ITパスポート 2025年 問91

リスク対応の四分類（移転・回避・低減・保有）に関する設問【ITパスポート 解説】

正解の理由

• リスク移転（risk transfer）：発生した損失を他者に負わせること。身近な例は保険に入ること。
• リスク回避（risk avoidance）：リスクのある行為をやめることでリスクそのものをなくすこと。例：危険だから外出しない。
• リスク低減（risk reduction / mitigation）：発生確率や被害を小さくするための対策を行うこと。例：鍵を付ける、管理を厳しくする。
• リスク保有（risk retention / acceptance）：リスクを受け入れ、対応せずにそのまま保持すること。発生時の備え（予算や対応手順）は用意する。

解法ステップ

1. 問題文で示された行動（社外への持出しを厳重に管理）を見つける。
2. 4つの対応の定義を確認する（移転・回避・低減・保有）。
3. その行動が「発生をなくす」「誰かに損失を負わせる」「被害・確率を下げる」「そのまま受け入れる」のどれに該当するかを判定する。
4. 該当する項目を選ぶ。今回の行動は「被害や確率を下げる」のでリスク低減＝エ。

• 回避：やらない（活動を停止）
• 移転：他人に負担（保険など）
• 低減：小さくする（対策を強化）
• 保有：そのまま（受け入れる）

選択肢別の誤答解説

• ア: 「実施手順であり、リスク回避、リスク移転、リスク低減、リスク保有の順番で進める」とありますが、リスク対応に必ず決まった順序はありません。状況やコストに応じて順序や組合せを決めます。したがって誤りです。
• イ: こちらも「決まった実施手順」と主張していますが、同様に誤りです。順序はケースバイケースです。
• ウ: 「保険を掛けておくことはリスク回避に該当する」とありますが、保険は損失を他者（保険会社）に負ってもらう仕組みなのでリスク移転（移すこと）に該当します。リスク回避は行為自体をやめてリスクを発生させないことです（例：社外持出しをやめる）。よって誤りです。
• エ: ノートPCの管理を厳しくして紛失・盗難の確率や影響を小さくする、すなわちリスクを低減する行為なので正しいです。

よくある誤解

1. 保険＝リスク回避と思う
   • 保険は損失を他人に「移す」行為であり、回避（行為をやめる）ではありません。
2. リスク対応は常に順序が決まっていると思う
   • 実務ではコストや業務影響を考え、回避・移転・低減・保有を組み合わせて使います。固定の手順はありません。
3. 低減と回避の混同
   • 回避は「やらない」ことでリスク自体を無くす。低減は「やるが安全策を取る」ことでリスクを小さくする、という違いを押さえてください。

補足コラム

• コスト対効果（対策にかかる費用と減らせる損害の比較）を見て、移転（保険）か低減（対策強化）かを選ぶ。
• 業務に支障を出さないために、回避（業務停止）を選べないケースも多く、その場合は低減や移転が中心になります。
• リスク保有（受容）を選ぶ場合は、発生時の対応手順や予算（代替手段や復旧費用）をあらかじめ決めておくことが重要です（これを「残留リスクの管理」と言います）。

• 社外持出しの禁止 → リスク回避
• 持出し申請・暗号化・盗難対策の強化 → リスク低減
• ノートPCの盗難保険加入 → リスク移転
• コストが高く対策をしない選択で損害に備える予算を確保 → リスク保有

FAQ