リスクアセスメント基準の作り方は？

規格要求上、作り方の指定はありません。基準の作り方に悩むのは、指定が無いからです。

最低限必要な要素は、前述の通り「リスクが顕在した場合の影響をはかる基準」と「リスクが顕在化する可能性をはかる基準」です。

影響をはかる基準の作り方の例を挙げると、リスクが顕在化した際（リスクが現実になったとき）にどのような影響があるかを想定し、それをランク付けして基準を設けるのが一般的な手法です。

もう少しストレートに言えば、「各組織にとって困った状況とはどのような状況なのか」を想定し、ランク付けしていくということです。例えば、「売上の大半を依存している顧客からの発注が無くなる」といった状況は、大半の組織で明らかに「困った状況」ではないでしょうか。次に、その状況が実際に「どの程度」困った状況なのかを考えてください。それがランク付けです。ランク付けができましたら、その目安にしたがって、リスクを評価していくことになります。

ただし、基準の具体性については明確に問われていないので、「大きな損害が生じる」「損害は中程度」「損害は小さい」程度の基準でも不可というわけではありません。具体性に欠けるほど再現性が低くなり（評価者によって結果にばらつきが出やすくなります）、評価に迷うことになりがちなので、その点はご注意ください。

もう一方のリスクが顕在化する可能性をはかる基準は難しいです。これも「起こりやすい」「起こりにくい」程度でもよいのですが、先ほどと同じ理由で具体性に欠けると再現性が乏しくなります。どのような例が「起こりやすい」と言えるのかを示すような工夫が必要です。