风险管理，首先是识别风险，然后是管控风险。对信息安全而言它是基础，只有识别那些是风险，那些风险可以接受 ，那些可以降低，那些你无能为力。一：风险管理是指如何在项目或者企业一个肯定有风险的环境里把风险可能造成的不良影响减至最低的管理过程。风险管理对现代企业而言十分重要。当企业面临市场开放、法规解禁、产品创新，均使变化波动程度提高，连带增加经营的风险性。良好的风险管理有助于降低决策错误几率、避免损失可能、相对提高企业本身附加价值。二：风险管理当中包括了对风险的量度、评估和应变策略。理想的风险管理，是一连串排好优先次序的过程，使当中的可以引致最大损失及最可能发生的事情优先处理、而相对风险较低的事情则押后处理。三：现实情况里，优化的过程往往很难决定，因为风险和发生的可能性通常并不一致，所以要权衡两者的比重，以便作出最合适的决定。风险管理亦要面对有效资源运用的难题。这牵涉到机会成本(opportunity cost）的因素。把资源用于风险管理，可能使能运用于有回报活动的资源减低；而理想的风险管理，正希望能够花最少的资源去去尽可能化解最大的危机。四：确定减少的成本收益权衡方案（trade-off）和决定采取的行动计划（包括决定不采取任何行动）的过程称为风险管理。首先，风险管理必须识别风险。风险识别是确定何种风险可能会对企业产生影响，最重要的是量化不确定性的程度和每个风险可能造成损失的程度。五：其次，风险管理要着眼于风险控制，公司通常采用积极的措施来控制风险。通过降低其损失发生的概率，缩小其损失程度来达到控制目的。控制风险的最有效方法就是制定切实可行的应急方案，编制多个备选的方案，最大限度地对企业所面临的风险做好充分的准备。当风险发生后，按照预先的方案实施，可将损失控制在最低限度。
哟西小得瑟
