风险评估流程简析

通过对风险评估内容相关文献的梳理，结合国际标准化组织和国际风险管理理事会有关风险评估内容的表述，可以看出，风险评估的基本内容是一致的。风险评估并非一项独立的活动，而是风险管理全过程不可分割的有机组成部分。通过风险评估，风险管理者、决策者及各有关主体可以更加明晰特定风险对于组织目标实现的影响程度，了解现有风险控制与消减措施的有效性与充分性，从而有助于进一步确定最适宜、最科学、最高效的风险应对方案。因此，风险评估是风险管理组织决策过程的基础和关键。

风险评估是由明确环境信息与目标、风险识别、风险分析、风险评价和风险应对构成的一个完整流程（图2-3）。其中，风险识别、风险分析和风险评价是风险评估的核心环节。该过程的开展不但取决于风险管理过程的背景开展，而且取决于风险评估工作所使用的方法与技术^[1]。另外，由于受风险类型各异、涉及领域多元、风险原因复杂等诸多因素的共同影响，风险评估方法和工具的选择往往不是单一的，而是多种科学方法的综合运用与有机结合。结合风险评估各个阶段的不同需求和重点，合理选取适宜的风险评估方法，可以为促进风险评估工作的有效开展及保障评估结果的科学可靠奠定坚实的基础。

（1）风险识别

风险识别是单位或个人对所面临的以及潜在的风险加以判断、归类整理，并对风险的性质进行鉴定的过程^[2]，这一过程的主要任务是发现、确认并记录风险，其目的是确定可能影响组织目标实现的事件与事物。风险识别阶段的常用方法有头脑风暴法、德尔菲法、检查表法等。

（2）风险分析

风险分析是在风险识别的基础上进一步明晰风险情形，加深对于风险的了解的过程。风险分析在风险评估过程中发挥着承上启下的关键作用，既是对风险识别结果的深化分析，又为风险评价的开展提供了重要依据。风险分析的主要任务是深入分析风险产生的原因、发生的概率、可能造成的危害与后果、现有风险控制措施的有效性等，其过程大致可以分为三个步骤进行，即设定评估标准，单项风险评价以及风险重要性排序。风险分析使用的方法既可以是定性的，也可以是定量或定性与定量的结合，该阶段常用的方法包括层次分析法、故障树分析法、事件树分析法、德尔菲法等。

（3）风险评价

风险评价是风险评估过程的最后和最为关键的环节，是指基于风险识别和风险分析数据，在综合考量风险发生的概率、后果及其他因素的前提下，得出风险发生的可能性及其危害程度，并与公认的安全标准进行比较，确定风险等级、风险的优先次序、是否需要采取风险应对措施以及采取何种途径与策略等。风险评价主要是利用风险分析过程中所获得的信息与风险认知对未来的行动进行决策，以提升风险应对的有效性与科学性。该阶段常用的方法包括模糊评价法、风险矩阵法等。

（4）风险应对

风险应对针对风险评价结果，制定针对性的应对方案，以减少风险发生的可能性或降低风险造成的损失。

图2-3　风险评估核心环节图

一般情况下，在进行风险评估实务操作时，仅关注以上四个风险评估核心环节是不够的，还需要关注以下几个具体步骤：

（1）确定风险评估目标

风险评估目标是风向评估工作的方向和基准。风险评估目标的确定要根据区域防灾减灾或风险管理的实际需求而定，在确定目标时要考虑周全，既要考虑灾害的因素，也要考虑区域或者部门的实际需求和社会经济背景。另外，还要对目标进行细化分解和结构化，做到目标明确。

（2）建立评估指标体系

在整理好所有与风险评估有关的数据以后，就要确定风险评估指标体系。灾害风险评估指标体系要根据评估模型的实际需求，并根据一定的原则，按照一定的要求建立，同时还要保证指标体系的系统、全面、科学。建立指标体系具体包括指标体系结构的确定、指标体系的初步确定、指标体系的筛选和甄选、指标体系的有效性分析、定性变量的数量化等环节。

（3）风险识别

风险识别是指在明确风险管理对象和目标的基础上，找出形成风险的来源，收集相关基础资料和数据，详细调查所在辖区内已经出现或可能出现的突发事件种类，建立灾害管理数据库并确定相关的方法理论和标准，为后续工作奠定基础。风险识别是通过识别风险源、影响范围、事件及其原因和潜在的后果等，生成一个全面的风险列表。识别风险不仅要考虑有关事件可能带来的损失，也要考虑其中所蕴含的机会。

进行风险识别时要掌握相关的和最新的信息，必要时，还需包括使用的背景信息。除了识别可能发生的风险事件外，还要考虑其可能的原因和可能导致的后果，包括所有重要的原因和后果。不论风险事件的风险源是否在组织的控制之下，或其原因是否已知，都应对其进行识别。此外，要关注已经发生的风险事件，特别是新近发生的风险事件。

识别风险需要所有有关人员的参与。组织所采用的风险识别工具和技术应当适合于其目标、能力及其所处环境。^[3]

风险识别在整个风险评估工作中至关重要，是整个风险评估的起点和基础。在风险识别的基础上，生成一个比较全面且动态发展的风险列表。通过对列表中的潜在风险事项进行会商研判、实地踏勘、现场测量、专家鉴定和查阅历史资料等方式进行综合分析，清晰、详细、具体地罗列出某区域或某事件可能发生的情况，并预判其发生的可能性、风险程度、判断承灾体的可控程度等。最后，根据突发事件风险列表确定的风险具体类别，进行系统归类，填写风险信息采集表等。(www.xing528.com)

（4）选择合适的评估模型

根据风险评估的目的和风险自身的特点，选择合适的风险评估模型，具体包括风险评估方法的选择、权重的确定、评估规则构建等环节。

（5）风险分析^[4]

风险分析是指在风险识别的基础上，进行致灾因子分析、暴露要素分析、脆弱性分析和灾害损失分析。风险分析根据风险类型、获得的信息和风险评估结果的使用目的，对识别出的风险进行定性和定量分析，为风险评价和风险应对提供支持。风险分析不仅要考虑导致风险的原因和风险源、风险事件的正面影响和负面后果及其发生的可能性、影响后果和可能性的因素、不同风险及其风险源的相互关系以及风险的其他特性，还要考虑现有的管理措施及其效果和效率。

在风险分析中，应考虑组织的风险承受度及其对前提和假设的敏感性，并适时与决策者和其他利益相关者进行有效沟通。另外，还要考虑可能存在的专家观点中的分析及数据和模型的局限性。

根据风险分析的目的、获得的信息数据和资料，风险分析可以是定性的、半定量的、定量的或以上方法的组合。一般情况下，首先采用定性分析，初步了解风险等级和揭示主要风险。适当时，还要进行更具体和定量的风险分析。

后果和可能性可通过专家意见确定，或通过对事件或事件组合的结果建模确定，也可通过对实验研究或获得的数据的推理确定。对后果的描述可表达为有形或无形的影响。在某些情况下，可能需要多个指标来确切地描述不同时间、地点、类别或情形的后果。

（6）评估结果的检验

对于评估结果进行检验，并判别所选的评估模型、评估指标、有关标准、参数设置是否合理。如果不符合要求，则需要做一些修改，对于一些评估步骤需要重新计算。

（7）风险评价^[5]

风险评价是指在风险识别和风险分析的基础上，把发生可能性和损失规模以及其他因素综合起来考虑，并对风险的状况进行综合评价。具体来说，风险评价将风险分析的结果与组织的风险准则进行比较，或者在各种风险的分析结果之间进行比较，确定风险等级，以便做出风险应对的决策。如果该风险是新识别的风险，则应当制定相应的风险准则，以便评价该风险。

风险评价的结果应满足风险应对的需要，否则，应做进一步分析。有时，根据已经制定的风险准则，风险评价使组织做出维持现有的风险应对措施，不采取其他新的措施的决定。

（8）风险防控

风险防控是指根据风险分析与评价的结果，选择并制定风险防控的决策和措施，并对决策的可行性、科学性等进行评估，在确定决策的合理性后进行决策的开展与实施，同时对决策实施过程进行监控和信息反馈。

此外，有学者总结了国际上比较常用的几个自然灾害风险评估模型，主要包括UNDRO模型、NOAA模型、EPC模型、FAMA模型、SMUG模型、APELL模型等^[6]。这些模型的具体操作流程如下：

UNDRO模型（联合国救灾组织）：识别危险——脆弱性评价——风险评估——风险分级——风险叠加——经济影响。

NOAA模型（美国国家海洋大气局）：危险辨识——危险区分析——关键设施分析——社会分析——经济分析——环境分析——减灾机会分析——结果总结。

EPC模型（加拿大）：维护危险清单——灾害评价与分级——内部因素风险评价——外部因素风险评价——脆弱性评价——风险叠加与排序。

FAMA模型（美国联邦应急管理署）：灾害发生历史——脆弱人群——最大威胁区——可能性分析——风险评分——风险阈值。

SMUG模型（澳大利亚灾害协会）：严重程度分析——管理能力分析——紧急程度分析——风险概率分析——发生态势预测——综合评分。

APELL模型（联合国环境规划署工业和环境规划中心）：确定目标——危险分析——事件类型——危害目标——后果分析与分级——可能性分析——评估总结。