ITパスポート 2018年 春期 問61

リスク対応の分類（リスク受容）【ITパスポート 解説】

正解の理由

• リスク（risk）：危険や損害が発生する可能性。
• リスク受容：発生した損害を受け入れる方針。意図的に「対応しない」ことを選ぶ管理手法です。

解法ステップ

1. 問題文で求められている用語（今回は「リスク受容」）の意味を確認する。
2. 各選択肢を読み、意味が一致するものを探す。
3. 一致しない選択肢は他のリスク対応（移転・回避・低減）に当てはめて消去する。
4. 最終的に「対応しないで損害を想定する」記述が「受容」であると判定する。

選択肢別の誤答解説

• ア: 「セキュリティ対策を行って、問題発生の可能性を下げること」
  → これはリスク低減（リスクを減らす、mitigation）に該当します。発生確率や影響度を下げる実務的な対策です。したがって誤り。
• イ: 「特段の対応は行わずに、損害発生時の負担を想定しておくこと」
  → これはリスク受容（acceptance）です。発生したときに負担する方針を意味するため正解です。
• ウ: 「保険などによってリスクを他者などに移すこと」
  → これはリスク移転（transfer）です。保険や外部委託で責任や費用を他に移す手法なので誤り。
• エ: 「問題の発生要因を排除してリスクが発生する可能性を取り去ること」
  → これはリスク回避（avoidance）です。原因や業務をやめるなどしてリスクを根本から無くす手法なので誤り。

よくある誤解

1. 「リスク受容 = 放置」と混同する
   • 受容は単なる放置ではありません。意図的な選択で、コストや効果を検討したうえで文書化（記録）しておく点が重要です。無計画に放置するのとは違います。
2. 「保険に入ればリスク受容になる」と考える
   • 保険はリスク移転です。リスクそのものの発生可能性は変わらず、発生時の費用負担先が変わる点が異なります。
3. 「リスク回避とリスク低減の違いが分からない」
   • 回避は発生原因をなくす（業務停止など）こと、低減は発生確率や影響を小さくする（対策を施す）ことです。目的は似ていますが方法と効果の取り方が違います。

補足コラム

• 受容を選ぶ判断基準の一つに「期待損失（expected loss）」の概念があります。期待損失は
  $$\text{期待損失}=\text{発生確率}\times \text{発生時の損害額}$$
  で計算できます。対策にかかる費用が期待損失より大きければ、経済合理性から受容を選ぶ場合があります。
• 受容を選んだ場合でも「記録（リスク登録簿やリスクマネジメント計画）」と「監視（定期的に状況を見直す）」は必須です。状況が変われば別の対応（移転・低減・回避）に切り替えることがあります。
• 企業では「リスク許容度（リスクアペタイト）」という基準を決めます。これはどの程度のリスクまで受け入れられるかの範囲です。個人レベルでも将来の資金計画や業務影響を考えて判断します。

FAQ