第2章金融信息风险.pptVIP

评估主体（风险评估的要素之一） 第三方的领域专家，包括金融领域的业务专家、信息技术领域的专家…… 评估客体 金融企业的金融信息系统 第三十一页，共四十八页。 风险评估的内容： 风险本身的界定。风险发生的可能性；风险强度；风险持续时间；风险发生的区域及关键风险点。 风险作用方式的界定。风险对企业的影响是直接的还是间接的；是否会引发其他的相关风险；风险对企业的作用范围等。 风险后果的界定。在损失方面：如果风险发生，对企业会造成多大的损失？如果避免或减少风险，企业需要付出多大的代价？在冒风险的利益方面：如果企业冒了风险，可能获得多大的利益？如果避免或减少风险，企业得到的利益又是多少？ 第三十二页，共四十八页。 评估（风险）数据来源： 问卷调查方式：基于特定标准或基线建立对特定系统进行审查的项目条款，提供一套关于管理或操作控制的问题表格，供系统技术或管理人员填写，以了解组织的主要业务、重要资产、面临的威胁、管理上的缺陷、采用的控制措施和安全策略的执行情况。 现场面谈：现场观察收集系统在物理、环境和操作方面的信息，要求相关部门对所采取的措施进行答辩。 通过查阅审计报告、外部监管报告等获得管理、技术和运行各方面的信息。 第三十三页，共四十八页。 评估方法-专家咨询法（德尔菲法） 通过背对背群体决策咨询的方法，群体成员各自独立工作，然后以系统的、独立的方式综合他们的判断，克服