リスクアセスメント（英: Risk assessment）とは、ISO規格では、リスク特定、リスク分析、リスク評価を網羅するプロセス全体を指す[1][2][3][4][5]。
リスク特定 (risk identification) - リスクを発見し、認識し、記述するプロセス

リスク分析 (risk analysis) - リスクの特質を理解し、リスクレベルを決定するプロセス

リスク評価 (risk evaluation) - リスク（とその大きさ）が受容可能か（許容可能か）を決定するためにリスク分析の結果をリスク基準と比較するプロセス

通常は、リスクアセスメントの後で、リスク対応をする。リスク対応の手段には、リスク源の除去、起こりやすさの変更、結果の変更、他者とのリスクの共有、リスクの保有などがある。

用語としての「リスクアセスメント」は規格毎に意味が異なるため、注意が必要である。このページではISO規格を主軸に説明する。特に保険数理学関連の時は要注意である。また、別の意味の「リスク評価」もリスクアセスメントにリダイレクトしていた(詳細は#用語注意にて説明)。
リスクマネジメント

ISO規格では、リスクアセスメントとは、もともとリスクマネジメントプロセス内のサブプロセスである。安全工学上はリスクとは、人、環境、物に悪い影響をあたえる可能性と大きさ（の積）である。予測されるリスクの可能性と大きさ（予測値）と、許容されるリスクの可能性と大きさ（許容値）を比較し、予想値が許容値を上回った時リスク軽減の施策またはリスク回避の施策をとるという意思決定を行い、実際にその施策をとり、より安全な状態を実現するプロセスをとることになる。このプロセス全体がリスク管理プロセスである。このように、リスクアセスメントは、リスク管理プロセス内の意思決定サブプロセスとなる。
リスクマネジメントの用語

リスクレベル (level of risk) - 結果とその起こりやすさとの組合せとして表されるリスクの大きさ

リスク基準 (risk criteria) - リスクの重大性を評価する基準

リスク対応 (risk treatment) - リスクを修正するプロセス

残留リスク (residual risk) - リスク対応の後に残るリスク

リスク特定.mw-parser-output .ambox{border:1px solid #a2a9b1;border-left:10px solid #36c;background-color:#fbfbfb;box-sizing:border-box}.mw-parser-output .ambox+link+.ambox,.mw-parser-output .ambox+link+style+.ambox,.mw-parser-output .ambox+link+link+.ambox,.mw-parser-output .ambox+.mw-empty-elt+link+.ambox,.mw-parser-output .ambox+.mw-empty-elt+link+style+.ambox,.mw-parser-output .ambox+.mw-empty-elt+link+link+.ambox{margin-top:-1px}html body.mediawiki .mw-parser-output .ambox.mbox-small-left{margin:4px 1em 4px 0;overflow:hidden;width:238px;border-collapse:collapse;font-size:88%;line-height:1.25em}.mw-parser-output .ambox-speedy{border-left:10px solid #b32424;background-color:#fee7e6}.mw-parser-output .ambox-delete{border-left:10px solid #b32424}.mw-parser-output .ambox-content{border-left:10px solid #f28500}.mw-parser-output .ambox-style{border-left:10px solid #fc3}.mw-parser-output .ambox-move{border-left:10px solid #9932cc}.mw-parser-output .ambox-protection{border-left:10px solid #a2a9b1}.mw-parser-output .ambox .mbox-text{border:none;padding:0.25em 0.5em;width:100%;font-size:90%}.mw-parser-output .ambox .mbox-image{border:none;padding:2px 0 2px 0.5em;text-align:center}.mw-parser-output .ambox .mbox-imageright{border:none;padding:2px 0.5em 2px 0;text-align:center}.mw-parser-output .ambox .mbox-empty-cell{border:none;padding:0;width:1px}.mw-parser-output .ambox .mbox-image-div{width:52px}html.client-js body.skin-minerva .mw-parser-output .mbox-text-span{margin-left:23px!important}@media(min-width:720px){.mw-parser-output .ambox{margin:0 10%}}

この節の加筆が望まれています。

リスク特定は、リスクを発見し、認識し、記述するプロセスである。「リスクの原因、現象、それらの発生、およびそれらによる潜在的な結果の特定」が含まれる[6]。

ISO 31000で、リスク特定はリスク分析とリスク評価の前に行うリスク評価プロセスの最初のステップである[7]。リスクを「ハザード」として知られている分野では、このステップは「ハザード特定」として知られている[6](参照:#リスクとハザードの違い)。

リスクを特定するには、次のようなさまざまな方法がある[8]。
過去のデータまたは理論モデルに基づくチェックリストまたは分類法

文献レビューや履歴データの分析などの証拠に基づく方法

HAZOP、FMEA、SWIFTなど、通常の運用からの逸脱の可能性を体系的に検討するチームベースの方法

特定の状況下で何が起こるかを特定するためのテストやモデリングなどの経験的方法

シナリオ分析など、将来の可能性について想像思考手法。

ブレインストーミング、構造化インタビュー、 監査 などの専門家を引き出す方法 。

プロセス間の手法の違いについて

場合によっては、リスクの特定処理では、「他の場所で分析および評価されるリスク」を見つけて文書化することに限定される。ただし、多くのリスク識別手法は、管理手段が十分かも考慮され、改善の検討も推奨される。したがって、リスク識別手法は単独でリスク評価手法としても機能できるものも多い。
リスクとハザードの違い

「リスク」と「ハザード」の用語は両方とも同じ意味に使われることもあるが、リスクアセスメントの観点から見ると異なる用語である。[9]

ハザード :自然災害、停電、劣化などによる危険性又は有害性

リスク　 :ハザードが悪影響をもたらす可能性の度合い (※注意:分野などで異なることもある。)

簡単に言うと、ハザードがなければリスクも無い。ただし、ISOの用語の定義変更があり同じ意味の時もある[10]。
リスク分析詳細は「リスク分析」を参照

リスク分析とは、リスクの理解を深めることである。 ISOは、それを「リスクの性質を理解し、リスクのレベルを決定するプロセス」と定義した[7]。

ISO 31000リスク評価プロセスでは、リスク分析はリスクの特定の後、リスク評価の前に実施する。ただし、これらの区別は常に守られているわけではない。

リスク分析には以下が含まれる場合がある：[8]

リスクの原因、原因、推進要因の特定

既存のコントロールの有効性の調査

起こりうる結果とその可能性の分析

リスク間の相互作用と依存関係の理解

リスクの尺度の決定

結果の検証と妥当性確認

不確実性と感度(変動)の分析

リスク分析では、以前のイベントの確率と結果に関するデータを使用することがよくある。そのようなイベントがほとんどない場合、またはまだ運用されておらず、したがって以前の経験がないシステムでは、次のような分析方法を使用して確率と結果を推定する。類似システムのデータ　(リスクのいくつかの側面で類似していると推定される場合)

モンテカルロシミュレーション、定量的リスク評価ソフトウェアなどの理論モデル

ベイジアンネットワーク、フォルトツリー解析、イベントツリー分析などの論理モデル

絶対確率判定、デルファイ法などの専門家による判定

リスク評価

リスク評価では、リスクの推定レベルをリスク基準と比較して、リスクの重大性を判断し、リスク処理アクションについて決定を下す[8]。
リスク基準

ほとんどの活動では、さらにコントロールや他の処理オプションを追加することでリスクを減らすことができるが、通常、これはコストや不便さを増大させる。活動を中止せずにリスクを完全に排除することはめったに不可能である。価値ある利益を確保するためにリスクを高めることが望ましい場合もある。「リスク基準」は、これらの問題に関する決定を導くことを目的とする[11]。

基準の種類は次のとおり[8]。

目的を追求するために受け入れ可能なリスクのレベルを定義する基準。
「リスクアペタイト」とも呼ばれ 、リスク/報酬分析(リスク・リターン分析)により評価される[12]。

費用便益比など、さらなる管理が必要かを決定する基準 。

多基準意思決定分析など、さまざまなリスク管理オプションを決定する基準。

リスク基準の最も単純な構成は、「許容可能なリスク」と「処置が必要なリスク」を分ける単一のレベルである。これは魅力的に単純な結果をもたらすが、リスクの推定と基準の定義の両方に伴う不確実性を反映していない。