3. 合规风险评估：风险评估矩阵、定性与定量评估方法、风险等级划分标准

合规风险评估是合规管理体系的核心环节，旨在系统性地识别、分析和评价合规风险，为风险处置提供决策依据。本节将重点介绍风险评估矩阵、定性与定量评估方法以及风险等级划分标准。

3.1 风险评估矩阵

风险评估矩阵（Risk Assessment Matrix）是一种将风险发生的可能性与影响程度进行组合，从而直观展示风险等级的工具。矩阵通常以二维表格形式呈现，横轴表示影响程度，纵轴表示发生可能性。

3.2 定性评估方法

定性评估方法主要依靠专家判断、经验分析和描述性等级来评价风险，适用于数据不充分或难以量化的场景。常用方法包括：

• 专家评议法：组织合规、法务、业务等专家进行集体讨论，对风险进行主观评级。
• 德尔菲法：通过多轮匿名问卷征询专家意见，逐步收敛达成共识。
• 情景分析法：假设特定违规情景发生，分析其可能后果与应对措施。
• 检查表法：依据历史合规事件或行业标准清单，逐项核对风险点。

3.3 定量评估方法

定量评估方法通过数学模型和统计数据，对风险发生的概率和损失金额进行数值化计算，结果更加客观精确。常用方法包括：

方法名称	核心公式/原理	适用场景
期望损失法	风险值 = 概率 × 损失金额	有历史数据支撑的常规风险
蒙特卡洛模拟	随机抽样 + 概率分布拟合	复杂系统、多变量风险
敏感性分析	改变单一变量观察结果变化	关键风险因子识别
决策树分析	分支概率 × 损益值求和	多阶段决策风险

3.4 风险等级划分标准

根据风险评估结果，将风险划分为不同等级，以便采取差异化的管控措施。常见的三级或五级划分标准如下：

风险等级	颜色标识	分值范围	管控要求
低风险 (L)	绿色	1 - 4	维持现有控制措施，定期监控
中风险 (M)	黄色	5 - 12	需制定整改计划，限期降低风险
高风险 (H)	红色	15 - 25	立即采取控制措施，管理层持续关注

3.5 综合应用示例

以下是一个结合定性与定量方法的合规风险评估综合示例：

【场景】某企业数据隐私合规风险评估

1. 风险识别：客户个人信息泄露风险
2. 定性分析（专家评议）：
   - 可能性：较高（4/5）
   - 影响程度：极高（5/5）
   - 矩阵定位：H（高风险）
3. 定量分析（期望损失法）：
   - 违规概率：20%（基于行业统计）
   - 平均损失：¥800万（罚款+赔偿+声誉损失）
   - 期望损失 = 20% × 800万 = ¥160万
4. 风险等级：高风险（H）
5. 处置措施：立即启动数据加密改造，加强访问控制，
   每季度进行渗透测试，并向管理层专项汇报。