ITパスポート 2019年 秋期 問56

リスクマネジメントにおけるリスクアセスメントの範囲【ITパスポート 解説】

正解の理由

解法ステップ

1. 用語をはっきりさせる
   • リスクアセスメント（risk assessment：リスクを識別し評価する作業）
   • リスク特定（risk identification：リスクを見つける）
   • リスク分析（risk analysis：リスクの発生確率や影響を数値化・整理する）
   • リスク評価（risk evaluation：分析結果から優先度や許容度を判断する）
   • リスク対応（risk treatment/response：対策を決めて実行する）
2. 「アセスメントに含まれるか？」で各項目を判定する
   • 特定（含む）、分析（含む）、評価（含む）、対応（含まない）
3. 選択肢を照らし合わせる
   • a,b,c をすべて含む選択肢が正解 → 選択肢イ

選択肢別の誤答解説

• ア: a, b
  • 「特定」と「分析」は含まれますが、分析結果を基に重要度を判断する「評価」が抜けています。アセスメントは評価まで含めて初めて完結します。
• イ: a, b, c
  • 正解。特定→分析→評価の流れがそろっています。
• ウ: b, c, d
  • 「分析」と「評価」は含まれますが、リスクを最初に見つける「特定」が欠けています。特定なしでは何を分析するか不明になります。さらに「対応（d）」はアセスメントの後の段階です。
• エ: c, d
  • 「評価」は含まれますが、評価の元になる「特定」と「分析」が抜けています。また「対応」はアセスメントには含まれません。

よくある誤解

1. 「リスク評価＝対策を決めること」と誤解する
   • 評価は「どれだけ重要かを判断すること」です。具体的な対策の決定・実行は「リスク対応」です。
2. 「分析は必ず数値でやるべき」と考える
   • 定量（数値）分析が望ましい場合もありますが、小規模な場面では定性（ランク付け）で十分なことがあります。重要なのは評価に使える形で整理することです。

補足コラム

• リスクの大きさの簡単な表し方
  • 一般的にリスクは「発生可能性（Likelihood）」と「影響度（Impact）」の掛け算で考えます。簡単に書くと $R=L\times I$。
  • 例：発生確率（低1〜高5）、影響度（小1〜大5）を掛け合わせてスコア化し、閾値で優先順位を決めます（リスクマトリクス）。
• アセスメントの目的は「合理的な判断材料を作ること」です。対策の要否や優先順位を決めるための土台を整える作業と覚えておくと実務で役立ちます。

FAQ