令和5年度秋期 システム監査技術者 午前Ⅱ 問19

分析段階と用語を整理する視点

分析段階の名称と、そこで扱う対象・目的・成果物を切り分けて見ることが大切です。用語の定義だけでなく、評価の流れのどこに位置付く説明かを意識し、似た表現を同じ意味だと決めつけないようにしましょう。

この問題で問われていること

一つの観点として、各説明が「何を対象に、何のために、どの時点で行う作業か」を確認してください。対象・目的・位置付けの対応を比べると、段階名と定義の混同に気付きやすくなります。

視点

リスク評価では、作業の段階を示す言葉と、その段階で扱う概念の説明が並ぶことがあります。各記述について、対象・目的・評価プロセス上の位置付けを分けて整理しましょう。

確認ポイント

• 説明の対象が何かを確認する
• その作業の目的を整理する
• 評価プロセス上の位置付けを比べる

正解

イ

解説

リスク評価とは、リスク分析の結果をリスク基準と比較し、リスクとその大きさが受容可能かどうかを決定するプロセスです。

理由

リスク評価は、リスク分析で得られた結果をリスク基準と比較し、リスク及びその大きさが受容可能か否かを決定する活動です。したがって、分析結果と受容可否の判断が説明に含まれます。

比較

リスクの発見・認識・記述はリスク特定、リスクの特質を理解してレベルを決定する活動はリスク分析、対策によってリスクを修正する活動はリスク対応に当たります。

選択肢ア

これは不正解だよ。対策を講じることによってリスクを修正するプロセスは、リスク評価ではなくリスク対応に該当します。評価で受容可能かを判断した後に、必要に応じて対策を選択・実施する段階の説明です。

選択肢イ（正解）

これは正解だよ。リスク評価は、リスク分析の結果をリスク基準と比較し、リスクとその大きさが受容可能か否かを決定するプロセスです。提示された説明は、この比較と判断の内容に一致しています。

選択肢ウ

これは不正解だよ。リスクの特質を理解し、リスクレベルを決定するプロセスは、リスク評価ではなくリスク分析の説明です。リスク評価は、分析によって得られた結果を基準と比較し、受容可能かどうかを決定します。

選択肢エ

これは不正解だよ。リスクの発見、認識及び記述を行うプロセスは、リスク特定に該当します。リスク評価は、既に把握・分析されたリスクについて、基準と比較して受容可否を判断するプロセスです。

学習のポイント

リスクの発見・分析・評価・対応を、目的の違いで整理して覚えましょう。