情報セキュリティマネジメント 2017年 秋期 午前（科目A） 問08

リスク所有者【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認：アカウンタビリティ（説明責任）と権限を持つ人または主体。
2. 各選択肢の意味を簡単に整理する。
   • 監査員：監査を行う人（第三者・評価者の立場）。
   • トップマネジメント：経営陣（方針決定や資源配分を行う）。
   • 利害関係者：影響を受ける人や組織（stakeholder）。
   • リスク所有者：リスク管理の責任と権限を持つ主体。
3. 定義と照らし合わせて、該当する語を選ぶ（リスク所有者）。

選択肢別の誤答解説

• ア：監査員
  • 監査員（auditor：監査を行う人）は、ルールや手続きが守られているかを評価する役割です。監査する立場であり、リスクを直接運用管理するアカウンタビリティや権限を持つとは限りません。
• イ：トップマネジメント
  • トップマネジメント（経営陣）は組織全体の方針や資源を決めます。重要なリスクの受容判断や方針決定を行うことはありますが、個々のリスクごとに「運用管理の責任と権限」を持つのは必ずしもトップマネジメントではありません。
• ウ：利害関係者
  • 利害関係者（stakeholder：利害を持つ人や組織）はリスクの影響を受けたり関心を持ったりしますが、リスクの管理責任や権限を持つ主体を意味する語ではありません。
• エ：リスク所有者
  • 正解。リスクの管理に関する説明責任と決定・実行の権限を持つ主体を表します。

よくある誤解

1. 「リスク所有者＝トップマネジメント」と混同する
   • 実務では重大リスクについてはトップマネジメントが最終決定することがありますが、日常的な運用管理責任は現場のリスク所有者に委ねられることが多いです。
2. 「リスク所有者＝リスクマネージャー（担当者）」と混同する
   • リスクマネージャーは運用を実行・支援する役割で、リスク所有者は最終的な説明責任と判断権を持つ点が異なります。
3. 「利害関係者が管理権限を持つ」と誤解する
   • 利害関係者は影響や関心を持つだけで、管理のための権限を持つとは限りません。

補足コラム

• 実務での運用イメージ：リスクはリスク登録簿（リスクレジスター）に記録します。そこで各リスクに対して「リスク所有者」を明記します。たとえば「人事情報の漏えいリスク」は人事部長がリスク所有者、「社内システムのダウン」はシステム担当部長がリスク所有者、という具合です。リスク所有者は対策の実行、進捗報告、残存リスク（residual risk）の評価を行います。
• 覚え方のコツ：英語の"risk owner"を直訳するとそのまま「リスクを“所有”する人」。所有＝責任と権限を持つ、というイメージで覚えると紛らわしさが減ります。
• 高レベルの判断：組織全体に影響する戦略的リスクは、最終的な受容判断をトップマネジメントが行うことがあります。そのため権限の範囲はリスクの種類や重大度によって変わります。

FAQ