2002年7月美国出台《萨班斯—奥克斯利法案(Sarbanes-Oxley Act)》，其404条款要求上市企业管理层在年报中对企业内部控制制度及其实施的有效性做出报告。美国证券交易委员会(SEC)推荐COSO委员会1992年发布的《内部控制——整体框架》报告作为管理当局和注册会计师进行内部控制评价的标准。该框架纳入了风险评估要素，指出控制是和风险紧密相连的概念。企业要实施有效的内部控制，就要识别和分析它所面临的风险。基于此背景如何识别和分析风险就成为企业内部控制的主要内容之一，即COSO框架下的风险评估研究具有重要的意义。本文吸取前人研究的成果，运用了财务管理、会计学及统计学知识，在对COSO框架下的风险评估相关理论研究分析的基础上，以COSO框架和《萨班斯—奥克斯利法案》为指导，选取该框架下的风险评估要素作为突破点，着眼于企业业务层面的风险评估，构建风险评估的实施过程，旨在实现风险评估作为内部控制整体框架的关键及基础要素的作用，增强风险防范的意识和能力。本文构建的风险评估具体实施过程为：首先，制定企业的各个目标；其次，主要针对业务层面进行风险识别，即根据财务报表确定重要会计科目和披露事项，确定业务流程和子流程，并使其与重要会计科目和披露事项之间相对应后，确定和记录相关的财务报表认定，识别出子流程相关的风险；然后，按照失效模式及影响分析法(FMEA)的评点法对所识别的风险进行分析确定风险等级；最后，建立风险数据库，构建起科学的风险评估制度体系。另外，为对评估过程进行解释，选取中石油西北销售公司作为研究对象构建风险评估的实施过程。