开展评估：
一是固有风险评估。对银行所面临的每个操作风险点都必须进行固有风险分析。通常用发生频率和损失严重度矩阵来分析固有风险。
二是控制有效性评估。固有风险评级后，需要识别有助于减少其发生频率和严重度的控制活动。评估控制活动有效性要从控制的设计和控制的实施两方面进行，确定控制有效性评级。
三是剩余风险评估。综合考虑固有风险评级和控制有效性评级，根据"固有风险暴露-控制有效性=剩余风险暴露"原则确定剩余风险评级。