セクション: ボリューム D

リスク エクスポージャーは、リスク発生可能性とリスク影響評価の積です。リスク イベントによって発生する可能性のある損失または損害を表します。対策を実施した後、対策の有効性に応じて、リスク発生可能性や影響評価が変わる場合があります。したがって、リスク エクスポージャーも、更新されたリスク評価を反映するように変更する必要があります。リスク所有者、リスク影響評価、リスク発生可能性評価などのレジスターの他のコンポーネントは、対策の性質と範囲に応じて変わる場合と変わらない場合があります。参考文献 = リスクおよび情報システム管理研究マニュアル、第 2 章:
IT リスク評価、セクション 2.4: IT リスク対応、87 ページ。

感度と信頼性は、KRI がリスク レベルの変化をどの程度反映しているか、またリスクを測定する際に KRI がどの程度一貫していて正確であるかを示すため、KRI を選択する上で最も重要な基準となります。
感度とは、KRI がリスク エクスポージャーの変化に迅速かつ比例的に反応し、潜在的なリスク イベントの早期警告信号を提供する必要があることを意味します。信頼性とは、KRI が有効かつ検証可能なデータ ソースに基づいており、時間の経過やさまざまなユニットや機能にわたって一貫性があり比較可能な結果を​​生成する必要があることを意味します。履歴データの可用性、実装とレポートの取り組み、傾向を表示する機能も有用な基準ですが、感度と信頼性ほど重要ではありません。
参考文献:
*ISACA、リスク IT フレームワーク、第 2 版、2019 年、p. 751
*ISACA、リスクおよび情報システム管理レビューマニュアル、第7版、2020年、p. 2122

* 統制環境とは、組織のガバナンス、リスク管理、統制機能に影響を与え、それらを形作る内部および外部の要因と条件のセットです。これには、組織の文化、価値観、倫理、構造、役割、責任、ポリシー、標準などが含まれます。
* 制御されていない変更とは、計画、承認、文書化、または監視されていない、組織に意図しない、または悪影響を及ぼす可能性のある、制御環境に対する変更または修正です。制御されていない変更は、技術革新、市場動向、規制の変更、顧客の好み、競合他社の行動、環境問題など、さまざまな要因またはイベントによって引き起こされる可能性があります。
* 制御環境に制御されていない変更が加えられた場合の最大の懸念は、残留リスクのレベルが上昇することです。残留リスクとは、リスク対応または制御の実装と実行後に残るリスクの量と種類です。残留リスクのレベルが上昇するということは、リスク対応または制御がリスクを軽減または防止するのに効果的または十分ではなく、リスクが現実化した場合に組織が受け入れがたい、または耐えられない結果に直面する可能性があることを意味します。
* 残留リスク レベルの上昇は、統制環境に制御不能な変更が加えられた場合に最も懸念される事項です。これは、組織のリスク プロファイルとパフォーマンスが悪化し、組織が目標を達成したり価値を保護できない可能性があることを示しているためです。また、組織のリスク選好度とリスク許容度が侵害され、組織がリスクとリターンのバランスを回復するために是正措置または補償措置を講じる必要がある可能性があることも示しています。
* その他のオプションは、制御環境に制御されていない変更が加えられた場合には、それほど大きな懸念事項ではありません。これは、リスクの実際または潜在的な影響や結果を示すものではなく、組織にとって関連性や実行可能性がない可能性があるためです。
* コントロールの階層化の有効性の低下とは、組織が同一または関連するリスクに対処し、1 つ以上のコントロールが故障または侵害された場合に冗長性またはバックアップを提供するために、複数のコントロールまたは重複するコントロールを使用する範囲または程度が低下することを意味します。コントロールの階層化の有効性の低下は、組織のコントロール設計または実装の弱点またはギャップを示している可能性がありますが、リスクの実際または潜在的な影響や結果を示しているわけではなく、コントロールの階層化が組織のポリシーまたは標準によって要求または推奨されていない限り、組織にとって関連性がなく、対処可能ではない可能性があります。
* 固有リスクの増加とは、リスク対応やリスク管理がない場合に存在し、リスク源、イベント、原因、または影響の性質または特性に固有のリスクの量と種類が増加することを意味します。固有リスクの増加は、組織のリスク露出またはリスク レベルの変化または変動を示す可能性がありますが、リスクの実際または潜在的な影響や結果を示すものではなく、固有リスクが組織のリスク選好度またはリスク許容度を超えない限り、組織にとって関連性がなく、対処可能でもない可能性があります。
* 管理の脆弱性の増加とは、組織の目標や業務に影響を及ぼす可能性のある脅威や危害源によって悪用または侵害される可能性のある、組織のリスク対応または管理における弱点や欠陥の数や重大度が増加することを意味します。管理の脆弱性の増加は、組織の管理設計または実装における弱点やギャップを示している可能性がありますが、リスクの実際または潜在的な影響や結果を示しているわけではなく、管理の脆弱性が脅威や危害源によって悪用または侵害されない限り、組織にとって関連性や対処可能性がない可能性があります。
参考文献
* ISACA、CRISCレビューマニュアル、第7版、2022年、19-20、23-24、27-28、31-32、40-41、47-48、54-
55、58-59、62-63
* ISACA、CRISC レビュー問題、解答、解説データベース、2022、QID 174
* CRISC 練習クイズと試験準備

は誤りです。影響は、脅威が悪用した結果または結果を表します。
脆弱性。語幹は影響を説明していません。