商业银行的风险评估三原则包括由表及里、自下而上、从已知到未知。其中由表及里识别操作风险因素包括( )。