一、基本概念

1.风险

风险就是遭受损失、伤害、不利或毁灭的可能性。通俗地讲，风险就是发生不幸事件的概率。或指一个事件产生我们所不希望的后果的可能性。

从广义上讲，只要某一事件的发生存在着两种或两种以上的可能性，那么就认为该事件存在着风险。而在保险理论与实务中，风险仅指损失的不确定性，这种不确定性包括发生与否的不确定、发生时间的不确定和导致结果的不确定。

2.风险事件

风险事件也称风险事故，是指酿成事故和损失的直接原因和条件。风险一般只是一种潜在的危险，而风险事件的发生使潜在的危险转化成为现实的损失。从这个意义上来说风险事件是损失的媒介。

对于某一事件，在一定条件下，如果它是造成损失的直接原因，它就是风险事件；而在其他条件下，如果它是造成损失的间接原因，它便是风险因素。如下冰雹使得路滑而发生车祸，造成人员伤亡，这时冰雹是风险因素，车祸是风险事件。如果冰雹直接将行人砸伤，冰雹就是风险事件（见图8-1）。

图8-1　冰雹风险事件

3.风险源

能够带来风险的人或物或事件，都可被视为风险源。风险源包括物质环境、社会环境、政治环境、法律环境、操作环境、经济环境、认识环境。相同的风险因素可能是由不同的风险源产生的。例如，火灾风险可能来源于物质环境（磷的自燃等），也可能来源于社会环境（纵火）。有些风险源很好判断，但是有些则不易判断。

4.风险评估(https://www.daowen.com)

风险评估是指在风险事件发生之前或之后（但还没有结束），对该事件给人们的生活、生命、财产等各个方面造成的影响和损失的可能性进行量化评估的工作。从信息安全的角度来讲，风险评估是对信息资产（即某事件或事物所具有的信息集）所面临的威胁、存在的弱点、造成的影响，以及三者综合作用所带来风险的可能性的评估。作为风险管理的基础，风险评估是确定信息安全需求的一个重要途径，属于组织信息安全管理体系策划的过程。

事故、风险源和致险因子之间的关系如图8-2所示。

图8-2　事故、风险源和致险因子之间的关系

5.风险管理

风险管理是通过对风险的认识、衡量和分析，选择最有效的方式，主动地、有目的地、有计划地处理风险，以最小成本争取获得最大安全保证的管理方法。

风险管理作为企业的一种管理活动起源于20世纪50年代的美国。目前，风险管理已经发展成企业管理中一个具有相对独立职能的管理领域，在围绕企业的经营和发展目标方面，风险管理和企业的经营管理、战略管理一样具有十分重要的意义。

6.不可接受风险

一般认为不可接受风险是指有可能导致重大的事故发生的风险，或者不符合国家相关规定的风险。

7.可接受风险

可接受风险是指预期的风险事故的损失程度在单位或个人经济能力和心理承受能力的最大限度之内的风险。