新しく作成された災害復旧計画 (DRP) のレビュー中に見つかった最も懸念される問題は、一部の重要なビジネス アプリケーションが計画に含まれていないことです。つまり、DRP は不完全であり、ビジネス継続性をサポートする重要な IT システムとサービスがすべて網羅されているわけではありません。災害が発生した場合、大きな損失と損害が発生する可能性があります。その他の問題はそれほど重大ではありません。アウトソーシングされたアクティビティ、フレームワーク、および CISO に対して適切な契約、標準、承認が確実に実施されるようにすることで対処できます。参考文献 = リスクおよび情報システム制御研究マニュアル、第 3 章: IT リスク対応、セクション 3.3: IT リスク対応の実装、145 ページ。

Risk appetite is the amount and type of risk that an organization is willing to accept in pursuit of its objectives. Risk appetite can be expressed in qualitative or quantitative terms, and can vary depending on the context and the stakeholder. Risk appetite should be defined and communicated by the senior management or the board of directors, and should guide the risk management decisions and actions throughout the organization. When a project team has accepted a risk outside the established risk appetite, the risk practitioner's best course of action is to escalate the risk decision to the project sponsor for review, meaning that the risk practitioner should report the risk acceptance and its rationale to the project sponsor, who is the person or group that provides the resources and support for the project, and is accountable for its success. The project sponsor should review the risk decision and determine whether it is aligned with the organization's objectives and strategy, and whether it requires any further approval or action. References = Risk and Information Systems Control Study Manual, Chapter 1, Section 1.3.1, p. 25-26

A と C は不正解です。これらは間違った答えです。