تحليلگران ريسك با تعريف معيارهايي نظير : احتمال وقوع و شدت توانسته اند به صور مختلف به تجزيه و تحليل بپردازند . عدم اطمينان در ارزيابي ريسك در صورت بكارگيري روش نامطلوب بسيار بالا بوده و تصميم گيري بر اساس   ارزيابي هاي مخدوش اغلب بدين معناست كه ريسك واقعي چندين برابر بالاتر يا پايين تر از ميزان تخمين زده شده ، خواهد شد. تمركز بر تخمين هاي دقيق در خصوص احتمالات و توزيع احتمالات در زمان آينده توسط تحليلگران سبب مي شود تا از احتمالات به عنوان سنجه اي براي تخمين مقدار ريسك بصورت كمي ⁽¹⁾ استفاده گردد . نگرش ديگر تحليلگران ريسك بصورت كيفي ⁽²⁾ در برخي از روشهاي ارزيابي ريسك كه در فرآيندهاي مهندسي رواج دارند به تجزيه و تحليل ريسك هاي واحدهاي صنعتي كمك مي نمايد . روشهاي ارزيابي ريسك مبتني بر موثر بودن عوامل كنترل و كشف كننده خطرات قبل از وقوع نيز در برخي از تجزيه وتحليل ها در واحدهاي صنعتي با توليد در مقياس انبوه قابل بكارگيري مي باشند . ديدگاه ديگري كه در ارزيابي ريسك ميتواند به كار رود روشهاي ارزشيابي سطح ريسك براساس طبقه بندي ريسك در سطوح مختلف مي باشد. درمجموع هدف از اين بخش ارائه راهنمايي هاي قابل اطمينان به تحليل گران ريسك و ساير افراد با بحث درباره بكارگيري روشهاي استاندارد ارزيابي ريسك مي باشد .

شرح مختصر فرآيند ارزيابي ريسك  

هدف عمده فرآيند ارزيابي ريسك تعيين ميزان عدم اطمينان سيستم مورد مطالعه و هزينه هاي ناشي از آن و ارائه راه كارهايي بركاهش آن مي باشد . بررسي ريسك در نگرش سيستمي به نوعي است كه تعامل اجزاء مختلف سيستم و اثرات مثبت و منفي آنها بر يكديگر و نهايتاً عملكرد سيستم مورد تجزيه و تحليل قرار مي گيرد . امروزه براي ارزيابي ريسك از روشهاي استاندارد نظير : تجزيه و تحليل خطرات و فرآيندها ⁽¹⁾ ، تجزيه و تحليل خسارت و اثر آن ⁽²⁾ درخت خطا⁽³⁾و تحليل بيز⁽⁴⁾ استفاده شاياني بعمل مي آيد .بطور خلاصه تحليلگران ريسك با استفاده از روشهاي ارزيابي ريسك به ارائه توصيه هاي ايمني براي از بين بردن و كاهش ريسك مي پردازند و در اغلب صنايع بزرگ نظير : خودروسازان ، فولادسازان، پالايشگاهها، شبكه هاي مخابراتي ، شبكه هاي توزيع برق و ساير موارد مشابه دامنه زماني هر ارزيابي ريسك سالانه يا كمتر در نظر گرفته مي شود . معمولاً محدوديتهاي اجتماعي (جغرافيايي، اقتصادي، عملياتي، جهاني،سياسي،قانوني،محيطي،اداري و غيره ) در ارزيابي هاي ريسك به طور شفاف مطرح نمي گردند و هرگز يك مدل جامع وجود ندارد كه بتواند به طور كامل تمام موضوعات يك سيستم را پوشش دهد .

همانطور كه در قبلاً گفته شد ، ارزيابي ريسك از سه مرحله اصلي تشكيل شده است :

1-    شناسايي ريسك

2-    تجزيه وتحليل ريسك

3-    ارزشيابي ريسك

ارتباط بين فرآيندهاي مديريت ريسك و ارزيابي ريسك در شكل (2)‌ نشان داده شده اند .بكارگيري فرآيند ارزيابي ريسك نه فقط بستگي به موقعيت فرآيندهاي مديريت ريسك دارد بلكه روش و تكنيكهاي بكار گرفته شده براي ارزيابي ريسك نيز اهميت بسزايي دارند . ارزيابي ريسك ممكن است براساس نگرش چند بعدي برريسك و گستره وسيعي از دلايل و تحليل پي آمدها استوار گردد .

شناسايي ريسك

شناسايي ريسك يك فرآيند براي پيدا كردن ، تشخيص دادن وثبت كردن ريسكها ميباشد . هدف از شناسايي ريسك در سازمان يا سيستم ها مشخص كردن مواردي كه سبب ايجاد نقص مي شوند ، مي باشد . براي شناسايي ريسك بررسي كنترل هاي در نظرگرفته شده در سازمان كه براي طراحي ، منابع انساني و فرآيندها و سيستم ها در زمان آينده ضروري است. در فرآيند شناسايي ريسك بايستي به منابع و علل ايجاد ريسك (خطرات در زمينه نقص هاي فيزيكي ) ، حوادث،مكان و وضعيت چيدمان مواد و اشياء و خطرات ذاتي هر كدام توجه نمود . شناسايي ريسك با سه روش طبقه بندي شده است .

-        روشهاي مبتني برشواهد⁽¹⁾ ، براي مثال استفاده از چك ليستهاي مربوط به تاريخچه اطلاعات .

-    نگرش نظام مند تيمي ⁽²⁾ براساس بررسي هاي تيم برروي فرآيندهاي سيستم براي شناسايي ريسك بوسيله ايجاد ساختاري از تمام نقايص يا سوالات براي شناسايي آنها .

-        استفاده از روشهاي استقرايي براساس علل نظير(HAZOP  ،FMEA)

هر كدام از روشهاي مزبور ميتوانند بكار گرفته شوند و براي بهبود دقت و تكميل شدن شناسايي ريسك از روش هاي دلفي⁽³⁾  و طوفان مغزي⁽⁴⁾  كمك گرفته مي شود. براي استفاده از روشهاي كاربردي به كمك افرادي نياز است كه بتوانند خطاهاي سازماندهي ونيروهاي انساني را مورد ملاحظه قراردهند. بنابراين فاكتورهاي سازماندهي و نيروي انساني و در كنار آن حوادث سخت افزارها و نرم افزارها براي شناسايي ريسك بكار گرفته مي شوند .

تجزيه و تحليل ريسك

كليات

تجزيه و تحليل ريسك درباره توسعه و يك درك مناسب از ريسك مي باشد . خروجي يك ارزيابي ريسك به مديريت ريسك كمك مي نمايد تا با طرح ريزي عمليات برروي ريسك براساس استراتژي و تكنيكهاي مربوطه به مقابله با آثار زيانبار آن بپردازد . تجزيه و تحليل ريسك با محاسباتي درباره پي آمدها و احتمالات مربوط به وقوع حوادث و تكرار آنها به ارائه راه كارهايي براي كنترل زيان ها وتاثيرات آن مي انجامد .

تحليل ريسك درگير ملاحظات مربوط به دلايل و منابع ريسك ، پي آمدهاي آن و احتمال اينكه هر كدام از اين پي آمدها به وقوع مي پيوندند، استوار است . عواملي كه روي اين پي آمدها و احتمالات موثر هستند بايستي شناسايي شوند . يك حادثه ميتواند نتايج و اثرات متعدد روي اشياء مختلف داشته باشد . كنترلهاي ريسك كه در حال حاضر موجوداند و همچنين تاثيرگذاري آنها بايد درنظر گرفته شوند . روش هاي مختلف براي انواع تحليل ها در پيوست استاندارد جهانيISO 31010 تشريح شده اند . براي موارد پيچيده ممكن است بيش از يك روش مورد نياز باشد .

به طور عادي تجزيه و تحليل ريسك شامل تخمين گستره اي از پي آمدهاي احتمالي مي باشد كه ممكن است ناشي از يك حادثه ، موقعيت يا يك رويداد و احتمالات مرتبط با آنها براي اندازه گيري درجه اهميت ريسك باشد . به هر حال در برخي از موارد ، از جمله در جاهايي كه پي آمدها به نظر ناچيز مي رسند ، يا انتظار مي رود كه بسيار كم باشند ، ممكن است تنها تخمين يك پارامتر براي تصميم گيري كافي باشد .

در برخي شرايط ، يك پي آمد ميتواند نتيجه گستره وسيعي از حوادث يا شرايط بوده يا نتيجه عدم تشخيص يك واقعه خاص باشد . در اين مورد ، كانون توجه تجزيه و تحليل ريسك روي تحليل اهميت و قابليت آسيب پذيري عناصر يك سيستم از نقطه نظري است كه مرتبط با درجات مختلف پشتيباني يا استراتژي هاي بازيابي باشد. روش هاي تحليل ريسك ميتواند كمي ، نيمه كمي يا كيفي بوده و ميزان جزئيات مورد نياز بستگي به كاربرد خاص، ميزان دسترسي به اطلاعات قابل اطمينان و نيازهاي تصميم گيري يك سازمان دارد . بعضي از روش ها و ميزان جزئيات يك تحليل ممكن است از پيش توسط قانون تعيين شده باشد . ارزيابي كيفي اثرات، احتمالات و درجه ريسكها را با درجه بندي مشخص و معناداري مثل"زياد"،"متوسط" يا "كم" تعريف مي كنند . اين ارزيابي ممكن است احتمالات و اثرات را تركيب كرده و درجه حاصل شده را با شاخص كيفي بيان كند .

روش هاي نيمه – كمي از مقياس هاي درجه بندي عددي، براي پي آمدها واحتمالات آنها استفاده كرده و از فرمولي خاص در تركيب آنها براي توليد درجه اهميت ريسك استفاده مي كنند . مقياس ممكن است بصورت خطي،لگاريتمي يا روابط ديگري تعيين گردد ، همچنين ميتوانند از فرمول هاي مختلفي استفاده نمايند . تجزيه وتحليل كمي،مقادير بخصوص را براي پي آمدها و احتمالات آنها تخمين مي زند و درجه بندي ريسك را در واحد زمان مشخص مي نمايد . تجزيه و تحليل كمي كامل بدليل اطلاعات ناقص درباره سيستم يا فعاليت مورد بررسي ، كمبود داده ها ، تاثير عوامل انساني و غيره و از طرفي به دليل عدم نياز يا عدم صدور اجازه قانوني ، همواره امكانپذير نمي باشد . در چنين شرايطي ، يك درجه بندي كيفي يا نيمه كمي از ريسكها توسط متخصصين و دست اندركاران موضوع مورد بررسي احتمالاً موثر خواهد بود . در مواردي كه تحليل كيفي است ، بايد تعريف مشخصي از تمام واژه هاي مورد استفاده و مبنايي براي تمام شاخص هاي به ثبت رسيده ، انجام پذيرد.

در زماني كه تحليل ها كاملاً كمي شده انجام مي گردند ، اين موضوع بايد كاملاً قابل تشخيص باشد كه ريسكهاي محاسبه شده بصورت تخميني اند .

     از طرفي بايستي توجه داشت كه اطمينان حاصل گردد كه اين تجزيه و تحليل ها با دقت و صحت مناسب انجام شده اند . اطلاعات و روشهاي مورد استفاده بايستي با هم درتناقض نبوده و در واقع با هم متناسب باشند . درجه بندي مختلف ريسكها بايد بوسيله واژه هاي بسيار مناسب و متناسب با نوع ريسك ارائه شوند تا به نوعي به ارزيابي ريسك كمك نمايند . در بعضي از موارد اهميت ريسك ميتواند بوسيله يك توزيع احتمال به روي طيفي از پيامدها بيان گردد .

 ارزيابي كنترل ها

سطح ريسك بستگي به موثر و مناسب بودن كنترل هاي موجود خواهد داشت . براي شناسايي وضعيت اين كنترل ها سوالات زير مطرح مي باشند :

-        كنترل هاي موجود براي كدام ريسك خاص طراحي شده اند ؟

-        كدام يك از كنترل ها ظرفيت انجام عمليات بر روي ريسك را دارا هستند و محدوده دقت آنها به چه ميزان است؟

-        در اجرا، آيا اين كنترل ها با شيوه درنظر گرفته شده عمل مي كنند و آيا اين كنترل ها نشان داده اند كه در زمان مورد نياز موثر خواهند بود ؟

اين پرسش ها را ، فقط با وجود مستندات صحيح و داشتن روندهاي مطمئن در محل ميتوان با اطمينان پاسخ داد.

سطح موثر بودن در يك كنترل خاص و يا ساير كنترل هاي مرتبط ، ممكن است به صورت كيفي ،نيمه كمي و يا كمي بيان شود . در اغلب حالتها يك دقت مناسب براي محاسبات وجود ندارد . به هر حال اگر چه ثبت بيان درجه اثربخشي كنترل ريسك ، بسيار ارزشمند است ، به طوري كه ميتوان درباره اينكه آيا تلاشها به بهترين نحو ممكن در كنترل ريسك استفاده شده اند ، مبناي قضاوتي درخصوص امكان بهبود كنترل ها و عمليات بر روي ريسك بشمار روند .

 تجزيه و تحليل پي آمدها

تجزيه و تحليل پي آمدها و اثرات مشخص كننده ماهيت و نوع مخاطرات كه ميتوانند براساس يك حادثه بخصوص بوقوع بپيوندد و يا بطور غير مستقيم سبب وقوع مخاطرات ديگر باشند ،بسيارمهم مي باشند. يك حادثه ممكن است كه سبب وقوع دامنه وسيعي از مخاطرات و با شدتهاي مختلف گردد و بر روي طيف متفاوتي از اشياء و سازمانها و ذينفعان اثرگذار باشد و طبقه بندي درجه اهميت در تجزيه و تحليل اثرات هر ريسك بر سازمانها ميتوانند در تثبيت موقعيت سازمان موثر باشد.

تجزيه و تحليل پي آمدها ميتواند محدوده اي از يك توصيف ساده نتايج ، تا يك الگوسازي با جزئيات بسيار يا آسيب پذيري را شامل گردد . مخاطرات نهفته ممكن است داراي پي آمدهاي جزئي با احتمال وقوع بالا باشد ، يا برعكس پي آمدهاي با اهميت زياد واحتمال وقوع كم را شامل شوند . دربرخي ازمواقع نياز به اختصاص تمركز به روي ريسكها و توان بالقوه آثار حاصل از آنها داريم ، اغلب اين موارد بزرگترين نگراني مديران  ارشد ميباشند .

 در بقيه موارد ، بررسي جداگانه هر يك از پي آمدهاي ريسكهاي كم و زياد ميتواند بسيار مهم باشد . براي مثال ، در يك مخاطره جزئي وتكرار زياد ممكن است كه اثر بلند مدت و فزاينده بوجود بيايد . بعلاوه اقدام به موقع براي عمليات بر روي ريسك دو حالت فوق را پاسخگو بوده و اغلب امكانپذير مي باشد . به هر حال تجزيه و تحليل جداگانه آنها بسيار مناسب خواهد بود .

تجزيه وتحليل پي آمدها ميتواند شامل :

-        در نظرداشتن كنترل هاي فعلي براي برخورد با پي آمدهاي احتمالي ،‌بعلاوه تمام عوامل كمك كننده و موثر بر پيامدها ضروري است .

-        ارتباط دادن پي آمدهاي يك ريسك به مورد اصلي

-    درنظر گرفتن هر دودسته از پي آمدها ، چه بي درنگ و بدون واسطه و چه آنهايي كه ممكن است بعد از گذشت زماني مشخص بوقوع بپيوندند، در صورتيكه اين موضوع مطابق با حدود ارزيابي باشند .

-        در نظر گرفتن پي آمدهاي ثانويه ، از جمله مواردي كه روي سيستم هاي مرتبط ، فعاليتها و تجهيزات سازمان تاثيرگذار باشند .

 تحليل شانس و تخمين احتمال

معمولاً سه روش كلي براي تخمين احتمال استفاده مي شود ، ممكن است سه روش به صورت جدا يا با هم بكار برده شوند :

الف – استفاده از اطلاعات تاريخي مرتبط براي شناسايي حوادث يا خطراتي كه در قبل اتفاق افتاده اند و با توجه به قرائن موجود ، احتمال وقوع آنها در آينده پيش بيني مي گردند . اطلاعات مورد استفاده و مرتبط با نوع سيستم ،‌ تجهيزات ، سازمان يا فعاليتهاي در نظر گرفته شده باشند ودر عين حال استانداردهاي عملياتي سازمان بايستي در نظر گرفته شوند . اگر در گذشته فراواني تكرار حادثه بسيار كم باشد ، در نتيجه هر تخميني درباره احتمال وقوع حادثه بسيار نامطمئن خواهد بود.

اين موضوع مخصوصاً در خصوص احتمال وقوع صفر صدق مي كند، زمانيكه نميتوان فرض نمود كه حادثه يا واقعه در زمان آينده بوقوع مي پيوندد.

ب- پيش بيني احتمال با بكارگرفتن روشهاي پيش بيني كننده نظير تجزيه و تحليل درخت خطا و حادثه امكانپذير است . زماني كه اطلاعات گذشته دردسترس نباشند يا كافي نباشند ،‌بسيار ضروري است كه احتمال بوسيله تجزيه و تحليل سيستم، فعاليت ، تجهيزات ، نيروي انساني ، سازمان و سيستم كه حاصل از تجارب عملياتي يا منابع اطلاعاتي ثبت شده مي باشند. تخمين احتمال وقوع بر اساس دشوارترين خطرانجام مي گردد .

 در موقعيكه از روشهاي پيش بيني كننده استفاده مي شود ، اين موضوع بسيار مهم است كه از دقيق بودن تحليل احتمال وقوع خرابي هاي عادي كه شامل خرابي هاي تصادفي حاصل از ساير اجزاء نيز مي باشند ، اطمينان حاصل گردد . امكان دارد كه محاسبه احتمال وقوع خرابي درتجهيزات و ساختارها درنتيجه فرسودگي و ساير موارد باعث خرابي  ، بوسيله روشهاي شبيه سازي براساس محاسبات اثرات عدم اطمينان انجام پذيرد .

ج- استفاده از نظر خبرگان (متخصصين ) در خصوص فرآيندهاي نظام مند و ساختاري براي تخمين احتمال امكانپذير ميباشد. قضاوت بر مبناي نظر خبرگان بايد از تمام اطلاعات در دسترس مرتبط از جمله اطلاعات تاريخي ، تجربي ، طراحي، مشخصات سيستم ، سازمان و غيره استفاده نمايد . روش هاي رسمي و تفصيلي زيادي براي بدست آوردن نظر خبرگان وجود دارد كه بر اساس دسته بندي و تهيه سوالات مناسب امكانپذير است . روشهايي نظير : نگرش داخلي⁽¹⁾ ، مقايسه زوجي ⁽²⁾ ، رتبه بندي طبقه اي ⁽³⁾ و روش تخمين احتمال قضاوتي ⁽⁴⁾ براي اين منظور بكار مي روند .

تجزيه و تحليل مقدماتي

ريسكها ممكن است براي تشخيص مهمترين آنها غربال شوند يا اينكه ميتوان ريسكهاي كم اهميت را براي مطالعات و بررسي در آينده جدا نمود . هدف اين است كه اطمينان حاصل شود كه منابع روي ريسكهاي مهمتر متمركز گردند. تحليل هاي مقدماتي نه تنها به دليل غربال كردن اوليه ريسكهاي كم اهميت كه معمولاً اتفاق مي افتند و اثر تجمعي شاخصي دارند بايستي انجام پذيرد ، بلكه بايستي براساس شاخص هايي كه در اين زمينه مطرح مي شوند ،‌تعريف گردند.

تحليل مقدماتي يك مورد يا مواردي از فعاليتهاي زير را شامل مي گردند :

-        تصميم به عمليات بر روي ريسك بدون ارزيابي هاي بيشتر

-        عدم پذيرش ريسكهاي كم اهميت كه عمليات بر روي آنها توجيه ندارد

-        انجام فرآيند ارزيابي ريسك باجزئيات بيشتر

نتايج اوليه و مفروضات بايد مستندسازي گردند .

 عدم اطمينان و حساسيت

معمولاً ابهامات قابل توجهي در ارتباط با تجزيه وتحليل ريسك وجود دارند . براي تفسير و برقراري ارتباط موثر و كارا با نتايج تجزيه و تحليل ريسك ضروري است كه عدم اطمينان ها را درك كنيم . عدم اطمينان هاي مرتبط با داده ها ، روش ها و الگوهاي مورد استفاده براي شناسايي و تجزيه وتحليل ريسك ، نقش بسيار مهمي را درباره كاربرد آنها بازي مي كند . تجزيه وتحليل عدم اطمينان ها شامل تعيين حدود و عدم دقت در نتايج است كه حاصل از پراكندگي تجمعي در فرضيه ها و شاخص هاي مورد استفاده در تعريف نتايج است . تحليل حساسيت ، درگير تعيين اندازه و اهميت دامنه ريسك ، براي انجام تغييراتي در پارامترهاي ورودي اختصاصي مي باشد . از اين روش براي تشخيص داده هايي كه بايد صحيح باشند و داده هايي كه كمتر حساس بوده و به نظر مي رسد تاثير كمتري روي صحت كلي نتايج دارند ، استفاده مي گردد . صحت و كامل بودن تحليل ريسك تا آنجا كه امكان دارد بايستي توضيح داده شود . منابع عدم اطمينان بايستي تا حد امكان شناسايي شوند . در مورد داده ها و الگوي (روش) تحليل بايستي عدم اطمينان ها مشخص گردند . شاخص هايي كه تحليل نسبت به آنها حساس بوده و همچنين درجه اين حساسيت بايستي بيان گردند .

 ارزشيابي ريسك

ارزشيابي ريسك درگير مقايسه سطح ريسكهاي تخمين زده شده با شاخص هاي ريسك تعريف شده است ، در هنگاميكه تعيين اهميت بر مبناي سطح و نوع ريسك بر مبناي موقعيت ايجاد شده مي باشد .

ارزشيابي ريسك ، براي درك ريسكهاي پذيرفته شده در جريان تجزيه و تحليل ريسك ، جهت تصميم گيري درباره فعاليتهاي آينده مورد استفاده قرار مي گيرد . ملاحظات قانوني ، مالي و مليتي و همچنين ساير ملاحظات شامل ادراكات از ريسك ، داده هايي براي تصميم گيري در اين خصوص مي باشند . تصميم گيري ها ممكن است شامل موارد زير باشند:

-        آيا يك ريسك نياز به عمليات خاصي دارد ؟

-        اولويت هاي عمليات بر روي ريسك چه هستند؟

-        آيا بايد يك فعاليت به عهده گرفته شود؟

-        كدام يك از مسيرها بايد دنبال شوند ؟

طبيعت تصميم گيري در رابطه با ماهيت نتايجي كه بر اساس شاخص هاي تعريف شده ايجاد ميگردد ، قرار دارد. اما اين موضوع بايد با جزئيات بيشتر دراين مرحله بواسطه شناخت ريسكهاي بخصوص دوباره بررسي گردد. ساده ترين چارچوب براي تعريف شاخص هاي ريسك ، ريسك تك سطحي است كه ريسكهايي را كه نياز به عمليات دارند را از بقيه جدا مي كند . اين چارچوب ساده ترين نتايج را به ما مي دهد ، اما عدم اطمينان هايي كه شامل هر دو مورد يعني تخمين ريسك و تعريف مرز بين ريسكهايي كه نياز به عمليات دارند از آنهايي كه نياز به عمليات ندارند ، مي گردند را در بر نمي گيرد .

تصميم گيري در رابطه با چگونگي عمليات بر روي ريسك ممكن است به هزينه ها و منابع قبول ريسك و همچنين هزينه ها و منافع اجراي كنترل هاي گسترده تر مرتبط باشد .

يك نگرش عمومي براي تقسيم كردن ريسكها داراي سه دسته است :

الف – بالاترين دسته ريسكهاي شديد و تحمل ناپذير مي باشند كه هر چند داراي منافعي هستند اماعمليات برروي آنها حتي با توجه به هزينه هاي آن ضروري در نظر گرفته مي شوند .

ب- دسته مياني (يا ناحيه خاكستري) جايي كه هزينه و فايده در نظر گرفته شده و فرصت ها در برابر پي آمدهاي بالقوه در آينده ، برابر در نظر گرفته مي شوند .

ج- دسته پاييني كه در آن سطح ريسك قابل اغماض در نظر گرفته مي شود و يا درجه ريسك آنقدر كم است كه به هيچگونه ارزشيابي براي عمليات برروي ريسك نياز ندارند .

سيستم شاخص ALARP ⁽¹⁾ يا " مقدار اندك عملكرد منطقي " در موارد ايمن و مطمئن استفاده مي شود . در دسته مياني جدول قابل تطابقي براي ريسكهايي با سطوح پايين وجود دارند و در آنجا هزينه ها و منافع مستقيماً قابل مقايسه است . درحاليكه براي ريسكهاي با سطوح بالا،‌پتانسيل ضرر بايد تا جائي كاهش پيدا كند كه هزينه كاهش كاملاً متناسب با منافع ايمني به دست آمده باشد .

مستندسازي

فرآيندهاي ارزيابي ريسك بايد همزمان با ارزيابي نتايج ريسك مستندسازي شوند. ريسك با واژه هايي قابل فهم بيان گردد و واحدهايي كه بوسيله آن سطح ريسك بيان مي شود بايستي روشن يا واضح باشند . گستردگي گزارش بستگي به هدف از

ارزيابي و محدوده آن دارد . به جز ارزيابي هاي بسيار ساده ، مستند سازي ميتواند شامل موارد زير باشد:

-        هدف و دامنه كاربرد

-        توصيف اجزاء مرتبط با سيستم و عملكرد آن

-        خلاصه اي از موقعيت هاي داخلي و خارجي سازمان و چگونگي ارتباط آن با سيستم و شرايط مورد ارزيابي

-        شاخص هاي ريسك به كار گرفته و توجيه استفاده از آنها

-        محدوديت ها ، پيش فرض ها و توجيه فرضيات

-        روش شناسي ارزيابي

-        نتايج شناسايي ريسك

-        داده ها ، فرضيات ومنابع مورد استفاده وصحت آنها

-        فرضيات مهم و موارد مهم ديگري كه بايستي نظارت شوند

-        تشريح مطالب مرتبط با نتايج

-        نتايج و پيشنهادات

-        منابع

اگر نتايج ارزيابي ريسك از ادامه دادن به فرآيند مديريت ريسك فعلي حمايت نمود ، اين فرآيند بايد به همان طريقي كه از چرخه عمر سيستم ، سازمان ، فعاليت ها و تجهيزات پشتيباني مي گردد ، اجرا و مستندسازي شود . ارزيابي بايستي هر زمان كه اطلاعات شاخص و مهم نياز است در دسترس باشد و همچنين با تغيير موقعيت ، بايد با نيازهاي مديريت فرآيند به روز رساني گردد .

 نظارت و بازنگري ارزيابي ريسك 

فرآيند ارزيابي ريسك موقعيت كاري و بقيه عواملي كه ممكن است تفاوتي در آنها در طول زمان مورد انتظار باشد و يا ممكن است تغيير كرده و يا نتايج ارزيابي را ناصحيح نمايند ، مورد توجه قرار مي دهد. اين عوامل به طور مخصوص بايد براي نظارت و بازنگري شناسايي شوند و به شكلي كه فرآيند ارزيابي ريسك در زمان هاي مقتضي قابل به روز رساني باشد.

داده هاي مورد نياز براي بازنگري و نظارت در فرآيند اصلاح ارزيابي ريسك، بايد شناسائي و جمع آوري گردند .

 همچنين اثر بخش بودن كنترل ها هم بايد جهت فراهم كردن اطلاعات براي استفاده در تجزيه و تحليل ريسك ، مورد بازنگري و مستندسازي قرار گيرند .

كاربرد ارزيابي ريسك در طي چرخه عمر سيستم 

ارزيابي ريسك در تمام مراحل چرخه عمر سيستم مورد استفاده قرار گرفته و معمولاً به دفعات با درجات مختلفي از جزئيات، براي كمك رساندن به تصميم سازي در تمام فازها كاربرد دارد .

چرخه عمرسيستم ها در مراحل متفاوت نيازمديهاي مختلفي دارند و به روشهاي گوناگوني هم نياز دارند ، براي مثال، در فاز مربوط به چگونگي انجام و تعريف ، زمانيكه يك موقعيت شناسايي ميگردد ، ممكن است براي تصميم گيري درباره ادامه دادن يا ندادن پروژه از ارزيابي ريسك استفاده گردد . در مواقعي كه انتخابهاي متفاوتي پيش رو باشند ، ارزيابي ريسك ميتواند براي سنجش زمينه هاي جايگزين براي كمك به تصميم گيري دراين مورد كه كدام از اين انتخابها بهترين تعادل از ريسك هاي مثبت و منفي را به وجود مي آورند ، مورد استفاده قرار بگيرند .

در طول مرحله گسترش و پيشرفت ، ارزيابي ريسك باعث مي شود كه :

-        اطمينان يافتن از تحمل پذير بودن ريسكهاي سيستم

-        طرح ريزي فرآيندهاي پالايش

-        مطالعات اثربخشي هزينه ها

-        تاثير ريسكهاي شناسايي شده بر فازهاي چرخه عمر

همزمان با آغاز فعاليت ، ارزيابي ريسك براي فراهم آوردن اطلاعات جهت كمك به فرآيند پيشرفت كار ، در شرايط معمولي و اضطراري بكار مي رود .

روشهاي ارزيابي ريسك 

كليات

اين قسمت چگونگي انتخاب روشهاي ارزيابي ريسك را توصيف مي كند . در فهرستهاي پيوست استاندارد (ISO 31010 ) طيفي از روشهايي براي انجام يك ارزيابي ريسك ، يا براي كمك به انجام فرآيند ارزيابي ريسك كه مورد استفاده قرار گرفته اند ، توضيح داده شده اند . اين امكان وجود دارد كه در مواقعي نياز به استفاده از چند روش براي ارزيابي ريسك باشد .

 انتخاب روش

ارزيابي ريسك ممكن است در سطوح مختلفي از دقت و جزئيات انجام پذيرد يا از بسياري روشهاي از ساده تا پيچيده را

براي اين منظور بكار گيرد . روش ارزيابي ريسك و نتايج حاصل از آن بايستي با شاخص هاي تعريف شده ريسك ، به عنوان قسمتي از زمينه مورد استفاده مطابقت داشته باشد . در ضميمه A از استاندارد جهانيISO 31010  رابطه مفهومي بين طبقه بندي هاي وسيع از روشهاي ارزيابي ريسك و عوامل موثر بر آنها را نشان مي دهد و مثالهاي گويا و روشني از چگونگي امكان انتخاب روشهاي مناسب ارزيابي ريسك براي يك موقعيت بخصوص را براي سازمان ها را بيان ميكند. به طور كلي ، روش هاي مناسب بايد خصيصه هاي زير را نشان دهند :

-        براي موقعيت و سازمان مطرح شده مناسب و قابل توجيه باشد .

-        بايستي نتايج را به شكلي كه كمك كننده درك ماهيت ريسك و چگونگي عمليات بر روي آن باشد ، ارائه نمايد .

-        بايد قابليت استفاده به حالتي كه قابل رديابي ، قابل بازنگري و تكرار پذير باشد ، را داشته باشد .

دلايل انتخاب روش ها بايستي با توجه به ارتباطات وشايستگي آنها ارائه شوند . موقعيكه با نتايج پيچيده و مختلف مواجه مي باشيم ،‌روشهاي انتخاب شده و خروجي آنها بايستي متناسب باشند .

زمانيكه تصميم براي اجراي ارزيابي ريسك اتخاذ شد و دامنه كاربرد و اهداف تعريف شدند ، روشها بايد براساس فاكتورهاي كاربردي انتخاب گردند ، از جمله فاكتورها عبارتند از :

-    هدف از تحقيق چه مي باشد . اهداف ارزيابي ريسك نسبت مستقيم با روش مورد استفاده دارد . براي مثال ، اگر يك مطالعه تطبيقي بين انتخاب هاي متفاوت انجام شود، ممكن است از الگوهاي نتيجه گرا و كمتر وارد جزئيات شده ، براي قسمتهايي از سيستم كه با اين نگرش تحت تاثير قرار نمي گيرند ، استفاده گردد.

-     براساس نيازمنديهاي تصميم گيرندگان در برخي از موارد حجم عظيمي از جزئيات براي يك تصميم گيري مناسب ، مورد نياز است ،‌در بقيه موارد يك درك كلي از شرايط كافي خواهد بود .

-        انواع و طيف ريسكهايي كه مورد تجزيه و تحليل قرار مي گيرند .

-    اهميت بالقوه نتايج و پي آمدها تصميم گيري در رابطه با عمقي كه ارزيابي ريسك انجام خواهد شد ، بايد بازتاب دهنده دريافت اوليه از پي آمدهاي ريسك باشد .  ( اگر چه اين مورد ممكن است بعد از كامل شدن ارزيابي مقدماتي        اصلاح شود) .

-    سطح كارشناسي ، نيروي انساني و منابعي كه مورد نياز است . يك روش ساده وقابل پياده سازي مناسب مادامي كه اهداف و دامنه عملكرد ارزيابي را پوشش دهد ،‌ممكن است نتايج بهتري در مقايسه با يك روش پيچيده كه بصورت ضعيف اجرا شده است ، داشته باشد . معمولاً‌تلاش بكار رفته در ارزيابي بايستي با سطح بالقوه ريسك مورد ارزيابي مطابقت داشته باشد .

-        درجه در دسترس بودن اطلاعات و داده ها . برخي از روشها و داده ها و اطلاعات بيشتري نسبت به ساير روشها نياز دارند .

-    نياز به اصلاح و به روز رساني ارزيابي ريسك . ارزيابي ممكن است نياز به اصلاح شدن و به روز رساني در آينده داشته باشد و از اين نظر برخي تكنيكها اصلاح پذيرتر از ديگر روشها مي باشند .

-        شرايط قانوني و قراردادي مورد نياز .

عوامل مختلفي روي انتخاب يك روش براي ارزيابي ريسك تاثير گذار هستند، از جمله دردسترس بودن منابع ، ماهيت و درجه عدم اطمينان در داده ها و اطلاعات و پيچيدگي كاربرد آنها از اين عوامل مي باشند . در دسترس بودن منابع و       قابليت هايي كه ممكن است در انتخاب يكي از روشهاي ارزيابي ريسك تاثير گذار باشند ، شامل موارد زير هستند :

-        قابلت و اهليت تيم ارزيابي كننده ريسك و كارآمدي حرفه اي آنها .

-        محدوديت هاي زماني و بقيه منابع در سازمان .

-        بودجه در دسترس در صورتيكه منابع بيروني مورد نياز باشند .

 طبيعت و درجه عدم اطمينان

شناخت طبيعت (ماهيت) ودرجه عدم اطمينان ريسك ،‌نياز به شناخت كميت ، كيفيت و يكپارچگي اطلاعات قابل دسترسي در خصوص ريسك در نظر گرفته شده دارد . اين موضوع شامل اين مطلب است كه اطلاعات كافي در مورد ريسك ،‌ منابع و علل آن و همچنين پي آمدهاي رسيدن به اهداف از پيش تعيين شده آن ، در دسترس باشند. عدم اطمينان،‌ميتواند ناشي از داده هايي با كيفيت پايين يا فقدان داده هاي اساسي و قابل اطمينان باشد . براي شرح و توضيح دادن روشهاي جمع آوري داده ها و يا تغييرات آنها نياز به روش اجرايي مناسبي است كه سازمانها در زمان تغييرات از آن استفاده نمايند. از طرفي ممكن است سازمانها اصلا روش موثر براي جمع آوري اطلاعات مربوط به ريسك نداشته باشند.

عدم اطمينان ميتوان بعنوان عضو جدائي ناپذير و ذاتي براي ايجاد موقعيت خارجي و داخلي سازمان منظور گردد . داده هاي در دسترس هميشه مبناي مورد اطميناني براي پيش بيني آينده فراهم نمي كنند . براي ريسكهاي منحصر به فرد، داده هاي تاريخي ممكن است در دسترس نبوده و يا ممكن است ذينفعان متفاوت تفسيرهاي مختلفي از اطلاعات در دسترس را داشته باشند . به عهده گرفتن ارزيابي ريسك نياز به شناخت نوع و ماهيت عدم اطمينان و درك كامل از كاربردهاي عدم اطمينان نتايج ارزيابي ريسك دارد . بنابراين بايد هميشه با تصميم گيرندگان در ارتباط بود .

پيچيدگي

ريسكها ميتوانند خودشان بطور ذاتي پيچيده باشند . براي مثال در سيستم هاي پيچيده اي كه نياز به ارزيابي ريسك در درون خود دارند ، به جاي ناديده گرفتن تعاملات و در نظر گرفتن اجزاء به صورت منفرد،‌قبول يك ريسك ميتواند پي آمدهايي را در جاي ديگري از سيستم بروز دهد و روي بقيه فعاليتها تاثير گذار باشد . بنابراين لازم است تاثيرات پراهميت و وابستگي هاي يك ريسك را براي اطمينان از اينكه ريسك بخوبي مديريت شده و يك موقعيت دشوار را در جايي ديگر ايجاد نخواهد كرد ، شناخته شوند . براي شناخت پيچيدگي يك ريسك يا سبد ريسكهاي يك سازمان انتخاب روش يا تكنيك مناسب براي ارزيابي ريسك ضروري و مناسب خواهد بود .

مقايسه روشهاي ارزيابي ريسك

روشهاي ارزيابي ريسك براي كمك به فهم بهتر نقاط ضعف و قوتشان به طرق مختلفي قابل دسته بندي مي باشند. جداول ضميمه A در استاندارد ISO 31010 برخي از روشهاي ارزيابي ريسك را بصورت طبقه بندي شده براساس نتايج خروجي شان نشان مي دهد .

هر كدام از روشهاي ارزيابي ريسك براساس ضميمه B در استاندارد ISO 31010  بصورت ذاتي تشريح شده اند و از نظر كاربردي بودن آنها براي موقعيتهاي مختلف مشخص شده اند . هر يك از روشها همراه با نوع محاسبات و دستورالعمل هايي كه براي هر موقعيت توصيه مي كنند به طور كامل در بخش ضميمه استاندارد ISO 31010 توضيح داده شده اند.