正答2
解説
正解は2です。
リスクマネジメントの規格（JIS Q 31000など）では、リスクアセスメントは「リスク特定」「リスク分析」「リスク評価」の3つのプロセスで構成されます。
リスクアセスメントの結果を受けて、次の段階でリスク対応を行います。
【選択肢別解説】
1：× リスク受容は、リスクアセスメントのプロセスではありません。
リスクを受け入れるかどうかは、評価の結果を受けたリスク対応の段階で決めます。
2：○ リスクを洗い出す特定、発生可能性や影響の大きさを見積もる分析、対応の要否や優先順位を判断する評価の3つで構成されます。
3：× リスク対応とリスク受容はリスクアセスメントの後に行う活動です。
リスク特定とリスク評価が含まれていないので、組合せとして誤りです。
4：× リスク対応はリスクアセスメントの結果を受けて行う活動であり、アセスメントには含まれません。
また、最初のプロセスであるリスク特定が抜けています。
【ポイント】
「特定・分析・評価」の順で行うのがリスクアセスメント、その後に回避・低減・移転・保有などのリスク対応を行います。
リスク受容（保有）はリスク対応の選択肢の一つです。