风险评估的方法必须要符合业务目标，既不能太简单也不能太复杂，还需要具有可比较性，不可重复性