超出风险偏好的遗留系统风险接受申请

对照偏好声明：当前状态同时落在两条禁止性表述内（可能导致客户资金损失；无支持软件运行于资金清算路径）。因此这不是业务负责人权限内的常规接受，而是超出偏好的例外，必须升级。

单纯“拒绝”不可执行：迁移需 14 个月，停运对账系统意味着业务中断，拒绝在现实中等于把风险留在暗处。因此结论应是附条件接受 + 补偿控制 + 明确退出条件，由更高层级批准。

补偿控制（先降概率，再降影响）：网络分段与白名单访问；Web 管理界面移入管理网段或加前置认证代理与 PAM 跳板；虚拟补丁与 WAF 规则；应用白名单与主机加固；最小权限与专用服务账户；日志接入 SIEM 并延长至 180 天；24×7 告警规则与升级路径；季度漏洞扫描与专项渗透测试；与 3 家清算机构的应急切换预案并演练。

路径与里程碑：先迁移对外接口与专线对接部分（暴露面最高），再迁移批处理与报表；每季度向风险委员会汇报进度。

监管维度：按供应链指引制定并报备替代计划，避免“未报备”成为独立违规项--这比技术风险更可能先落地处罚。

记录要求：风险登记册必须补齐补偿控制清单、残余风险量化、审批人、到期日与重评触发条件，否则这次接受不可审计。

先质疑单点估计：420 万 = 1400 万 × 30%，两个因子都高度不确定。做敏感性分析：概率 15% 时 ALE 210 万，45% 时 630 万。同时 1400 万的损失规模很可能低估--是否包含监管罚款、客户流失、诉讼与声誉损失？应明确说明假设边界。

补偿控制的作用方向：分段、最小权限、虚拟补丁主要降低“发生概率”，不改变“单次损失规模”。因此不能因为做了分段就直接给 ALE 打折，必须说明调整了哪个因子、依据是什么。

保险不是风险缓解：500 万上限、50 万免赔、不覆盖罚款与业务中断，改变的只是财务后果分布。且理赔通常以“已采取合理安全措施”为前提，运行无支持系统本身可能成为拒赔理由。把保险当作主要缓解是典型的错误论证。

正确的使用方式：ALE 用于排序与争取预算。380 万一次性迁移成本对比 420 万年度期望损失，表面上划算，但必须说明成本性质不同（一次性 vs 年度），并加上不迁移的合规处罚与合同风险。不要用 ALE 作为唯一决策依据。

可检验性：如果无法说清概率的来源（历史事件、同业数据、威胁情报），这个 ALE 就只能作为讨论工具，不能作为批准依据。

批准权：风险所有者是业务部门负责人，但超过偏好阈值的接受权在风险委员会/董事会（或其授权的委员会），CRO 负责流程与汇总。业务负责人可以提出申请，不能自行批准。

CISO 的边界：提供评估、建议、补偿控制的最低标准与验证方式；不出具“同意承担业务风险”的签字。CISO 可以接受“被告知的风险”，但不能接受“未被记录的风险”。

合规维度：向监管报备替代计划是机构层面的义务，由合规或法务牵头，CISO 提供技术事实，不能由安全团队单独承诺。

批准文件中必须写清：残余风险描述、补偿控制清单与验证时间点、KRI 阈值（如补丁延迟超过 30 天、管理界面被外部扫描、发生任何未授权访问即触发重评）、到期日与复审责任人。

判断标准：如果六个月后系统仍在线、补偿控制一项未落地、登记册未更新，那么问题不在风险接受流程，而在执行监督--这应作为内审发现提出。