如何计算 IT 合规性的风险分数

每个风险的两个得分

每个风险包含两个分数，并根据环境的不同变化自动更新。

• 固有风险得分：在考虑任何控制措施之前，风险的严重性。它回答了一个问题：这种威胁本身有多严重？使用它来确定最需要关注的风险的优先级，而不管已经实施的保障措施如何。
• 剩余风险得分：在映射到风险的控制被考虑在内后，剩余的严重性。它回答了这样一个问题：在团队为管理风险所做的一切之后，还有多少风险暴露？使用它来决定当前的保障措施是否足够，或者是否需要进一步的治疗。

这两个分数都是数值。表达式集中的决策表将每个数字映射到严重性带，例如显示在风险记录、仪表板和风险热度地图中的低、中、高或严重。

表达式集如何读取风险数据

业务规则引擎不会直接读取记录字段。相反，它使用上下文定义，一种结构化映射，它告诉表达式集要从哪些记录中读取哪些字段，以及将结果写回哪些字段。

默认风险评分上下文定义将三种类型的记录连接到表达式集。

标记为仅输入的属性由表达式集读取，但不会被覆盖。标记为输入输出的属性可以读取也可以更新，这是表达式集将最终分数写回评估记录的方式。

如何计算固有风险分数

在考虑控制之前，首先计算固有分数。默认公式将利益相关者在风险评估调查中提供的两种评级相乘。

Inherent Risk Score = Likelihood × Impact

例如，如果利益相关者将风险评级为可能性 4（满分 5）和影响 5（满分 5），则固有分数是 20。然后，决策表将 20 映射到临界严重性带。

表达式集将此结果作为输出写入风险评估记录中的固有风险分数字段。

如何计算剩余风险分数

剩余分数从固有分数开始，并根据映射到风险的控制的集体有效性来降低它。默认公式分四个步骤运行。

更高的平均控制效率意味着更大的减少和更低的残差分数。如果未映射控制，平均有效性为零，剩余分数等于固有分数。

自定义评分公式

Agentforce IT 服务提供默认风险评分表达式集，以便您的团队可以在风险管理激活后立即开始评分风险。管理员在设置期间激活默认表达式集。

默认表达式集是起点，而不是约束。如果贵组织需要不同的评分方法（例如，对财务风险的权重高于运营风险，或使用 1 比 10 的等级，而不是 1 比 5），管理员可以在业务规则引擎中复制默认表达式集并修改公式。

自定义表达式集可以使用不同的权重，为无效的控制添加额外的逻辑，或者引入最小剩余分数下限。在激活自定义版本时，所有评估都会使用更新的逻辑。

如何自动重新计算分数

分数会随着条件的变化而动态刷新。

• 当风险评估调查达到其响应阈值时，业务规则引擎会重新计算可能性和对父级评估的影响，并更新固有分数。
• 当控制映射到风险或取消映射时，剩余分数会重新计算，以反映新的保障集。
• 当治疗计划完成并且新的控制映射到风险时，剩余分数会更新以反映改善的姿势。
• 当持续风险监控开启时，后台客服人员会观察变化（例如控制变得无效或添加新的范围），并在分数可能发生变化时触发新的评估。

如何跟踪分数

• 每个风险记录的详细信息页面会显示固有和剩余分数，以及过去评估的趋势。
• 每个风险评估记录显示特定评估周期产生的分数。
• 风险热图会按影响可能性网格绘制每个风险，并使用固有分数定位风险，以便领导可以一目了然地看到严重性。