組織のリスク選好度とリスク許容度は、上級管理職向けのリスク認識トレーニングで取り上げる最も重要なトピックです。リスク選好度とは、組織が目標達成のために受け入れるリスクの量と種類です。リスク許容度とは、組織が受け入れる用意のあるリスク選好度からの変動レベルです。上級管理職は、リスク選好度とリスク許容度の定義と伝達、およびそれらが組織の戦略、文化、価値観と整合していることを確認する上で重要な役割を果たします。トレーニング セッションでこれらのトピックを取り上げることで、リスク担当者は上級管理職が組織のリスク選好度とリスクの限界を理解して明確に表現し、必要に応じて監視および調整できるように支援できます。その他のオプションは、関連性があり役立つ場合もありますが、上級管理職向けのリスク認識トレーニングで取り上げる最も重要なトピックではありません。組織の戦略的リスク管理プロジェクトは、組織の目標に影響を与える可能性のあるリスクを特定、評価、および処理することを目的とした特定のイニシアチブまたは活動です。上級管理職の役割と責任とは、リーダーシップ、監督、サポートの提供など、リスク管理に関して上級管理職が負う義務と期待のことです。
上級管理職によるリスク管理リソースの割り当ては、リスク管理活動の実施と維持に必要な人的、財務的、技術的リソースを割り当て、優先順位を付けるプロセスです。これらのトピックは、戦略的なものというよりは運用的、戦術的なもので、リスク管理機能のコンテキストと範囲に応じて異なる場合があります。参考文献 = CRISC レビュー マニュアル、40 ～ 411 ページ、CRISC レビューの質問、回答、および説明マニュアル、732 ページ

BYOD (個人所有デバイスの持ち込み) イニシアチブにより、従業員はスマートフォン、タブレット、ラップトップなどの個人用デバイスを業務に使用できます。これにより、生産性、柔軟性、従業員満足度の向上などのメリットが得られます。ただし、データ損失、データ漏洩、マルウェア感染、不正アクセス、コンプライアンス違反などの重大なリスクも生じます。これらのリスクの中でも、データ損失は組織にとって最大の懸念事項です。評判の低下、法的責任、経済的損失、競争上の不利など、深刻な結果を招く可能性があるためです。データ損失は、デバイスの盗難、紛失、破損、廃棄、偶発的な削除、不正な転送、悪意のある攻撃など、さまざまな理由で発生する可能性があります。
したがって、BYOD イニシアチブの導入を検討している組織は、暗号化、認証、リモート ワイプ、バックアップ、データ分類などの適切な制御を実装して、個人用デバイスに保存またはアクセスされるデータを保護する必要があります。参考資料 = Bring Your Own Device (BYOD) ポリシー: 知っておくべきこと、BYOD のリスク: 知っておくべきこと、BYOD セキュリティ: 8 つのリスクとその軽減方法

The greatest challenge to assigning of the associated risk entries when an organization has used generic risk scenarios to populate its risk register is that the risk scenarios are not applicable. Generic risk scenarios are risk scenarios that are based on common or typical situations that may affect many organizations or industries.
They are useful for providing a general overview or reference of the potential risks, but they may not be relevant, specific, or realistic for a particular organization or context. Therefore, using generic risk scenarios may result in inaccurate, incomplete, or misleading risk entries that do not reflect the actual risk profile or appetite of the organization. The other options are not as challenging as the risk scenarios being not applicable, as they are related to the quantity, quality, or aggregation of the risk scenarios, not the suitability or validity of the risk scenarios. References = Risk and Information Systems Control Study Manual, Chapter 1: IT Risk Identification, Section 1.3: IT Risk Scenarios, page 23.