風險評估是及時識別、系統分析經營活動中與實現內部控制目標相關的各種不確定因素并制定應對策略的過程。
1 股份公司根據設定的控制目標，全面系統持續地收集相關信息，識別與實現控制目標相關的內部風險和外部風險，結合實際情況確定相應的風險承受度，及時進行風險評估。
2 股份公司可能面臨的內部風險因素包括但不限于：
（1）董事、監事、總裁及其他高級管理人員的職業操守、員工專業勝任能力等人力資源因素。
（2）組織機構、經營方式、資產管理、業務流程等管理因素。
（3）研究開發、技術投入、信息技術運用等自主創新因素。
（4）財務狀況、經營成果、現金流量等財務因素。
（5）運營安全、員工健康、環境保護等安全環保因素。
（6）其他有關內部風險因素。
3 股份公司可能面臨的外部風險因素包括但不限于：
（1）經濟形勢、融資環境、資源供給、國內及國際同行的競爭、政府行業監管政策變動、國際原油價格波動、石油和石化市場周期性變化等經濟因素。
（2）法律法規、監管要求等法律因素。
（3）安全穩定、文化傳統、社會信用、教育水平、消費者行為等社會因素。
（4）技術進步、工藝改進等科學技術因素。
（5）自然災害、環境狀況等自然環境因素。
（6）其他有關外部風險因素。
4 股份公司建立適當的風險評估機制。總部各職能部門、各事業部和各分（子）公司針對各業務流程，配備專門部門或負責人定期分析及記錄潛在風險的變化。根據風險分析的結果，結合風險承受度，及時調整內部控制程序，正確處理新增或過去未加控制的風險。