リスクアセスメント

リスクアセスメントとは、ISO規格では、リスク特定、リスク分析、リスク評価を網羅するプロセス全体を指す。

リスク特定  - リスクを発見し、認識し、記述するプロセス
リスク分析  - リスクの特質を理解し、リスクレベルを決定するプロセス
リスク評価  - リスクが受容可能かを決定するためにリスク分析の結果をリスク基準と比較するプロセス通常は、リスクアセスメントの後で、リスク対応をする。リスク対応の手段には、リスク源の除去、起こりやすさの変更、結果の変更、他者とのリスクの共有、リスクの保有などがある。

用語としての「リスクアセスメント」は規格毎に意味が異なるため、注意が必要である。このページではISO規格を主軸に説明する。特に保険数理学関連の時は要注意である。 また、別の意味の「リスク評価」もリスクアセスメントにリダイレクトしていた。

1. リスクマネジメント
------------

ISO規格では、リスクアセスメントとは、もともとリスクマネジメントプロセス内のサブプロセスである。安全工学上はリスクとは、人、環境、物に悪い影響をあたえる可能性と大きさである。予測されるリスクの可能性と大きさと、許容されるリスクの可能性と大きさを比較し、予想値が許容値を上回った時リスク軽減の施策またはリスク回避の施策をとるという意思決定を行い、実際にその施策をとり、より安全な状態を実現するプロセスをとることになる。このプロセス全体がリスク管理プロセスである。このように、リスクアセスメントは、リスク管理プロセス内の意思決定サブプロセスとなる。

1.1. リスクマネジメントの用語
-----------------

リスクレベル  - 結果とその起こりやすさとの組合せとして表されるリスクの大きさ
リスク基準  - リスクの重大性を評価する基準
リスク対応  - リスクを修正するプロセス
残留リスク  - リスク対応の後に残るリスク

2. リスク特定
--------

リスク特定は、リスクを発見し、認識し、記述するプロセスである。 「リスクの原因、現象、それらの発生、およびそれらによる潜在的な結果の特定」が含まれる 。

ISO 31000で、リスク特定はリスク分析とリスク評価の前に行うリスク評価プロセスの最初のステップである 。 リスクを「ハザード」として知られている分野では、このステップは「ハザード特定」として知られている 。

リスクを特定するには、次のようなさまざまな方法がある 。

過去のデータまたは理論モデルに基づくチェックリストまたは分類法
文献レビューや履歴データの分析などの証拠に基づく方法
HAZOP、FMEA、SWIFTなど、通常の運用からの逸脱の可能性を体系的に検討するチームベースの方法
特定の状況下で何が起こるかを特定するためのテストやモデリングなどの経験的方法
シナリオ分析など、将来の可能性について想像思考手法。
ブレインストーミング、構造化インタビュー、 監査 などの専門家を引き出す方法 。

2.1. プロセス間の手法の違いについて
--------------------

場合によっては、リスクの特定処理では、「他の場所で分析および評価されるリスク」を見つけて文書化することに限定される。ただし、多くのリスク識別手法は、管理手段が十分かも考慮され、改善の検討も推奨される。したがって、リスク識別手法は単独でリスク評価手法としても機能できるものも多い。

2.2. リスクとハザードの違い
----------------

「リスク」と「ハザード」の用語は両方とも同じ意味に使われることもあるが、リスクアセスメントの観点から見ると異なる用語である。

ハザード :自然災害、停電、劣化などによる危険性又は有害性
リスク　 :ハザードが悪影響をもたらす可能性の度合い 簡単に言うと、ハザードがなければリスクも無い。 ただし、ISOの用語の定義変更があり同じ意味の時もある。

3. リスク分析
--------

リスク分析とは、リスクの理解を深めることである。 ISOは、それを「リスクの性質を理解し、リスクのレベルを決定するプロセス」と定義した。

ISO 31000リスク評価プロセスでは、リスク分析はリスクの特定の後、リスク評価の前に実施する。ただし、これらの区別は常に守られているわけではない。

リスク分析には以下が含まれる場合がある：

リスクの原因、原因、推進要因の特定
既存のコントロールの有効性の調査
起こりうる結果とその可能性の分析
リスク間の相互作用と依存関係の理解
リスクの尺度の決定
結果の検証と妥当性確認
不確実性と感度の分析リスク分析では、以前のイベントの確率と結果に関するデータを使用することがよくある。 そのようなイベントがほとんどない場合、またはまだ運用されておらず、したがって以前の経験がないシステムでは、次のような分析方法を使用して確率と結果を推定する。

類似システムのデータ　
モンテカルロシミュレーション、定量的リスク評価ソフトウェアなどの理論モデル
ベイジアンネットワーク、フォルトツリー解析、イベントツリー分析などの論理モデル
絶対確率判定、デルファイ法などの専門家による判定

4. リスク評価
--------

リスク評価では、リスクの推定レベルをリスク基準と比較して、リスクの重大性を判断し、リスク処理アクションについて決定を下す。

4.1. リスク基準
----------

ほとんどの活動では、さらにコントロールや他の処理オプションを追加することでリスクを減らすことができるが、通常、これはコストや不便さを増大させる。活動を中止せずにリスクを完全に排除することはめったに不可能である。価値ある利益を確保するためにリスクを高めることが望ましい場合もある。「リスク基準」は、これらの問題に関する決定を導くことを目的とする

。

基準の種類は次のとおり 。

目的を追求するために受け入れ可能なリスクのレベルを定義する基準。「リスクアペタイト」とも呼ばれ 、リスク/報酬分析により評価される。
費用便益比など、さらなる管理が必要かを決定する基準 。
多基準意思決定分析など、さまざまなリスク管理オプションを決定する基準。リスク基準の最も単純な構成は、「許容可能なリスク」と「処置が必要なリスク」を分ける単一のレベルである。これは魅力的に単純な結果をもたらすが、リスクの推定と基準の定義の両方に伴う不確実性を反映していない。

4.2. リスク評価の手順
-------------

具体的には、リスク分析により明確化されたリスク因子に基づき、

リスク因子により組織の財務基盤にどのような悪影響を及ぼしうるかの評価
それにより、どのリスク因子を優先的に対処していくかの優先順位決定
リスク対処のコストパフォーマンスを、上述の財務基盤への影響度も絡めて分析評価し、再検討と言った手順を取る。

上記2番目のリスク因子の優先順位を決定する際には、リスクマップが作成されるのが一般的である。

4.3. 用語注意
---------

リスクアセスメントは、「リスク評価」と訳されることが多い。しかし、risk evaluationをリスク評価と訳している場合もあり注意が必要である。本来、assessmentとevaluationとの間には、若干の相違点がある。evaluationは評価する行為そのものであるのに対して、assessmentは評価した結果に基づいて考察を加え、判断することまで含める概念である。例えば、環境アセスメントは、その代表的な使い方である。risk assessment, risk evaluation, risk characterization, risk managementなどの訳語に調整が必要である。これらの用語についてはUNEP/ILO/FAO/WHO/ILO/UNIDO/UNITAR/OECDによる整理事例がある。

なお、2021年9月時点で、「リスク評価」は「リスクアセスメント」へリダイレクトしている。

5. 技法
-----

5.1. 手法
-------

5.1.1. ISO記載
------------

ブレーンストーミング
構造化又は半構造化インタビュー 
デルファイ法
チェックリスト
予備的ハザード分析
HAZOPスタディーズ
ハザード分析及び必須管理点
環境リスクアセスメント 
構造化“Whatif”技法
シナリオ分析
事業影響度分析
根本原因分析
故障モード・影響解析
故障の木解析