03.23 風險管理流程（風險分析）

1.1概述

通過風險評估，決策者及有關各方可以更深刻地認識那些可能影響組織目標實現的風險以及現有風險控制措施的充分性和有效性，為確定最合適的風險應對方法奠定基礎。風險評估的結果可作為組織決策過程的輸入。

風險評估是由風險識別、風險分析及風險評價構成的一個完整過程(參見圖1)。該過程的開展方式不僅取決於風險管理過程的背景，還取決於開展風險評估工作所使用的方法與技術。

考慮到各類風險的原因及後果有較大差異，因此風險評估通常涉及到多學科方法的綜合應用。

1.2 風險識別

風險識別是發現、認可並記錄風險的過程。風險識別的目的是確定可能影響系統或組織目標得以實現的事件或情況。一旦風險得以識別，組織應對現有的控制措施(諸如設計特徵、人員、過程和系統等)進行識別。風險識別過程包括識別那些可能對目標產生重大影響的風險源、影響範圍、事件及其原因和潛在的後果。風險識別方法包括：● 基於證據的方法，例如檢查表法以及對歷史數據的審查；● 系統性的團隊方法，例如一個專家團隊可以藉助於一套結構化的提示或問題來系統地識別風險；● 歸納推理技術，例如危險與可操作性分析(HAZOP)等。組織可利用各種支持性的技術來提高風險識別工作的準確性和完整性，包括頭腦風暴法及德爾菲法等。無論實際採用哪種技術，關鍵是在整個風險識別過程中要認識到人的因素及組織因素的重要性。因此，偏離預期的人為及組織因素也應被納入風險識別的過程中。

1.3 風險分析

1.3.1 概述

風險分析能夠加深對風險的理解。它為風險評價提供輸入，以確定風險是否需要處理以及最適當的處理策略和方法。風險分析要考慮導致風險的原因和風險源、風險後果及其發生的可能性，識別影響後果和可能性的因素，還要考慮現有的風險控制措施及其有效性。然後結合風險發生的可能性及後果來確定風險水平。一個風險事件可能產生多個後果，從而可能影響多重目標。附錄B提供了一些常用的風險分析方法。對於複雜的應用可能需要多種方法同時使用。風險分析通常涉及對風險事件潛在後果及相關概率的估計，以便確定風險等級。在某些情況下，例如當後果很不重要，或者概率極低時，單項的估計可能足以進行決策。在某些情況下，風險可能是一系列事件迭加產生的結果，或者由一些難以識別的特定事件所誘發。在這種情況下，風險評估的重點是分析系統各組成部分的重要性和薄弱環節，以確定相應的保護和補救措施。根據風險分析的目的、可獲得的可靠數據以及組織的決策需要，風險分析可以是定性的、半定量的、定量的或以上方法的組合。定性評估可通過“高、中、低”這樣的表述來界定風險事件的後果、可能性及風險等級。如將後果和可能性兩者結合起來，並與定性的風險準則相比較，即可評估最終的風險等級。半定量法可利用數字分級尺度來測度風險的可能性及後果，並運用公式將二者結合起來，得出風險等級。定量分析則可估計出風險後果及其可能性的實際數值，結合具體情境，產生風險等級的數值。由於相關信息不夠全面、缺乏數據、人為因素影響等，或是因為定量分析工作無法確保或沒有必要，全面的定量分析未必都是可行的或值得的。在此情況下，由經驗豐富的專家對風險進行半定量或者定性的分析可能已經足夠有效。如果是定性分析，那麼應該對使用的術語進行清晰的說明，並對風險準則的設定基礎進行記錄。即使已實現全面的定量分析，還應注意到，此時所獲得的風險等級值是估計值，應注意確保其精確度不會與所使用的原始數據及分析方法的精確度存在偏差。風險等級應當用與風險類型最為匹配的術語表達，以利於進一步的風險評價。在某些情況下，風險等級可以通過風險後果的概率分佈來表達。

1.3.2 控制措施評估

風險的等級水平不僅取決於風險本身，還與現有風險控制措施的充分性和有效性密切相關。在進行控制措施評估時，需要解決的問題包括： 對於一個具體的風險，現有的控制措施是什麼？ 這些控制措施是否足以應對風險，是否可以將風險控制在可接受水平？ 在實際中，控制措施是否在以預定方式正常運行，當需要時能否證明這些控制措施是有效的？對於特定的控制措施或一套相關控制措施的有效性水平，可以進行定性、半定量或定量的表示。但在大多數情況下，難以保證高度的精確性。然而，對風險控制效果的測量進行表述和記錄是有價值的。因為在對現有控制措施進行改進以及實施不同的風險應對措施時，這些信息有助於決策者進行比較和判斷。

1.3.3 後果分析

通過假設特定事件、情況或環境已經出現，後果分析可確定風險影響的性質和類型。某個事件可能會產生一系列不同嚴重程度的影響，也可能影響到一系列目標和不同利益相關者。在明確環境信息時，就應當確定所需要分析的後果的類型和受影響的利益相關者。後果分析可以有包括從結果的簡單描述到制定詳細的數量模型等多種形式。影響可能是輕微後果高概率，或嚴重後果低概率，或某些中間狀況。在某些情況下，應關注具有潛在嚴重後果的風險，因為這些風險往往是管理者最關心的。在其它情況下，同時分析具有嚴重後果和輕微後果的風險可能是重要的。例如，頻繁而輕微的問題可能具有很大的累積效應。另外，處理這兩類截然不同風險的應對措施往往有很大的區別，因此分別分析這兩類風險是很必要的。後果分析應包括： 考慮現有的後果控制措施，並關注可能影響後果的相關因素； 將風險後果與最初目標聯繫起來； 對馬上出現的後果和那些經過一段時間後可能出現的後果兩種情況要同等重視； 不能忽視次要後果，例如那些影響附屬系統、活動、設備或組織的次要後果

1.3.4 可能性分析和概率估計

通常主要使用三種方法來估計可能性。這些方法可單獨或組合使用。1)利用相關歷史數據來識別那些過去發生的事件或情況，藉此推斷出它們在未來發生的可能性。所使用的數據應當與正在分析的系統、設備、組織或活動的類型有關。如果某些事件歷史上發生頻率很低，則無法估計其可能性。這一點尤其適用於從未發生的事件、情況或環境，人們無法推測其將來是否會發生。2)利用故障樹和事件樹等技術來預測可能性。當歷史數據無法獲取或不夠充分時，有必要通過分析系統、活動、設備或組織及其相關的失效或成功狀況來推斷風險的可能性。3)系統化和結構化地利用專家觀點來估計可能性。專家判斷應利用一切現有的相關信息，包括歷史、具體系統、具體組織、實驗及設計等方面的信息。獲得專家判斷的正式方法眾多，現有常用方法包括德爾菲法和層次分析法等。1.3.5 初步分析應對風險事件進行全面的掃描，以識別出最重大的風險或把不太重要和次要的風險排除出進一步的分析，由此確保組織資源能集中於應對最嚴重的風險。進行篩選時，應注意不要漏掉髮生頻繁低但有重大累積效應的風險。以上篩選活動應在明確環境信息時所確定的準則基礎上進行。依據初步分析的結果，組織可能採取以下某個行動方案：

● 立即進行風險應對而無需進行評估；

● 擱置暫不需處理的輕微風險；

● 繼續進行更細緻的風險評估。

最初的假定及結果應記錄在案。

1.3.6 不確定性及敏感性因素

在風險分析過程中經常會涉及到相當多的不確定性因素。認識這些不確定性因素對於有效地理解並說明風險分析結果是必要的。例如，對於那些在風險識別和風險分析時所使用的數據、方法及模型，應注意分析其本身存在的不確定性因素。不確定性因素分析涉及到對風險分析結果的方差或偏離性進行明確。與不確定性因素分析密切相關的是敏感性分析。敏感性分析是確定某個參數輸入的改變對風險等級影響的程度和顯著性。這項分析可用來識別哪些數據是對結果影響較大的，從而更應確保其準確性。應儘可能充分闡述風險分析的完整性及準確度。如有可能，應識別不確定性因素的起因。敏感的參數及其敏感度應予以說明。

風險評價包括將風險分析的結果與預先設定的風險準則相比較，或者在各種風險的分析結果之間進行比較，確定風險的等級。風險評價利用風險分析過程中所獲得的對風險的認識，來對未來的行動進行決策。道德、法律、資金以及包括風險偏好在內的其它因素也是決策的參考信息。決策包括：

● 某個風險是否需要應對；

● 風險的應對優先次序；

● 是否應開展某項應對活動；

● 應該採取哪種途徑。

在明確環境信息時，需要制定的決策的性質以及決策所依據的準則都已得到確定。但是在風險評價階段，需要對以上問題進行更深入的分析，畢竟此時對於已識別的具體風險有更為全面的瞭解。如果該風險是新識別的風險，則應當制定相應的風險準則，以便評價該風險。最簡單的風險評價結果僅將風險分為兩種：需要處理與無需處理的。這樣的處理方式無疑簡單易行，但是其結果通常難以反映出風險估計時的不確定性因素，而且兩類風險界限的準確界定也絕非易事。常見的方法是將風險劃分為三個等級段。安全工程領域的“最低合理可行”原則(As Low As Aeasonably Practicable，簡稱ALARP)即適用於這種方法。

● 上段是指無論活動能帶來什麼利益，風險等級都是無法容忍的，必須不惜代價進行風險應對；

● 中段是指要考慮實施風險應對的成本與收益，並權衡機遇與潛在結果；

● 下段是指風險等級微不足道，或者風險很小，無需採取風險應對措施。

風險評價的結果應滿足風險應對的需要，否則，應做進一步分析。

1.5 文件的歸檔

風險評估的過程應與評估結果一起記錄在案。風險應以可理解的術語來表達，同時對於風險等級的單位也應進行清晰表述。風險評估記錄文件的內容將取決於評估工作的目標及範圍。除非進行很簡單的評估，否則，文件需包括以下內容：

● 目標及範圍；

● 系統相關部分的說明及它們的功能；

● 組織的內外部環境描述以及被評估對象與內外環境的關聯情況；

● 所使用的風險準則及其合理性；

● 假定及假設的合理性；

● 評估方法；

● 風險識別結果；

● 數據的來源與校驗；

● 風險分析結果及評價；

● 敏感性及不確定性分析；

● 關鍵假定和其他需要加以監測的因素；

● 結果討論；

● 結論和建議；

如果需要風險評估來支持一個連續的風險管理過程，那麼對於風險評估的記錄工作應在系統、組織、設備或活動的整個生命週期內持續進行。如果出現重要的新信息並且環境發生變化，應根據管理的需要對風險評估進行更新。

1.6 風險評估的監督和檢查

風險評估過程強調環境因素和那些經過一段時間預計會變化並且可能使風險評估改變或失效的其它因素。應當識別出這些因素進行持續的監督和檢查，以便在必要時更新風險評估的信息。應當識別和收集為改進風險評估而監測的數據。還應當監測和記錄風險控制措施的效果，以便為風險分析提供數據。應當明確證據、文件的建立和檢查的責任。