Section: Volume D

効果的な IT リスク シナリオの開発を促進する最善の方法は、部門横断的なチームを活用することです。
部門横断型チームとは、共通の目標を達成するために協力する、さまざまなスキル、専門知識、視点を持つ人々のグループです。部門横断型チームは、さまざまなドメインや機能からの多様な知識、経験、洞察を持ち寄ることで、現実的で包括的かつ適切な IT リスク シナリオの作成に役立ちます。また、部門横断型チームは、組織全体にわたる IT リスクの相互依存性、相互作用、影響を特定して対処するのにも役立ちます。その他のオプションは、IT リスクのコンテキストと性質によっては有用または必要になる場合もありますが、効果的な IT リスク シナリオの開発を促進する最善の方法ではありません。IT 分野の専門家の参加は重要ですが、それだけでは十分ではありません。IT リスクは IT 以外の要素や利害関係者に影響を与えたり、影響を受けたりする可能性があるためです。緊急時対応計画の統合は、リスク シナリオ開発プロセスに続くリスク対応プロセスの一部ですが、リスク シナリオの作成とは異なります。上級管理職による検証は、リスク シナリオの正確性と完全性を保証する品質保証ステップですが、リスク シナリオの開発を促進することとは異なります。参考資料 = リスク シナリオを使用してリスク管理を改善する 6 つのステップ、IT リスク シナリオ - Morland-Austin、IT リスク リソース | ISACA

は不正解です。各リスクのリスクオーナーは、その結果に最も影響力を持つ人物でなければなりません。したがって、リスクオーナーの選定には通常、リスクの原因を考慮し、必要なことを理解して実施するのに最適な人物を見つけることが含まれます。 回答: C は不正解です。最高財務責任者は、財務計画、記録保存、投資家関係、財務リスクについて責任を負う、企業で最も上級の役員です。 回答: D は不正解です。最高情報責任者は、IT アドボカシー、IT とビジネス戦略の整合、IT サービスと情報の提供および関連する人的資源の配置の計画、リソース割り当て、管理について責任を負う、企業で最も上級の役員です。

* The most appropriate time for changes to be promoted to production is after they are approved by the business owner, who is the individual or group that is accountable and responsible for the business objectives and requirements that are supported or affected by the changes. The approval by the business owner ensures that the changes are aligned and compatible with the business objectives and requirements, and that they provide the expected or desired outcomes or benefits for the business.
* The other options are not the most appropriate times for changes to be promoted to production, because they do not ensure that the changes are aligned and compatible with the business objectives and requirements, and that they provide the expected or desired outcomes or benefits for the business.
* Communicating the changes to business management means informing or reporting the changes to the senior management or executives that oversee or direct the business activities or functions.
Communicating the changes to business management is important for ensuring the awareness and support of the business management, but it is not the most appropriate time for changes to be promoted to production, because it does not indicate whether the changes are approved or authorized by the business owner, who is accountable and responsible for the business objectives and requirements.
* Testing the changes by business owners means verifying and validating the functionality and usability of the changes, using the input and feedback from the business owners. Testing the changes by business owners is important for ensuring the quality and performance of the changes, but it is not the most appropriate time for changes to be promoted to production, because it does not indicate whether the changes are approved or authorized by the business owner, who is accountable and responsible for the business objectives and requirements.
* Initiating the changes by business users means requesting or proposing the changes by the end users or customers that interact with the information systems and resources that are affected by the changes. Initiating the changes by business users is important for ensuring the relevance and appropriateness of the changes, but it is not the most appropriate time for changes to be promoted to production, because it does not indicate whether the changes are approved or authorized by the business owner, who is accountable and responsible for the business objectives and requirements.
References
* ISACA, CRISC Review Manual, 7th Edition, 2022, pp. 40-41, 47-48, 54-55, 58-59, 62-63
* ISACA, CRISC Review Questions, Answers & Explanations Database, 2022, QID 194
* CRISC Practice Quiz and Exam Prep