令和4年度秋期 システム監査技術者 午前Ⅰ 問13

工程の役割を対応づける視点

各項目を単独で覚えるのではなく、リスクを扱う流れの中でどの段階に関係する内容かを照らし合わせ、工程同士のつながりに無理がないかを確認しましょう。順番だけでなく前後の依存関係にも注目します。

この問題で問われていること

選択肢を読むときは、示された各要素が同じ目的の並びとして自然につながるかという一点に絞り、個別の用語の印象ではなく、工程間の関係性と全体の整合性を比較してください。

視点

用語を一つずつ暗記するよりも、各要素が全体の流れのどこに位置づくかを整理し、前後関係や役割の対応を落ち着いて見比べます。

確認ポイント

• 各要素の役割を全体の流れと照らし合わせる
• 前後の工程が自然につながるか確認する
• 用語の印象ではなく関係性に注目する

正解

イ

解説

JIS Q 31000:2019のリスクアセスメントは、リスク特定、リスク分析、リスク評価から構成される。リスク対応やリスク受容は、その結果を踏まえて行う後続の活動です。

理由

リスクアセスメントでは、まず対象に存在するリスクを特定し、発生可能性や影響などを分析する。その分析結果を基準と比較して、対応の要否や優先度を評価する。

比較

リスク対応は評価後にリスクを変更するための活動であり、リスク受容も対応の選択肢の一つです。したがって、これらをアセスメントの三要素に含める組合せは適切でない。

選択肢ア

これは不正解だよ。リスク特定とリスク評価はアセスメントに含まれるが、リスク受容は評価結果を踏まえて選択する後続の活動である。アセスメントを構成する三つのプロセスとして、受容を並べる点がJIS Q 31000:2019の整理と一致しない。

選択肢イ（正解）

これは正解だよ。リスクアセスメントは、対象となるリスクを特定し、発生可能性や影響などを分析し、その結果を基準と比較して評価するプロセスで構成される。この三つは、リスク対応などを実施する前段階の活動として適切に並べられている。

選択肢ウ

これは不正解だよ。リスク分析はアセスメントの構成要素だが、リスク対応とリスク受容は分析や評価の結果を踏まえて行う活動である。アセスメントに含まれるプロセスだけの組合せになっておらず、後続の判断や措置を混在させている。

選択肢エ

これは不正解だよ。リスク分析とリスク評価はアセスメントに含まれる一方、リスク対応は評価後にリスクを変更・管理するための活動である。三つ目をリスク対応としているため、リスクアセスメントの構成プロセスの組合せとしては不適切である。

学習のポイント

リスクアセスメントとリスク対応を、実施する段階の違いで整理する。