平成27年度春期 システム監査技術者 午前Ⅰ 問19

リスク対応を整理する基本視点

リスクへの対応を考えるときは、起こりやすさだけでなく、発生した場合の影響、許容できる範囲、実行後に見直す条件を同じ枠組みで整理し、状況に合う考え方を比較します。関係者との共有も確認します。

この問題で問われていること

選択肢を読む際は、対応の目的と対象となる不確実性を切り分け、事前に働きかける考え方か、発生後の影響を抑える考え方かという観点に絞って、前後の条件を確認してください。

視点

対応策を比べるときは、対象となる事象、対応する時点、期待する効果、残る不確実性を同じ順序で整理し、用語の印象ではなく問題文の条件との対応を確認します。

確認ポイント

• 何を不確実性として扱っているかを確認する
• 対応の目的と評価する時点を切り分ける
• 実施後に残る影響や見直し条件を確認する

正解

ウ

解説

転嫁とは、リスクをなくすことではなく、リスクが発生したときの影響や負担を契約や保険などによって第三者へ移す対応です。損害賠償保険を掛けることは、この考え方に該当する。

理由

損害賠償保険を掛けると、損害が発生した場合の金銭的な負担を保険会社に移せる。リスク自体を完全になくすのではなく、発生時の影響を負担する主体を変えるため、転嫁に該当する。

比較

個人情報のマスキングは漏えいの可能性や影響を抑える対応、取引停止はリスクを避ける対応です。一方、サブプロジェクト間の利益と損失の相殺は、外部の第三者へ負担を移すものではありません。

選択肢ア

これは不正解だよ。あるサブプロジェクトの損失を他のサブプロジェクトの利益と相殺するだけであり、リスクが発生したときの負担を契約相手や保険会社などの第三者へ移す対応ではない。したがって、転嫁の例には該当しない。

選択肢イ

これは不正解だよ。システムテストで使用する本番データの個人情報部分をマスキングすることは、個人情報の漏えいが起こる可能性や発生時の影響を小さくする対応である。負担を第三者へ移す転嫁ではない。

選択肢ウ（正解）

これは正解だよ。損害の発生に備えて損害賠償保険を掛けると、事故などで損害が発生した際の金銭的な負担を保険会社へ移せる。リスクをなくさず、発生時の影響の負担者を変えるため、転嫁に該当する。

選択肢エ

これは不正解だよ。取引先の業績悪化による信用上のリスクを避けるため、新規取引を止めてリスクへのさらされ方をなくす対応である。負担を第三者へ移すのではなく、計画や行動を変更して回避している。

学習のポイント

転嫁はリスクの発生を防ぐ対応ではなく、発生時の負担を他者へ移す対応です。