説明
情報セキュリティプログラムの有効性を測定する指標を設定する際の主要な基準は、組織のリスク許容度、すなわち組織が目標達成のために受け入れる、あるいは回避するリスクの度合いであるべきです。リスク許容度に基づく指標は、情報セキュリティプログラムが事業戦略と整合しているか、リスク管理プロセスを支援しているか、そして組織に価値をもたらしているかを評価するのに役立ちます。残存リスク、規制要件、および管理目標も指標を策定する際に考慮すべき重要な要素ですが、リスク許容度ほど根本的なものではありません。
参考文献 = CISMレビューマニュアル、第16版、69ページ

正式なリスク管理フレームワーク（A）は、リスク処理の意思決定（軽減、移転、回避、受容）において、リスク許容度とリスク耐性が一貫して適用されることを最も確実にします。CISMリスク管理では、リスク許容度は意思決定基準、エスカレーション閾値、承認権限、および一貫した評価方法に変換されなければなりません。これらはすべてフレームワークを通じて定義され、強制されます。トレーニングと意識向上（B）は組織文化を支えますが、処理の選択が再現可能で監査可能な方法でリスク許容度と一致することを保証するものではありません。定量的測定（C）は精度を向上させることができますが、結果をリスク許容度の閾値と承認要件に結び付けるガバナンスルールがなければ、強力な数値であっても誤用される可能性があります。自動化されたKRIモニタリング（D）はリスク状況の追跡に役立ちますが、主に継続的なモニタリングをサポートするものであり、処理選択に必要な構造化された意思決定をサポートするものではありません。リスクフレームワークは、リスク許容度をプロセス、役割、報告、および受容基準に制度化するメカニズムです。
参考文献：ISACA CISMレビューマニュアル（リスク管理－リスク許容度、リスク対応、ガバナンスおよび監督）、CISM試験内容概要（ドメイン1）。