リスクアセスメント
この用語のポイント
直訳すると「リスク評価」だよ
想定されるリスクのあれやこれやを考えるよ
リスクを見つけたり、分析したり、評価したりするよ
簡単に書くよ
リスクアセスメント（英：risk assessment）とは
リスクを見つけて、分析して、評価すること。
誤解を招きそうですが、ものすごい大雑把な説明をすると
起こりそうなリスクに関して、あれやこれやと考えること
です。
詳しく書くよ
順番に見ていきましょう。
まずは予備知識として「リスク」と「アセスメント」について簡単に説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。
リスクは「危険性」のカタカナ表現です。
あるいは「不確実性」のカタカナ表現です。
一般的には「危険性」の意味で使われます。
資産運用の世界とかでは「不確実性」の意味で使われることもあるようです。
ただし、もしも あなたがISMS（情報セキュリティマネジメントシステム）をお勉強中で このページを見ているのであれば、ここまでの説明は忘れてもいいです。
「JIS Q 27000:2019」という資料の中で「リスク」は
目的に対する不確かさの影響
と定義されています。
※実際には長々とした「注記」が付いています。できれば原文を見てくださいね。
※2024年時点の情報です。2026年時点では「JIS Q 27000:2024」とかいうのがあるみたいです。
それを丸暗記しておけば良いと思います。
あと、他の分野では他の定義があるようです。
試験勉強とかをしている人は、その分野の「リスク」の定義を調べてください。
アセスメントの意味は「評価」とか「査定」とか「診断」とか、なんか、そんな感じです。
介護の分野では少し違うニュアンスで使われることもありますが、今はITの分野の話です。
素直に「評価」と解釈してください。
以上を踏まえて
リスクを見つけて、分析して、評価する
のが「リスクアセスメント」です。
「こんなことが起こったらヤバいんじゃない？」「うーん、ヤバいかなー？」「めっちゃヤバそうだねー」みたいなことを考えます。
リスクに対する対応というのは、リスクを
１．見つける
２．調べる
３．考える
４．対処する
といった段階を踏みます。
まずは「あっ！これは放っておくとヤバそうだ！」と気付くのが始まりです。
これが
１．見つける
です。
次に、そのヤバそうなことを調べます。
「何がヤバそうか？」とか「なんでヤバそうか？」とかですね。
これが
２．調べる
です。
次に調べた内容をもとにして考えます。
「う～ん、これを放っておいたら、どれくらいヤバいんだろう？」とかですね。
これが
３．考える
です。
最後に「よし！放っておくとヤバそうだから何とかしよう！」と（必要に応じて）行動に移します。
これが
４．対処する
です。
この「１．見つける」から「４．対処する」までの流れのうち「１．見つける」から「３．考える」までを指す用語がリスクアセスメントです。
ちなみに「４．対処する」を含んだ「１．見つける」から「４．対処する」までの一連の流れは「リスクマネジメント」と呼んだりします。
せっかくなので、併せて覚えてあげてください。
……と、偉そうに書いておいてなんですが、具体的に何を指しているのかは、よく分かりませんでした。
人によって微妙に指しているものが違う気がしたのですよね。
例えば「１．見つける」から「３．考える」までの一連の流れを指して「リスクアセスメント」と呼んでいる人がいました。
その人は
リスクアセスメント＋実際の対処＝リスクマネジメント
という考え方なのでしょう。
これが、おそらく一般的な考え方だと思います。
ただし「３．考える」のみを指して「リスクアセスメント」と表現している人もいました。
その人は「１．見つける」は「リスク発見」と表現していました。
「２．調べる」は「リスク分析」です。
リスク発見＋リスク分析＋リスクアセスメント＋実際の対処＝リスクマネジメント
という解釈っぽいです。
あるいは、リスクに対する対処内容を決定するところまで含めて「リスクアセスメント」と表現している人もいました。
例えば「風邪を引くリスク」に対して「『手洗い、うがいをしっかりしましょう！』と決める」までをリスクアセスメントに含める考え方です。
その場合は
リスクアセスメント≒リスクマネジメント
と言えると思います。
そんな感じで、私が調べたかぎりは微妙な解釈の違いがあるように思えました。
個人的には「想定されるリスクに対して、あれやこれやと考える作業は、全部リスクアセスメントに含めても良いんじゃないの？」と思っています。
リスクのヤバさを判断するのも、どうすればヤバくなくなるか検討するのも、リスクアセスメントに含まれるとの考えです。
そんな「会議室であーだこーだ言う作業」（リスクアセスメント）に「現場で実際に実行する作業」を加えたのがリスクマネジメントであるとの解釈です。
あっ、そうそう。
資格試験の勉強をしている人は別のところで情報を補完してください。
資格試験で正解とされる「定義」はあるようです。
……えっ？
その「定義」を教えろ！……ですか？
仕方がありませんねー。
上でも登場した「JIS Q 27000:2019」という資料の中には以下のように書いてあります。
3.64
リスクアセスメント（risk assessment）
リスク特定（3.68），リスク分析（3.63）及びリスク評価（3.67）のプロセス（3.54）全体。
（JIS Q 0073:2010の3.4.1参照）
ISMSをお勉強中の人は、この定義を丸暗記しておけば良いと思います。
なお、他の試験では他の定義があるかもしれません。
このページでざっくりしたイメージがつかめたら、あなたが受ける試験用の参考書とかで情報を補完してください。
一言でまとめるよ
まぁ「リスクアセスメント」って単語が出てきたら「リスクを見つけて、分析して、評価する作業なんだな～」と お考えください。
おまけ
■訳してみるよ
「risk（リスク）」の意味は「危険」とか「危険性」とかです。
「assessment（アセスメント）」の意味は「評価」とか「査定」とかです。
何となく くっつけると
危険性を評価
となります。
■検索してみる？
