛、宁波、厦门、深圳市中心支行将本通知转发至总部注册地在辖区内的各城市商业银行、农村商业银行、农村合作银行、城市信用社、农村信用社、村镇银行、外资银行、证券公司、期货经纪公司、基金管理公司、保险公司、保险资产管理公司、信托公司、金融资产管理公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等金融机构和支付机构。

❻ 能够用于P2P的风险评估模型有哪些呀

1、阳光宝利推出的实用个人P2P理财风险评估模型”
2、Kernel-Based Model
3、R2BTM模型（reputation and risk evaluation based trust model）
我知道的有这三种。

❼ 保险公估流程

这些就是干这行最基本的东西 你现在必须要找资料学习一下 因为东西太多 没法说啊 说明白一句话 就是你必须对你估损的要了解换或修的价格 要给的基本公平 然后用书面形式表现出来

❽ 求信息安全风险评估管理软件

Info-Riskmanager with ITBPM

Info-Riskmanager with ITBPM是基于局域网运行的信息安全风险评估和管理工具软件，用户可以利用该工具软件方便、快速、全面、持续地识别和管理信息安全风险，可用于ISO27001、ISO20000所要求的风险评估和风险管理过程。该工具软件还包含ITBPM（德国IT基线保护手册）的全部“资产-威胁-控制措施”模型，方便用户根据ITBPM建立适用的IT保护机制。
Info-Riskmanager with ITBPM将复杂、繁琐、耗时、多变的风险评估和管理过程转变为简单、直观、快速和易于管理。其评估过程严谨统一，全面细致，结果直观可靠，科学合理，能够大幅度提高风险评估和风险管理的效率和效果。

❾ 为什么要加强风险评估

我国网络银行面临的风险与对策 论文
[摘 要] 文章从技术上、操作上、社会环境等方面阐述了网络银行的风险及其相应的防范措施。
[关键词] 网络银行;风险;防范
我国网络银行除了具有传统银行的流动性风险、利率风险、结算风险、道德风险、新金融工具风险外,还增加了一些网络环境下的新风险。

一、 我国网络银行面临的风险

1.系统风险
(1) 操作系统风险。操作系统是作为计算机资源的直接管理者,它直接和硬件打交道并为用户提供接口,是计算机系统能够正常、安全运行的基础。Windows操作系统存在许多安全漏洞,UNIX操作系统是一个开放的系统,源代码已公开。根据美、荷、法、德、英、加共同制定的通用安全评价标准《Common Criteria for IT Security Evaluation(简称CC标准)》,微软的Windows操作系统、大部分的UNIX操作系统其安全性仅达到C2级安全,而网络银行的操作系统的安全级别应至少达到B级。
(2)应用系统风险。网络业务系统设计存在漏洞。目前,网络应用软件存在以下安全漏洞:无效参数、失效的访问控制、失效的账户、跨站点脚本漏洞、缓冲溢出、命令注入漏洞、错误处理问题、密码系统的非安全利用、远程管理漏洞、网络及应用软件服务器错误配置。
在设计过程中,只重视“计算机如何完成任务”方面的设计,对运行过程中的程序控制或检查考虑不全面,系统没有为审计留下接口,难以进行实时审计。
(3)数据存储风险。数据存取、保密、硬盘损坏导致的风险。
(4)数据传输风险。数据传输过程中被窃取、修改等风险。

2.操作风险
网络银行操作风险是指由于网络银行中的内部程序、人员、系统的不完善或失误,以及外部事件而导致网络银行直接或间接损失的风险。产生操作风险的原因有以下几点:
(1)网络银行操作风险意识淡薄。
(2)组织机构职责不清。
(3)内控制度不健全或执行不力。
(4)没有适合的网络银行稽核审计部门。

3.信用风险
网络银行的信用风险主要表现为客户在网络上使用信用卡进行支付时恶意透支,或使用伪造的信用卡来欺骗银行。

4.信息不对称风险
信息不对称表现在两个方面,一方面是由于网络银行无法得到足够客户信息,另一方面是由于客户无法得到有关网络银行的足够信息。信息不对称使得网上客户更容易隐蔽他们的信息和行动,做出对自己有利而对网络银行不利的行为,也使得客户不能正确评价网络银行的优劣。

5.法律风险
我国对网络银行和网上交易缺乏相应的法规。如:如何征收与管理网上税收、数字签名是否具有法律效力、交易的跨国界问题、知识产权问题、电子合同问题、电子货币问题、电子转账问题。

二、 我国网络银行风险防范对策

1.系统风险的防范
(1)物理安全。主要指对计算机设备场地、计算机系统、网络设备、密钥等关键设备的安全防卫措施。为了防止电磁泄露,要对电源线和信号线加装滤波器,减少传输阻抗和导线间的交叉耦合,同时对辐射进行防护。
(2)应用安全操作系统技术。安全操作系统不仅可以防范黑客利用操作系统平台本身的漏洞来攻击网络银行交易系统,而且它还可以在一定程度上屏蔽掉应用软件系统的某些安全漏洞。美国先后开发了各种级别的安全操作系统,其中作为商用的有Data General公司的DG UX B1/B2安全操作系统,HP公司的HPUX CMW B1级安全操作系统等。国内各大科研机构及公司也研制出高安全级别的操作系统,如:中科院信息安全工程研究中心研制的SECLINUX安全操作系统、中软总公司研制的COSIX LINUX系统。目前,中国建设银行的网络银行系统建立在安全操作系统平台之上,该系统基于HP9000硬件平台,采用HP公司的B1级安全操作系统。
(3)数据通信加密技术的应用。对传输中的数据流进行加密,按实现加密的通信层次可分为链路加密、节点加密、端到端加密。在链路数较多以及对流量分析要求不高的情况下,适合采用“端到端加密”方式。在对流量分析要求较高的情况下,可采用“链路加密”与“端到端加密”相结合的方式:用“链路加密”对报文的报头进行加密,防止进行流量分析,再用“端到端加密”对传送的报文进行加密保护。
对数据进行加密的算法主要有DES和RSA两种。DES属于私钥加密体制(又称对称加密体制),它的优点是加、解密速度快,算法容易实现,安全性好,缺点是密钥管理不方便。RSA属于公钥加密体制(又称非对称加密体制),它的优点是安全性好,网络中容易实现密钥管理。因此可以采用将DES和RSA相结合的综合加密体制:用DES算法对数据进行加密,用RSA算法对密钥进行加密。
(4)应用系统安全。应用系统安全主要包括对交易双方的身份确认和对交易的确认。在网络银行系统中,用户的身份认证依靠数字签名机制和登录密码双重检验,将来还可以通过自动指纹认证系统进行身份认证。数字签名还确保了客户提交的交易指令的不可否认性。公钥基础设施——PKI(Public Key Infrastructure)是解决大规模网络环境中信任和加密问题的很好的解决方案。同时采用安全电子交易协议,目前主要的协议标准有:安全超文本传输协议(S-HTTP)、安全套接层协议(SSL)、安全交易技术协议(STT)、安全电子交易协议(SET),其中SET涵盖了信用卡的交易协定、信息保密、资料完整及数据认证、数字签名等,已经成为事实上的工业标准。

加强应用系统开发过程的审计,应用系统运行过程中的实时审计。
(5)应用数据库安全技术。应用存取控制技术、数据加密技术、硬盘分区防护技术、数据库的安全审计技术、故障恢复技术等。
(6)应用防火墙安全技术。建立综合计算机病毒检测技术、代理服务技术和包过滤技术的第四代防火墙,提供DES加密、支持链路加密或虚拟专网、病毒扫描等安全服务,并具有实时报告、实时监控、记录非法登录、统计分析等功能。设置放火墙时要截止所有从135到142的TCP和UDP连接,改变默认配置端口,拒绝PING 信息包,通过设置ACCESS LIST 的过滤规则来实现包过滤功能。采用防火墙双机冷备份策略。进行入侵检测和定期漏洞扫描。

2.操作风险的防范
操作风险主要来自银行内部,应完善网络银行的内部控制制度,建立科学的操作规范,严格内部制约机制,将不相容职务如管理员与经办员分离、程序员与操作员分离、制作者与执行者分离,对主管和操作员实行IC卡身份鉴别,并同时加口令,任何进入系统的操作必须有日志记载。
建立操作风险管理中心,对员工进行防范操作风险的技术培训,监督各项操作风险管理制度的执行情况,对网络银行的操作风险进行评估,并采取相应措施。建立操作风险应急反应中心,对业务的影响因素进行研究,识别出可能导致业务中止的情况,系统的备份及定期测试公司的灾难应急计划,对出现的安全问题提供技术支援和解决方案。使用保险来抵补那些“低频率、高危害”的操作风险。建立操作风险审计中心,对全部的网络银行业务实时监控、网络扫描,并利用审计记录,对业务操作人员和计算机系统管理人员进行稽核。
来自外部的操作风险,尤其是网络银行金融欺诈方面,不但要对个人服务的零售业务进行监控,还要加强对登录网络银行的企业加强监控,通过数据挖掘软件对可疑资金交易进行分析,防范利用网络进行非法资金交易。

3.信用风险的防范
建立全国性的用户信用管理信息系统,将用户划分为不同的信用等级,针对不同等级的用户采取不同的管理措施。应共享客户资料信息库,与其他商业银行、保险公司等非银行金融机构、世界各银行等金融机构合作,及时将客户的守信情况和违约情况记录入库。

4.信息不对称风险的防范
建立信息披露制度,强化信息披露的质量。应定期发布经注册会计师审计的关于网络银行经营活动和财务状况的公允信息,披露有关网络银行风险的大小和网络银行为了规避风险而采取的措施以及消费者权益保护的信息。建立社会监管体系,网络银行之间进行相互监督。

5.法律风险的防范
应充分利用和执行《网络银行业务管理暂行办法》,应充分利用《合同法》、《会计法》、《票据法》、《支付结算办法》等法律拟订网络银行相关协议,制定有关业务流程和业务处理规定,应充分利用目前执行的关于网络安全方面的行政法规,如《计算机信息系统安全保护条例》、《计算机信息网络国际联网管理暂行规定》等,充分利用中国金融认证中心在认证技术方面的权威性和第三方认证的合理性。网络银行应注重交易数据的保管,为可能的纠纷或诉讼过程做好证据准备。
建立网络银行法律监管体系,制定网络银行的外部惩罚措施以及网络银行的市场退出机制。建立网络银行业务运营法律体系,如建立《电子银行法》、《电子签名法》、《电子资金划拨法》等法律法规,同时对已有法律法规进行充实、修改。完善网络银行配套法律法规建设,主要有税收征管法、国际税收法、电子商务法、刑法、诉讼法、票据法、证券法、商业银行法、消费者权益保护法、反不正当竞争法等相关法律法规。加强与国际立法、司法实践的交流与合作,加大打击网上洗钱、网上盗窃等电子犯罪的力度。 帮