リスク特定
この用語のポイント
リスクを見つける作業だよ
リスクアセスメントやリスクマネジメントの話で出てくるよ
簡単に書くよ
リスク特定（読：リスクトクテイ 英：risk identification）とは
リスク管理の話で出てくる用語のひとつ
であり
「どんなリスクがあるのかな～？」を見つける作業のこと
です。
詳しく書くよ
順番に見ていきましょう。
まずは予備知識として
・リスク
・リスクアセスメント
・リスクマネジメント
について結構ガッツリ説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。
リスクは「危険性」のカタカナ表現です。
あるいは「不確実性」のカタカナ表現です。
一般的には「危険性」の意味で使われます。
資産運用の世界とかでは「不確実性」の意味で使われることもあるようです。
ただし、もしも あなたがISMS（情報セキュリティマネジメントシステム）をお勉強中で このページを見ているのであれば、ここまでの説明は忘れてもいいです。
「JIS Q 27000:2019」という資料の中で「リスク」は
目的に対する不確かさの影響
と定義されています。
※実際には長々とした「注記」が付いています。できれば原文を見てくださいね。
※この説明を書いている時点の情報です。将来的には「JIS Q 27000:2019」の「2019」の部分は変わるはずです。
それを丸暗記しておけば良いと思います。
あと、他の分野では他の定義があるようです。
試験勉強とかをしている人は、その分野の「リスク」の定義を調べてください。
リスクアセスメントは「リスクを見つけて、分析して、評価する作業」です。
「こんなことが起こったらヤバいんじゃない？」「うーん、ヤバいかなー？」「めっちゃヤバそうだねー」みたいなことを考えます。
リスクに対する対応というのは、リスクを
１．見つける
２．調べる
３．考える
４．対処する
といった段階を踏みます。
まずは「あっ！これは放っておくとヤバそうだ！」と気付くのが始まりです。
これが
１．見つける
です。
次に、そのヤバそうなことを調べます。
「何がヤバそうか？」とか「なんでヤバそうか？」とかですね。
これが
２．調べる
です。
次に調べた内容をもとにして考えます。
「う～ん、これを放っておいたら、どれくらいヤバいんだろう？」とかですね。
これが
３．考える
です。
最後に「よし！放っておくとヤバそうだから何とかしよう！」と（必要に応じて）行動に移します。
これが
４．対処する
です。
この「１．見つける」から「４．対処する」までの流れのうち「１．見つける」から「３．考える」までを指す用語がリスクアセスメントです。
ちなみに「４．対処する」を含んだ「１．見つける」から「４．対処する」までの一連の流れは「リスクマネジメント」と呼んだりします。
せっかくなので、併せて覚えてあげてください。
……と、偉そうに書いておいてなんですが、具体的に何を指しているのかは、よく分かりませんでした。
人によって微妙に指しているものが違う気がしたのですよね。
例えば「１．見つける」から「３．考える」までの一連の流れを指して「リスクアセスメント」と呼んでいる人がいました。
その人は
リスクアセスメント＋実際の対処＝リスクマネジメント
という考え方なのでしょう。
これが、おそらく一般的な考え方だと思います。
ただし「３．考える」のみを指して「リスクアセスメント」と表現している人もいました。
その人は「１．見つける」は「リスク発見」と表現していました。
「２．調べる」は「リスク分析」です。
リスク発見＋リスク分析＋リスクアセスメント＋実際の対処＝リスクマネジメント
という解釈っぽいです。
あるいは、リスクに対する対処内容を決定するところまで含めて「リスクアセスメント」と表現している人もいました。
例えば「風邪を引くリスク」に対して「『手洗い、うがいをしっかりしましょう！』と決める」までをリスクアセスメントに含める考え方です。
その場合は
リスクアセスメント≒リスクマネジメント
と言えると思います。
そんな感じで、私が調べたかぎりは微妙な解釈の違いがあるように思えました。
個人的には「想定されるリスクに対して、あれやこれやと考える作業は、全部リスクアセスメントに含めても良いんじゃないの？」と思っています。
リスクのヤバさを判断するのも、どうすればヤバくなくなるか検討するのも、リスクアセスメントに含まれるとの考えです。
そんな「会議室であーだこーだ言う作業」（リスクアセスメント）に「現場で実際に実行する作業」を加えたのがリスクマネジメントであるとの解釈です。
以上を踏まえて
リスクアセスメント（リスクマネジメント）の話で出てくる「リスクを見つける」作業
が「リスク特定」です。
……というのがイメージ重視の大雑把な説明です。
上でも登場した「JIS Q 27000:2019」という資料の中には以下のように書いてあります。
3.64
リスクアセスメント（risk assessment）
リスク特定（3.68），リスク分析（3.63）及びリスク評価（3.67）のプロセス（3.54）全体。
（JIS Q 0073:2010の3.4.1参照）
ISMSをお勉強中の人は、この定義を丸暗記しておけば良いと思います。
あと、ついでなので書いておくと
１．見つける
２．調べる
３．考える
４．対処する
のうち「２．調べる」は「リスク分析」と言います。
その次の「３．考える」は「リスク評価」です。
最後の「４．対処する」は「リスク対応」と呼ばれたりします。
気が向いたら、全部まとめて覚えてあげてください。
リスク特定：リスクを見つける作業
リスク分析：リスクを調べる作業
リスク評価：リスクについて考える作業
リスク対応：リスクに対処する作業
です。
一言でまとめるよ
まぁ「リスク特定」って単語が出てきたら「リスクを見つける作業なんだな～」と お考えください。
