組織の情報セキュリティリスクを効果的に管理するためには、リスク許容度、つまり組織が受け入れる、あるいは負担するリスクのレベルを確立し、周知徹底することが最も重要です。リスク許容度を確立し、周知徹底することで、組織はリスク管理戦略と目標を事業目標と価値観に整合させ、リスク管理活動と意思決定が組織全体で一貫性があり、適切であることを保証できます。
参考文献: CISMレビューマニュアル2023では、リスク許容度を「企業が目標を追求する際に、経営陣が特定のリスクに対して許容できる変動レベル」と定義し、
「情報セキュリティマネージャーは、企業がリスク許容度を確立し、それを伝達するのを支援し、リスク管理プロセスが企業のリスク許容度と整合していることを保証する必要がある」（94ページ）。
CISMレビュー問題集2023年版では、この解答の根拠として以下の説明も示しています。「リスク許容度を確立し、周知徹底することが正解です。なぜなら、リスク許容度は組織の情報セキュリティリスクを効果的に管理する上で最も重要な要素であり、リスク管理プロセスの範囲、方向性、優先順位を明確にし、リスク管理活動と意思決定が組織全体で一貫性があり適切であることを保証するのに役立つからです」（29ページ）。さらに、ISACAジャーナル2019年版の記事「リスク許容度：忘れられた要素」では、「リスク許容度はリスク管理プロセスと結果に影響を与える重要な要素である」とし、「リスク許容度は組織の上級管理職と取締役会によって確立され、周知徹底されるべきであり、組織の戦略、文化、ガバナンスを反映するべきである」と述べています（1ページ）。

説明
ビジネスプロセスオーナーとは、組織の運営と目標達成に不可欠なビジネスプロセスと機能を監督・管理する責任者です。ビジネスプロセスオーナーは、ビジネスプロセスと機能の入力、出力、依存関係、リソース、およびパフォーマンス指標について、最も直接的かつ詳細な知識を有しています。そのため、ビジネスプロセスオーナーは、ビジネスプロセスと機能を支える情報資産およびシステムの可用性、完全性、または機密性に影響を与える障害やインシデントによって生じる可能性のある損失、損害、または影響を特定し定量化するプロセスであるビジネス影響分析（BIA）を実施する際に、復旧時間とコストの見積もりを算出するのに最適な人物です。復旧時間とコストの見積もりは、障害やインシデント発生後に通常の業務運営と機能を再開・復旧するために必要な時間と費用を示す指標です。復旧時間とコストの見積もりは、重要な活動とリソースの優先順位付けと保護、適切な予算とリソースの割り当て、必要な管理策と対策の実施、および事業継続計画と災害復旧計画の有効性と効率性の評価に役立ちます。
事業継続コーディネーター、上級管理職、情報セキュリティマネージャーは、いずれも BIA プロセスにおいて重要な役割を担っていますが、復旧時間とコストの見積もりを算出するのに最適な人物ではありません。事業継続コーディネーターは、BIA プロセスの調整と促進、および事業継続計画と災害復旧計画の開発、実装、保守を担当する人物です。事業継続コーディネーターは、BIA の範囲、目的、方法論を定義して伝達し、ビジネスプロセスオーナーやその他の利害関係者からデータと情報を収集して分析し、BIA の結果と推奨事項を報告して提示し、BIA と計画の改善と最適化のためのフィードバックと提案を提供することができます。上級管理職は、組織の戦略、方向性、パフォーマンスに対する最終的な権限と責任を負う人々のグループです。上級管理職は、BIAプロセスと計画の承認と支援、事業継続と災害復旧に関する戦略的ガイダンスとビジョンの提供、必要な予算とリソースの割り当て、BIAと計画の監督と監視、最終決定と承認を行うことができます。情報セキュリティマネージャーは、ビジネスプロセスと機能をサポートする情報資産とシステムのセキュリティを確保する責任を負う人物です。情報セキュリティマネージャーは、BIAと計画に影響を与える可能性のある情報セキュリティリスクと問題を特定して評価し、情報資産とシステムを保護および復旧するために必要なセキュリティ制御と対策を実装および管理し、BIAと計画のセキュリティ面に関してビジネスプロセスオーナーやその他の利害関係者と調整および協力し、セキュリティに関する専門知識とアドバイスを提供することができます。参考文献 = CISMレビューマニュアル第15版、228～2291ページ、CISM練習クイズ、問題1722