粘贴纯文本或上传 TXT、DOCX，我们将自动生成思维导图。
支持 UTF-8 TXT 或 DOCX；游客最多 40,000 字符，登录后支持更长内容
风险分析指南
风险评估需要识别可能影响目标的不确定事件，说明原因与后果，判断暴露程度并安排应对。每项风险应写成“由于某个原因，某事件可能发生，从而造成某种后果”。这比只写“安全问题”或“供应商风险”更清楚，也更容易检查控制措施。
输入流程图、历史事件、审计发现、供应商资料、技术测试和访谈记录。AI 可以整理证据，但概率和影响必须结合实际情境由负责人判断。记录评分标准、复核日期和来源，并区分已经发生的问题与未来可能发生的风险。
包括范围、风险事件、原因、后果、受影响目标、可能性、影响、现有控制、控制有效性、负责人、应对措施、截止时间和剩余风险。
评估用于发现和分析暴露，登记表用于持续维护重点风险、负责人和应对状态。导图可以支持两者，详细历史仍应保存在受控登记系统中。
风险评估示例
整理前：未排序的担忧
整理后：结构化风险地图
如何生成思维导图
确定范围，写清事件，统一评分，并选择真正改变风险暴露的应对措施。
说明活动、决策、资产、相关方和时间范围，评分前确定统一的可能性与影响标准。
结合研讨与证据写出具体情景，区分根本原因、风险事件以及对交付、客户、财务、安全、隐私或合规的后果。
写明预防、发现和恢复控制，以及负责人和运行证据；分别评估控制前的固有风险和考虑控制有效性后的剩余风险。
选择规避、降低、转移或接受，确保批准权限与剩余风险匹配。为行动指定负责人、日期和触发器，持续评审直至关闭或正式接受。
适用场景
在作出承诺或实施变更前使用，并在新证据改变暴露程度时复核。
评审上线、迁移、流程调整和供应商依赖，让专家把原因、控制与后果连接起来，而不是只争论一个分数。
按照组织批准的方法记录证据和责任。涉及重大法律、安全、财务或信息安全风险时，仍需专业人员评审和正式记录。
实用建议
不能先打分再补理由。相同分数的风险可能因为变化速度或不可逆性而具有不同紧迫度；证据薄弱时应记录范围或置信度，避免虚假精确。政策文件存在不代表控制有效，应寻找测试结果、日志、对账、培训或事件表现。
按照风险暴露、控制缺口、紧迫性和决策价值安排应对，而不是按讨论热度排序。敏感漏洞应留在批准系统中，对外只发布适当摘要。事件、范围、控制或外部环境变化后及时复核。
常见问题
使用组织定义且有可观察标准的量表，记录评估周期、数据和假设，不能直接复制其他项目在不同环境下的分数。
剩余风险是考虑现有控制后仍然存在的暴露，用于判断是否继续应对、升级或由有权限的人正式接受。
选择一名有权监控暴露并协调应对的人。具体行动可以由其他人执行，但风险负责人仍对持续复核负责。
不能。AI 只整理输入证据，是否接受取决于制度、法律义务、风险偏好和有责任的人类判断。
