时间：2023-06-12 09:11:25
绪论：在寻找写作灵感吗？爱发表网为您精选了8篇安全风险等级划分标准，愿这些内容能够启迪您的思维，激发您的创作热情，欢迎您的阅读与分享！
关键词：洗钱；风险等级;划分；困境；路径
中图分类号：F832.2文献标识码：A 文章编号:1003－9031(2011)09－0055－03DOI:10.3969/j.issn.1003-9031.2011.09.13
一、问题的提出
客户洗钱风险等级划分，是指金融机构依据客户的特点或账户的属性以及其它涉嫌洗钱和恐怖融资的相关风险因素，通过综合分析、甄别，将客户或账户划分为不同的洗钱风险等级并采取相应控制措施的活动。作为风险管控理念的具体实践，客户洗钱风险等级划分是金融机构履行客户身份识别义务的重要内容，它对有效防范洗钱和恐怖融资风险具有非常重要的作用。一是能够增强客户身份识别工作的目的性和科学性。根据客户洗钱风险高低给予不同程度的关注和控制，使客户身份识别工作更加细致有效、贴合实际。二是能够提高可疑交易分析识别的有效性和准确性。通过客户风险等级划分将洗钱风险的评价判断从交易时提前至建立业务关系时，并且能够始终将客户与客户的交易紧密联系，为主观分析识别可疑交易奠定了基础。三是降低反洗钱工作成本。对占绝大多数比例的低风险客户在身份识别措施强度上的豁免，能够节约合规资源。四是增加了对客户身份的了解和判断的步骤，能够为金融机构其他条线和部门的合规运作、风险防范提供有效的信息资源[1]。然而，由于受到各种主客观因素的制约，目前金融机构客户洗钱风险等级划分工作在制度和执行层面均存在一些困境，直接影响到我国金融领域反洗钱工作的进程和反洗钱监管工作的有效性。为此，加大对这些困境的研究分析，找出相应地突破路径显得尤其具有意义。
二、金融机构划分客户洗钱风险等级时面临的困境
目前各金融机构在开展客户洗钱风险等级划分工作中面临的困境主要包括两类：一类是制度困境，即金融机构在划分客户洗钱风险等级时面临的制度层面不利因素的制约，主要表现为一种客观的外部环境因素；另一类是执行困境，是指金融机构在划分客户洗钱风险等级时存在的具体执行方面的问题，主要表现为主观方面的因素制约。
（一）制度困境
1.客户洗钱风险等级划分相关法律规定过于原则，分行业工作指引不完善。金融机构客户洗钱风险等级划分工作是立法完善、执法督促、行业治理、义务主体自觉等多层次、多角度、多主体的系统性工作，但目前我国反洗钱相关法律法规中对客户风险等级划分的规定较为原则，不利于金融机构在实践中具体操作。同时，目前除证券期货业制定了本行业的客户风险等级划分工作指引外，银行、保险等行业尚未制定统一、规范的客户风险等级划分工作指引，因而呈现出各个法人金融机构自行制定客户风险等级划分办法的局面，缺乏囊括同行业而具有共性特征的基础工作指引。
2.客户风险等级划分信息平台建设滞后，制约了等级的有效划分。金融机构通过内部或者外部等渠道，全面、动态掌握同一客户或账户洗钱风险等级及风险因素等相关信息，有助于提高划分风险等级的准确性和及时性，进而确保风险管控的针对性和有效性。但目前我国尚未建立专门的反洗钱信息平台，金融机构无法掌握跨行业或跨机构的相关信息，对客户的识别主要停留在有效身份证件的真假等法定真实性层面，无法深入结合交易背景、交易目的等情况，及时、有效的收集客户相关身份和背景信息。客户身份信息识别手段的滞后客观上为金融机构识别和评价客户风险等级带来了较大的困扰。
（二）执行困境
1.客户洗钱风险等级划分标准界定简单，可操作性不强。一是多数机构的客户风险等级划分标准界定简单，笼统地将客户风险等级划分为三级或三级以上，如高、中、低或风险类、关注类、一般类等三级风险，正常类、关注类、可疑类、禁止类等四级风险，而没有按照客户的特点或者账户的属性，结合地域、行业、交易行为等风险要素进行具体细化，实践中缺乏可操作性。二是未完整按照与客户初次建立业务关系、业务关系存续期间、业务关系终止的环节及过程加以区分，客户风险种类和等级划分的时间段模糊，不利于在业务发生时期根据客户的异常交易和行为及时发现风险。三是大部分金融机构客户风险等级的划分主要采取定性分类的方法，而没有综合考虑相关因素，采取定性分析与定量分析相结合的风险分类方法。
2.客户风险等级划分覆盖面不全，部分特殊业务未得到有效划分。目前不少金融机构制定的客户风险等级划分标准中，未覆盖各个业务部门和各业务条线的全过程，不利于采取有效措施对不同种类风险的客户资金来源、资金用途、经济状况或经营状况等进行了解，并不利于对其金融交易活动进行监测分析。譬如，在银行业金融机构中，对网银等非面对面业务、对证券和保险机构交易监测等方面的风险划分标准中存在空白点；在证券业机构中，对于历史原因遗留的相当一部分不合格账户，由于客户早期登记的信息变动很大，联系客户存在较大困难，许多遗留账户至今无法清理核实。
3.科技手段应用不足与依赖性并存，客户风险等级划分的实效性有限。一方面，不少金融机构的客户洗钱风险等级划分标准没有与本单位的综合业务系统实现连接，不能从核心系统中实时反映和提取相关数据，风险等级划分主要依靠一线人员手工完成，风险等级划分的时效性差且工作效率低下；另一方面，部分机构建立了较完善的风险等级划分管理系统和工作流程，但操作时过于依赖系统进行等级划分，人工分析判断的力度不足，造成系统划分的风险等级不能完全反映客户实际的风险状况，降低了风险等级划分工作的实效性。
4.客户洗钱风险等级划分内控职责不清，部门内部协调和信息传导不畅。金融机构制定的内控制度中普遍缺乏对高管人员在执行风险等级划分标准中的管理责任和义务的明确规定，不利于高管层和决策层全面及时了解本单位的整体风险状况。操作中有些机构的高管人员和决策层将精力更多地放在事后如何化解风险上，而不注重制度的缺失、有效性不足可能给本机构带来的风险和隐患。此外，部门之间缺乏必要的配合，各业务条线之间、各部门之间落实客户风险等级划分制度内部传导机制不协调，信息不畅通等问题也普遍存在[2]。
5.客户风险等级划分结果利用率不足，划分工作流于表面形式。目前，部分金融机构划分客户风险等级不是出于预防本机构洗钱风险的需要，而是担心受到监管机关处罚而被迫开展，客户风险等级划分结果的利用率不足，划分工作流于表面形式。这些机构对风险等级划分的结果只停留在查询、浏览等简单功能的使用上，而未从本机构洗钱风险防范的角度出发，根据分类结果提示的客户风险状况，进一步评估客户的既有或潜在洗钱风险，进而采取有效的应对措施，切实防范洗钱风险。
三、突破客户洗钱风险等级划分困境的路径
金融机构客户洗钱风险等级划分工作在制度和执行层面遇到的困境主要涉及金融机构、反洗钱行政主管部门（即人民银行）和行业监管部门等三个层面。因此，对困境的突破应主要从这三个方面入手，有针对性地加以改进和完善。
（一）人民银行层面
1.完善客户风险等级划分相关配套制度，规范金融机构客户风险等级划分工作。一是作为反洗钱行政主管部门，人民银行可借鉴国外先进经验，牵头组织有关力量和部门，在综合各行业金融监管部门制定的客户洗钱风险划分工作指引的基础上，研究出台金融业客户洗钱风险等级划分工作指引等规范性文件，规范各金融机构的风险等级划分工作。二是考虑在金融机构大额交易和可疑交易报告要素内容中增加客户风险等级标识，便于反洗钱监测分析中心掌握高风险和重点客户信息，增强对各金融机构报告的可疑交易的分析和甄别能力。
2.加快反洗钱信息系统建设，搭建有效的信息查询平台。一是人民银行可考虑整合企业和个人信用信息数据库、账户管理系统、企业机构代码查询系统和联网核查公民身份信息系统等内部资源，开发客户综合信息管理系统，并按权限开放给各金融机构使用，便于各金融机构的客户信息查询、核对和共享。二是人民银行应充分发挥组织协调优势，在各行业监管部门协助下积极搭建跨行业风险等级信息交流平台，组织推动各类金融机构进行信息交流。其中系统内部可以通过网络化平台实现客户洗钱风险等级信息和风险因素相关信息的交流，而行业内部交流和跨行业交流可以仅限为各自最高风险等级客户的相关资料，并且在信息交流过程中应全面做好保密工作。
3.实践风险为本的反洗钱监管理念，督促金融机构切实履行各项反洗钱义务。首先，探索建立监管部门与金融机构良性互动、公开透明的反洗钱监管工作机制，实践风险为本的反洗钱监管方法，引导金融机构在注重内部合规建设的同时要树立风险为本的意识，注重预防系统性风险，强化对反洗钱内部组织管理、内控流程的覆盖性和有效性建设。其次，开展客户风险等级划分的专项检查，通过实地了解全面评价客户风险等级划分工作的实效性，及时采取相应监管措施，督促金融机构切实履行各项反洗钱义务。第三，完善金融机构反洗钱工作风险评估体系，根据日常非现场监管和执法检查获取的监管信息，全面评估各金融机构客户洗钱风险管理工作质量，并根据评估结果合理配置监管资源，重点突出地对客户洗钱风险等级划分和管理薄弱的机构加大督导力度，提高工作的有效性。
（二）行业监管部门层面
1.制定行业洗钱风险等级划分工作指引，规范行业风险等级划分工作。行业监管部门和行业协会应充分发挥对本行业各种金融业务品种产生洗钱风险的可能性和危害性的识别、分析优势，依据相关法律法规研究、制定行业性金融机构客户洗钱风险等级划分工作指引，解析客户特点或账户属性的涵义、表现及所涉风险点，明确该行业中客户身份、地域、业务、行业、交易以及其他涉嫌洗钱和恐怖融资相关因素，确立必要的工作原则，统一划分风险等级和划分标准，规定基础性的风险监控措施[3]。
2.发挥行业组织管理优势，推动客户洗钱风险等级信息交流机制建设。行业监管部门和行业协会可发挥对行业的组织管理优势，推动建立健全行业内部和跨行业客户洗钱风险等级信息交流机制。同时，监督指导行业内部金融机构完善相关内控制度，推动金融机构依法有序开展风险等级划分工作。
（三）金融机构层面
1.强化全员反洗钱意识，加大对客户洗钱风险等级划分工作的培训力度。金融机构开展反洗钱工作不能仅仅停留在应付监管部门工作安排的层面上，而应坚持风险为本的反洗钱工作理念，主动准确地开展客户风险等级划分工作。其次，金融机构应加强对一线员工客户洗钱风险等级划分工作的培训。一线员工是金融机构客户洗钱风险等级划分标准日常的实践者，金融机构应对其开展持续性、富有成效的培训，使各业务人员掌握并运用客户风险等级分类管理和风险划分标准操作的方式方法，保障制度执行不受管理层变更或员工岗位变动或组织结构变化的影响，确保本机构在制度执行中的有效性和连续性。
2.合理制定客户风险等级划分标准，确保划分工作的全面性和有效性。第一，金融机构要综合考虑和分析客户的地域、行业、身份、交易目的、交易特征等涉嫌洗钱和恐怖融资的各类风险因素，合理制定客户风险等级划分标准，将客户风险等级至少划分为高、中、低三个级别，并细化各个级别的评估标准，确保划分标准的可操作性。第二，客户风险等级划分标准应体现不同业务环节的特点。客户风险等级是动态调整的，在与金融机构初次建立业务关系、业务关系存续和终止等不同环节可能存在不同的风险等级，因而划分标准应体现这一特点。除了基础的风险因素外，根据不同环节的业务特点，还应增加不同环节特殊的风险因素，在确定客户风险等级时一并权衡，从而确保风险等级划分的准确性和动态性。第三，要坚持定性与定量相结合的原则。在对客户的国籍、行业、职业等定性指标进行分析的同时，还应对客户资金流量、交易频率、交易所涉人员数量、经营规模和交易规模等定量因素进行分析。第四，要坚持全面性原则。金融机构应全面考虑客户可能涉嫌洗钱和恐怖融资的各类风险因素，对所有客户进行风险等级划分。不仅要考虑与客户身份有关的风险因素，还应当结合自身的业务结构、经营方式和外部环境等风险因素进行全面、综合的考虑和分析。对于因历史原因或其它客观原因无法联系确定客户风险等级的，为防范可能存在的洗钱风险，可考虑采取从严的风险等级划分标准，严密堵住可能的风险漏洞。
3.推进风险等级划分系统化建设，提高风险等级划分工作的实效性。一方面，金融机构应加大技术投入力度，建立健全客户洗钱风险等级划分系统，准确标识客户或账户风险等级，并将其与金融业务系统对接，通过系统整合实现信息报告、自动提示、查询管理等功能提高风险等级划分的及时性和工作效率；另一方面，要加大对系统自动划分风险等级的人工分析判断力度，对于系统划分不准确的客户风险等级要及时进行调整修正，确保风险等级划分工作的准确性和有效性。
4.明确客户洗钱风险等级划分内控职责，强化反洗钱工作合力。一是各金融机构应正确处理内控合规与业务发展的关系，及时根据最新法律规定和监管要求对反洗钱内控制度进行修订完善，奠定客户洗钱风险等级划分工作的基础。二是各金融机构的内控制度应明确高管人员在执行风险等级划分标准中的管理责任和义务，提高高管人员对客户洗钱风险等级划分工作的重视程度。三是各金融机构应明确内部各职能部门在客户风险等级划分工作上的分工配合，并制定具体的考核标准，直接与部门绩效和人员晋职相挂钩，促使各部门主动开展好客户风险等级划分工作，从而形成有效的反洗钱工作合力。
5.加大内部信息共享力度，提高风险等级划分结果的利用率。金融机构应将客户洗钱风险等级划分结果标识在业务系统中，随时提示工作人员关注客户交易及行为，采取相应的客户身份识别和洗钱风险防范措施。在确保反洗钱信息安全的情况下，提供划分结果给相关部门，避免业务拓展的盲目性，防范潜在的洗钱风险。
参考文献：
[1]孙玉刚.论金融机构反洗钱客户风险等级分类管理[J].武汉金融，2010（10）:15-17.
在对企业进行职业病危害现状评价的过程中，目前大都采用的主要是以检查表法为主，结合现场的职业病危害因素的检测情况进行评价，但这种方法只能对职业病危害因素的情况进行简单的总结和分类，分为“合格”或“不合格”，无法对目前企业职业病危害风险做出精确的评估。国内的相关研究将美国道化学公司的火灾爆炸指数法，英国帝国化学公司蒙德工厂的蒙德评估法，日本的六阶段风险评估法等国外的风险评估模型应用到职业卫生评价工作中，虽然这些方法能够减少评估的主观性，使评价准确度提高，但职业病危害评价工作和安全评价工作有着明显的不同，同时这些理论或多或少在实践中存在着一定的缺陷，可操作性不强。
在职业卫生现状评价过程中，通过对企业现场职业病危害因素的识别，结合工艺流程、生产情况和劳动定员的调查，评价人员需要综合考虑职业危害的可能性(接触时间和接触强度)、危害的严重性(健康效应)以及接触人数和防护措施的情况。我国相关学者在参考英国职业健康安全管理体系和美国职业接触的评估和管理策略的基础上，结合自身的实际特点，建立了工作场所职业健康风险评估公式:风险指数=2健康效应等级×2暴露比值×作业条件等级，其中健康效应等级划分标准见表1;暴露比值=平均实测值/职业接触限值;作业条件等级=(暴露时间等级×暴露人数等级×工程防护措施等级×个体防护措施等级)1/4，等式右边各项划分标准见表2。职业危害风险指数大小划分为5级，分别是无危害(～6)、轻度危害(～11)、中毒危害(～23)、高度危害(～80)和极度危害(＞80)。企业现场职业危害风险级别以风险指数最高的为准。
职业病危害现状评价中抵消风险因素
风险抵消因素是通过防护设施、管理手段等减轻危害的因素，即企业的职业卫生管理。
结合国内相关学者在广州市制定的企业职业卫生管理质量评分体系，对企业职业卫生管理的现状进行评价。企业职业卫生管理质量评分体系，初步拟定为组织管理、预防措施、监督检测和健康监护4类共18项，采用的是层次分析法(analytichierarchyprocess)确定因素的权重。通过计算权重对企业的职业卫生管理进行分级，以0.6、0.7、0.8和0.9为界将职业卫生管理质量划分为不及格、及格、一般、良好、优秀5组，见表3。
职业病危害现状风险综合评估
以职业病危害现状评价中固有风险因素的分级作为横坐标，分别是无危害(～6)、轻度危害(～11)、中毒危害(～23)、高度危害(～80)和极度危害(＞80);职业病危害现状评价中抵消风险因素的分级作为纵坐标，不及格、及格、一般、良好、优秀5组，建立职业病危害现状评价分级综合判断表，见表4。表中A代表轻微危害;B代表一般危害;C代表较严重危害;D代表严重危害。
结语
关键词：地铁施工；安全风险管理；管线施工
中图分类号：X731文献标识码： A
引言
目前，随着我国城市化进程的不断推进，我国大城市交通压力越来越大，地面交通已经无法满足人们出行的需求，为了更好地缓解大城市出现的交通压力问题。许多大城市开始向地下交通发展，地铁应运而生，地铁的出现极大地缓解了大城市地面交通压力，使人们不再为出行而烦恼。地铁施工建设工程是一项极为复杂的工程，在建设之前需要进行严格的设计，其中关于地铁施工对于邻近管线安全风险管理问题是地铁建设单位要注意思考的问题。地铁在施工的过程中，如果没有经过严格考量，盲目施工可能会造成地铁沿线邻近管线地基出现问题，甚至会酿成重大的安全事故，因此加强地铁施工对邻近管线安全风险管理研究具有重要意义。
一、地下管线及其安全风险管理流程
（一）地铁施工邻近地下管线分类及其破坏模式
1.地下管线分类
城市地铁施工邻近管线可以按照用途、材质、接口形式等进行分类。按用途分，主要有:燃气管道、给水管道、排水管道、电力和电缆等;按接口形式分，地下管线按照是否设有可允许转动接头分为:刚性管和柔性管;按材质分，主要有:钢筋混凝土(混凝土)管、铸铁管、钢管和聚乙烯管。
（二）地下管线破坏模式管线的破坏形式主要有两种模式，管线应力破坏(常见于柔性管线)。管线接头变形破坏(常见于刚性管线)、地下管线破坏可能是以上两种模式之一，也可能是以上两种模式同时发生。
（三）地下管线安全风险管理流程
地铁施工引起邻近管线安全风险的大小与管线与地铁结构的空间位置、管线现状情况及地铁工程条件等因素有关，邻近管线安全风险管理流程如下:1.进行管线现状调查，根据邻近管线与地铁结构的空间位置关系，划分地铁与管线的邻近等级;根据管线的邻近等级、用途与管线现状，确定评估深度。2.对需要进行评估的管线，进行地铁施工对管线影响分析。3.根据地铁施工对管线的影响、管线现状、管线控制标准，确定管线的安全风险等级;提出地铁工程施工对策与邻近管线保护措施。其中，管线的邻近等级。管线控制标准。管线安全风险等级与保护措施缺乏相应标准，需要进行系统研究。
二、地下管线综合分析
目前城市地下管线分布错综复杂分类方式也多种多样从用途角度上来看主要包括了用水管道、电力管道、光缆以及煤气管道等。这些管道的材质也具有很大的差异性例如钢管、铸铁管、PP管等。上述管道特性在进行管线安全风险管理时都是需要考虑并分析的重点元素。当管道被破坏时一般会表现出两种形式即管线应力破坏、管线接头变形破坏些情况下上述两种模式会同时出现。
结合以上分析笔者总结出了地铁施工邻近管线安全风险管理的具体流程:首先在进行风险管理控制之前先要对管线进行全方位的调查同时对管线与地铁的位置关系进行把握，通过临近等级来对管路类型进行划分同时结合管路的用途、材质以及应用现状来对其进行深度评估。其次对管线影响进行评估分析并结合管线影响、管线控制来得到管线的安全等级。最后根据管线的安全风险等级给予针对性的保护措施。
三、地铁施工对邻近管线安全风险管理措施
（一）管线安全风险管理控制措施
当风险等级在1级、2级时管路基本处于安全状态只需要进行简单的保护即可对管路沉降进行监控，另外在坑洞内采取一般性保护措施来对管路进行保护。当风险等级达到3级时此时已经较为危险，此时就需要在土体和隧道施工过程中采取针对性的保护在施工过程中对施工参数进行有效的控制同时加强安全监测并对土体进行加固。当风险等级达到4级时需要进行专业性保护施工前将影响管线的荷载消除并对管线采取支撑体来进行加固河对周边的松散土体进行注浆加固。风险等级为5级时除了上述的专项保护措施以外还需要制定出专项性的紧急预案对管线荷载进行彻底清除用注浆加固和钢板隔离加固的方式来强化管线特别需要对施工参数进行密切观察加强管线固定。
（二）对地铁施工过程进行监测
地铁施工的过程中，不可避免地改变周遭的环境，会对邻近建筑物产生一定的影响。因此，必须要加强地铁施工的过程监测。监控量测是地铁施工设计必不可少的手段，可以有效地时时监控量测地铁施工对周围建筑物的影响。必须要把监控量测纳入到地铁施工的整个过程中，作为一道供需纳入到对建筑物的风险评估中。
（三）建筑物保护措施
施工前调查所有在施工影响范围内的建筑物，着重查明建筑物的结构形式、基础形式、数量、修建年代、材质、质量状况、工作状态、与地铁线路的位置关系等。当建筑物具有很大的破坏风险时，应遵循“先加固、后施工”的原则。
（四）制定科学合理的风险管理全程策划
在地铁项目立项以后、工程具体实施以前,应以地铁施工的全过程为研究对象,制定科学合理的风险管理实施方案。地铁公司可以自行完成或委托给有能力的咨询机构制定。明确项目总体目标、工作实施目标、阶段目标,制定安全方针。划分安全责任和职能,建立安全组织机构,完善工作机制(见图1)。核心内容包括:确立项目组织体系和合作模式,清晰划分项目管理各方的安全任务/责任,明确各方管理要点;制订工程图1地铁施工安全风险管理结构图地质、水文地质情况彻查方案,划分不同地质单元,每种单元的主要地质风险要清晰,进行风险评估和分级;风险的对应措施要明确,针对工程的地质特点、施工工法、城市环境,制定有针对性和适用性的安全施工措施,并对这些措施所能达到的效果有明确的预期。
图1地铁施工安全风险管理结构图
（五）管线变形控制标准
目前，国内外学者对地下管线安全控制标准的研究较少，尚未形成统一的标准。在实际工程中确定地下管线的破坏控制值时，通常是参考现有研究及类似工程控制标准的基础上，结合现场实际情况加以制定。地下管线类型、埋设方式、埋设年代、场地条件等均会影响地下管线的安全控制值。目前，国内外常用的地下管线控制标准主要有管线垂直和水平变形、管线接头转角与脱开、管线应变方面的控制标准:管线垂直和水平位移方面国内外还尚未统一制定管线沉降控制标准，国内主要采用的经验控制标准，以及部分地区结合自身实际制定的地方标准。
结束语
地下管线是城市基础设施的重要组成部分，而地铁施工将不可避免地对临近地下管线产生影响，甚至会造成管线破坏。研究地铁施工对临近地下管线安全风险影响及其管理评价，对保护地下管线的正常使用具有重要意义。基于此，本文构建了地铁施工临近地下管线安全管理及评价标准体系。(一)结合目前国内外控制标准及工程实践，提出管线变形控制标准应在考虑管线用途和使用情况的基础上，采用管线垂直和水平变形值来反映管线的安全状况比较合适。(二)明确了地下管线现状调查内容和调查步骤，在此基础上将地铁施工诱发临近管线安全风险划分为五个等级，并提出不同安全风险等级地下管线保护措施。(三)建立了地铁施工地下管线安全管理评价指标体系，结合单项扣分法制定切实可行的地铁施工临近地下管线安全评价标准，将地铁工程施工安全纳入标准化。规范化管理，以确保地铁工程安全施工。
参考文献：
[1]吴贤国,张立茂,陈跃庆.地铁施工邻近桥梁安全风险管理研究[J].铁道工程学报,2012,07：87-92.
1.1安全风险评估应用模型三阶段。
在电子政务系统设的实施过程，主要分为规划与设计阶段、建设与实施阶段、运行与管理阶段等三个阶段。其中，安全风险分析主要作用于规划与设计阶段，安全等级评估主要作用于建设与施工阶段，安全检查评估主要作用于运行与管理阶段。安全风险分析，主要是利用风险评估工具对系统的安全问题进行分析。对于信息资产的风险等级的确定，以及其风险的优先控制顺序，可以通过根据电子政务系统的需求，采用定性和定量的方法，制定相关的安全保障方案。安全等级评估，主要由自评估和他评估两种评估方式构成。被评估电子政务系统的拥有者，通过结合其自身的力量和相关的等级保护标准，进行安全等级评估的方式，称为自评估。而他评估则是指通过第三方权威专业评估机构，依据已颁布的标准或法规进行评估。通过定期或随机的安全等级评估，掌握系统动态、业务调整、网络威胁等动向，能够及时预防和处理系统中存在的安全漏洞、隐患，提高系统的防御能力，并给予合理的安全防范措施等。若电子政务网络系统需要进行较大程度上的更新或变革，则需要重新对系统进行安全等级评估工作。安全检查评估，主要是在对漏洞扫描、模拟攻击，以及对安全隐患的检查等方面，对电子政务网络系统的运行状态进行监测，并给予解决问题的安全防范措施。
1.2安全风险分析的应用模型。
在政府网络安全风险评估工作中，主要是借助安全风险评测工具和第三方权威机构，对安全风险分析、安全等级评估和安全检查评估等三方面进行评估工作。在此，本文重点要讲述的是安全风险分析的应用模型。在安全风险分析的应用模型中，着重需要考虑到的是其主要因素、基本流程和专家评判法。
（1）主要因素。
在资产上，政府的信息资源不但具有经济价值，还拥有者重要的政治因素。因此，要从关键和敏感度出发，确定信息资产。在不足上，政府电子政务网络系统，存在一定的脆弱性和被利用的潜在性。在威胁上，政府电子政务网络系统受到来自内、外部的威胁。在影响上，可能致使信息资源泄露，严重时造成重大的资源损失。
（2）基本流程。
根据安全需求，确定政府电子政务网络系统的安全风险等级和目标。根据政府电子政务网络系统的结构和应用需求，实行区域和安全边界的划分。识别并估价安全区域内的信息资产。识别与评价安全区域内的环境对资产的威胁。识别与分析安全区域内的威胁所对应的资产或组织存在的薄弱点。建立政府电子政务网络系统的安全风险评估方法和安全风险等级评价原则，并确定其大小与等级。结合相关的系统安全需求和等级保护，以及费用应当与风险相平衡的原则，对风险控制方法加以探究，从而制定出有效的安全风险控制措施和解决方案。
（3）专家评判法。
在建设政府电子政务网络系统的前期决策中，由于缺少相关的数据和资料，因此，可以通过专家评判的方法，为政府电子政务网络系统提供一个大概的参考数值和结果，作为决策前期的基础。在安全区域内，根据网络拓扑结构（即物理层、网络层、系统层、应用层、数据层、用户层），应用需求和安全需求划分的安全边界和安全区域，建立起风险值计算模型。通过列出从物理层到用户层之间结构所存在的薄弱点，分析其可能为资产所带来的影响，以及这些薄弱点对系统薄弱环节外部可能产生的威胁程度大小，进而通过安全风险评估专家进行评判，得到系统的风险值及排序。在不同的安全层次中，每个薄弱环节都存在着不同程度的潜在威胁。若是采用多嵌套的计算方法，能够帮助计算出特定安全区域下的资产在这些薄弱环节中的风险值。
2结语
（中国电子科技集团公司第二十研究所，陕西 西安 710068）
【摘 要】随着信息化水平的不断提高，各单位对其依赖程度前所未有的加大，然而随着各种攻击技术的发展，没有防御的系统则显得不堪一击。针对此，每个单位信息系统的安全运行都相应的加大了信息安全的关注与投入。鉴于此，研究不同等级的信息系统所需的安全措施就变得很有意义。主要说明了信息系统的不同等级及其安全防护水平。
关键词 信息化；风险；等级保护；安全
1 信息化发展背景
1.1 全球背景
信息化是充分利用信息技术，开发利用信息资源，促进信息交流和知识共享，提高经济增长质量，推动经济社会发展转型的历史进程。随着信息技术发展，信息化对经济社会发展的影响更加深刻。信息资源日益成为重要生产要素、无形资产和社会财富。与此同时，信息安全的重要性也与日俱增，成为各国面临的共同挑战。
1.2 我国目标
我国信息化发展战略概括为：以信息化促进工业化，以工业化带动信息化，走出中国特色的信息化道路。信息化是当今世界发展的大趋势，是推动经济社会变革的重要力量。到2020年，我国信息化发展的战略目标是：综合信息基础设施基本普及，信息技术自主创新能力显著增强，信息产业结构全面优化，国家信息安全保障水平大幅提高，国民经济和社会信息化取得明显成效，新型工业化发展模式初步确立，国家信息化发展的制度环境和政策体系基本完善，国民信息技术应用能力显著提高，为迈向信息社会奠定坚实基础。
2 等级保护标准及其具体范围
信息安全等级保护是指对国家安全、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。
2.1 美国可信计算机安全评价标准
美国可信计算机安全评价标准(Trusted Computer System Evaluation Criteria，TCSEC)，该标准是世界范围内计算机系统安全评估的第一个正式标准，具有划时代的意义。该准则于1970年由美国国防科学委员会提出，并于1985年12月由美国国防部公布。TCSEC最初只是军用标准，后来延至民用领域。TCSEC将计算机系统的安全划分为4个等级、7个级别。
D类安全等级：D类安全等级只包括D1一个级别。D1的安全等级最低。
C类安全等级：该类安全等级能够提供审计的保护，并为用户的行动和责任提供审计能力。C类安全等级可划分为C1和C2两类。
B类安全等级：B类安全等级可分为B1、B2和B3三类。B类系统具有强制性保护功能。
A类安全等级：A系统的安全级别最高。目前，A类安全等级只包含A1一个安全类别。A1系统的显著特征是，系统的设计者必须按照一个正式的设计规范来分析系统。
2.2 欧洲的安全评价标准
欧洲的安全评价标准ITSEC（Information Technology Security Evaluation Criteria）是英国、法国、德国和荷兰制定的IT安全评估准则，是欧洲多国安全评价方法的综合产物，应用领域为军队、政府和商业。该标准将安全概念分为功能与评估两部分。功能准则从F1～F10共分10级。1～5级对应于TCSEC的D到A。F6至F10级分别对应数据和程序的完整性、系统的可用性、数据通信的完整性、数据通信的保密性以及机密性和完整性的网络安全。
与TCSEC不同，它并不把保密措施直接与计算机功能相联系，而是只叙述技术安全的要求，把保密作为安全增强功能。另外，TCSEC把保密作为安全的重点，而ITSEC则把完整性、可用性与保密性作为同等重要的因素。ITSEC定义了从E0级(不满足品质)到E6级(形式化验证)的7个安全等级，对于每个系统，安全功能可分别定义。
2.3 我国计算机信息系统安全保护等级划分准则
我国根据世界范围内信息安全及计算机系统安全评估等技术的发展，并结合我国自身情况，制定并颁发了我国计算机信息系统安全保护等级划分准则（GB 17859-1999），在该准则中将信息系统分为下面五个等级：
第一级：用户自主保护级；
第二级：系统审计保护级；
第三级：安全标记保护级；
第四级：结构化保护级；
第五级：访问验证保护级。
3 风险分析和安全保护措施
3.1 漏洞、威胁、风险
在实际中，计算机信息系统在确定保护等级之前，首先要对该计算机信息系统进行风险分析。风险是构成安全基础的基本观念，风险是丢失需要保护的资产的可能性。如果没有风险就不需要安全。威胁是可能破坏信息系统环境安全的行动或事件。漏洞是各种攻击可能的途径。风险是威胁和漏洞的综合结果。没有漏洞的威胁没有风险，没有威胁的漏洞也没有风险。识别风险除了识别漏洞和威胁之外，还应考虑已有的策略和预防措施。识别漏洞应寻找系统和信息的所有入口及分析如何通过这些入口访问系统和信息。识别威胁是对目标、动机及事件的识别。一旦对漏洞、威胁以及预防措施进行了识别，就可确定该计算机信息系统的风险。综合这些信息，开发相应的风险管理项目。风险永远不可能完全去除，风险必须管理。
风险分析是对需要保护的资产及其受到的潜在的安全威胁的鉴别过程。风险是威胁和漏洞的组合。正确的风险分析是保证计算机信息系统的网络环境及其信息安全及其重要的一步。风险分析始于对需要保护的资产（物理资源、知识资源、时间资源、信誉资源等）的鉴别以及对资产威胁的潜在攻击源的分析。采用等级保护策略可以有效的降低各种资产受危害的潜在代价以及由于采取安全措施付出的操作代价。一个性能良好的安全系统结构和安全系统平台，可以以低的安全代价换取高的安全强度。
3.2 一种保护重要秘密安全的方法
在具体实施过程中，根据计算机信息系统不同的安全等级要求，制定不同的等级保护策略，用最小的代价来保证计算机信息系统安全。在一些重要情况下，为了确保安全与万无一失，都必须由两人或多人同时参与才能生效，这时就需要将秘密分给多人掌管，并且必须有一定数目的掌管秘密的相关人员同时到场才能恢复这一秘密。针对这种特别重大和及其敏感的信息可采用秘密分割门限方案来确保安全。
设秘密m被分成n个部分的信息，每一部分信息称为一个子密钥，由一个参与者持有，使得：
①由k(k<n)个或多于k个参与者所持有的部分信息可重构该消息m；
②由少于k个参与者所持有的部分信息无法重构消息m；
称这种方案为（k，n）秘密分割门限方案，k称为方案的门限值。
如果一个参与者或一组未经授权的参与者在猜测秘密m时，并不比局外人猜测该秘密m时有优势。
③由少于k个参与者所持有的部分信息得不到秘密m的任何信息。
则称这个方案是完整的，即（k，n）秘密分割门限方案是完整的。
其中最具代表性和广泛应用的门限方案是基于中国剩余定理的门限方案。
通过这种秘密分割的方法就能达到秘密多人共享，多人共同掌管的局面，确保该信息安全。这种方案也可以用于特别的（下转第73页）（上接第78页）重要部位和场所的出入控制等方面。
3.3 具体措施
针对企业信息系统，应当健全针对各单位或业务部门在日常工作中产生和接触的信息的敏感程度不同，区分等级，分门别类，坚持积极防御、综合防范，探索和把握信息化与信息安全的内在规律，主动应对信息安全挑战，力争做到办公方便与安全保密同时兼顾，实现信息化与信息安全协调发展，保证企业信息安全。
加强信息安全风险评估工作。建设和完善信息安全监控体系，提高对网络安全事件应对和防范能力，防止有害信息传播。高度重视信息安全应急处置工作，健全完善信息安全应急指挥和安全通报制度，不断完善信息安全应急处置预案。从实际出发，促进资源共享，重视灾难备份建设，增强信息基础设施和重要信息系统的抗毁能力和灾难恢复能力。
4 结束语
随着信息安全事件的频繁曝光，信息安全越来越受到人们的重视。为此，越来越多的工作人员投身到安全领域的研究之中。然而当今的现状却是各种各样的不安全事件层出不穷，各类攻击及其变种也在不断发展。所有的这些就要求我们必须更加努力地投入到工作中去。不仅要针对一些已经出现且危害较大的一些安全问题提出相应的解决方案，还应该站在安全领域的前沿，积极地投身去防御各种可能会引发安全问题的漏洞及脆弱点。只有这样我们才能更好地保障人们放心的使用信息技术的发展带来的便捷。
参考文献
［1］胡道元,闵京华.网络安全[M].清华大学出版社,2007.
［2］baike.baidu.com/view/488431.htm.TCSEC全称与安全等级分类[OL].
［3］baike.baidu.com/view/488448.htm.ITSEC[OL].
［4］杨波.现代秘密学[M].2版.清华大学出版社,2007.
［5］baike.baidu.com/view/21730.htm#sub5031999.CC国际通用标准[OL].
【 关键词 】 信息安全；等级保护；风险评估
Information Security Hierarchy Protection and Risk Assessment
Dai Lian-fen
（China Petroleum & Chemical Corporation Guangzhou Branch GuangdongGuangzhou 510725）
【 Abstract 】 This paper on how to combine the hierarchy protection of information security risk assessment a beneficial exploration, to effectively support the information systems hierarchy protection construction provides the reference.
【 Keywords 】 information security;hierarchy protection;risk assessment
1 风险评估是等级保护建设工作的基础
等级保护测评中的差距分析是按照等保的所有要求进行符合性检查，检查信息系统现状与国家等保要求之间的符合程度。风险评估作为信息安全工作的一种重要技术手段，其目标是深入、详细地检查信息系统的安全风险状况，比差距分析结果在技术上更加深入。为此，等级保护与风险评估之间存在互为依托、互为补充的关系，等级保护是国家一项信息安全政策，而风险评估则是贯彻这项制度的方法和手段，在实施信息安全等级保护周期和层次中发挥着重要作用。
风险评估贯穿等级保护工作的整个流程，只是在不同阶段评估的内容和结果不一样。《信息系统安全等级保护实施指南》将等级保护基本流程分为三个阶段：定级，规划与设计，实施、等级评估与改进。在第一阶段中，风险评估的对象内容是资产评估，并在此基础上进行定级。在第二阶段中，主要是对信息系统可能面临的威胁和潜在的脆弱性进行评估，根据评估结果，综合平衡安全风险和成本，以及各系统特定安全需求，选择和调整安全措施，确定出关键业务系统、子系统和各类保护对象的安全措施。在第三个阶段中，则涉及评估系统是否满足相应的安全等级保护要求、评估系统的安全状况等，同时根据结果进行相应的改进。
等级保护所要完成的工作本质就是根据信息系统的特点和风险状况,对信息系统安全需求进行分级, 实施不同级别的保护措施。实施等级保护的一个重要前提就是了解系统的风险状况和安全等级, 所以风险评估是等级保护的重要基础与依据。
2 等级保护建设过程中如何有效地结合风险评估
2.1 以风险评估中资产安全属性的重要度来划分信息系统等级
在公安部等四部局联合下发了《信息安全等级保护的实施意见》公通字2004第66号文中，根据信息和信息系统的重要程度，将信息和信息系统划分为了五个等级自主保护级、指导保护级、监督保护级、强制保护级和专控保护级。实际上对信息系统的定级过程，也就是对信息资产的识别及赋值的过程。在国家的《信息系统安全等级保护定级指南》中，提出了对信息系统的定级依据，而这些依据基本的思想是根据信息资产的机密性、完整性和可用性重要程度来确定信息系统的安全等级，这正是风险评估中对信息资产进行识别并赋值的过程：对信息资产的机密性进行识别并赋值；对信息资产的完整性进行识别并赋值；对信息资产的可用性进行识别并赋值。从某种意义上来说，信息系统(不是信息)的安全等级划分，实际上也是对残余风险的接受和认可。
2.2 以风险评估中威胁程度来确定安全等级的要求
在等级保护中，对系统定级完成后，应按照信息系统的相应等级提出安全要求，安全要求实际上体现在信息系统在对抗威胁的能力与系统在被破坏后，恢复的速度与恢复的程度方面。而这些在风险评估中，则是对威胁的识别与赋值活动；脆弱性识别与赋值活动；安全措施的识别与确认活动。对于一个安全事件来说，是威胁利用了脆弱性所导致的，在没有威胁的情况下，信息系统的脆弱性不会自己导致安全事件的发生。所以对威胁的分析与识别是等级保护安全要求的基本前提，不同安全等级的信息系统应该能够对抗不同强度和时间长度的安全威胁。
2.3 以风险评估的结果作为等级保护建设的安全设计的依据
在确定信息系统的安全等级和进行风险评估后，应该根据安全等级的要求和风险评估的结果进行安全方案设计，而在安全方案设计中，首要的依据是风险评估的结果，特别是对威胁的识别，在一些不存在的威胁的情况下，对相应的脆弱性应该不予考虑，只作为残余风险来监控。对于两个等级相同的信息系统，由于所承载业务的不同，其信息的安全属性也可能不同，对于需要机密性保护的信息系统，和对于一个需要完整性保护的信息系统，保护的策略必须是不同，虽然它们可能有相同的安全等级，但是保护的方法则不应该是一样的。所以，安全设计首先应该以风险评估的结果作为依据，而将设计的结果与安全等级保护的要求相比较，对于需要保护的必须符合安全等级要求，而对于不需要保护的则可以暂不考虑安全等级的要求，而对于一些必须高于安全等级要求的，则必须依据风险评估的结果，进行相应高标准的设计。
3 结束语
风险评估为等级保护工作的开展提供基础数据，是等级保护定级、建设的实际出发点，通过安全风险评估，可以发现信息系统可能存在的安全风险，判断信息系统的安全状况与安全等级保护要求之间的差距，从而不断完善等级保护措施。文章对等级保护工作中如何结合信息安全风险评估进行了有益的探索，为有效地支撑计算机信息系统等级保护建设的顺利进行提供了参考。
参考文献
[1] 吴贤.信息安全等级保护和风险评估的关系研究.信息网络安全，2007.
[2] 冯登国,张阳,张玉清.信息安全风险评估综述.通信学报，2004.
关键词：等级保护；信息安全；风险评估
中图分类号：TP309 文献标识码：A文章编号：1007-9599 (2011) 13-0000-01
Applied Research of Classified Protection in Information Security
Lv Chunmei,Han Shuai,Hu Chaoju
(School of Control and Computer Engineering,North China Electric Power University,Baoding071003,China)
Abstract:Information security classified protection is a basic institution,strategy and method of national information security system.This paper describes the importance and theory of classified protection,and describes the application of classified protection in some industries.
Keywords:Classified protection;Information security;Risk assessment
随着信息化的快速发展，计算机网络与信息技术在各个行业都得到了广泛应用，对信息系统进行风险分析和等级评估，找出信息系统中存在的问题，对其进行控制和管理，己成为信息系统安全运行的重点。
一、信息系统安全
信息安全的发展大致为以下几个阶段，20世纪40-70年代，人们通过密码技术解决通信保密，保证数据的保密性和完整性；到了70-90年代，为确保信息系统资产保密性、完整性和可用性的措施和控制，采取安全操作系统设计技术；90年代后，要求综合通信安全和信息系统安全，确保信息在存储、处理和传输过程中免受非授权的访问，防止授权用户的拒绝服务，以及包括检测、记录和对抗此类威胁的措施，代表是安全评估保障CC；今天，要保障信息和信息系统资产，保障组织机构使命的执行，综合技术、管理、过程、人员等，需要更加完善的管理机制和更加先进的技术，出台的有BS7799/ISO17799管理文件[1]。
二、信息安全等级保护
信息安全等级保护是指对信息系统分等级实行安全保护，对信息系统中发生的信息安全事件等分等级响应、处置，对设备设施、运行环境、系统软件以及网络系统按等级管理。风险评估按照风险范畴中设定的相关准则进行评估计算，同时结合信息安全管理和等级保护要求来实施。现在越来越注重将安全等级策略和风险评估技术相结合的办法进行信息系统安全管理，国内2007年下发《信息安全等级保护管理办法》，规范了信息安全等级保护的管理。ISO/IEC 27000是英国标准协会的一个关于信息安全管理的标准[2]。
三、等级保护划分
完整正确地理解安全保护等级的安全要求，并合理地确定目标系统的保护等级，是将等级保护合理地运用于具体信息系统的重要前提[3]。国家计算机等级保护总体原则《计算机信息系统安全保护等级划分准则》（GB 17859）将我国信息系统安全等级分为5个级别，以第1级用户自主保护级为基础，各级逐渐增强。
第一级：用户自主保护级，通过隔离用户和数据，实施访问控制，以免其他用户对数据的非法读写和破坏。
第二级：系统审计保护级，使用机制来鉴别用户身份，阻止非授权用户访问用户身份鉴别数据。
第三级：安全标记保护级，提供有关安全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述。
第四级：结构化保护级，将第三级的自主和强制访问控制扩展到所有的主体和客体。加强鉴别机制，系统具有相当的抗渗透能力。
第五级：访问验证保护级，访问监控器仲裁主体对客体的全部访问，具有极强的抗渗透能力。
四、信息系统定级
为提高我国基础信息网络和重要信息系统的信息安全保护能力和水平，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室定于2007年7月至10月在全国范围内组织开展重要信息系统安全等级保护定级工作[4]，定级范围包含：
1.电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统。
2.铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通等重要信息系统。
3.市（地）级以上党政机关的重要网站和办公信息系统。
4.涉及国家秘密的信息系统。各行业根据行业特点指导本地区、本行业进行定级工作，保障行业内的信息系统安全。
五、等级保护在行业中应用
（一）等级保护在电力行业信息安全中的应用
国家电网公司承担着为国家发展电力保障的基本使命，对电力系统的信息安全非常重视，已经把信息安全提升到电力生产安全的高度，并陆续下发了《关于网络信息安全保障工作的指导意见》和《国家电网公司与信息安全管理暂行规定》。
（二）电信网安全防护体系研究及标准化进展
《国家信息化领导小组关于加强信息安全保障工作的意见》和《2006~2020年国家信息化发展战略》的出台，明确了我国信息安全保障工作的发展战略[5]。文中也明确了“国家公用通信网”包括通常所指“基础电信网络”、“移动通信网”、“公用互联网”和“卫星通信网”等基础电信网络。将安全保障的工作落实到电信网络，充分研究安全等级保护、安全风险评估以及灾难备份及恢复三部分内容，将三部分工作有机结合，互为依托和补充，共同构成了电信网安全防护体系。
六、结束语
安全等级保护是指导信息系统安全防护工作的基础管理原则，其核心内容是根据信息系统的重要程度进行安全等级划分，并针对不同的等级，提出安全要求。我国信息安全等级保护正在不断地完善中，相信信息保护工作会越做越好。
参考文献：
[1]徐超汉.计算机信息安全管理[M].北京:电子工业出版社,2006,36-89
[2]ISO27001.信息安全管理标准[S].2005
[3]GB17859计算机信息系统安全保护等级划分准则[S].1999
[4]关于开展全国重要信息系统安全等级保护定级工作的通知［EB/OL］.公信安[2007]861号,20070716.
【关键词】安全生产；安全生产控制指标；标准初始风险等级；分级风险动态评估；风险动态控制
随着我国经济的快速发展，企业事故总量依然很大，生产安全形势依然十分严峻。随着企业生产任务的加重，安全生产同样面临巨大挑战。企业安全管理模式经历了事故管理模式、缺陷管理模式、风险管理模式三个阶段。企业有效开展安全生产风险管理，能够促进决策的科学化、合理化，减少决策失误的风险，能为企业提供安全的经营环境，保障企业经营目标的顺利实现，促进企业经营效益的提高。探索性地恰当运用风险管理的理论与方法，已成为关注的一个热点，其对提升企业管理水平、加强安全保障、创造更好的经济社会效益具有十分重要的意义。
1安全生产风险管理
安全生产风险是指在生产过程中可能出现的与劳动作业息息相关的，不以人的意志为转移的，突然发生的，可能对员工的人身造成伤害、对设备造成损坏或对环境造成污染的因素[1]。企业在生产作业过程中面临着许多安全生产风险，这些风险可能来自日常的生产活动，也可能来自突发的环境变化，这些风险都有可能危害到员工的人身安全、设备及财产的完好，甚至会影响到企业、国家的利益。因此，安全生产风险管理成为了企业实施预防为主的重要手段之一。风险管理是以静态风险和动态风险为对象的全面风险管理[2]。而实际生产过程中，风险管理具有生命周期性，在实施过程的每一阶段，均应进行风险管理，并根据风险变化状况及时调险应对策略，实现全生命周期、全过程的动态风险管理。
2风险动态管理
目前，国内企业大多采用“自上而下”的安全监管工作模式，但在这样的模式中，企业的少数监管人员难以切实有效的管理好多数的员工，因此采用“由下至上”的风险动态评估思想，从根本上转变企业现行的被动式的“从上而下”的安全监管工作模式。在风险动态评估过程中，引入了“标准初始风险等级”概念，即假设人的行为良好和作业环境改善后的安全状态（可认为仅指设备设施的安全状态）。运用风险矩阵法评估确定最基层辨识点标准初始风险等级，在此基础上，逐级确定企业各班组、各工段、各车间，直至整个企业的标准初始风险等级。同时，将目前企业实行的“自上而下”、相对静态的安全生产控制指标量化和考核制度相结合，形成了上下联动、动静结合的分级动态评估及控管网络。通过以上所述的风险动态管理过程，各级组织管理层都能清楚掌握本级风险发生变化是由下级的某个或某几个基层辨识点风险变化造成的，为其安全监管提供最有效的基层动态监控数据；同时，也让基层作业人员清楚了解自身处于何种风险状态，强化其风险意识和认知。风险动态管理主要包括风险动态分析、风险动态评估和风险动态控制三个过程，企业进行动态风险管理的流程。
3风险动态分析
风险辨识的目的是确定危险的种类和危险的来源，是风险分析和风险评估的主要依据，更是风险管理成败的基础，如果风险辨识不全面不细致，风险管理就会留下死角，而这些风险管理上的盲点必将导致风险管理的失败。根据事故致因基本理论，企业根据人因失误的危险、设备的危险、物质的危险、环境的危险和管理的危险五个方面对企业历年事故进行事故致因因素辨识与分析，在此基础上，通过踏勘分析、滚动修改完善的形式，设计出人、机、物、环、管等五个事故致因因素的信息采集项目[3]，科学制定切合企业自身特点的辨识点风险动态分析表。同时，采用风险矩阵法评估确定各辨识点的风险等级[4-5]，不同企业可根据自身情况划分不同的风险等级，例如将风险等级划分为三级，即高风险、中风险、低风险。
险动态评估
4.1建立分级风险动态评估模型
由于客观情况是在不断的变化，风险的性质和情况也会随之变化[1]，因此在充分认识和了解研究对象具体情况的基础上，在不同条件下，选定最佳的管理技术和方法，并在运用过程中，根据具体情况定期或不定期地进行评估，以达到预期的风险管理目标效果。按照辨识点、班组、工段、车间、企业五个级别搭建风险评估体系，即由最基层辨识点风险开始，逐级构建不同的评估模型和计算方法，推进风险管理进班组到岗位。不同企业的组织结构分级情况及生产实际情况有所不同，因此，科学且切合实际的分级风险动态评估模型建立如下：设Ri为各级风险值（i=1代表班组级，i=2代表工段级，i=3代表专业厂级，i=4代表公司级，下同），Xi为各级总辨识点中上升为中风险的辨识点数量（且仅为导致人员轻伤而非物损坏的辨识点）（Xi=Ni-Mi），Yi为各级总辨识点中上升为高风险的辨识点数量，Z剩i为各级分阶段剩余指标数Z剩i=Z0i-Z'i（其中Z0i为分阶段总指标数，Z'i为前期累积已发生指标数），Mi为各级标准初始风险等级的中风险点数量（与企业阶段性计划整改相关联），Ni为各级阶段风险状态的中风险点数量。（1）在实际运用时，应从下至上逐级求得各级风险动态值，并将已评估出的下一级的风险值作为评估上一级整体风险时的一个辨识点，例如由班组中各岗位辨识点风险值求得班组整体风险，又由工段中各班组风险值求得工段整体风险（即评估班组时辨识点为各岗位，评估工段时辨识点为各班组），以此类推，最终得出企业整体安全生产风险动态值。（2）当Xi＜0，即通过相应整改，各级别中某些风险点的风险级别下降。（3）当Z'i＞Z0i时，应对Z0i指标进行修正，修正后的指标为Z'oi，则：本级修正：Z0i＜Z'i≤Z总i，则Z'oi=Z总i-Z'i，此修正为必须修正；上级修正：Z'i＞Z总i，可向上级申请机动指标。
4.2确定各级标准初始风险等级
根据第3节中的辨识点风险动态分析表，在假设人的不安全行为处于良好状态的前提下，结合设备设施安全状态、作业环境可改善后的安全状态，确定辨识点、班组、工段、车间、企业的标准初始风险等级，以此为标准，通过建立的模型可动态监测到风险的偏离。在确定标准初始风险等级时，采用了关联及组合风险评价方法。风险等级相同：如有关联或组合的若干个风险因素的风险等级相同，则最终的风险等级为该相同的风险等级；风险等级不同：如有关联或组合的若干个风险因素的风险等级不同，则最终的风险等级取单一风险中风险等级最高的。如有必要，还应再升高一级。若按照以上两种情况确定的风险等级仍然不能完全体现出该风险整体的严重程度，仍可继续升级风险等级[6-7]。
4.3分解各级阶段性安全生产控制指标
安全生产控制指标，是对安全生产情况实行定量控制和考核的有效手段[8]。在企业的年总安全生产控制指标数的基础上，提出了本级阶段性安全生产控制指标（Z0i），即根据本级生产饱和度（如安全生产工作目标、生产任务、季节特点等），同时结合历年安全生产事故发生规律统计分析，按时间（月份或季度）分阶段分解年总安全生产控制指标的指标，如图2。通过阶段性安全生产控制指标，建立了纵向到底、横向到边的安全管理网络。在标准初始风险等级结合作业层实际情况的同时，阶段性安全生产控制指标则结合了管理层的实际情况，使最后建立的分级风险动态评估模型具有实际的指导意义。
4.4评估各级动态风险等级
在确定各级标准初始风险等级和分解各级阶段性安全生产控制指标的基础上，再次运用辨识点风险动态分析表对最基层的各风险辨识点的风险等级进行动态评估，得出各风险辨识点的动态风险等级，然后，根据4.1中的分级风险动态评估模型进行逐级的动态评估，从而得出各级的动态风险等级。
5风险动态控制
通过逐级、动态的风险评估，企业将得到不同时间段各级的风险状态：高风险、中风险、低风险。企业可根据不同的风险等级编制不同等级的风险控制实施方案。通过辨识点风险动态分析表和风险控制实施方案，企业各级管理人员不仅能够清楚风险状态及风险具体存在的地方，同时也能明确应采取的针对性措施，从而进行有效的风险动态控制，从而提高了企业各级的风险控制水平，且使各项风险控制措施得到有效落实。
6实例分析
基于某生产企业真实背景开展了安全生产风险动态管理研究。针对每个评估对象的特点，采用现场观察、询问、交谈、查阅有关记录、工作任务分析等方法，通过踏勘分析、滚动修改完善的形式，设计了人、机（物）、环、管等事故致因因素的信息采集项目，分别从如何正确选择工器具、合理选择作业方法、确定现场安全防控重点等方面提供了信息，并辨识出其生产过程中实际和潜在的危险源，共22个风险辨识点，通过一线人员工作经验和风险矩阵法，对风险发生的可能性、风险发生的后果以及风险等级进行了初步判定。结合每个风险辨识点初步判定风险状态，根据关联及组合风险评价方法，综合判定该企业的标准初始风险等级为中风险。通过统计该企业往年安全生产事故情况，分析出该企业易发生安全生产事故时段为5~8月和10~11月两个时间段。根据该企业已确定的年总安全生产控制指标情况（4个轻伤），结合该企业生产任务实际情况以及易发生安全生产事故时段，确定该企业分阶段安全生产控制指标。再次通过辨识点风险动态分析表分析，对最基层的各风险辨识点的风险等级进行动态评估。
经过为期一个月的生产运行后，该企业共有2个下降为低风险的辨识点，4个上升为中风险的辨识点，没有上升为高风险的辨识点。结合对应的分阶段安全生产控制指标，将动态风险等级和标准初始风险等级相对比，按照分级风险动态评估模型计算得出：Y=0且0＜X＜Z因此，该企业在该阶段的风险等级为：中风险。此时，企业应综合考虑生产任务和管理等因素，调动相关专业人员进行致因因素排查和整改，在可以采取相应措施降低风险的情况下，立即与一线工作人员协商积极、迅速展开措施使之降低或恢复初始风险状态；如不能有效降低风险，开风险控制小组会议，提出强化的管理措施，达到风险动态控制的目的。
7结论
根据风险管理基本理论，紧密结合企业实际生产及管理情况，运用定量与定性相结合的方法，最终建立了科学且具有可操作性的分级风险动态评估模型。通过风险管理全过程，企业根据自身的组织结构和各级风险等级，采取风险控制实施方案进行分级控制，提高整个企业的风险警惕敏感性，并使得安全生产目标分解，各级安全责任分明，实现了企业的整体风险控制，有效减少了企业事故发生数量，减小了企业和社会的损失。
参考文献
[1]陈少荣.安全生产风险管理与控制[M].北京:化学工业出版社,2013
[2]罗云,樊运晓,马晓春.风险分析与安全评价（第二版）[M].北京:化学工业出版社,2013
[3]孙华山.安全生产风险管理[M].北京:化学工业出版社,2012
[4]李树清,颜智,段瑜.风险矩阵法在危险有害因素分级中的应用[J].中国安全科学学报,2010,4(20):83-87
[5]党兴华,黄正超,赵巧艳.基于风险矩阵的风险投资项目风险评估[J].科技进步与对策,2006,(1):140-143
[6]何学秋,林柏泉,田水承,等.安全工程学[M].徐州:中国矿业大学出版社,2000
[7]隋鹏程,陈宝智,隋旭.安全原理[M].北京:化学工业出版社,2005
购物车(0)
