险事件收集认证机构风险事件收集方法包括但不限于:舆情调查;监督检查结果;利益相关方调查;用户投诉。5.4.2.4形成风险清单认证机构风险清单内容包括但不限于:a)风险编号;b)风险分类;c)风险描述;d)风险来源;e)风险原因;f)可能发生的事件;g)后果形态;h)影响性质。认证机构风险清单示例参加附录A。5.4.3认证机构风险分析5.4.3.1概述对风险清单开展风险分析,通常需考虑导致风险的原因,发生的可能性及后果。5.4.3.2风险分析方法采用定性与定量结合的方法开展风险分析,包括但不限于:听取专家意见经验推导;c)统计建模。5.4.3.3可能性分析认证机构风险的可能性分为但不限于:完全可能;有可能;可能但不经常;可能性很小;实际不可能。5.4.3.4后果分析认证机构风险导致的后果包括但不限于:资质撤销或注销;资质暂停;声誉受损;经济受损;人员资格被撤销。认证机构风险分析示例参见附录B。5.4.4风险评价5.4.4.1认证机构将风险分析的结果与本组织的风险准则相比较,以决定风险和/或其大小是否可接受或可容忍,以支持决策。5.4.4.2认证机构通过将风险分析的结果与风险准则相比较,以表现风险的排序分布。5.4.4.3认证机构要根据内外部环境和内外部利益相关者对风险的感知,决定风险是否进一步采取行动、制定应对策略、或维持现有控制还是重新考虑目标。5.5认证机构风险应对5.5.1概述机构对风险或者风险事件采取相应措施,将风险控制在企业可承受的范围,风险应对包括选择风险应对策略、评估风险应对现状、制定和实施风险应对计划三个环节。5.5.2选择风险应对策略认证机构风险应对策略包括规避风险、降低风险、转移风险、接受风险和其他策略等,可将其单独或者组合使用。考虑但不限于以下几因素:a)认证机构的目标、核心价值观和社会责任等;b)认证机构对风险的偏好和承受度等;c)实施成本与预期收益。
全文预览
