常用风险评估方法与工具介绍

2.1.1　头脑风暴

2.1.1.1　头脑风暴概述

头脑风暴（Brain storming）最早起源于精神病理学领域，用于描述患者神经错乱的状态。随着其使用语境的不断变化和语义的演化发展，如今，“头脑风暴”多指人们自由的大胆联想与讨论，其目的在于鼓励和激发人们的创意和想象力。头脑风暴由美国BBDO广告公司的奥斯本首创，是指组织中的人员以“圆桌会议”的形式，在正常融洽和不受任何限制的气氛中进行讨论与座谈，是一种打破常规、积极思考、畅所欲言、充分发表自身看法的决策方法^[6]。从广义上而言，决策方法大致可以分为群体决策和个人决策，两种决策方式各有优劣。相对于个人决策，群体决策的缺点主要表现为群体成员间相互影响，或屈于权威，或屈于大多数人的意见，群体决策极容易产生群体思维和从众心理，导致决策结果往往等同于少数人垄断或多数人的决策。在面对某些特定决策问题时，如果采取群体决策的方式，很可能无法产生最优的决策方案。在此背景下，致力于调动群体成员的积极性、倾听各成员的观点和想法的头脑风暴被认为是打破群体决策负面影响的有效方式之一。采用头脑风暴组织群体决策，需要设置主持人1名，主持人只主持会议，以明确的方式向所有参与者阐明问题，说明会议的规则，并尽力地创造融洽轻松的会议气氛。在集中有关专家召开专题会议与讨论时，主持人一般不发表意见，以免影响会议的自由气氛，由专家们自由地提出尽可能多的方案。另外，还需设置记录员1—2人，其职责主要是认真地将与会者的每一个观点与设想不论好坏都完整地记录下来。小组人数一般以10—15人为宜，为了尽可能地提升决策方案的科学性、全面性与多元性，小组成员最好由不同专业或不同岗位的人员组成，会议讨论时间一般为20—60分钟。在会议结束后的一两天之内，主持人应向与会者了解其会后的新想法和新思路，并基于此对会议记录进行进一步的补充，然后将与会者的想法整理成若干方案，经过多次选择与反复对比，最终选出最优的决策方案。因此，运用头脑风暴得出的决策结果是群体成员共同智慧的结晶。只有每一位成员都敢于表达、大胆联想、畅所欲言，才能碰撞出更加激烈、绚烂的思维火花，才能有助于提升决策结果的科学性与合理性。

2.1.1.2　头脑风暴的特点

一次成功的头脑风暴会议的开展，除了程序、场所、设备等方面的保障之外，更为重要的是讨论的方式和与会者心态上的转变，简而言之，头脑风暴需要实现程序顺畅以及无偏见、无批评的充分交流与探讨。头脑风暴的特点具体可以概括为以下几个方面：

1）参会者人人平等。在头脑风暴会议中，参会者一律平等，没有职位、职权的高低贵贱之分，每个人拥有平等的发言权。无论是某行业的权威专家、精尖人才，还是该领域的知名学者，又或是对该问题不甚熟悉的外行人，每个人都可以基于自身知识、技能、专业、态度做出自己的判断，充分表达自己的想法，每一个观点都会得到足够的尊重，并被完整、认真地记录下来。

2）参会者按照自身想法畅所欲言，成员之间的相互影响较小。与传统的群体决策迥然不同的是，参与头脑风暴会议的成员不会受到权威或群体的压力，不必担心自己的想法是否与众不同、标新立异，也不必遵从和顺应某些重要人物的观点，每一位参会成员都可以大胆地进行联想，尽可能地提出有创意、有想象力的决策方案。另外，在参与头脑风暴会议的过程中，成员们应当做到独立思考，不要私下交流和相互讨论，最大限度地避免对他人思维造成的干扰。

3）禁止批评他人与自我否定。参会者对于别人提出的任何观点都不能加以阻拦、评价或者批评，哪怕这一观点是不成熟的、错误的甚至是荒诞的，也不得予以驳斥。与此同时，每一位参会成员对于自身萌生出的想法，不要持自谦甚至自我否定的态度，要勇于开拓思维、跳出固有认知的禁锢，大胆地提出自己的想法。会议上要防止出现一些扼杀性或者自我否定的语句，比如，“这个方案行不通”“这个思路是错误的”“我的想法不一定可行”等。

4）不强调个人成绩，以小组的整体利益为重。头脑风暴会议的最终目的是筛选出尽可能科学的最优决策方案，在整个过程中，参会成员个人的成绩不是会议强调的重点，成员应当注意和理解别人的贡献，从自身做起，人人创造自由、民主的氛围和环境，不以多数人的意见阻碍个人新的观点的产生，要努力激发个人产生更多更新的观点与创意，更好地促进和实现小组利益的最大化。

5）会议形势既可以是正式的，也可以是非正式的。正式的头脑风暴会议的组织化程度很高，要求相对充分的会前准备来保障会议的顺利召开，会议的目的和结果都带有很强的明确性，在评价讨论思路阶段也采用某些具体的方法；相比较而言，非正式的头脑风暴会议组织化程度较低，会前准备相对简化，经常更具针对性。

2.1.1.3头脑风暴的优势

头脑风暴作为高效的群体决策的典型方式之一，经过充分的实践证明，在以下方面具备传统群体决策方式所无法比拟的优势：

1）操作和执行的难度小。头脑风暴的程序相对简单，一般情况下，在轻松融洽的会议氛围下，只要参会成员遵守头脑风暴会议的原则，规避“雷区”，会议通常都会得以有效开展。因此，头脑风暴的实用价值较高。

2）决策速度快。通过头脑风暴会议的开展，可以在短时间内迅速集中大量的观点与想法，大大提升了决策的速度，也减少了后续决策方案的筛选与选择的时间成本。

3）集思广益，有利于形成新的决策方案。参会者在相对轻松的氛围中更容易迸发出灵感，头脑风暴会议可以将每一位成员独特、新颖的群体智慧集中起来，有助于发现新的风险和形成新的解决方案。

4）激发与会人员的潜力，提升自信心。在头脑风暴会议中，参会成员大胆联想、积极发言，每一位参会成员的观点和想法都不会受到干扰和批评，有助于进一步激发自身潜能，提升其自信心、能力与水平。

2.1.1.4　头脑风暴的局限性

虽然头脑风暴具有易于执行、速度快的突出优势，但是也存在着难以克服的局限性，主要表现在以下几个方面：

1）自由的会议氛围可能会使讨论偏离主题。由于头脑风暴会议的主持人只抛出问题，在具体的讨论过程中不做引导与评价，会议氛围极为自由和松散，因此可能会导致讨论漫无边际，最终偏离预先设定的主题。

2）提出的方案可能是不合理甚至是无效的。为了尽可能地保障讨论的热烈性，头脑风暴会议参会人员的组成是多元的，既有专业领域的专家学者，也有对该问题全然陌生的人员。因此，由于自身知识、技能、行业、学历背景等因素的制约，产生的决策方案很可能是低效甚至是无效的。

3）主题挑选难度较大。值得强调的是，并非所有的主题都可以在头脑风暴会议上进行讨论，某些专业性过强、敏感度过高的主题都超出了头脑风暴的适用范围。

4）对参会者的素质要求较高。参会者除了应当具备相对较好的知识素养之外，还需拥有较高的道德素质水平。在讨论过程中，要避免情绪化，杜绝与观点相悖的成员产生争执。

2.1.2　德尔菲

2.1.2.1　德尔菲概述

德尔菲（Delphi）又称专家调查，是针对某一特定问题，运用匿名的形式由多位专家单独发表意见，最终取得可靠共识的程序。德尔菲本质上是一种反馈匿名函询法。其主要的步骤是：针对某一主题，在征得专家的意见之后，进行整理、归纳、统计，再匿名反馈给各个专家，再次征求意见，再集中，再反馈，直至得到一致的意见，其操作过程如图3-1所示。

图3-1　德尔菲操作流程图

2.1.2.2　德尔菲的特点

德尔菲主要是一种利用函询形式进行的集体匿名思想交流过程。它有两个明显区别于其他专家预测方法的显著特点，即需要具备充分的匿名性，并经历多次反馈的过程。

1）匿名性。运用德尔菲时，多采用半结构化问卷的形式对一组专家尽心提问，专家们之间并不直接会面，只通过匿名的信函、信件的形式进行交流与讨论。因此，德尔菲在很大程度上可以消除权威对于他人观点和最终决策结果的影响。匿名性是德尔菲技术的首要特征，也是其重要基础和关键所在。如果无法保障匿名性，德尔菲就失去了其特有的生命力。

2）反馈性。在德尔菲的实施过程中，始终活跃着两种角色：一种是组织者，一种是参与讨论的专家们。专家们独立发表意见和观点，组织者进行总结归纳与信息反馈工作。德尔菲需要经过多轮的信息反馈（一般为3—4轮），在首轮的开放式调研结束之后，组织者进行信息收集与整理，反馈给专家们，继而会陆续进入评价式的第二轮调研、重审式的第三轮调研和复核式的第四轮调研，多次反馈直至取得可靠性的共识。

2.1.2.3　德尔菲的优势

德尔菲在以下几个方面，显现出了传统的专家讨论法所无法实现的独特优势：

1）专家成员意见的表达更为自由。正是由于德尔菲技术的匿名性特点，专家成员独立地表达自身的观点与态度。因此，即使是不那么受欢迎或者是碍于情面难以言说的观点，也可以得到有效的表达。

2）方法的实施不受场地的约束。大多数情形下，基于德尔菲的群体决策，不需要将参与者集中在某一特定地点，可以通过网络、邮件、信函等多种形式进行，有效地节约了时间和成本。

3）避免了权威的影响。独立性和匿名性可以在很大程度上消减权威对于参与者的影响，专家成员的观点都具有相同的权重，因而不会存在某一领域的名人或领导主导决策结果的情形。

2.1.2.4　德尔菲的局限性

德尔菲的局限性主要体现在以下几个方面：

1）费时费力。由于德尔菲需要经过多轮的信息收集、统计与反馈，得出最终决策结果的过程相对漫长，要求专家成员长时间的支持与配合，因而耗费的时间和精力比较多，这是德尔菲最为突出的缺点。

2）对参会专家的书面表达能力要求较高。由于德尔菲大多经由信件、信函的形式进行意见收集与交流，如果专家成员的书面表达不够清晰准确，往往会导致他人对其观点的误解，进而会对会议进程和结果产生不同程度的影响。

2.1.3　结构化访谈

2.1.3.1　结构化访谈概述

结构化访谈（Standardized Interview）亦称标准化访谈，是一种定量的研究方法。结构化访谈需要有统一的标准和方法，一般采用统一设计、有一定结构的问卷形式进行访谈，访问的过程也是高度标准化的，即对所有被访问者提出的问题、提问的次序和方式，以及对被访者回答的记录方式等都是完全统一的。结构化访谈的形式并不是唯一的，除采取个别访问的方式外，还可采用集中访问的方式，即将调查对象集中起来，由一个调查员提出问题，调查对象进行作答，组织者负责记录。访谈问题的设置既应包括封闭式提问，还应包括开放式问题，以此提升访谈的深度。

2.1.3.2　结构化访谈的特点

结构化访谈的突出特点是标准化，在设计、实施和资料分析过程的标准化程度都非常高。在结构化访谈中，访谈者在访谈前根据访谈目的设计好访谈的内容、问题，形成统一设计的标准化的访谈提纲、量表或者问卷，并按照固定的流程和程序对访谈对象进行访谈^[7]，因此，结构化访谈有较强的可控性，应答效率高，目的性较强，易于量化。此外，结构化访谈有时甚至对于访谈员的选择，访谈的时间、地点、周围环境等外部条件，也要求对所有被访谈者保持一致，强调消除无关变量的影响^[8]。

2.1.3.3　结构化访谈的优势

1）一对一的沟通方式。结构化访谈强调对被调查对象进行一对一的沟通与交流，因此，该形式可以给受访者更多的时间和机会对某一问题进行认真和深度的思考，使得访谈结果的价值更高。

2）可以捕捉更多的非语言信息。结构化访谈能在回答问题之外对被访问者的态度行为进行观察，因此可获得自填问卷无法获得的有关访谈对象的许多非语言讯息，这些非语言讯息往往从某一个侧面表达了受访者真实的内心想法。

2.1.3.4　结构化访谈的局限性

1）费用高、时间长。与自填式问卷相比，结构式访谈费用高，引导员通过这种方式获得各种观点所花费的时间也较多，因而往往使调查的规模受到限制，大多采用随机抽样的方式进行。

2）对于某些尖锐性或敏感性的问题，访谈对象可能出于自身利益、情感等多方面因素的考虑，会下意识地掩盖其真实的看法和态度，导致访谈达不到预期的结果。

2.1.4　检查表

2.1.4.1　检查表概述

检查表（Check-lists）又称调查表或统计分析表，是通过安全检查发现潜在风险的一种有利的方法和工具。检查表是危险、风险或控制故障的清单，检查表通常是由专业人员根据知识、经验或之前的风险评估结果等进行编制的。检查表是一种最早开发出来的基于经验的系统分析方法，也被认为是一种最简单、最便捷的风险识别方法，具有较强的全面性与系统性。一般情况下，在实施检查表时，可以选择以一个相关的、最好是经过验证的检查表为基础和参照，编制人员根据自身经验对既有检查表进行仔细检查，并认真改进与修正，使得检查表能够全面涵盖整个检查范围。另外，使用检查表的人员或团队应熟悉过程或系统的各个因素，同时审查检查表上的项目是否有缺失。在经过多次实践检验和反复修正之后，检查表成了检查和预测风险的重要手段。直至今日，检查表在各国的安全检查和风险分析与评估工作中仍得以广泛应用。

2.1.4.2　检查表的特点

1）检查表的编制需要有科学的依据。通常情况下，检查表编制的依据是相关的规章、规范、标准和规定，相关事故案例、本单位和人员的经验以及其他风险分析与评估方法的既有结果等。

2）检查表需要适时适度的动态调整。检查表不是一成不变的，根据相关法律法规、单位发展状况、设施设备等因素，需要对既有检查表进行相应的修改、补充与完善，使其更好地适应当前风险识别与评估以及安全检查的需要。

2.1.4.3　检查表的优势

1）考虑周全。检查表由经验丰富的人员提前编制，能够较为全面地考虑各种危险因素。该方法可以有效地避免传统的安全检查中易发生的疏忽、遗漏等弊端^[9]，因而可以有助于提升风险防范与应对效率。

2）简单、高效，易于操作和理解是检查表的又一突出优点^[10]。在实施检查表时，只需操作人员依照事先列出检查项目的详细清单，逐项检查、评定，最后根据总分来确定安全的程度，简单高效，操作难度小^[11]。

2.1.4.4　检查表的局限性

1）检查表的编制较为复杂，对编制者的要求较高。需要确保检查项目系统的完整性，要求有足够的时间组织有经验的人员撰写，不能遗漏任何可能导致危险的关键因素^[12]。一旦漏掉了重要的检查对象，就极有可能导致难以预料的损失和后果。另外，除难度高、工作量大之外，检查表的编制还会受到编制者的知识、经验等方面的限制^[13]。

2）检查表更适用于定性评价，难以定量。由于检查表在编制和应用过程中存在着较大的主观性，因此在风险评估的实践应用中，检查表更多地用于定性的风险分析与评价，常常需要辅以其他的定量方法来保证和提升评价结果的客观性与可靠性。

2.1.5　层次分析

2.1.5.1　层次分析概述

层次分析（Analytic Hierarchy Process，AHP）是指将与决策有关的元素分解成目标、准则、方案等层次，在此基础之上进行定性和定量分析的决策方法。层次分析的实施步骤为：①建立层次结构模型。将决策目标、决策准则和决策对象按相互关系分为最高层、中间层和最低层，绘出层次结构图。最高层是指决策的目的和要解决的问题；中间层是指考虑的因素和决策的准则；最低层是指决策时的备选方案。②构造判断矩阵。对同一层次的要素以上一级的要素为准则进行两两相互比较，此时采用的是相对尺度，以尽可能减少性质不同的因素相互比较的困难来提高准确度，基于比较结果构成的矩阵称作判断矩阵。③确定各要素的重要性。这是基于上一层某因素而言，本层次各因素的重要性的排序。④相容性和误差分析。为了解决两两比较所出现的矛盾与不协调现象，层次分析引入了相容性指数。⑤层次总排序和一致性检验。计算某一层次所有因素对于最高层相对重要性的权值，这一过程是从最高层次到最低层次依次进行的。

2.1.5.2　层次分析的特点

层次分析的特点主要体现为是一种系统性的分析方法。层次分析通过简化系统分析，可以对于一些定性的因素进行定量化，是分析多因素复杂风险系统的有效工具^[14]。该方法把研究对象作为一个系统，按照分解、比较判断和综合的思维方式进行决策，尤其适用于由相互关联和相互制约的众多因素构成的复杂而往往缺少定量数据的系统。

2.1.5.3　层次分析的优势

1）层次分析的显著优点是能够将定性的描述、分析和定量相结合，将定性的不确定描述转化为定量的确定数值，对复杂的问题进行细致分解，使研究结果更直观、真实和可靠，有助于促进决策者做出更为科学、正确的决策^[15]。

2）简单实用。层次分析的操作难度低，既不追求高深的数学计算，也不片面地注重逻辑和推理，因此很容易被理解和接受，只需决策者对相关问题有一定的了解，通过简单的计算就可以得出分析结果。

2.1.5.4　层次分析的局限性

1）受主观因素影响较大。运用层次分析法时，定量数据较少，定性分析较多，主要由专家根据主观经验和判断来确定每个指标对研究目标的影响程度的大小，并赋予相应的权重^[16]，因此具有较强的主观性，客观性和说服力不够充分。

2）适用于较少的指标体系。如果指标过多，在将指标进行两两比较时，会面临统计量过大、工作繁复、难以比较的问题，也会直接导致后续的一致性检验和指标体系修正的工作量巨大。因此，层次分析并不适用于指标体系过多且过于复杂的情形。

3）不能提供新的决策方案。从本质上而言，层次分析是从多种备选方案中选择最优方案，只限于分析，不能对决策进行改进，也无法形成更新的、更好的决策方案。

2.1.6　预先危险分析

2.1.6.1　预先危险分析概述

预先危险分析（Preliminary Hazard Analysis，PHA）也称初始危险分析，是一种基于归纳分析的风险评价方法，是在项目开发初期阶段，对系统存在危险类别、出现条件、事故后果等进行概略地分析，其目标是识别潜在风险以及可能给特定活动、设备或系统造成的危害。预先危险分析的实施步骤为：①风险识别，即根据既有经验或运用多种技术手段，识别和诊断系统中存在的潜在风险和有害因素；②分析可能会发生的事故类型，在风险识别的基础上，全面分析分类风险可能带来的危害，确定可能会发生哪些事故；③结合风险识别和事故类型分析结果，制定预先危险性分析表；④确定风险的危害等级，按危害等级排定次序，以便为后续的风险应对计划与方案的制定提供借鉴和参考；⑤制定预防事故发生的风险应对方案。

2.1.6.2　预先危险分析的特点

1）预先危险分析在项目初期就可以识别、控制危险因素，用最小的代价消除或减少系统中的危险因素、避免不必要的损失^[17]，其分析结果可以为风险应对方案的制定提供重要的决策依据。

2）需要有相关资料的辅助。以电力安全系统改造^[18]为例，运用预先危险分析技术时需要有电力系统的设计方案、系统和分系统部件的设计图纸和资料、系统各组成部分的活动、功能和工作顺序的功能流程图及有关资料等。没有充分的资料加以支持，预先危险分析的科学性与有效性就会大打折扣。(www.xing528.com)

2.1.6.3　预先危险分析的优势

1）简单易行。同检查表法类似，预先危险分析同样具备易于操作、经济有效的优点。该方法对操作人员的要求不高，执行难度也比较小。

2）费用低，耗费时间少。实施预先危险分析时，耗费的时间短、成本低，只要操作人员有相应的安全知识，或即使只有一部分人有一定的安全知识或作业经验，就足以在短时间内胜任预先危险分析工作。

2.1.6.4　预先危险分析的局限性

预先危险分析的局限性主要体现在：预先危险分析技术只能提供初步信息。可以对某一项目或系统中存在潜在危险和事故风险进行初步分析和评价，同时尽可能地收集并采用相关的经验数据和安全信息，但其分析不够全面，只能为下一步措施的制定提供一定的建议和指导，无法提供有关风险及最佳风险预防措施方面的详细信息。

2.1.7　失效模式和效应分析

2.1.7.1　失效模式和效应分析概述

失效模式和效应分析（Failure Mode and Effect Analysis，FMEA）是一种预感式风险管理方法，侧重于强调“防患于未然”。该方法和技术最早起源于20世纪50年代，首先由格鲁曼（Grumman）航空公司将失效模式和效应分析的原理和观念应用于飞机主操控系统的失效分析，随后被广泛运用于国防、机械、汽车、电子、造船、医疗服务等行业领域。如今，企业管理学家将失效模式和效应分析技术定位为一种基于理论和经验相结合的有效的风险预测手段。失效模式和效应分析由失效模式和效应分析两部分组成，其中，失效模式是指能被观察到的错误或缺陷（俗称安全隐患），如操作程序不正当、产品残次等；效应分析是指通过分析该失效模式对系统的安全和功能的影响程度，针对性地提出可供选择的预防改造措施和方案，以减少过程缺陷，提高产品质量和工作效能。简而言之，失效模式侧重于发现问题，而效应分析则是为了分析和解决问题。失效模式和效应分析技术的实施步骤为：①确认问题；②组建团队；③画出流程；④失效模式分析；⑤计算风险优先值（Risk Priority Number，RPN）；⑥结果评判；⑦制定改善计划；⑧实施与效果检查；⑨总结分析与标准化。失效模式和效应分析技术可以很好地应用于识别系统各部分存在的潜在问题和故障、分析这些故障对系统的影响、寻找和分析故障原因以及提出如何避免故障和减弱故障对系统的影响的解决方案。

2.1.7.2　失效模式和效应分析的特点

失效模式和效应分析技术的鲜明特点是该方法是一种系统性和前瞻性分析工具。失效模式和效应分析强调在行动之前就认清问题、分析问题并预防问题的发生。这种前瞻性的风险管理模式，可以有效防范失效情形的发生，并不是等到故障和问题显现出来再予以应对和解决。换言之，失效模式和效应分析技术侧重于“防患于未然”，非“亡羊补牢”式的事后挽救与修复。

2.1.7.3　失效模式和效应分析的优势

1）在风险发生之前进行综合、系统的失效模式和效应分析，可以很容易地、低成本地对产品和进程进行修正，从而在很大程度上缓解了事后修改和弥补的压力和危机。

2）适用范围广泛。失效模式和效应分析技术是适用于系统、设计和过程的风险分析，在早期的概念和设计阶段，系统性FMEA技术主要用于分析系统和子系统之间的关系；在产品量产之前，设计FMEA技术主要用于分析产品和产品构造；而过程FMEA技术主要用于分析生产、制造、组装等过程中可能出现的问题、故障、失效和缺陷，并有助于形成系统化的风险管理模式。

2.1.7.4　失效模式和效应分析的局限性

1）失效模式和效应分析最显著的局限性在于该技术只可以用于识别单一的失效模式，无法同时实现对多个失效模式的识别。

2）当系统较为复杂时，失效模式和效应分析技术应用难度大，带来的工作量巨大，容易产生偏差。

2.1.8　危险与可操作性分析

2.1.8.1　危险与可操作性分析概述

危险与可操作性分析（Hazard and Operability Study，HAZOP）是一种基于危险与可操作性研究的形式结构化方法，作为过程系统和流程工业领域中应用最为广泛的风险评价和安全分析的方法之一，尤其适用于化工、石油化工等生产装置的现象分析，可以对处于设计、运行、报废等各阶段的全过程进行风险分析与评价，既适合连续过程，也适合间歇过程。近年来，危险与可操作性分析应用范围也不断得以拓展（如铁路、公路运输系统、航空系统等）。运用危险与可操作性分析技术，可以很好地识别人员、设备、环境及组织目标所面临的风险。危险与可操作性分析的过程是一个基于危险与可操作性研究的定性分析过程，通过对设计、过程、程序或系统等各个步骤中是否能够实现设计意图或运行条件的方式提出质疑的方式，由分析团队尽量提出科学的解决方案，以达到消减风险的目的。该方法的实施步骤和具体的分析流程如图3-2和图3-3所示。

图3-2　危险与可操作性分析步骤图

图3-3　危险与可操作性技术分析流程图

2.1.8.2　危险与可操作性分析的特点

危险与可操作性分析的特点是具备充分的系统性、结构性和全面性^[19]，危险与可操作性分析技术可以详细系统地对各个过程进行严格的检查和分析，如若产生偏差，可以及时对造成偏差的原因进行分析，并致力于寻求和制定出科学的应对策略^[20]。

2.1.8.3　危险与可操作性分析的优势

1）多专业汇聚。在实施危险与可操作性分析时，分析团队由不同专业领域的人员组成，涉及多个专业团队，既包括拥有实际操作经验的人员，也包括掌握丰富理论知识与技能的人员。

2）系统检查，避免遗漏。运用危险与可操作分析技术，可以细致、系统地检查设计方案和系统中存在的问题、偏差与遗漏，有助于对工艺和系统进行优化，大幅提升系统的稳定性。

2.1.8.4　危险与可操作性分析的局限性

1）耗时，成本高。危险与可操作性分析的程序相对复杂，耗费时间较长，可能会对项目的进度造成一定的影响，且需要由专业分析团队实施，成本也较高。

2）对分析团队的要求较高。危险与可操作技术需要对潜在偏差、原因以及后果进行识别，对风险发生的可能性、后果的严重性和现有控制措施的有效性进行科学分析，评估现有风险应对措施是否需要改进，并提出可行的解决方案。因此，对分析团队的要求较高，团队成员需要具备相对充分的知识、技能与经验。

2.1.9　危险分析与关键控制点

2.1.9.1　危险分析与关键控制点概述

危险分析与关键控制点（Hazard Analysis and Critical Control Points，HACCP）应用最为广泛的领域是食品安全领域，是一个国际上备受认可的科学、高效、便捷、合理、专业性较强的食品安全管理体系。美国将强制性在风险管理实践中广泛推行危险分析与关键控制点，其对食品安全进行全过程安全信息追踪，及时识别、确认、评估和控制过程中存在的食品安全隐患或风险，保障实现从细节上保障食品链全过程安全的目标^[21]。目前，该方法也被应用于医药生产、医疗器械、生物污染等诸多领域。运用危险分析与关键控制点时，需要遵循以下七条重要原则：①识别危险及危险的预防性措施；②确定过程中可以控制或消除危险的关键控制点；③确定所确定的关键控制点的极限值；④按规定的间隔对各个关键控制点的限值进行监控；⑤建立纠偏程序，如果超出限值之外的情形，立即执行纠正行动；⑥建立有效的记录保存系统；⑦建立验证程序。

2.1.9.2　危险分析与关键控制点的特点

1）危险分析与关键控制点小组的成员较为多元，囊括了质量管理人员、控制人员、生产部门相关人员、实验室人员、销售人员、维修保养人员等，有时也可根据需要聘请外来专家和学者。另外，需要选取一名拥有相应的专业知识和经验，熟悉危险分析与关键控制点原理或接受过危险分析与关键控制点技术相关培训的人作为小组组长，以协调和推动行动的顺利开展。

2）关键控制点的确定需要有一定的参考和依据。一般而言，将危险分析与关键控制点技术应用于食品安全领域时，需要参照相关的产品生产规范、卫生规范、《食品卫生通则》、相关产品检验规程，有时还需要与进口国该产品的标准与规范进行比较，从而确定关键控制点。

2.1.9.3　危险分析与关键控制点的优势

1）科学高效。该方法可以有效克服传统食品安全控制方法（如现场检查和成品测试等）的缺陷。当组织将力量集中于危险分析与关键控制点的计划制定和执行时，对食品安全的控制可以更加科学和高效。

2）强调全过程的风险控制。危险分析与关键控制点技术关注的是在整个生产过程中的风险控制与消减，强调的是风险前置，而不是仅仅依赖最终的产品检验。

2.1.9.4　危险分析与关键控制点的局限性

1）需要其他技术手段和工具的支持。危险分析与关键控制点要求识别和界定风险，并确定相应的控制措施，其目的是为了确定危险分析与关键控制点技术实施过程中具体的临界控制点及控制参数，仅基于HACCP技术本身无法实现，还需要其他工具和方法的辅助和支持才能实现。

2）危险分析与关键控制点技术虽然可以使食品生产最大限度地趋近于“零缺陷”，但是并不等同于零风险体系，该技术主要用于尽量将食品安全危害的风险降低到可以接受和控制的水平。

2.1.10　风险矩阵

2.1.10.1　风险矩阵概述

风险矩阵（Risk Matrix）也称风险矩阵图、风险热度图、风险坐标图等，是一种将定性或半定量的后果分级与产生一定水平的风险或风险等级的可能性相结合的方式，是指按照风险发生的概率和风险发生后果的严重程度，将风险绘制在矩阵图中，展示风险及其重要性等级的一种有效的风险管理工具^[22]。

风险矩阵最初产生于20世纪中后期，主要适用于大型项目管理的风险分析和评估，因为风险矩阵很好地实现了定性与定量分析的有机结合，操作难度低，易于理解和掌握，其有效性也得到了普遍认同。1996年，风险矩阵正式得到官方认可，当时ESC美国空军电子系统中心采用风险矩阵对武器研究开展了风险评估，获得了不俗的效果，对推进项目实施起到了关键性的作用。利用风险矩阵的风险评估方法，可以对项目既定风险进行识别，并发掘项目的潜在风险，在确定风险等级的同时确定发生概率，将数据进行整合，给项目组提供重要的战略支持^[23]。风险矩阵不仅能够从项目自身价值对项目进行考察评定，而且能够从操作技术层面提供数据支持。作为评判项目风险的重要风险依据，二者缺一不可，密不可分。自1996年以来，为了提升和拓展风险矩阵的使用效能及领域，美国MITRS开发了一套适合于风险矩阵的应用软件，该软件中新增加了风险分析功能，其中风险等级可以通过交叉检测等手段确定，实时监测风险降低过程，软件的应用环境为具有跨平台兼容性的EXCEL_5.0，使用上较为灵活，可以在诸多终端设备上使用。

风险矩阵的具体实施步骤如下：

1）原始风险矩阵。原始风险矩阵应当包括需求栏、技术栏、风险栏、影响栏、概率栏、等级栏和管理栏等能够反映组织风险状况的信息（表3-1）。

表3-1　原始风险矩阵示例表

需求栏：本栏可以对项目的需求进行详细地说明，如项目主要由哪几部分构成。

技术栏：本栏需要列出每个项目在项目执行过程中涉及使用的技术方法。如果该技术方法在项目执行之前就被某单位使用过，则该项目的风险会相对较小；反之，如果该方法未曾使用过，项目风险就会明显提升。

风险栏：本栏需要列举和描述项目实施过程中可能遇到的风险点（表3-2）。

影响栏：针对风险栏列举出的各类风险，对识别和描述进行评估和详细分析，确定风险对组织或者项目的影响结果，设定影响程度衡量指标，对风险影响等级进行科学、合理地划分，从而为风险应对措施的制定奠定基础。

概率栏：专家通过经验及对组织和项目的熟悉程度来确定风险发生的可能性和概率。

等级栏：综合上述风险影响程度和风险发生概率两个风险评定指标，确定风险的等级，并将结果放置于风险矩阵中，确定相应位置。

管理栏：管理栏主要供管理层使用。在确定风险等级以后，针对不同等级由相关项目负责人根据组织风险管理偏好确定应对方式，以达到规避、降低、转移和化解风险的目的，有助于实现组织预期的战略目标。

表3-2　风险类型与具体描述示例表

2）确定风险影响等级（表3-3），这一步骤既可以运用定性分析方法，也可以运用定量分析方法。

表3-3　风险影响等级和说明示例表

3）用数值或百分比的形式来确定风险发生的可能性和概率（表3-4）。

表3-4　风险发生概率示例表

4）确定风险等级（表3-5）。

表3-5　风险等级示例表

5）绘制风险矩阵图。

6）以风险矩阵的分析结果为基础和依据，制定风险应对和消减决策方案。

2.1.10.2　风险矩阵的特点

1）风险矩阵的基本原理是在组织已经设定风险偏好的前提下，根据风险偏好判断风险发生的概率及影响程度，计算出风险值，并将风险描绘在风险矩阵图中，确定风险的重要性等级。

2）风险矩阵在确定风险等级时，能够提供一套流程化、规范化的工具，通过图像直观地反映风险，增强风险沟通的效果和报告效果，以便有效地增强风险防范意识，继而采取科学的应对措施。

2.1.10.3　风险矩阵的优势

1）形式直观，简单便捷，易于操作和实施。风险矩阵图具有鲜明的可视化特点，基于分析风险矩阵图，可以实现把复杂问题简单化，并用图表的方式直观地把风险等级表示出来。运用和实施风险矩阵的方法较为简单和便捷，易于操作和执行。

2）适用范围广泛。风险矩阵适用于各类组织和单位，其作用也不仅仅局限于确定和展示风险等级，在风险评价和沟通报告等其他环节也同样适用，形式也较为灵活，能够在项目中得到推广和应用。

3）促进各级人员之间的沟通与协调。风险矩阵能够加强各级之间的联系，有效地促进各级组织成员之间的沟通，上到高层管理者，下到基层职员，都可以参与其中，调动和发挥员工的积极性和主观能动性，从而有利于风险管理工作从上至下地顺利实施和开展。

2.1.10.4　风险矩阵的局限性

1）带有较大的主观性。与很多风险评估方法和工具类似，风险矩阵法同样无法规避主观人为因素对于评估结果的影响。无论是风险可能性还是后果严重性的确定都在很大程度上依赖于经验，主观性较强。

2）风险等级和后果的确定与比较相对困难。风险等级的准确界定是风险矩阵技术的关键，但在实际情况中，风险等级之间的界限并不明晰，另外，在组合和比较不同类型后果的风险等级时，往往会陷入困境。