風險辨識的步驟是找出需要管理的風險。必須使用一個有系統的步驟來進行廣泛的搜尋，因為在這個階段沒有被發現的風險將被排除在分析的步驟之外。搜尋應包括所有的風險，不論該風險是否已在機關的控制之下。擬定風險情境時，應採用系統化程序，並由事件背景說明開始，以求其完整性，使用結構化的方式進行辨識程序，以確保風險辨識採用的方法有效、可行，且亦有助於完成辨識程序，避免遺漏任何重大問題。

這個步驟的目的是列出所有會影響分析對象中所訂定的結構的事件，通常會詳細指出事件的內容。列出可能的影響事件後，機關必須考慮其可能的發生原因和發生順序，即所謂的風險情境分析，情境分析是風險辨識與評估中最關鍵的一部分。

以下是在此程序中與每項要素有關的問題：

l 每項政策、施政計畫、業務方案及機關活動或服務的風險來源為何？

l 可能導致的情況：

n 增加或降低達成目標的效率；

n 以高或低效率達成目標（財務、人員、時間）；

n 利害相關者是否會採取影響目標達成的作為？

n 是否會產生附加效益？

l 可能對目標造成什麼影響？

l 可能會涉入或受到衝擊的利害相關者？

l 風險可能發生的時機、地點、原因及方式 ？

l 目前的風險控制方法為何？

l 分析現有控制方法無法發揮控制功能的原因並提出改善策略？

審視每項要素之後，應審慎考量以下的一般問題：

l 資訊是否可靠？

l 是否有信心已列出完整的風險清單？

l 是否需要為特定風險進行其他研究？

l 涵蓋的目標與範圍是否適當？

l 合適的人員是否已參與風險辨識程序？

風險辨識紀錄文件應包括：

l 方法；

l 參與人員與涵蓋範圍；

l 風險登錄表

3