评估合规风险：合规管理体系建立的关键
评估合规风险是在识别合规风险的基础上，对合规风险进行的分析与评价。即合规风险评估包括合规风险分析和合规风险评价两个过程。
合规风险分析是要增进对合规风险的了解，为风险评价和应对提供支持。合规风险分析是在风险识别的基础上，考虑不合规发生的原因、后果及发生可能性等因素，最后形成合规风险清单。对合规风险的分析，内容描述应包括以下内容：简单且准确地描述风险，风险可能在什么情况下以什么方式发生以及风险对既定目标的影响；明确导致风险发生的真正原因；说明风险发生后在哪些方面，以及以怎样的方式造成影响；说明风险发生的概率大小。
可以看出，合规风险分析主要包括风险触发原因分析、风险发生后果分析、风险发生可能性分析等。用于合规风险分析的方法，可以是定性的，也可以是定量，也可以是两者的组合。
后果分析是假设特定事件或情况已经出现，确定风险影响的性质和类型。后果分析形式可以灵活一些，可以是描述型的，也可以是详细的数量模型。例如，后果分析可分为严重、一般、不重要三个档位。也可分为极其严重、严重、中等、轻微、极低等五个档位。后果分析要考虑到以下因素：将风险后果与最初目标联系起来；对马上出现的后果要与那些经过一段时间可能出现的后果两种情况同等重视；不能忽视次要后果。
可能性分析的方法也有三种，可单独使用或联合使用。一是利用相关历史数据来识别那些过去发生的事情，借此推断他们在未来发生的可能性。二是利用故障树或事件树等预测可能性。三是结构化地利用专家的观点来估计可能性。对于可能性，可用定性的方法来描述。如非常高、高、中等、低。也可采取量化的数值来表述，如数字1-5，分别表示发生概率从1%到99%。但对于该数值本身如何确定，则仍必须借助定性的方法予以固定。
合规风险评价是将风险分析的结果与企业能够接受的风险水平相比较，或者在各种风险分析结果之间进行比较，以确定风险的等级。风险评价应满足风险应对的需要，否则应做进一步的风险分析。风险评价是利用风险分析过程中获得的对风险的认识，对未来的行动进行决策。最简单的风险评价，是将风险分为两种：需要应对的和无需应对的。但这样的方式难于全面反映情况，而且两类风险的界限本身也不好确定。常见的评价是依照企业对风险的容忍程度，将风险分为三个区域。一是不可接受区域。在该区域内，无论相关活动可带来什么收益，风险等级都是无法承受的，不惜一切代价进行风险应对。二是中间区域。对该区域内风险的应对要考虑应对措施的成本与收益，并衡量机遇和潜在后果。三是广泛可接受区域。该区域的风险很小，无需采取任何应对措施。
风险评价后，需要进行决策。决策时应包括的内容有：某个风险是否需要应对；风险的应对优先秩序；应该采取哪种途径。决策要参考法律、财务、道德等因素。
合规风险评估工作最后的落地是一份全面的合规风险评估报告。报告人应该是一个集体，包括法律专家和非法律专家，同时还要业务经理的参与。报告可分为定期评估报告、专项评估报告。
合规风险评估报告的内容应包括合规风险评估实施概况、合规风险基本评价、存在的合规风险、原因及可能的公司损失，处置建议和应对措施等。
具体如下：
合规风险评估工作实施概况：风险评估背景、范畴、评估方法、实施过程等；
合规风险基本评价：已识别的合规风险领域、风险分级、整体评价结论等；
存在的合规风险：需要处理的风险类型、风险清单等；
合规风险发生的原因分析：风险发生的系统性原因、直接原因、局部原因、特别原因等；
合规风险发生可能导致的公司损失：风险发生可能给公司带来的损失预测等；
合规风险应对建议：风险应对的措施和建议等。
