CHUẨN ISO31000 :2009
1.4. Quy trình quản trị rủi ro
1.4.4. Đánh giá rủi ro
1.4.4.1. Nhận dạng rủi ro
- Tổ chức nên xác định nguồn gốc gây rủi ro, phạm vi tác động, các sự kiện cùng các nguyên nhân cũng như hậu quả tiềm ẩn của nó. Mục tiêu của bước này là tạo ra một danh sách bao hàm tất cả các rủi ro. Sự nhận dạng toàn diện rất quan trọng bởi vì một rủi ro nếu khơng được nhận dạng trong giai đoạn này sẽ không được phân tích sâu hơn nữa.
- Nhận dạng nên bao gồm các rủi ro mà nguồn gốc phát sinh nó có nằm trong sự kiểm sốt của tổ chức hay khơng, mặc dù nguồn gốc rủi ro hay nguyên nhân không rõ ràng. Cũng nên cân nhắc một loạt các hậu quả, thậm chí nếu nguồn rủi ro hay
nguyên nhân của nó khơng rõ ràng. Cũng như việc xác định những điều có thể xảy ra, cũng cần phải cân nhắc các nguyên nhân có thể và viễn cảnh cho thấy những hậu quả có thể xảy ra. Tất cả các nguyên nhân và hậu quả đáng kể nên được xem xét.
- Tổ chức nên áp dụng các công cụ và kỹ thuật nhận dạng rủi ro phù hợp với mục tiêu và khả năng của mình để đối mặt với những rủi ro. Thông tin được cập nhật và thích hợp là rất quan trọng trong việc nhận dạng rủi ro. Những người có kiến thức chuyên mơn phù hợp cần được tham gia vào q trình nhận dạng rủi ro.
1.4.4.2. Phân tích rủi ro
- Phân tích rủi ro bao gồm việc mở rộng sự hiểu biết về rủi ro. Phân tích rủi ro cung cấp đầu vào để đánh giá rủi ro và quyết định xem các rủi ro có cần được xử lý hay không cũng như các chiến lược và phương pháp xử lý rủi ro tốt nhất. Phân tích rủi ro cũng có thể cung cấp đầu vào cho việc ra quyết định để lựa chọn tùy theo loại rủi ro và mức độ rủi ro khác nhau. Phân tích rủi ro liên quan đến việc xem xét nguyên nhân và nguồn phát sinh rủi ro, hệ quả tích cực và tiêu cực của nó, và khả năng các hệ quả này có thể xảy ra. Các yếu tố ảnh hưởng đến hệ quả và khả năng xảy ra hệ quả cũng cần được xác định. Rủi ro được phân tích bằng cách xác định các hệ quả và khả năng xảy ra hệ quả đó cùng các thuộc tính khác của rủi ro. Một sự kiện có thể có nhiều hệ quả và có thể ảnh hưởng đến nhiều mục tiêu. Một điều quan trọng nữa là việc xem xét sự phụ thuộc lẫn nhau giữa các rủi ro và các nguồn phát sinh rủi ro khác nhau.
- Phân tích rủi ro có thể được thực hiện với mức độ chi tiết khác nhau tùy thuộc vào loại rủi ro, mục đích của việc phân tích, các thơng tin, dữ liệu và các nguồn lực sẵn có. Phân tích có thể là định tính, bán định lượng hay định lượng hoặc kết hợp các phương pháp đó với nhau tùy thuộc vào hồn cảnh.
- Hệ quả và khả năng xảy ra hệ quả đó có thể được xác định bằng cách mơ hình hóa các kết quả của một sự kiện, hoặc thiết lập các sự kiện hay bằng cách ngoại suy từ nghiên cứu thực nghiệm và từ dữ liệu có sẵn.
- Mục đích của việc đánh giá rủi ro là để hỗ trợ việc ra quyết định dựa trên các kết quả phân tích rủi ro để xem xét các rủi ro cần được giải quyết và ưu tiên thực hiện việc xử lý đó. Đánh giá rủi ro liên quan đến việc so sánh mức độ rủi ro tìm được trong suốt q trình phân tích với tiêu chí rủi ro đã được lập ra.
- Trong một số trường hợp, đánh giá rủi ro có thể dẫn đến quyết định phân tích sâu hơn về rủi ro. Đánh giá rủi ro cũng có thể dẫn đến quyết định khơng xử lý rủi ro bằng bất kỳ cách nào.