Section: Volume D

リスクが軽減されたことを示す自動データは、リスク レベルにおけるコントロールの実際の影響と結果を示すため、ビジネス プロセス コントロールが有効であるという最も説得力のある証拠となります。コントロールが設計どおりに機能していることを示すデモンストレーション、関連するリスク評価のウォークスルーの成功、コントロールが効果的に機能しているという経営陣の証明は、客観的な事実や結果ではなく、主観的な判断、仮定、または期待に基づいているため、最も説得力のある証拠ではありません。参考資料 = CRISC: リスクおよび情報システム コントロール認定のサンプル問題

The best course of action for a newly hired risk practitioner who finds that the risk register has not been updated in the past year is to identify changes in risk factors and initiate risk reviews. This would help the risk practitioner to update the risk register with the current and relevant information on the risks facing the enterprise, such as their sources, drivers, indicators, likelihood, impact, and responses. It would also help the risk practitioner to evaluate the effectiveness of the existing controls, and to identify any new or emerging risks that need to be addressed. Identifying changes in risk factors and initiating risk reviews would enable the risk practitioner to maintain the accuracy and completeness of the risk register, and to provide valuable input for the risk management process. References = Risk and Information Systems Control Study Manual, 7th Edition, Chapter 5, Section 5.1.1, page 2271