进行风险评估首先需要建立环境、然后结合企业的实际情况设定经营目标，其次进行信息收集，这些都是实施风险评估前提。其基础工作的质量如何?直接影响到风险评估成果的质量、风险应对策略的制定和风险效果的评价。

一、建立环境

世上任何事物都是在一定环境下生存与发展，脱离了环境既不能生存也不能发展，企业也是如此。企业为了求得生存与发展，首先要建立环境，才能正确规划企业战略，预测未来的风险，趋利避害赢得未来。

(一)内外部环境内容

企业建立内外部环境至少应建包括以下四方面环境：

l 建立外部环境。包括自然环境、竞争环境、市场状况、经济发展、社会、文化、政治、金融、科学技术，以及与企业目标有影响关键动因及发展趋势等等。特别要注意对企业有直接影响的政府机构、相关的法律法规、税收政策、市场管理、环境治理、安全管理，以及企业所在地理环境、街道等等。这都是企业生存与发展的基础，应建立起良好的环境关系。

2 建立内部环境。包括公司治理、组织结构、角色和责任;企业的方针、目标及实现目标的战略;企业控制资源及技术能力、对资源和知识的理解，产品市场状况;与企业利益相关方的关系，他们的感知和价值观、合同的关系和种类;企业所采用的标准、指南和参考模型;企业的信息系统、信息流和决策过程等等。

3建立风险管理过程的环境。包括确定风险管理活动的目的和目标;在风险管理过程中的职责与权限;风险管理活动的范围、深度和广度，保括特殊情况下的内涵和外延;按照时间和地点确定活动、过程、职能、项目、产品、服务或资产;确定组织的特殊项目、过程以及过程和活动的关系;确定风险等级标准、风险识别与风险评估方法、绩效考核等。

4建立风险评价标准。包括风险发生的可能性及其后果确定、风险可接受或可容忍等级、可能出现的重大风险，准备采用应对措施，是否需要组合多个风险?采用那些组合方式等。

(二)有效内部控制环境的10个最高属性

一个企业的董事会和执行管理层构建内部控制环境，犹如做父母的控制其孩子的教育环境。没有一个绝对正确的控制环境，但是存在有效控制环境的属性。这些属性可以采用不同的方法得到执行。有些属性是共同的，但是大部分属性取决于企业情况及其选择的实施办法。一个有效控制环境的最高属性，应包10个：

⒈行为守则政策。管理层对行为的定义，所有员工，包括执行管理层，应当证实自己履行了日常的指责。

⒉企业的价值观。员工在日常运营中应考虑实施公司价值观。如公司价值观是“让客户满意是第一目标”，那么将员工满意度置客户满意度之上就是不对的。

⒊首席执行官成为楷模。企业的高级职员应当以言传身教的方式教导所有员工遵守行为守则。

⒋组织结构。必须设定组织的结构，并进行适当的职责分离，以便能以高效和便捷的方式完成组织的使命。

⒌人员的胜任能力。为了以组织需要的便捷、高效的方式履行各自的职责，每位员工必须接受适当的教育和培训。以提升人的胜任工作的能力。

⒍职责与权力的特别委派和沟通。所有层级的管理部门必须有效地与他们的下属，沟通每个人的权限与职责，以及组织对他们履行日常工作的期望。

⒎一般授权与责任制。一般授权规定责任的范围和在实施工作中个人的权限。责任制是每个人要对他们所代表的组织日常工作活动负责。

⒏内部审计。是企业中的一个职能部门。有权力与责任评价组织的绩效，以及组织遵守控制措施的适当性及有效性。

⒐资产保护。企业设立的程序，用于确保已购置的和拥有的资产得到适当的保护，避免被盗窃和滥用。

⒑规定的工作流程。用于实施工作的详细的按步就班的程序。如规定的工作程序、用人的程序和计算机应用程序等。