説明/参照:
Explanation:
運用リスクには、ビジネスに起こりうるあらゆる中断が含まれます。運用リスクは、企業の日常業務に関連するリスクです。通常、戦略リスクよりも詳細です。運用リスクは、内部プロセス、人材、システムの不備や欠陥、または外部イベントによって生じる損失のリスクです。運用リスクのサブカテゴリには、次のものがあります。
組織または管理関連のリスク

情報セキュリティリスク

生産、プロセス、生産性のリスク

収益性オペレーションリスク

事業中断リスク

プロジェクト活動リスク

契約および製造物責任リスク

事件と危機

違法または悪質な行為

誤った回答:
A: 報告リスクとは、正確かつタイムリーな報告を妨げる事象を指します。
C: 法的リスクとは、企業の法的地位を悪化させる可能性のあるイベントに対処することです。法的コンプライアンスとは、組織が関連法、規制、ビジネス ルールに従うようにするためのプロセスまたは手順です。法的コンプライアンスの定義は、特に企業法務部門の文脈では、最近、職業全体における倫理規定の理解と遵守も含まれるように拡大されています。したがって、法的リスクとコンプライアンス リスクは、企業の法的または規制上の地位を悪化させる可能性があります。
D: 戦略リスクは、戦略目標の達成を妨げる可能性があります。戦略目標は組織全体を形作り、影響を与えるため、その目標を達成できないリスクは組織に大きな脅威を与える可能性があります。

リスク レジスターは、特定されたリスク、その原因、影響、可能性、対応、所有者を記録して追跡するツールです。各リスク シナリオの所有者は、リスクとその対応を管理する権限と説明責任を持つ個人またはグループです。リスク レジスターで各リスク シナリオの所有者を特定する最善の方法は、特定されたリスク要因を特定のビジネス プロセスにマッピングすることです。リスク要因とは、リスクの発生と影響に影響を与える内部および外部の変数です。ビジネス プロセスとは、販売、マーケティング、生産、配送など、企業に価値をもたらす活動です。リスク要因をビジネス プロセスにマッピングすることで、リスク担当者は、どのビジネス プロセスがリスクの影響を受けるか、またはリスクの一因となるか、またビジネス プロセスの責任者は誰かを判断できます。各リスク シナリオの所有者は、リスクに関連付けられたビジネス プロセスの責任者である個人またはグループである必要があります。その他のオプションは、異なる基準または方法を伴うため、各リスク シナリオの所有者を特定する最善の方法ではありません。
* どの部門がリスクに最も寄与しているかを判断するということは、リスク担当者が各部門のリスクへの関与度またはリスクへの露出度を評価することを意味します。リスクが複数の部門にまたがっている場合や、部門にリスクを管理する権限や責任がない場合があるため、この方法は各リスク シナリオの所有者を特定する信頼できる一貫した方法ではない可能性があります。
* リスク要因に対する責任を資産所有者に平等に割り当てるということは、リスクの影響を受ける、またはリスクの一因となる資産を所有する各個人またはグループに、リスク担当者が同レベルの責任を割り当てることを意味します。資産とは、ハードウェア、ソフトウェア、データ、人など、企業にとって価値のあるリソースです。資産所有者はリスクへの関与や露出のレベルが異なっていたり、リスクを管理する権限や責任を持っていなかったりする可能性があるため、これは各リスク シナリオの所有者を特定する公平または効果的な方法ではない可能性があります。
* 資産のリソース依存性を判断するということは、リスク担当者がリスクの影響を受ける、またはリスクの一因となる資産の関係と相互依存性を分析することを意味します。これは、リスクの潜在的な影響や発生可能性を特定するのに役立つ場合がありますが、リソース依存性はリスクを管理する権限や責任を反映していない可能性があるため、各リスク シナリオの所有者を直接特定するのには役立ちません。
参考文献 = リスクと情報システム管理研究マニュアル、第7版、第3章、セクション
3.1.1.1、95-96ページ。

組織内の事業部門が IT 部門の支援を受けずにさまざまなクラウド サービス プロバイダーと直接契約している場合、リスク管理担当者が取るべき最善の措置は、リスク評価の実施を推奨することです。リスク評価とは、財務、プライバシー、コンプライアンス、セキュリティ、パフォーマンス、品質、技術リスクなど、クラウド サービスの使用に関連するリスクを特定、分析、評価するプロセスです12。リスク評価は、クラウド サービスの現在のリスクと潜在的なリスクの露出と影響、および既存または提案されているコントロールの有効性と効率を判断するのに役立ちます。また、リスク評価は、リスクの優先順位付けや、リスクの回避、削減、共有、受け入れなどの適切なリスク対応戦略​​と計画の策定と実装にも役立ちます。リスク評価を推奨することは最善の措置です。なぜなら、リスク評価は、事業部門と IT 部門に、クラウド サービスを一貫性があり効果的かつ効率的に管理し、組織の目標、戦略、リスク許容度にクラウド サービスを合わせるための貴重な情報とガイダンスを提供できるからです。その他のオプションは、リスク管理プロセスに関連するか、後続のステップである可能性がありますが、最善の措置ではありません。
IT 部門にクラウド サービスへのアクセスを削除するよう推奨することは、ビジネス オペレーションやサービスに支障をきたす可能性があり、クラウド サービス導入の根本的な原因や推進要因に対処できない可能性があるため、過激で非現実的なアクションです。ビジネス エリア マネージャーと協力して適用されているコントロールを確認することは、クラウド サービスの使用の現状と実践を理解して評価し、コントロール環境のギャップや問題を特定して対処するのに役立つため、有用で協力的なアクションです。ただし、このアクションは、リスク評価に先行したり、リスク評価に代わるものではなく、リスク評価に基づいて、またはリスク評価によってサポートされる必要があります。リスク委員会へのエスカレーションは、報告およびコミュニケーション アクションであり、リスク管理プロセスに上級管理職やその他の利害関係者に情報を提供して関与させ、リスク対応アクションに対する彼らのサポートと承認を得るのに役立ちます。ただし、このアクションは、リスク評価の前または代わりにではなく、リスク評価の後またはリスク評価と同時に行う必要があります。参考資料 = クラウドでのリスク管理のベスト プラクティス - ISACA、クラウド リスク管理 - PwC UK

セクション: ボリューム D