Os objetivos da análise são separar os riscos aceitáveis menores dos riscos maiores e fornecer dados para auxiliar na avaliação e no tratamento de riscos. A análise de riscos envolve a consideração das fontes de risco, de suas conseqüências e da probabilidade de tais conseqüências ocorrerem. Pode-se identificar os fatores que afetam as conseqüências e a probabilidade. Um risco é analisado combinando-se as estimativas das conseqüências e da probabilidade no contexto das medidas de controle existentes.

Pode-se realizar uma análise preliminar, a fim de que riscos semelhantes ou de baixo impacto sejam excluídos de um estudo mais detalhado. Os riscos excluídos devem ser listados, na medida do possível, a fim de demonstrar a totalidade da análise de riscos.

Determinação dos controles existentes

Identificar os sistemas de gestão, os sistemas técnicos e os procedimentos existentes para o controle de riscos, e avaliar seus pontos fortes e fracos. Podem ser utilizadas as ferramentas mencionadas em outra seção da norma e abordagens como inspeções e técnicas de controle de auto-avaliação.

Conseqüências e probabilidades

A magnitude das conseqüências de um evento, caso este ocorra, e a probabilidade do evento e as conseqüências a ele associadas são avaliadas no contexto dos controles existentes. As conseqüências e a probabilidade são combinadas com o intuito de produzir um nível de risco, podendo ser determinadas por meio de análises e cálculos estatísticos. Caso não haja dados anteriores disponíveis, podem ser feitas estimativas subjetivas que reflitam o grau de expectativa de um indivíduo ou grupo quanto à ocorrência de um determinado evento ou resultado.

A fim de evitar o viés subjetivo, convém que as melhores fontes de informação e técnicas disponíveis sejam utilizadas ao analisar conseqüências e probabilidades. As fontes de informação podem incluir:

a) Registros anteriores;
b) Experiências pertinentes;
c) Prática e experiência do setor da indústria;
d) Publicações pertinentes;
e) Teste de marketing e pesquisa de mercado;
f) Experimentos e protótipos;
g) Modelos econômicos, modelos de engenharia e outros;
h) Opinião de especialistas e peritos.

As técnicas incluem:

i) entrevistas estruturadas com especialistas da área de interesse;
ii) uso de grupos multidisciplinares de especialistas;
iii) avaliações individuais utilizando-se questionários;
iv) utilização de softwares de modelagem e outros meios similares; e
v) uso de árvores de falhas e árvores de eventos.

Sempre que possível, deve-se incluir o grau de confiança das estimativas dos níveis de risco.

Tipos de análise

A análise de riscos pode ser conduzida com vários graus de refinamento, dependendo das informações e dados disponíveis. As análises podem ser: qualitativas, semi-quantitativas, quantitativas ou uma combinação das mesmas, dependendo das circunstâncias. Classificando-se as análises em ordem crescente de complexidade e custos, tem-se: as qualitativas, as semi-quantitativas e as quantitativas. Na prática, geralmente utiliza-se a análise qualitativa em primeiro lugar, a fim de se obter uma indicação geral do nível de risco. Posteriormente, pode ser necessário realizar análises quantitativas mais específicas. A seguir, são apresentados esses tipos de análise com mais detalhes.

a) Análise qualitativa

A análise qualitativa utiliza palavras ou escalas explicativas para descrever a magnitude das conseqüências potenciais e a probabilidade subjetiva dessas conseqüências ocorrerem. Essas escalas podem ser adaptadas ou ajustadas de acordo com as circunstâncias, podendo-se utilizar descrições diferentes para riscos diferentes.

A análise qualitativa é utilizada:

i) como uma atividade de prospecção inicial para a identificação dos riscos que requerem uma análise mais detalhada;
ii) quando o nível de risco não justifica o tempo e os esforços necessários para uma análise mais completa; ou
iii) quando os dados numéricos são insuficientes para uma análise quantitativa.

b) Análise semi-quantitativa

Em análises semi-quantitativas, atribui-se valores às escalas qualitativas tais como as descritas acima. Não é necessário que o número atribuído a cada descrição corresponda exatamente à magnitude real das conseqüências ou probabilidade. Os números podem ser combinados de acordo com qualquer série de fórmulas, desde que o sistema utilizado para a priorização se ajuste ao sistema escolhido para atribuir números e combiná-los. O objetivo dessa análise é produzir uma priorização mais detalhada do que aquela normalmente obtida em uma análise qualitativa, e não sugerir valores absolutos como se pretende com a análise quantitativa.

Deve-se tomar cuidado com o uso desse tipo de análise, pois os números escolhidos podem não refletir adequadamente os aspectos relativos, o que pode levar a resultados inconsistentes. A análise semi-quantitativa pode ser insuficiente para diferenciar os riscos apropriadamente, principalmente se a probabilidade e as conseqüências forem extremas.

Em alguns casos, pode ser necessário considerar a probabilidade subjetiva como sendo composta por dois elementos, geralmente chamados de freqüência de exposição e probabilidade objetiva.

Freqüência de exposição é o grau até o qual existe uma fonte de risco e a probabilidade objetiva é a chance de haver conseqüências, no caso de tal fonte de risco existir.

Deve-se tomar cuidado nas situações em que a relação entre os dois elementos não é totalmente independente, ou seja, quando houver uma forte relação entre a freqüência de exposição e a probabilidade objetiva.

Essa abordagem pode ser aplicada tanto à análise semi-quantitativa quanto à análise quantitativa.

c) Análise quantitativa

Na análise quantitativa, utilizam-se valores numéricos (em vez das escalas descritivas utilizadas nas análises qualitativas e semi-quantitativas), tanto para as conseqüências quanto para as probabilidades. A qualidade da análise depende da precisão e da abrangência dos valores numéricos utilizados.

As conseqüências podem ser estimadas mediante a modelagem dos resultados de um evento ou conjunto de eventos, ou pela extrapolação de estudos experimentais ou dados anteriores. As conseqüências podem ser expressas em termos monetários, técnicos, humanos ou qualquer um dos critérios referidos em outra seção da norma. Em alguns casos, pode ser necessário mais de um valor numérico para especificar as conseqüências para diferentes períodos, lugares, grupos ou situações.

A probabilidade é geralmente expressa pela probabilidade objetiva, pela freqüência ou pela combinação da exposição e da probabilidade objetiva.

A maneira pela qual são expressas a probabilidade e as conseqüências, e os modos como são combinadas para fornecer o nível de risco, irá variar de acordo com o tipo de risco e com o contexto no qual é utilizado o nível de risco.