* 主要リスク指標 (KRI) は、組織の目標と業務に影響を及ぼす可能性のあるリスクのレベルと傾向に関する情報と洞察を提供する指標または尺度です。KRI は、組織がリスクを監視および伝達し、リスク管理の意思決定と計画をサポートするのに役立ちます。
* KRI の最も効果的な監視を実装するためには、しきい値の定義が必須です。しきい値の定義とは、組織のリスク選好度とリスク許容度に基づいて、KRI の許容範囲または限度を確立して指定するプロセスです。
しきい値の定義により、組織は次のような利点を得て KRI を監視できるようになります。
* KRI の実際の値または現在の値と KRI の期待値または希望値を比較および評価し、リスク レベルまたはパフォーマンスの変化または進展を示す可能性のある偏差または変動を識別して定量化することができます。
* KRI の値がしきい値を超えたり下回ったりしたときにアラートや通知をトリガーし、リスクとその影響に対処または修正するための適切なアクションや対応を開始できます。
* KRI と組織のリスク管理機能の調整と統合、および組織のリスク ポリシーと標準への準拠に役立つ参照とベンチマークを提供できます。
* その他のオプションは、KRI の許容範囲または限度を確立して指定するというしきい値定義の主な目的と利点に対応していないため、KRI の最も効果的な監視を実施するために必要となる重要な要素ではありません。
* エスカレーション手順とは、リスクとその対応に関する情報と状況を関係するステークホルダー間で伝達、共有し、必要に応じて適切なレベルまたは関係者にリスクとその対応をエスカレーションまたは転送するためのプロセスとガイドラインです。エスカレーション手順は、ステークホルダーの認識と関与を確保することで組織が KRI を監視するのに役立ちますが、KRI の許容範囲または制限を確立および指定するものではないため、必須の要素ではありません。
* 自動データ フィードとは、ソフトウェア ツールまたはシステムを使用して、KRI に関連するデータや情報を収集および送信し、データや情報の正確性、信頼性、適時性を確保するプロセスです。自動データ フィードは、KRI に必要かつ関連するデータや情報を提供することで、組織が KRI を監視するのに役立ちますが、KRI の許容範囲や制限を確立および指定するものではないため、導入する必要のある必須要素ではありません。
* 統制監視とは、リスクの影響を受ける情​​報システムやリソースの機密性、完全性、可用性、信頼性を確保するための統制の適切性と有効性を検証および検証するプロセスです。統制監視は、統制のパフォーマンスとコンプライアンスに関する保証と証拠を提供することで、組織がKRIを監視するのに役立ちますが、導入する必要のある必須要素ではありません。
* KRIの許容範囲や限度を定めて規定していないため。参考文献
* ISACA、CRISC レビューマニュアル、第 7 版、2022 年、40-41、47-48、54-55、58-59、62-63 ページ
* ISACA、CRISC レビュー問題、解答、解説データベース、2022、QID 206
* CRISC 練習クイズと試験準備

説明/参照:
Explanation:
パラメータ設定を確認することで、実際の構成とセキュリティ ポリシーを比較するための適切な基礎が得られ、信頼性の高い監査証拠文書が提供されます。
誤った回答:
A: ファイアウォール管理者にインタビューすると、プロセスの概要を把握することはできますが、ファイアウォールの構成が企業のセキュリティ ポリシーに準拠していることを確実に確認することはできません。
B: 手順書はファイアウォールの管理方法について十分な理解を提供するかもしれませんが、ファイアウォールの構成が企業のセキュリティ ポリシーに準拠していることを確実に確認するものではありません。
C: 最近の攻撃に関するデバイスのログ ファイルを確認すると、ログ記録が有効になっているという事実に関する間接的な証拠が得られる可能性がありますが、ファイアウォール構成が企業のセキュリティ ポリシーに準拠していることを確実に確認することはできません。

セクション: ボリューム D

説明/参照:
Explanation:
アクティビティ コスト見積りのレビューは、スケジュールされたアクティビティを完了するための予想コストの定量的な評価を提供し、範囲として表現され、範囲の幅によってリスクの度合いが示されるため、リスクを特定する上で役立ちます。
誤った回答:
A: アクティビティ期間見積りのレビューは、アクティビティまたはプロジェクト全体の時間的余裕に関連するリスクを特定する際に役立ち、範囲の幅によってリスクの程度が示されます。
B: これはリスク管理計画プロセスの出力です。リスク管理計画は、プロジェクト マネージャーが効果を見積もり、リスクを予測し、リスクを軽減するための対応計画を作成するためにまとめた文書です。リスク評価マトリックスも含まれています。
C: コスト管理計画は、プロジェクトのライフサイクル中にプロジェクトのコストを管理する方法を設定します。プロジェクト コストを測定、報告、および管理するための形式と原則を定義します。コスト管理計画では、コスト管理の責任者、プロジェクトまたは予算の変更を承認する権限を持つ人、コスト パフォーマンスを定量的に計算して報告する方法などを特定します。

残存リスクが組織で定義されたリスク許容度と許容レベルの範囲内になった場合、リスク管理担当者が取るべき最善の行動は、リスク監視計画の妥当性を検証することです。リスク監視とは、リスクの状態とパフォーマンスを追跡およびレビューし、リスク対応が効果的かつ効率的であることを確認するプロセスです1。リスク監視計画は、リスク監視活動の目的、範囲、方法、役割、責任を規定する文書です2。リスク管理担当者は、リスク監視計画の妥当性を検証することで、次のことを行うことができます。
* リスク監視計画が組織のリスク戦略、目標、ポリシーと一致しており、関連する標準および規制に準拠していることを確認します3。
* リスク監視計画が包括的かつ一貫性があり、リスクとリスク対応のすべての主要な側面と指標をカバーしているかどうかを評価します4。
* リスク監視計画の実施または結果に影響を及ぼす可能性のあるギャップ、問題、課題を特定して対処し、適切な改善措置を推奨して実施します5。
その他のオプションは、以下の理由により最善の策ではありません。
* ERM に含める新しいリスク エントリを特定することは、残留リスクやリスク対応に直接関係しないため、関連性や必要性の高い行動ではありません。ERM は、組織の戦略、運用、財務、または評判の目標に影響を与える可能性のあるリスクを特定、分析、評価、および管理するプロセスです6。新しいリスク エントリを特定することは、ERM の最初のステップであるリスク特定プロセスの一部です。残留リスクがリスク許容レベル内にあるときではなく、定期的に、または内部または外部の環境に大きな変化があったときに実行する必要があります7。
* ERM レジスタからリスク エントリを削除することは、誤った安心感や自己満足を生み出す可能性があるため、有効でも推奨できる行動ではありません。ERM レジスタは、特定されたリスクとリスク対応に関する重要な情報とデータを記録して要約するツールです。ERM レジスタからリスク エントリを削除すると、リスクがもはや存在しないか重要ではないと解釈される可能性がありますが、これは真実ではありません。リスクは依然として発生または変化する可能性があり、リスク対応は依然として失敗または時代遅れになる可能性があります。したがって、リスクが完全に排除または転送されない限り、リスク エントリは ERM レジスタに保存され、更新される必要があります。
* 結果を確認するためにリスク評価を再度実行することは、冗長または不必要な場合があるため、効率的または効果的な行動方針ではありません。リスク評価とは、リスクの発生確率と影響を推定し、その重要性と緊急性に基づいてリスクに優先順位を付けるプロセスです。リスク評価を再度実行しても、新しいまたは有用な情報や洞察が得られず、時間とリソースを無駄にする可能性があります。代わりに、リスク担当者はリスク評価の結果を検証および検証し、正確で信頼できることを確認する必要があります。
参考文献
* リスク監視 - CIO Wiki
* リスク監視計画 - CIO Wiki
* リスク監視と報告 - ISACA
* リスク監視と管理 - プロジェクトマネジメント協会
* リスク監視とレビュー - 全米アカデミーズプレス
* エンタープライズリスク管理 - CIO Wiki
* リスクの特定 - CIO Wiki
* [リスクレジスター - CIO Wiki]
* [リスク レジスター: プロジェクト管理での使用方法 - ProjectManager.com]
* [リスク評価 - CIO Wiki]
* [リスク評価プロセス - ISACA]