リスク選好は、主に利害関係者の要件によって左右される必要があります。利害関係者の要件とは、取締役会、経営陣、従業員、顧客、規制当局、投資家など、組織の目的や運営に関心や影響力を持つ内部および外部の関係者のニーズと期待のことです。
Risk appetite is the amount and type of risk that the organization is willing to accept or pursue in order to achieve its objectives. Risk appetite should be driven by stakeholder requirements, because they reflect the organization's mission, vision, values, and strategy, and they provide the basis and direction for the organization's risk management activities. Risk appetite should also be aligned and communicated with stakeholder requirements, because they affect the organization's performance and reputation, and they require the organization's accountability and transparency. The other options are not the primary drivers of risk appetite, although they may be considered or influenced by risk appetite. Enterprise security architecture roadmap, legal and regulatory requirements, and business impact analysis (BIA) are all factors that could affect the organization's risk profile, risk assessment, or risk response, but they do not necessarily determine or reflect the organization's risk appetite. References = Risk and Information Systems Control Study Manual, Chapter 2, Section 2.3.1, page 2-23.

潜在的な IT サービス プロバイダーの制御環境が有効かどうかを判断する際に確認すべき最も重要なことは、独立した監査レポートです。これは、サービス プロバイダーの制御と標準および規制への準拠に関する客観的で信頼性の高い評価を提供するためです。他のオプションは、次の理由により、独立した監査レポートほど重要ではありません。
* オプション B: 制御の自己評価は主観的かつ自発的なプロセスであり、サービス プロバイダーの制御の実際の有効性を反映しない可能性があります。
* オプション C: このオプションは不完全であり、質問とは無関係です。
* オプション D: サービス レベル契約 (SLA) は、サービス プロバイダーの期待されるパフォーマンスと可用性を指定する契約上の合意ですが、必ずしもサービス プロバイダーのコントロールの有効性を示すものではありません。参考文献 = リスクおよび情報システム コントロール スタディ マニュアル、第 7 版、ISACA、2020 年、195 ページ。

セクション: ボリューム D
説明/参照: