予測残留リスクを示すことは、既存のリスク対応計画が年末のリスク状況にどのような影響を与えるかを説明する要求に応える最も有効な方法です。残留リスクとは、リスク対応を実施した後に残るリスクのレベルです1。予測残留リスクとは、リスク対応の想定と期待に基づいて、将来の時点で残ると推定されるリスクのレベルです2。予測残留リスクを示すことで、リスク担当者は次のことが可能になります。
* リスク対応計画の有効性と効率性を示し、リスクレベルを固有リスク（リスク対応前のリスク）から残留リスク3 までどのように低減するかを示します。
* 予測される残留リスクを、組織が目標を達成するために受け入れる、または追求する意思のあるリスクの量と種類であるリスク選好度と許容度と比較します4。これにより、予測される残留リスクが許容可能かどうか、およびリスク対応計画がリスクレベルに一致し、比例しているかどうかを判断するのに役立ちます5。
* 予測された残留リスクの達成に影響を与える可能性のあるギャップ、問題、課題を特定して対処し、適切な改善措置または緊急時対応計画を推奨して実施します6。
その他のオプションは、次の理由により、リクエストに応答するための最も役立つ方法ではありません。
* 管理策を講じずにリスクを評価することは、組織の現在または将来のリスク状況を反映しないため、あまり役立つ方法ではありません。管理策とは、リスクの防止、検出、修正、緩和など、リスクを修正するために実施される対策またはアクションです7。管理策を講じずにリスクを評価すると、固有のリスクを測定するのに役立ちますが、リスク処理計画の影響や結果は示されません。
* ピア ベンチマークの結果を提供することは、組織の特定のまたは独自のリスク プロファイルを反映していないため、最も役立つ方法ではありません。ピア ベンチマークとは、共通の基準または指標に基づいて、組織のリスク レベルとパフォーマンスを同業他社または競合他社と比較するプロセスです8。ピア ベンチマークの結果を提供することは、リスク姿勢の参照または基準を提供するのに役立ちますが、リスク対応計画の効果や結果を示すものではありません。
* 現在の管理策でリスクを評価することは、組織の将来または予測されるリスク状況を反映していないため、あまり役立つ方法ではありません。現在の管理策でリスクを評価すると、現在の残留リスクを測定するのに役立ちますが、年末の予想または推定残留リスクは示されません。
参考文献
* 残留リスク - CIO Wiki
* 予測残存リスク - CIO Wiki
* リスク対応計画 - CIO Wiki
* リスク選好と許容度 - CIO Wiki
* リスク選好度: リスク選好度とは何か、なぜそれが重要なのか - Gartner
* リスク監視とレビュー - 全米アカデミーズプレス
* コントロール - CIO Wiki
* ベンチマーク - CIO Wiki
* [リスク処理 - CIO Wiki]

組織の主要な IT アプリケーションをクラウド環境でホストすることに関連するリスク シナリオを作成するための最も役立つ入力は、主要な関係者とリスク ワークショップを実施することです。リスク ワークショップは、特定のトピックまたはプロジェクトに関連する潜在的なリスクと機会についてブレインストーミング、ディスカッション、分析を行うファシリテートされたセッションです。リスク ワークショップは、最も関連性が高く重要なリスク シナリオを特定して優先順位を付けるだけでなく、考えられる原因、影響、および対応を調査するのに役立ちます。また、リスク ワークショップは、ビジネス オーナー、IT マネージャー、クラウド プロバイダー、リスク エキスパートなどの主要な関係者を関与させて調整し、彼らの知識、経験、および視点を活用するのにも役立ちます。その他のオプションは、リスク シナリオの作成に何らかの入力や情報を提供できる可能性がありますが、リスク ワークショップの実施ほど役に立ちません。独立監査の結果の確認、クラウド プロバイダーのデータ センターへの現場訪問、デュー デリジェンス レビューの実行はすべて、クラウド環境の現在の状態とパフォーマンスを評価するのに役立つアクティビティですが、必ずしもリスク シナリオを生成または評価するわけではありません。参考文献 = リスクと情報システム管理研究マニュアル、第4章、セクション4.2.1、ページ
4-13.

セクション: ボリューム D
Explanation:
主要業績評価指標は、企業や業界が戦略目標や運用目標の達成という観点からパフォーマンスを測定または比較するために使用する、定量化可能な一連の尺度です。主要業績評価指標 (KPI) は、監視するコンセプトや機能の運用上の有効性に関する洞察を提供します。
誤った回答:
A: 主要リスク指標 (KRI) は、監視対象の概念または機能内で存在または実現される可能性のある潜在的なリスクに関する洞察のみを提供します。
B: 能力成熟度モデル (CMM) は、概念または能力の成熟度を評価するものであり、運用の有効性に関する洞察は提供しません。
D: メトリックしきい値は、KPI または KRI が特定の値または値のセットを報告したときに実行される決定ポイントまたはアクション ポイントです。

変更管理プロセスとは、組織の IT システムとサービスの変更が、管理され、調整された方法で実装されることを確実にすることを目的とした一連の手順とアクティビティです。変更管理プロセスの有効性は、変更に関連するリスクとコストをどの程度削減するか、およびビジネス目標と顧客の期待をどの程度サポートするかによって測定できます。変更管理プロセスの有効性を示す最適な指標の 1 つは、許可されていない変更の割合です。許可されていない変更とは、承認の取得、変更の文書化、変更のテスト、変更の伝達など、確立された変更管理プロセスに従わずに行われた変更です。許可されていない変更は、エラー、欠陥、セキュリティ侵害、および IT システムとサービスの中断を引き起こす可能性があり、ビジネス パフォーマンスと顧客満足度に悪影響を及ぼす可能性があります。したがって、許可されていない変更の割合が低いということは、変更管理プロセスが、変更が適切に計画、承認、実行、および監視されることを確実にするのに効果的であることを示しています。その他のオプションは、変更の品質と制御を直接反映しないため、変更管理プロセスの有効性を示す最適な指標ではありません。変更の頻度の増加は、組織がビジネス ニーズや顧客の要求の変化に機敏に対応していることを示している可能性がありますが、変更が適切に管理され、有益であることを意味するわけではありません。緊急の変更の数の増加は、組織が緊急かつ重大な状況に対処できることを示している可能性がありますが、組織が受動的で、変更の適切な計画と分析が欠けていることを示している可能性もあります。変更を完了するまでの平均時間は、変更管理プロセスの効率と速度を示している可能性がありますが、変更の有効性と価値を測るものではありません。参考文献 = CRISC レビュー マニュアル、156 ～ 1571 ページ、CRISC レビュー 質問、回答、および説明マニュアル、712 ページ

正しくありません。リスク低レベル監視リストは、影響度が低く、
プロジェクトにおける可能性は低いです。