ガバナンス設計フェーズで高レベルのリスク分析を実施する前に、企業のリスクアペタイト（オプションC）を確立する必要があります。企業のリスクアペタイトとは、組織がその目標達成のために受け入れるリスクのレベルを示すものです。この情報は、リスク分析の範囲と目標を設定するだけでなく、どのリスクを優先して管理するかを決定する際にも役立ちます。企業のリスクアペタイトを理解することは、リスクを効果的に評価・管理し、ガバナンスフレームワークを企業のリスク管理目標と目的に整合させるために不可欠です。
ISACA COBIT 2019公式マニュアルによると、高レベルのリスク分析を実施する前に、企業のリスクアペタイトを確立することが重要です。これは、リスクプロファイルとリスク評価結果が、組織のリスクアペタイトとコンフォートゾーンの範囲内で評価されることを確認するためです。リスクアペタイトは文書化され、取締役会または統治機関によって承認されるべきであり、組織が許容できるリスクレベルを決定するために用いられるべきです。

ISACAの公式COBIT 2019学習マニュアルによると、コストリーダーシップの企業戦略アーキタイプにおける重要な要素の一つは、投資部門によるポートフォリオ管理の役割のサポートです。この要素には、投資を管理・監督する専任の投資部門の設置が含まれ、ROIの最大化とコスト削減に重点が置かれます。投資部門は、情報に基づいた意思決定を行い、企業ポートフォリオを効果的に管理するために必要なリソース、スキル、そして能力を備えている必要があります。

説明
最高情報責任者（CIO）は、企業戦略に基づき、I&T展開による価値提供に関わる重要な意思決定について、取締役会に常に情報を提供します。CIOは、企業の情報技術機能の主導、指示、管理に責任を負う上級役員です。
CIOは、I&Tをビジネス要件と整合させ、I&Tのパフォーマンスを確保し、I&Tリスクを管理し、イノベーションを促進するなど、戦略的な役割を担っています。CIOは、定期的なレポート、更新、フィードバック、推奨事項などを提供し、取締役会や委員会に参加することで、I&T展開の価値提供に関連する主要な決定について取締役会に常に情報を提供します。1 参考文献: COBIT
2019 フレームワーク：概要と方法論、[COBIT 2019 フレームワーク：役割、責任、RACI チャート]