要用 AI 创建风险登记册，先定义目标与范围，收集已核实的风险和控制证据，并使用组织已批准的术语与评分尺度。AI 可以整理成因—事件—影响陈述、识别重复项和指出缺失字段；真实负责人必须验证风险水平、应对措施、触发条件、复审日期及任何风险接受决定。

风险登记册是持续使用的治理记录，不是泛泛列举坏结果的清单。负责任的 AI 工作方法提供了通用边界：来源证据和有问责能力的人始终是真源。

关键要点

每项风险都锚定目标、范围和时间窗口。

将成因、不确定事件与影响分开写，避免模糊担忧。

提议新动作前，先记录现有控制及其运行证据。

只使用组织已批准的可能性、影响与升级方法。

指定真实风险负责人，并为具体应对措施分配行动负责人。

设定可观察触发条件与复审日期，让登记册持续可操作。

风险接受和最终决定由授权人负责。

什么让风险登记册真正有用？

一份可用的登记册会说明哪些不确定性可能影响目标、为何可能发生、会产生什么后果、哪些控制正在运行、谁承担责任以及下一步做什么。复核者能够追溯证据、质疑判断并比较不同版本。分数只能支持讨论，不能自动产生决定。

UK Orange Book 将风险管理视为实现目标所需的治理与决策活动，要求进行结构化识别、评估、处理、监测、报告、协作和持续改进。［1］NIST SP 800-30 同样强调语境、威胁、脆弱性、影响、可能性、不确定性与沟通，而非孤立数字。［2］

字段	用途
风险 ID/版本	稳定引用与审计历史
目标/范围	不确定性可能影响的成果
成因—事件—影响	来源、可能事件与目标后果
类别	组织批准的分类体系
现有控制措施	当前已运行的措施
控制证据	测试、报告、负责人确认或观察结果
风险水平	按批准方法得出的评估
风险负责人	对整体风险负责的人
应对措施/行动	按政策允许的规避、降低、转移、接受或监测
行动负责人/截止日期	执行具体动作的人与期限
触发条件/升级处理	可观察信号与必须采取的响应
复审/状态	复审、质疑复核、状态与决定记录

步骤 1：定义目标、范围与权限

先写可能受影响的目标，再记录组织、项目、流程、地区、时间窗口、依赖项与排除项。同一风险如果被一位复核者按六周交付理解、另一位按全年经营理解，就无法得到一致结论。

同时记录治理政策、风险分类体系、评分尺度、风险偏好或容忍度负责人、升级路径以及接受权限。这些内容不能由 AI 发明。若没有批准尺度，暂停打分并建立政策决策项，不要从网络复制一个流行矩阵。

范围字段	合成示例
登记册 ID	`RR-SERVICE-12`
目标	在约定日期完成已批准的服务迁移
评估周期	准备期至迁移后 30 天
纳入范围	人员、供应商依赖、数据交接、运营准备
排除范围	无关产品战略与长期市场预测
风险政策	`RM-POL-04`，负责人确认当前版本
决策权限	政策指定的治理委员会角色
复审频率	每两周一次，并在触发条件发生时复审

任务、里程碑与依赖项应放在项目计划中。风险登记册可以链接这些记录，但不能替代它们。

步骤 2：在起草风险前收集证据

收集能揭示不确定性的材料：目标与范围、假设、依赖项日志、事件和未遂事件、审计发现、控制测试、供应商承诺、运营指标、政策义务与主题专家访谈。每项材料保留文档标识和核对日期。

把事实、观察结果、假设与假说分开。“合同承诺提前五天通知”是有来源事实；“高峰期可能错过通知窗口”是需要成因和影响证据的风险假设；“供应商不可靠”则只是无依据判断。

不要把机密合同、安全发现、个人资料或受特权保护的专业意见提交到未获批模型。可用删减摘要或合成记录验证结构。

步骤 3：编写成因—事件—影响陈述

使用固定形式：

因为成因，存在发生 不确定事件 的可能，从而对 目标造成影响。

例如：“因为已批准迁移窗口与供应商变更冻结期重叠，所需配置可能无法在切换前交付，从而延迟服务迁移。”这比“供应商延误风险”更可操作。

成因是有证据的不确定性来源；事件是可能发生也可能不发生的事情；影响是对目标的后果，不能补造规模。已经发生的事情应转入问题管理；若仍有剩余不确定性，则链接两份记录。不同负责人、控制措施、触发条件或应对措施的风险不要强行合并。

步骤 4：记录现有控制及运行证据

列出真正改变可能性或后果的预防性、指导性、侦测性与纠正性控制措施。每项控制写明负责人、频率、目标值、运行证据、最近一次测试、例外与依赖项。

书面政策不自动等于有效控制。Orange Book 区分控制设计与基于客观资料判断其运行效果的保证活动。［1］GOV.UK 拨款指南也要求持续讨论风险登记册，并记录和保证活动相关控制。［3］

控制状态	含义
已设计但未实施	已有设计，尚未运行
运行但未经测试	负责人报告在运行，独立证据待补
测试发现例外	有测试，例外已链接
测试确认有效	证据覆盖所述期间与范围
未知	证据缺失或冲突

AI 可发现空字段，却不能观察控制。不能让流畅摘要把 unknown 静默升级成 effective。

步骤 5：用 AI 创建风险登记册时只让它整理和质疑

提供批准模板、范围、来源标识、风险陈述、控制措施记录与禁止补造规则：

只把已提供证据整理成每项风险一行。
保留来源 ID，并分开成因、不确定事件与影响。
不得把通用知识中的风险写成适用于本组织的事实。
不得虚构可能性、影响、分数、风险偏好、控制有效性、
负责人、期限、应对措施、风险接受或批准状态。
缺失与冲突证据标记 [VERIFY]，重复候选另行列出。

相似措辞不证明两项风险拥有相同成因、事件、控制措施或负责人，只有负责人确认后才能合并。NIST 提醒生成式 AI 会带来虚构内容、隐私、信息完整性和人机协作配置风险。［4］保留 ID、未知与人工批准有助于暴露问题，但不会消除风险。

步骤 6：只应用组织批准的评估方法

使用组织定义的可能性/影响标准、评估周期、汇总规则与应对措施阈值，并引用当前受控版本。若需要计算，在受保护表格或风险系统内使用测试过的公式。

不得让 AI 给出概率、严重程度或“行业标准”分数。语言流畅不是测量证据，5×5 矩阵也不是普遍标准。评估旁还要记录证据质量、置信度、易变的假设、范围、依赖项与异议。

区分固有风险水平、考虑已证实控制后的当前及剩余风险水平、动作完成后希望达到的目标风险水平，以及授权人依据政策作出的风险接受。目标值不是已经实现的结果，风险接受也不由公式自动产生。

步骤 7：指定负责人、应对措施与风险触发条件

风险负责人对理解、监测和管理整体风险负责；行动负责人交付某个动作。对应对措施记录理由、行动、负责人、截止日期、资源依赖项、预期控制措施变化、验证方法与次生风险。

需要比较成本收益时，应链接单独的成本效益分析，不能把财务假设藏进登记册备注。

触发条件可以是控制测试失败、供应商通知、阈值违约、政策变化、事件或依赖项延误。写明信号、来源、阈值/事件、复审频率、负责人与升级处理行动。触发条件只启动复审，除非政策明确授权，否则不会自动批准响应。

步骤 8：独立质疑复核并批准版本

邀请理解目标、控制、运营、财务、安全、法律义务和受影响用户的人独立质疑复核。检查目标与评估周期是否一致，风险是否被写成问题或模糊担忧，控制措施是否真实并有测试，评分是否遵守尺度，负责人是否能行动，以及应对措施是否产生新风险。

保留少数意见与未解决问题。风险负责人提出更新，指定权限批准接受决定。发布版本要包含生效日期、复核者、未完成的行动与证据资料包链接。

步骤 9：条件变化时复审

按固定复审频率复审，并在触发条件、目标、控制措施、事件、依赖项、证据或负责人变化时立即复审。对比版本，不覆盖历史。

情景分析可以检验风险在不同连贯假设下的表现，但情景不是可能性证据。核查 AI 输出可验证主张和引用，却不会授予风险决策权限。

每次复审都要问：原因、事件、影响、控制措施、证据、暴露程度、处置方式、触发条件、负责人或政策中，哪些发生了变化？没有这些说明的状态颜色，几乎没有审计价值。

如何避免登记册退化成风险清单？

总结

从目标与已核实证据开始，而非泛化提示词。
写具体成因—事件—影响，并分开有效问题。
根据运行证据评价现有控制措施。
由政策规定评分尺度、计算方法、风险偏好和风险接受权限。
AI 只做有边界的整理与质疑复核。
指定可问责负责人、可观察触发条件与复审条件。

常见问题

风险登记册和 RAID 日志相同吗？

不完全相同。RAID 日志通常合并风险、假设、问题和依赖项；风险登记册专注风险治理，可链接其他记录，同时保留控制措施、风险水平、责任归属、应对措施、触发条件和风险接受字段。

风险和问题有什么区别？

风险是可能影响目标的不确定事件或条件；问题已经发生，需要立即处理。问题可能产生新风险，应链接记录而非改写历史。

为何使用成因—事件—影响形式？

它把不确定性来源、可能发生的事件以及对目标的意义分开，有助于设置负责人、控制措施、触发条件和质疑复核，避免“进度风险”之类模糊标签。

是否应记录固有与剩余风险？

只有组织政策定义这些概念时才使用，并写明每种视图包含哪些控制措施和证据。不能把目标值评分写成应对措施已经生效。

AI 能给风险打分吗？

AI 可以检查已提供评分是否符合批准的文字定义，但不应选择可能性、影响、置信度、风险偏好或风险接受。授权人输入有证据的评分，确定性工具负责计算。

谁应该成为风险负责人？

选择有足够权限和信息来监测风险、维护控制措施、推动应对措施和升级处理的人。行动负责人可执行具体任务，但整体问责仍需明确。

什么是有效的复审触发条件？

它要足够早、可观察，并拥有明确来源、阈值或事件、复审频率、负责人和升级处理动作。“情况变差”不可测试，具体控制措施失效或依赖项期限则可以。

多久复审一次风险登记册？

复审频率应与目标重要性和波动程度相称，并加入事件触发。目标、假设、控制措施、事件、依赖项、政策、证据质量或负责人变化时都要复审。

来源

HM Treasury, The Orange Book: Management of Risk—Principles and Concepts — https://www.gov.uk/government/publications/orange-book/the-orange-book-management-of-risk-principles-and-concepts
NIST, Guide for Conducting Risk Assessments (SP 800-30 Rev. 1) — https://csrc.nist.gov/pubs/sp/800/30/r1/final
GOV.UK, Risk, Controls and Assurance — https://www.gov.uk/government/publications/government-functional-standard-govs-015-grants/7-risk-controls-and-assurance-html
NIST, Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile — https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-generative-artificial-intelligence

Sources checked 2026 年 9 月 4 日。

如何用 AI 创建风险登记册：写清成因、控制证据与负责人