リスクアセスメントの目的は,特定のリスクにどのように対応し,どのようにして対応の選択肢の中から選択するかに関して,情報を得た上での意思決定を下すために,証拠に基づいた情報及び分析を提供することにある。リスクアセスメントに基づいた実施の主な効用には,次を含む。記載するリスクマネジメントの枠組み及びプロセスの範囲内で実施することを前提としている。順及び組織構成を提供する。この枠組みの一部として,組織は,リスクをいつ,どのようにアセスメントを行ったらよいかを決めるための方針又は戦略を備えることが望ましい。リスクアセスメントを実施する人は,次の点について熟知することが望ましい。定義するリスクマネジメントプロセスの中核要素を構成する。リスクマネジメントプロセスは,次の要素を含む。リスクアセスメント(リスク特定,リスク分析及びリスク評価を構成する。モニタリング及びレビューリスクアセスメントは独立した活動ではなく,リスクマネジメントプロセスの他の構成要素と完全に結びつけることが望ましい。リスクアセスメントの成功は,ステークホルダとの有効なコミュニケーション及び協議に依存する。リスクマネジメントプロセスにステークホルダが参加することは,次の点で役立つことになる。コミュニケーション計画を策定する。状況を適切に定義する。ステークホルダの利害を理解及び配慮することを確実にする。リスク特定及び分析のための異分野の専門知識を結集する。リスクの評価とは異なる見解を適切に考慮することを確実にする。リスクを適切に特定することを確実にする。対応計画の承認及び支援を確保する。ステークホルダは,変更マネジメント,プロジェクト及びプログラムマネジメント,金融マネジメントなど,他のマネジメントの分野とリスクマネジメントプロセスとの相互作用に貢献することが望ましい。状況の確定は,組織全体に関わる内部及び外部パラメタ,並びに,評価対象となる特定のリスクの背景の検討を含む。義,並びにリスク基準の分類を含めることが望ましい。a)外部状況の確定は,次のものを含み,組織及びシステムを運用する環境の熟知を含む。外部ステークホルダの認識及び価値観b)内部状況の確定は,次の理解を含む。構成(統治方法,役割,諸アカウンタビリティなど)c)リスクマネジメントプロセスの状況の確定は,次を含む。必要とする範囲設定又は枠組設定の調査,その範囲,目的及び当該調査に必要とする資源の特定d)リスク基準の決定は,次のものの決定を含む。基準は,次のような資料に基づいて決めることができる。リスクアセスメントは,リスク特定,リスク分析及びリスク評価の全般的なプロセスである。リスクは組織レベル又は部門レベルで,プロジェクト,個々の活動又は具体的なリスク別にアセスメントを実施できる。状況の違いによって,異なるツール及び技法を適応することがある。リスクアセスメントは,リスク,その原因,結果,及びその発生確率に関する理解を提供する。これによって,次のものの決定に対するインプットを得る。方を変更するための一つ以上の適切な選択肢を選定し,合意を得て,それらの選択肢を実践する。この後に,更なる対応が必要かどうかを決めるために,事前に設定した基準に照らして新リスクレベルの許容性を再度アセスメントする周期的プロセスが続く。リスクマネジメントプロセスの一環として,次のことを検証するために,リスク管理策を定期的にモニタリングし,レビューを行うことが望ましい。リスクに関する前提条件が依然として有効である。内部及び外部状況を含めて,リスクアセスメントが依拠する仮定が依然として有効である。予想した結果を達成している。リスクアセスメントの結果が実際の経験と一致している。リスクアセスメント技法を正しく適用している。リスク対応策が有効である。モニタリング及びレビューの実施に関する,アカウンタビリティを確定することが望ましい。リスクアセスメントは,意思決定者及び責任当事者に,目的の達成を左右するおそれのあるリスク,並びに既に施行している管理策の適性及び有効性について,より深い理解をもたらす。これによって,リスク対応に用いる最適なアプローチに関する決定の基礎を得ることができる。リスクアセスメントのアウトプットは,組織の意思決定プロセスのインプットとなる。施するために採用する方法及び技法にも依存する。リスク特定は,リスクを発見,確認,及び記録するプロセスである。リスク特定の目的は,システム又は組織の目的の達成に,影響を与えるどのような事態が発生するか又はどのような状況が存在するおそれがあるかを特定することである。上の特徴,人,プロセス及びシステムに関わる,既存の管理策を特定することが望ましい。リスク特定プロセスは,リスクの原因及び発生源(物理的危害につながるハザード),目的に有形の影響を与えるおそれのある事象,状況又は状態,及びその影響の性質の特定を含む。リスク特定法には,次のものがある。その例としてはチェックリスト及び履歴データのレビューがある。系統的チームアプローチ。31010:2009)又は質問によってリスクを特定する。参照)のような帰能的推論法。リスク特定の正確さ及び完全性を改善するためには,ブレーンストーミング及びデルファイ法を含む,様々な支援技法を利用できる。実際に採用する技法の種類によらず,リスクを特定するときは,人的要因及び組織的要因に適切に配慮することが重要である。したがって,人的要因及び組織的要因として予想できる事態からの逸脱は,“ハードウェア”又は“ソフトウェア”事象とともにリスク特定プロセスに含めることが望ましい。リスク分析は,リスクの理解を深めるためのものである。リスク分析は,リスクアセスメントへのインプットを提供し,リスクに対応する必要性の有無,並びに最適な対応戦略及び方法に関する決定のインプットを提供する。リスク分析は,既存の管理策の有無及び有効性を考慮して,特定したリスク事象の結果及び発生確率の決定で構成する。その結果と発生確率とを組み合わせて,リスクのレベルを決定する。リスク分析は,リスクの原因及び発生源,結果,並びに結果が起こり得る発生確率の検討を伴う。発生確率を左右する要因を特定することが望ましい。的を左右することがある。既存のリスク管理策及びその有効性を考慮することが望ましい。複雑な分析の場合には,複数の技法が必要になることがある。結果の範囲,及びそれに関連する発生確率の算定を含む。事情によっては,異なる様々な事象又は条件の結果として,一つの結果が発生することがある。具体的な事象が特定できない場合である。このような場合では,防護レベル又は復旧戦略に関係する対応策を決定する観点から,システム構成要素の重要性及びぜい(脆)弱性の分析にリスクアセスメントの焦点を絞る。リスクの分析に用いる方法は,定性的,半定量的又は定量的方法のいずれかである。要求する詳細さの程度は,その用途,信頼できるデータの可用性及び組織の意思決定の必要性に依存する。方法及び分析の詳細さの程度は,法律によって規定されることがある。定性的アセスメントは,“高い”,“普通”,“低い”のような重大さのレベルによって,リスクの発現結果,発生確率及びレベルを定義し,結果と発生確率とを組み合わせることもあり,その結果として,リスクレベルを定性的基準に照らし合わせて判定する。半定量的方法は,結果及び発生確率に関して数値による評定尺度を用い,その二つを組み合わせて式を使ってリスクレベルを導き出す。評定尺度は線形,対数,又はその他の関係を用いてもよい。定量的分析は,結果及びその発生確率の実用的値を算定し,状況設定のときに定義する具体的な単位でリスクレベルの値を算出する。完全な定量的分析は,分析対象のシステム又は活動に関する不十分な情報,データ不足,人的要因の影響などのために,又は定量的分析作業が保証若しくは要求されていないという理由で,必ずしも可能又は望ましいとは限らない。このような事情下では,それぞれの分野に精通している専門家による,相対的なリスクの半定量的又は定性的評定が依然として有効である。31010:2009)定性的分析の場合は,採用する用語の明確な説明があることが望ましく,全ての基準の根拠を記録することが望ましい。完全な定量化を実施した場合でも,算出したリスクのレベルが,推定値であることを認識する必要がある。採用するデータ及び方法の正確さに整合しない正確さ及び精度のレベルを,リスクレベルに付与しないように注意することが望ましい。リスクレベルは,そのリスクの種類に最適な用語及びリスク評価を助けるような形式で表現することが望ましい。場合によっては,リスクの大きさを様々な結果に対する発生確率分布として表現できる。リスクレベルは,既存の管理策の適性及び有効性に依存する。問いかけるべきは,次のような問いである。ある特定のリスクの既存の管理策は何か。その管理策は,リスクを許容できるレベルに制御できるように,リスクに適切に対応可能なものか。実際に管理策を所定どおりに運用しており,要求時に有効であると実証可能か。これらの問いには,適切な文書化及び保証プロセスが設けられている場合にだけ,自信をもって答えることができる。ある特定の管理策又は関連する一組の管理策の有効性のレベルは,定性的,半定量的又は定量的のいずれの方法で表してもよい。大半のケースでは,高レベルの正確さを保証しない。効性の程度を表現し,記録することには価値がある。結果分析は,特定の事象状況又は事情が発生したものと仮定して,発生する影響の性質及び種類を決定する。分析対象となる結果の種類及び影響を受けるステークホルダは,状況設定のときに決める。結果分析は,単純な結果の記述から詳細な定量化モデル又はぜい(脆)弱性分析まで,様々なものがある。影響は,重大な結果とはならないが,その発生確率が高いものもあれば,重大な結果で発生確率が低いものも,その中間の結末もある。潜在的に極めて大きな結末となるリスクを重視することが適切な場合がある。このようなリスクは,経営層にとっては最も危惧すべきことが多いからである。これ以外のケースとして,重大な結果とそれほど重大でない結果との両方を別々に分析することが重要となることがある。頻繁に起こるが影響の少ない(すなわち慢性的)問題は,累積的又は長期的作用が大きいことがある。種類のリスクの対応策は全く異なったものとなることが多いので,別々に分析すると有用である。結果分析は,次の作業を伴う。結果に対応するための既存の管理策と合わせて,結果に影響を及ぼす関連する全ての寄与要因を検討する。リスクの発現結果を最初の目的に関連付ける。アセスメントの適用範囲と整合していれば,直接的な結果と一定時間が経過した後に起こることがある結果との両方を検討する。関連するシステム,活動,機器又は組織に及ぼす結果のような,二次的結果を検討する。発生確率の算定には次の三つの一般的なアプローチをよく用いる。これら三つのアプローチは,単独又は複数で用いてもよい。使用するデータは,検討するシステム,施設,組織又は活動,及び関与する組織の運用規格にも該当するものであることが望ましい。率の推定値は極めて不確かである。情が,今後発生しないと仮定することができないときに当てはまる。