事業継続計画 (BCP) は、企業に対する潜在的な脅威を予防し、回復するためのシステムです。この計画により、人員と資産が保護され、災害が発生した場合でも迅速に機能できるようになります1。BCP を作成する場合の最初のタスクは、重要なビジネス機能とリソースを特定することです。これは、計画の範囲、目的、および優先順位を決定するのに役立ちます。重要なビジネス機能とリソースとは、会社の業務の継続に不可欠であり、中断または失われた場合に重大な混乱や損害を引き起こすものです。重要なビジネス機能とリソースを特定することで、会社はそれらの保護と回復、および災害の影響の最小化に努力とリソースを集中させることができます。その他のオプションは、以下に説明するように、重要なビジネス機能とリソースの特定に依存するため、BCP を作成する場合の最初のタスクではありません。
* A. 代替サイトでのデータのバックアップとリカバリの可用性を決定することは、
* BCP の復旧戦略。重要なビジネス機能とリソースをサポートするデータおよび情報システムを復旧することを目的としています。ただし、どのデータおよび情報システムが重要であり、それらにどの程度の可用性と復旧レベルが必要かを最初に特定しなければ、このタスクを実行することはできません。
* C. 実装の役割と責任を定義することは、BCP の組織とガバナンスに関連するタスクであり、計画に関与する人員の義務と期待を割り当てて伝達することを目的としています。ただし、どの人員が重要で、どのような機能とリソースを担当しているかを最初に特定しなければ、このタスクを実行することはできません。
* D. 重要なビジネス アプリケーションの目標復旧時間 (RTO) を特定することは、BCP の分析と評価に関連するタスクであり、重要なビジネス機能とリソースの許容可能なダウンタイムと復旧速度を測定することを目的としています。ただし、どのビジネス アプリケーションが重要であるか、またそれらの影響と可能性はどの程度であるかを最初に特定しなければ、このタスクを実行することはできません。
参考文献 = リスクと情報システム管理研究マニュアル、第4章、セクション4.2.1、ページ
115. ビジネス継続計画 (BCP) とは何か、どのように機能するのか?、ビジネス継続計画 (BCP) を 8 つのステップで作成する (テンプレート付き) | BDC.ca、ビジネス継続計画の作成方法 - Invenio IT、ビジネス継続計画 | Ready.gov、堅牢なビジネス継続計画の作成 | Wrike

説明/参照:
Explanation:
リスク分析プロセスの結果は、関係する利害関係者に伝達されます。伝達に含まれる手順は次のとおりです。
結果は、ビジネス上の意思決定をサポートするのに役立つ用語と形式で報告する必要があります。

意思決定者の要求に応じて、報告書の却下や、

スコープ調整。
リスクとリターンの状況を明確に伝える。損失や利益の確率、範囲、

経営陣がリスクとリターンのバランスをとることを可能にする信頼レベル（可能な場合）。
対応決定を促す出来事のマイナスの影響とプラスの影響を特定する

戦略と目標設定のプロセスに反映されるべき機会を表すイベント。
意思決定者に最悪のシナリオと最も起こり得るシナリオについての理解を提供する。

デューデリジェンスのリスクと、評判、法律、規制に関する重大な考慮事項。
誤った回答:
B: リスクのマイナスの影響とプラスの影響の両方が、関係する利害関係者に伝達されます。対応の決定を促すイベントのマイナスの影響と、戦略と目標設定プロセスに反映させるべき機会となるイベントのプラスの影響を特定します。

内部監査レビュー:
* 制御設計の内部監査レビューには、制御の構造、実装、および有効性の徹底的な検査が含まれます。
* 監査人は、体系的かつ規律あるアプローチを使用して、リスク管理、制御、ガバナンスのプロセスの有効性を評価および改善します。
監査レビューの手順:
* 管理目標を理解する: 監査人は、管理が特定のリスク管理目標を満たすように設計されていることを確認します。
* 実装の評価: 制御が設計どおりに実装されているかどうかを確認します。
* 有効性のテスト: 制御が長期にわたって効果的かつ一貫して動作することを確認するためのテストを実行します。
監査レビューの重要性:
* 制御が適切に設計され、意図したとおりに機能していることを独立して客観的に保証します。
* 制御設計における欠陥や改善すべき領域を特定します。
他の検証方法との比較:
* 上級管理職の承認: サポートを示しますが、有効性を検証するものではありません。
* 制御目標のドキュメント化: 意図を理解するためには重要ですが、検証には重要ではありません。
* 制御所有者の証明: 洞察を提供しますが、監査の独立性がありません。
参考文献:
* CRISC レビュー マニュアルでは、コントロール設計の検証と効果的なリスク管理の確保における内部監査の役割について強調しています (CRISC レビュー マニュアル、第 3 章「リスク対応と軽減」、セクション 3.9「コントロールのテストと有効性の評価」)。

A risk practitioner's best course of action when a business manager wants to leverage an existing approved vendor solution from another area within the organization is to assess the risk associated with the new use case. This is because the new use case may introduce different or additional risks that were not considered or addressed in the original approval. For example, the new use case may involve different data types, volumes, or sensitivities; different business processes, functions, or objectives; different regulatory or contractual requirements; or different technical or operational dependencies. Therefore, the risk practitioner should perform a vendor risk assessment (VRA) to identify, evaluate, and mitigate the potential risks of the new use case and ensure that the vendor solution meets the organization's risk appetite and tolerance12.
Recommending allowing the new usage based on prior approval is not the best course of action, as it may overlook or underestimate the risks of the new use case and expose the organization to unacceptable levels of risk. Requesting a new third-party review is not the best course of action, as it may be unnecessary or redundant if the vendor solution has already been reviewed and approved for another use case within the organization. Requesting revalidation of the original use case is not the best course of action, as it may not address the specific risks of the new use case and may also delay or disrupt the existing use case. References = Risk and Information Systems Control Study Manual, Chapter 4: Risk and Control Monitoring and Reporting, Section 4.2: Risk Monitoring, pp. 189-191.