令和7年度秋期 システム監査技術者 午前Ⅱ 問19

リスク対応を考える観点

リスク対応を整理するときは、問題文の状況と目的を分けて読み、何を守るためにどの判断を検討しているのかを先に明確にします。用語の印象だけで決めず、影響と実行上の条件を照らし合わせて考えましょう。

この問題で問われていること

一つの観点として、想定される影響と、対応に必要な負担や制約の釣り合いに注目してください。対象の状況に対して、判断の前提が一貫しているかを確認すると整理しやすくなります。

視点

リスクへの対応を考える際は、対象となる状況、守るべき価値、起こり得る影響、実施できる条件を順に切り分けます。そのうえで、判断がどの前提に基づくものかを確認し、表面的な言葉ではなく全体の整合性を見ます。

確認ポイント

• 何を守ることが判断の目的になっているか確認する
• 想定される影響の大きさと発生可能性を整理する
• 対応に伴う負担や制約が前提と合っているか確認する

正解

エ

解説

JIS Q 27000:2019におけるリスク対応は、リスクを修正するプロセスを指します。ほかの選択肢は、リスク評価、リスク分析、リスク特定に対応する説明です。

理由

リスク対応は、リスクを修正するプロセスです。修正には、リスクを避ける、共有する、保有するなどの対応が含まれるため、選択肢エの説明が該当する。

比較

選択肢アはリスク評価、イはリスク分析、ウはリスク特定を説明している。いずれもリスク対応そのものではなく、リスクを把握して判断する前段階のプロセスです。

選択肢ア

これは不正解だよ。リスクとその大きさが受容可能かを決めるため、リスク分析の結果をリスク基準と比較するプロセスは、リスク評価の説明である。リスクを修正するリスク対応の定義とは異なる。

選択肢イ

これは不正解だよ。リスクの特質を理解し、リスクレベルを決定するプロセスは、リスクの原因や結果などを把握するリスク分析に当たる。対応策によってリスクを修正するプロセスの説明ではない。

選択肢ウ

これは不正解だよ。リスクの発見、認識及び記述を行うプロセスは、リスクを特定するプロセスの説明である。リスクを特定した後に実施する、リスクを修正する対応とは区別される。

選択肢エ（正解）

これは正解だよ。JIS Q 27000:2019におけるリスク対応は、リスクを修正するプロセスをいう。リスクの把握や分析、受容可否の判断ではなく、リスクに対して対応を実施する段階を示している。

学習のポイント

リスク特定・分析・評価・対応の定義を、目的の違いで整理する。