風險的各種定義
1、某一危險事件發(fā)生的頻率或者概率與事件后果的組合。在這個定義中，風險與某一特定的危險事件有關。比如某種氣體泄漏或者與塔吊墜物有關的風險。但在多種危險事件并存的情況下并不適用。
2、人類活動或者事件造成的后果對現(xiàn)有價值造成傷害的概率。
3、造成資產(chǎn)（包括人員本身）處于危險的情況或者事件，而結果是不確定的。
4、與資產(chǎn)相關行為的不確定性以及后果（結果）的嚴重程度。
5、在特定的時間段內，或者由于某種困難情況導致某一負面事件發(fā)生的概率。
6、風險是指未來事件和結果的不確定性。它描述了該事件對于完成組織目標產(chǎn)生影響的可能性。
等等
風險評估
如果把風險分析和風險評價連接起來，這個整體就叫做風險評估。
▲風險評估過程
英國健康與安全執(zhí)行委員會曾發(fā)布過一份風險評估的簡要介紹《風險評估的五個步驟》，這五個步驟分別是:
1、識別危險
2、確定誰會受到傷害以及如何受到傷害
3、風險評價并確定預防措施
4、記錄結果并實施
5、檢查評估情況，并在必要時進行更新。
注意一些書籍及指南沒有區(qū)分風險分析和風險評估，有些不包含風險評價的工作也試圖使用風險評估這個詞。還有些將風險評估定義為風險評價的補充，如美國聯(lián)邦航空管理局將風險評估定義為“使用風險評價的結果進行決策的過程”。
通過風險評估，決策者及有關各方可以更深刻地認識那些可能影響組織目標實現(xiàn)的風險以及現(xiàn)有風險控制措施的充分性和有效性，為確定最合適的風險應對方法奠定基礎。風險評估的結果可作為組織決策過程的輸入。
風險評估是由風險識別、風險分析及風險評價構成的一個完整過程(參見圖1)。該過程的開展方式不僅取決于風險管理過程的背景，還取決于開展風險評估工作所使用的方法與技術。
考慮到各類風險的原因及后果有較大差異，因此風險評估通常涉及到多學科方法的綜合應用。
風險識別
風險識別是發(fā)現(xiàn)、認可并記錄風險的過程。風險識別的目的是確定可能影響系統(tǒng)或組織目標得以實現(xiàn)的事件或情況。一旦風險得以識別，組織應對現(xiàn)有的控制措施(諸如設計特征、人員、過程和系統(tǒng)等)進行識別。風險識別過程包括識別那些可能對目標產(chǎn)生重大影響的風險源、影響范圍、事件及其原因和潛在的后果。風險識別方法包括：● 基于證據(jù)的方法，例如檢查表法以及對歷史數(shù)據(jù)的審查；● 系統(tǒng)性的團隊方法，例如一個專家團隊可以借助于一套結構化的提示或問題來系統(tǒng)地識別風險；● 歸納推理技術，例如危險與可操作性分析(HAZOP)等。組織可利用各種支持性的技術來提高風險識別工作的準確性和完整性，包括頭腦風暴法及德爾菲法等。無論實際采用哪種技術，關鍵是在整個風險識別過程中要認識到人的因素及組織因素的重要性。因此，偏離預期的人為及組織因素也應被納入風險識別的過程中。
風險分析
1、概述
風險分析能夠加深對風險的理解。它為風險評價提供輸入，以確定風險是否需要處理以及最適當?shù)奶幚聿呗院头椒?。風險分析要考慮導致風險的原因和風險源、風險后果及其發(fā)生的可能性，識別影響后果和可能性的因素，還要考慮現(xiàn)有的風險控制措施及其有效性。然后結合風險發(fā)生的可能性及后果來確定風險水平。
一個風險事件可能產(chǎn)生多個后果，從而可能影響多重目標。附錄B提供了一些常用的風險分析方法。對于復雜的應用可能需要多種方法同時使用。風險分析通常涉及對風險事件潛在后果及相關概率的估計，以便確定風險等級。在某些情況下，例如當后果很不重要，或者概率極低時，單項的估計可能足以進行決策。在某些情況下，風險可能是一系列事件迭加產(chǎn)生的結果，或者由一些難以識別的特定事件所誘發(fā)。在這種情況下，風險評估的重點是分析系統(tǒng)各組成部分的重要性和薄弱環(huán)節(jié)，以確定相應的保護和補救措施。
根據(jù)風險分析的目的、可獲得的可靠數(shù)據(jù)以及組織的決策需要，風險分析可以是定性的、半定量的、定量的或以上方法的組合。定性評估可通過“高、中、低”這樣的表述來界定風險事件的后果、可能性及風險等級。如將后果和可能性兩者結合起來，并與定性的風險準則相比較，即可評估最終的風險等級。半定量法可利用數(shù)字分級尺度來測度風險的可能性及后果，并運用公式將二者結合起來，得出風險等級。
定量分析則可估計出風險后果及其可能性的實際數(shù)值，結合具體情境，產(chǎn)生風險等級的數(shù)值。由于相關信息不夠全面、缺乏數(shù)據(jù)、人為因素影響等，或是因為定量分析工作無法確?；驔]有必要，全面的定量分析未必都是可行的或值得的。在此情況下，由經(jīng)驗豐富的專家對風險進行半定量或者定性的分析可能已經(jīng)足夠有效。
如果是定性分析，那么應該對使用的術語進行清晰的說明，并對風險準則的設定基礎進行記錄。即使已實現(xiàn)全面的定量分析，還應注意到，此時所獲得的風險等級值是估計值，應注意確保其精確度不會與所使用的原始數(shù)據(jù)及分析方法的精確度存在偏差。風險等級應當用與風險類型最為匹配的術語表達，以利于進一步的風險評價。在某些情況下，風險等級可以通過風險后果的概率分布來表達。
2、控制措施評估
風險的等級水平不僅取決于風險本身，還與現(xiàn)有風險控制措施的充分性和有效性密切相關。在進行控制措施評估時，需要解決的問題包括： 對于一個具體的風險，現(xiàn)有的控制措施是什么？ 這些控制措施是否足以應對風險，是否可以將風險控制在可接受水平？ 在實際中，控制措施是否在以預定方式正常運行，當需要時能否證明這些控制措施是有效的？對于特定的控制措施或一套相關控制措施的有效性水平，可以進行定性、半定量或定量的表示。但在大多數(shù)情況下，難以保證高度的精確性。然而，對風險控制效果的測量進行表述和記錄是有價值的。因為在對現(xiàn)有控制措施進行改進以及實施不同的風險應對措施時，這些信息有助于決策者進行比較和判斷。
3、后果分析
通過假設特定事件、情況或環(huán)境已經(jīng)出現(xiàn)，后果分析可確定風險影響的性質和類型。某個事件可能會產(chǎn)生一系列不同嚴重程度的影響，也可能影響到一系列目標和不同利益相關者。在明確環(huán)境信息時，就應當確定所需要分析的后果的類型和受影響的利益相關者。后果分析可以有包括從結果的簡單描述到制定詳細的數(shù)量模型等多種形式。影響可能是輕微后果高概率，或嚴重后果低概率，或某些中間狀況。在某些情況下，應關注具有潛在嚴重后果的風險，因為這些風險往往是管理者最關心的。在其它情況下，同時分析具有嚴重后果和輕微后果的風險可能是重要的。例如，頻繁而輕微的問題可能具有很大的累積效應。另外，處理這兩類截然不同風險的應對措施往往有很大的區(qū)別，因此分別分析這兩類風險是很必要的。后果分析應包括： 考慮現(xiàn)有的后果控制措施，并關注可能影響后果的相關因素； 將風險后果與最初目標聯(lián)系起來； 對馬上出現(xiàn)的后果和那些經(jīng)過一段時間后可能出現(xiàn)的后果兩種情況要同等重視； 不能忽視次要后果，例如那些影響附屬系統(tǒng)、活動、設備或組織的次要后果
4、可能性分析和概率估計
通常主要使用三種方法來估計可能性。這些方法可單獨或組合使用。1)利用相關歷史數(shù)據(jù)來識別那些過去發(fā)生的事件或情況，借此推斷出它們在未來發(fā)生的可能性。所使用的數(shù)據(jù)應當與正在分析的系統(tǒng)、設備、組織或活動的類型有關。如果某些事件歷史上發(fā)生頻率很低，則無法估計其可能性。這一點尤其適用于從未發(fā)生的事件、情況或環(huán)境，人們無法推測其將來是否會發(fā)生。2)利用故障樹和事件樹等技術來預測可能性。當歷史數(shù)據(jù)無法獲取或不夠充分時，有必要通過分析系統(tǒng)、活動、設備或組織及其相關的失效或成功狀況來推斷風險的可能性。3)系統(tǒng)化和結構化地利用專家觀點來估計可能性。專家判斷應利用一切現(xiàn)有的相關信息，包括歷史、具體系統(tǒng)、具體組織、實驗及設計等方面的信息。獲得專家判斷的正式方法眾多，現(xiàn)有常用方法包括德爾菲法和層次分析法等。1.3.5 初步分析應對風險事件進行全面的掃描，以識別出最重大的風險或把不太重要和次要的風險排除出進一步的分析，由此確保組織資源能集中于應對最嚴重的風險。進行篩選時，應注意不要漏掉發(fā)生頻繁低但有重大累積效應的風險。以上篩選活動應在明確環(huán)境信息時所確定的準則基礎上進行。依據(jù)初步分析的結果，組織可能采取以下某個行動方案：
● 繼續(xù)進行更細致的風險評估。最初的假定及結果應記錄在案。1.3.6 不確定性及敏感性因素在風險分析過程中經(jīng)常會涉及到相當多的不確定性因素。認識這些不確定性因素對于有效地理解并說明風險分析結果是必要的。例如，對于那些在風險識別和風險分析時所使用的數(shù)據(jù)、方法及模型，應注意分析其本身存在的不確定性因素。不確定性因素分析涉及到對風險分析結果的方差或偏離性進行明確。與不確定性因素分析密切相關的是敏感性分析。敏感性分析是確定某個參數(shù)輸入的改變對風險等級影響的程度和顯著性。這項分析可用來識別哪些數(shù)據(jù)是對結果影響較大的，從而更應確保其準確性。應盡可能充分闡述風險分析的完整性及準確度。如有可能，應識別不確定性因素的起因。敏感的參數(shù)及其敏感度應予以說明。
風險評價
風險評價包括將風險分析的結果與預先設定的風險準則相比較，或者在各種風險的分析結果之間進行比較，確定風險的等級。風險評價利用風險分析過程中所獲得的對風險的認識，來對未來的行動進行決策。道德、法律、資金以及包括風險偏好在內的其它因素也是決策的參考信息。決策包括：
● 是否應開展某項應對活動；● 應該采取哪種途徑。在明確環(huán)境信息時，需要制定的決策的性質以及決策所依據(jù)的準則都已得到確定。但是在風險評價階段，需要對以上問題進行更深入的分析，畢竟此時對于已識別的具體風險有更為全面的了解。如果該風險是新識別的風險，則應當制定相應的風險準則，以便評價該風險。最簡單的風險評價結果僅將風險分為兩種：需要處理與無需處理的。這樣的處理方式無疑簡單易行，但是其結果通常難以反映出風險估計時的不確定性因素，而且兩類風險界限的準確界定也絕非易事。常見的方法是將風險劃分為三個等級段。安全工程領域的“最低合理可行”原則(As Low As Aeasonably Practicable，簡稱ALARP)即適用于這種方法。● 上段是指無論活動能帶來什么利益，風險等級都是無法容忍的，必須不惜代價進行風險應對；● 中段是指要考慮實施風險應對的成本與收益，并權衡機遇與潛在結果；● 下段是指風險等級微不足道，或者風險很小，無需采取風險應對措施。風險評價的結果應滿足風險應對的需要，否則，應做進一步分析。
文件的歸檔
風險評估的過程應與評估結果一起記錄在案。風險應以可理解的術語來表達，同時對于風險等級的單位也應進行清晰表述。風險評估記錄文件的內容將取決于評估工作的目標及范圍。除非進行很簡單的評估，否則，文件需包括以下內容：
● 組織的內外部環(huán)境描述以及被評估對象與內外環(huán)境的關聯(lián)情況；● 所使用的風險準則及其合理性；● 假定及假設的合理性；● 評估方法；● 風險識別結果；● 數(shù)據(jù)的來源與校驗；● 風險分析結果及評價；● 敏感性及不確定性分析；● 關鍵假定和其他需要加以監(jiān)測的因素；● 結果討論；● 結論和建議；● 參考資料。如果需要風險評估來支持一個連續(xù)的風險管理過程，那么對于風險評估的記錄工作應在系統(tǒng)、組織、設備或活動的整個生命周期內持續(xù)進行。如果出現(xiàn)重要的新信息并且環(huán)境發(fā)生變化，應根據(jù)管理的需要對風險評估進行更新。
風險評估的監(jiān)督和檢查
風險評估過程強調環(huán)境因素和那些經(jīng)過一段時間預計會變化并且可能使風險評估改變或失效的其它因素。應當識別出這些因素進行持續(xù)的監(jiān)督和檢查，以便在必要時更新風險評估的信息。應當識別和收集為改進風險評估而監(jiān)測的數(shù)據(jù)。還應當監(jiān)測和記錄風險控制措施的效果，以便為風險分析提供數(shù)據(jù)。應當明確證據(jù)、文件的建立和檢查的責任。
風險管理
在識別風險然后采取降低風險的措施之后，調查風險如何隨時間變化，就是在進行風險管理。
風險管理的目標
風險管理的目標是識別、分析、評價系統(tǒng)當中或者與某項行為相關的潛在危險的持續(xù)管理過程，尋找并引入風險控制手段，消除或者至少減輕這些危險對人員、環(huán)境或者其他資產(chǎn)的損害。
▲風險管理要素
連續(xù)風險管理
識別
在管理風險之前，必須識別出危險和潛在的危險事件。所謂識別過程就是在問題出現(xiàn)之前發(fā)現(xiàn)它們，并從是什么、何時、何地、如何發(fā)生、為什么發(fā)生等多方面進行描述。
分析
在這里，分析意味著將數(shù)據(jù)轉化為與風險相關的決策支持信息。這些數(shù)據(jù)可能是危險事件的概率，或者事件發(fā)生造成的后果的嚴重程度。這些分析是企業(yè)為關鍵風險元素進行排序的基礎。
計劃
在此步驟中，風險信息被轉化為決策和行動。計劃包括確定處理每一個危險的方案，為風險降低工作排序，以及制定完整的風險管理計劃。風險行動計劃的關鍵是要考慮現(xiàn)在的決策對未來的影響。
跟蹤
跟蹤包括監(jiān)控風險級別和降低風險的行動。需要找出合適的風險降低方法并進行監(jiān)控，保證可以對風險狀態(tài)進行評價。
控制
在這一步當中，需要執(zhí)行先前提出來的風險降低措施，并進行控制。該步驟可以集成到日常的管理活動過程中，根據(jù)管理流程控制風險行動計劃，修正計劃與實踐之間的偏差，對做出反饋并改進風險管理過程。
溝通與建檔
上述幾項工作都需要建檔，并在各個部門之間溝通和交流。將溝通放在上圖中心的位置就是為了凸顯其重要性及無處不在性。如果沒有有效的溝通，任何風險管理方法都是沒用的。必須建立檔案管理系統(tǒng)，并對風險決策進行溝通。
