ITパスポート 2019年 春期 問01

リスクアセスメントを三つのプロセスに分けるとすると、リスクの特定、リスクの評価ともう一つはどれか。【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文の「リスクアセスメントを三つのプロセスに分ける」と読む。ここで問われているのは「評価のための手順（Assessment）の構成」であると確認する。
2. 基本知識を思い出す：リスクアセスメントの三要素は「特定（Identification）」「分析（Analysis）」「評価（Evaluation）」である。
   • 「特定」：どんなリスクがあるかを洗い出す
   • 「分析」：起こりやすさ（発生確率）と起きたときの影響（影響度）を数値化・分類する
   • 「評価」：許容基準と照らし合わせ、対処の優先度を決める
3. 選択肢を照らし合わせ、評価後に行う「対応（Treatment）」にあたるもの（移転・回避・低減）を除外する。残るのが エ（分析）で正解。

選択肢別の誤答解説

• ア: リスクの移転
  • 意味：リスクの損失を他者に移すこと（例：保険に入る、外部委託で責任を移す）。
  • なぜ誤りか：これは「リスク対応（どう処理するか）」に該当します。アセスメント（三つのプロセス）ではありません。
• イ: リスクの回避
  • 意味：リスクを生まないように活動をやめる、やり方を変えるなどして避けること。
  • なぜ誤りか：これも「対応」の選択肢の一つで、アセスメントのプロセスとは別です。
• ウ: リスクの低減
  • 意味：リスクが起きにくくしたり、発生時の影響を小さくする対策（例：セキュリティ対策の強化）。
  • なぜ誤りか：低減も「リスク対応」に含まれます。アセスメントの「分析」や「評価」とは役割が違います。
• エ: リスクの分析
  • なぜ正しいか：特定したリスクの「発生確率」と「影響度」を詳しく調べる工程で、リスクアセスメントの三つのうちの一つです。

よくある誤解

1. 「リスク評価」と「リスク分析」を混同する
   • 誤りの内容：どちらも似た意味に見えるため入れ替えて考えてしまう。
   • 正しい理解：分析は「データを集めて確率や影響を定量化・定性化する作業」、評価は「分析結果をもとに受容可能か判断する作業」です。
2. 「リスク低減」はアセスメントの一部だと思う
   • 誤りの内容：対策（低減）を考えることも評価の一部だと誤認する。
   • 正しい理解：対策の検討はアセスメントの後の「リスク対応」で、アセスメントは対応のための判断材料を作る工程です。

補足コラム

• 参考になる国際規格：ISO 31000（ISOは International Organization for Standardization：国際標準化機構）では、リスクマネジメントのプロセスとして「リスクの特定」「リスクの分析」「リスクの評価」を位置づけています。
• 実務イメージ（小さな例）
  • ショップの例：ネットショップで「顧客情報の漏えいリスク」を考えるとします。
    1. 特定：個人情報が流出する可能性がある場面を列挙する（サーバの脆弱性、社員の紛失など）。
    2. 分析：それぞれの場面について「起こる確率」と「起きたときの損害（信頼低下、賠償金など）」を評価する。
    3. 評価：どのリスクが許容できないか、どれを優先して対策するかを決める。
    4. 対応（評価の後）：保険で移転、作業をやめる（回避）、暗号化などで低減する。

FAQ