セクション: ボリューム D

既存のコントロールが時間の経過とともに劣化した場合、コントロール所有者への最善の推奨事項は、リスク所有者とリスク軽減オプションについて話し合うことです。これは、リスク所有者が、リスク対応戦略​​の選択と実装を含む、リスクに関する決定を下し、行動を起こす権限と説明責任を持つ個人または組織であるためです。コントロール所有者は、コントロールの設計、運用、および保守の責任を負う個人または組織ですが、全体的なリスク管理の責任を負うわけではありません。
リスク所有者とリスク軽減オプションについて話し合うことで、コントロール所有者はコントロールの現在の状態とパフォーマンスを伝え、リスクとコントロールの劣化に対処するための最も適切で効果的なソリューションを見つけるために協力することができます。その他のオプションは、以下で説明するように、リスク管理プロセスの主要な利害関係者であるリスク所有者が関与しないため、コントロール所有者にとって最適な推奨事項ではありません。
* A. 残留リスクを軽減するための補償コントロールを実装することは、リスクとコントロールの低下に対処するには実行可能、効率的、または十分ではない可能性があるため、最善の推奨事項ではありません。
代替コントロールとは、主要なコントロールが利用できない、適切でない、または効果的でない場合に、リスクを軽減するために実装される追加または代替のコントロールです。ただし、リスク所有者と協議せずに代替コントロールを実装すると、リソースの浪費、作業の重複、または目標の矛盾が生じる可能性があり、組織のリスク許容度や戦略と一致しない可能性があります。
* B. 問題を上級管理職にエスカレーションすることは、最善の推奨事項ではありません。上級管理職をリスクとコントロールの劣化問題に関与させることは、必要でなかったり、タイムリーでなかったり、適切ではなかったりする可能性があるためです。上級管理職は、組織内で最高レベルの権限と監督権を持ちますが、リスクとコントロール管理に関する詳細な知識や運用上の知識、関与がない可能性があります。
リスク所有者と話し合うことなく問題を上級管理職にエスカレーションすると、混乱、遅延、誤解が生じる可能性があり、最適なリスク軽減ソリューションが得られない可能性があります。
* D. 懸念事項を文書化した後にコントロールを認証することは、最善の推奨事項ではありません。コントロールが時間の経過とともに劣化した場合に認証することは、正確でなく、誠実でなく、準拠していない可能性があるためです。コントロールの認証は、コントロールが効果的かつ効率的に設計および運用されており、確立された基準と標準を満たしていることを証明するプロセスです。懸念事項を文書化した後にコントロールを認証すると、コントロールの真の状態とパフォーマンスが反映されない可能性があり、内部または外部の監査または規制要件に準拠しない可能性があります。参考文献 = リスクおよび情報システム コントロール スタディ マニュアル、第 4 章、セクション 4.2.1、115 ページ。リスク管理における役割と責任、リスク所有者とコントロール所有者の違い、コントロールの劣化: 回避方法と対処方法

1.9 所有権と説明責任 - CRISC によれば、リスク所有権は、リスクを特定のビジネス プロセス所有者にマッピングすることによって最もよく確立されます。リスク所有者の詳細は、リスク レジスタに文書化する必要があります。
リスク モニタリングの結果は、リスクを所有し、リスクを許容レベル内に維持する責任があるリスク所有者と話し合い、伝達する必要があります。効果的なリスク所有を確保するには、リスク所有者が意思決定権限を持つことが最も重要です。これにより、リスクを管理し、組織のリスク選好度とリスク許容度に一致するようにするために、リスク所有者がタイムリーかつ適切な措置を講じることができるようになります。意思決定権限がなければ、リスク所有者は必要なリスク対応を実施したり、問題を関連する利害関係者にエスカレーションしたりすることができない可能性があります。したがって、答えは D です。リスク所有者は意思決定権限を持っています。参考文献 = 1.9 所有権と説明責任 - CRISC、C スイートにおける効果的なリスク ガバナンスの重要性 - Aon

CRISC レビュー マニュアルによると、リスク所有者とは、リスクとそれに関連する軽減措置の責任を負う人物です。リスク所有者は、リスクの監視、リスク状態の報告、およびリスク対応の実施に責任を負います。したがって、最も適切なリスク所有者は、リスクが現実化した場合に損失の責任を負う人物です。これは、リスクを効果的に管理する権限とインセンティブを持っていることを意味します。その他の選択肢は、リスクやその結果に直接責任を負わないため、最も適切なリスク所有者ではありません。情報セキュリティの担当者は、IT セキュリティ機能を監督し、IT セキュリティ ポリシーが実施されていることを確認する責任がありますが、リスクを管理する権限やリソースを持っていない可能性があります。エンタープライズ リスク管理 (ERM) の担当者は、ERM フレームワークとプロセスを確立および維持する責任がありますが、リスクを管理するための知識や関与を持っていない可能性があります。修復アクション プランを実行できる担当者は、リスク対応の実行に責任がありますが、リスクを管理するための意思決定権や説明責任を持っていない可能性があります。参考文献 = CRISC レビューマニュアル、第 7 版、第 3 章、セクション 3.1.2、108 ページ。

* 変更管理プロセスとは、IT システムまたはアプリケーションへの変更が、一貫性と管理された方法で計画、承認、テスト、実装、および文書化されることを保証する一連の手順とアクティビティです。
* 変更管理プロセスが最近、新しいテスト手順で更新されました。これは、変更を本番環境に展開する前に、変更を検証および検証するための新しい手順や追加の手順、または方法が含まれるようにプロセスが改善または変更されたことを意味します。
* 変更管理プロセスを新しいテスト手順で更新した後の次の行動は、
* 変更をテストおよび推進する人々に伝える。つまり、変更管理チームまたは変更管理機能は、開発者、テスト担当者、ユーザー、顧客など、変更に関与または影響を受ける人々に、新しいテスト手順、その目的、利点、要件、期待について通知し、教育する必要があります。
* 変更をテストおよび推進する担当者に伝えることで、新しいテスト手順がすべての関係者に理解され、遵守されること、変更がプロセス標準と基準に従ってテストおよび推進されること、および変更が期待される品質とパフォーマンスで提供されることが保証されます。
* その他のオプションは、変更管理プロセスを新しいテスト手順で更新した後の次のアクションではありません。これらは、変更管理にとって二次的なものか、必須ではありません。
この回答の参考文献は次のとおりです。
* リスクITフレームワーク、27ページ
* 情報技術とセキュリティ、21ページ
* リスクシナリオスターターパック、19ページ