CRISC レビュー マニュアル1 によれば、アプリケーション所有者は、アプリケーションの目的の達成と関連するリスクの管理に対する権限と責任を持つ人物です。
アプリケーション所有者は、アプリケーションに必要な回復力のレベルを定義する責任があります。回復力とは、アプリケーションが中断から回復して動作を継続する能力です。また、アプリケーション所有者は、災害発生時にアプリケーションの機能とデータを復元するための対策である災害復旧コントロールの実装後に残るリスクを受け入れるか拒否するかについても責任があります。したがって、このシナリオのリスク所有者はアプリケーション所有者です。災害がアプリケーションとその目的に及ぼす潜在的な影響の影響を受けるのはアプリケーション所有者だからです。参考文献 = CRISC Review Manual1、194 ページ。

成熟したエンタープライズ アーキテクチャ (EA) を導入することの最大の利点は、効率的な運用です。EA は、組織のビジネス プロセス、情報システム、テクノロジ インフラストラクチャの全体像を提供し、これらのコンポーネントの調整、統合、最適化を可能にします。標準ベースのポリシー、監査への対応、規制への準拠も EA の利点ですが、最大の利点ではありません。参考文献 = CRISC レビュー マニュアル、第 7 版、145 ページ。

は不正解です。これは有効な回答ではありません。回答:A は不正解です。企業の規模と複雑さの判断は KRI の選択基準であり、KPI ではありません。KPI は企業の規模や複雑さとは何の関係もありません。回答:C は不正解です。企業が活動している市場の種類は KPI の選択に影響しません。

制御評価は、リスクを軽減するために実装された制御の設計と有効性を評価するプロセスです。制御評価は、データ損失の根本原因、既存の制御のギャップ、および制御環境を改善するための潜在的なソリューションを特定するのに役立ちます。制御評価は、システムでデータ損失が発生する可能性が高いことを特定した後に実施する必要があります。リスク対応と報告に貴重な情報を提供できるためです。参考文献 = リスクおよび情報システム制御研究マニュアル、第 3 章:
リスク対応と軽減、セクション 3.2: 制御評価、p. 147-149。

ベンダーの統制環境の有効性を判断するために独立した統制評価の結果をレビューする際に最も懸念される問題は、統制が繰り返し不遵守になっていることです。これは、ベンダーの統制が意図または設計どおりに機能しておらず、ベンダーが統制の欠陥に対処するための是正措置を講じていないことを示しています。これにより、サービスまたは機能をベンダーにアウトソースしている組織のリスク露出と責任が増大する可能性があります。レポートがベンダーから直接提供されること、複数の統制ギャップが受け入れられることに関連するリスク、および統制の所有者が監査人の推奨事項に同意しないことも考えられる問題ですが、これらは繰り返し不遵守になっていることほど重大ではありません。参考資料 = ISACA リスクおよび情報システム統制 (CRISC) 認定試験の質問と回答、質問 11、CRISC レビュー マニュアル、第 6 版、144 ページ。