高度情報処理技術者試験・情報処理安全確保支援士試験 令和4年度 秋期 午前I 問13

【正解】イ

JIS Q 31000:2019におけるリスクアセスメントは、「リスク特定」、「リスク分析」、「リスク評価」の三つのプロセスで構成されます。まず、目的の達成に影響するリスクを洗い出すのがリスク特定です。次に、発生可能性や結果の大きさ、既存の管理策などを調べてリスクの性質と水準を把握するのがリスク分析です。最後に、分析結果を基準と比較し、対応が必要か、どのリスクを優先するかを判断するのがリスク評価です。

アの組合せは誤りです。リスク受容は、あるリスクを引き受けるという意思決定を指します。リスクアセスメントを構成する三つのプロセスには含まれず、この組合せには必要なリスク分析がありません。

ウの組合せは誤りです。リスク対応は、リスクを回避する、発生可能性や影響を低減する、共有する、保有するなどの措置を選択して実施するプロセスです。リスク受容とともに、リスクアセスメントの三要素ではなく、リスク特定とリスク評価も欠けています。

エの組合せは誤りです。リスク分析とリスク評価は含まれますが、リスク対応はアセスメント後の別のプロセスです。この組合せには最初に行うリスク特定がありません。

【ポイント】 リスクアセスメントは「特定、分析、評価」の順で覚えます。 評価は単なる数値計算ではなく、分析結果をリスク基準と比較し、対応の要否や優先順位を決める段階です。