ITパスポート 2014年 春期 問39

リスクコントロールマトリクスの記述内容を問う問題【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文の目的を確認：RCM は「構築された内部統制の整備状況を評価する」ために使う表であると読む。
2. RCM の中身を思い出す：リスクと対策（実施統制）を対応させ、対策の有効性（どれだけリスクが下がるか）を評価する。
3. 選択肢と照合：a に「候補」か「実施か」、b に「経済性」か「低減度」かを当てはめて、RCM の目的に合う組合せを選ぶ。
4. 結果：実際に実施している統制と、その統制がどれだけリスクを下げるか（リスクの低減度）を記述・評価する組合せ（行 エ）を選ぶ。

選択肢別の誤答解説

• ア（a：候補となる統制項目／b：統制項目の経済性）
  誤り。RCM は「実際に行っている」統制の有効性を評価するための表です。候補（これから導入を検討するもの）を並べるのは設計段階の資料であって、RCM の主目的とはずれます。また、b の「経済性（コスト面の良し悪し）」は重要ですが、RCM 本体で主に評価するのは統制がリスクをどれだけ低減するかです。
• イ（a：候補となる統制項目／b：リスクの低減度）
  半分正しいように見えますが誤り。b の「リスクの低減度」はRCMで評価する項目です。しかし a が「候補」となっているため、実際の整備状況（構築された内部統制）を評価するという問題文の趣旨に合いません。
• ウ（a：実施している統制項目／b：統制項目の経済性）
  a は正しい（実施している統制項目を記述する）が、b が「統制項目の経済性（コスト効率）」になっており、RCM の基本的な評価軸（リスクの低減度）とは異なります。経済性は別の評価表や費用便益分析で扱うことが多いです。
• エ（a：実施している統制項目／b：リスクの低減度）
  正答。RCM の目的に合致します。実施している統制を記述し、その統制でどれだけリスクが下がるかを評価します。

よくある誤解

1. 「RCM はコスト（経済性）を主に見る表」
   → 経済性は検討事項の一つですが、RCM の主眼は“どの統制がどのリスクをどれだけ抑えるか”の可視化と評価です。コスト評価は別途の判断材料になります。
2. 「候補となる統制もRCMに書く」
   → 設計段階で候補を検討する資料は別にあります。RCM は既存統制の整備状況と有効性を評価するためのものなので、主に実施済みの統制を記載します。
3. 「リスクの低減度と残存リスクを混同する」
   → リスクの低減度は統制によるリスクの除去・軽減の程度（高・中・低など）です。残存リスクは統制実行後に残るリスクの大きさを指します。両方をRCMで扱うこともありますが意味は異なります。

補足コラム

FAQ