応用情報技術者試験 令和4年度 秋期 午前 問41

【正解】イ

リスクアセスメントは、リスク特定、リスク分析、リスク評価の三つのプロセスで構成されます。まず、目的の達成を妨げたり促進したりする可能性のある事象を洗い出すのがリスク特定です。次に、各リスクの発生可能性や結果の大きさなどを調べ、リスクの性質やレベルを明らかにするのがリスク分析です。最後に、分析結果をリスク基準と比較し、対応が必要か、優先順位をどうするかを判断するのがリスク評価です。したがって、これらを組み合わせたイが正解です。

アのリスク受容は誤りです。リスク受容とは、特定のリスクについて追加の対応を行わず、そのリスクを引き受ける意思決定です。リスク分析の代わりになるプロセスではありません。

ウのリスク対応とリスク受容は誤りです。リスク対応は、リスクの回避、低減、共有、保有などの対策を選択して実施する段階であり、リスクアセスメントの後に行われます。

エのリスク対応は誤りです。リスク分析とリスク評価は構成要素ですが、リスク対応は含まれません。また、リスクを最初に洗い出すリスク特定が欠けています。

【ポイント】 リスクアセスメントの順序は「特定→分析→評価」です。 評価後にリスク対応を行い、その後も監視やレビューを継続します。 「評価」は分析結果を基準と比較して、対応の要否を判断する段階です。