セクション: ボリューム D

ポリシーと標準は、組織内のリスク管理の目的、期待、要件を定義するため、リスク管理プロセスの重要な構成要素です。また、ポリシーと標準は、上級管理職がリスク管理の慣行を正式に承認し、関係者に伝える手段でもあり、リスク管理プロセスが組織の戦略、文化、価値観と一致するようにします。ポリシーと標準は、リスク管理の役割と責任に対する権限と説明責任、およびリスク パフォーマンスの測定と報告の基準と測定基準も提供します。

ビジネス継続計画 (BCP) をサポートするリスクベースの意思決定を可能にする最適なツールは、影響分析です。影響分析は、ビジネス オペレーションの中断または混乱が組織の重要な機能、プロセス、およびリソースに及ぼす潜在的な影響を特定して評価するプロセスです。影響分析は、BCP の復旧の優先順位、目的、および戦略を決定するのに役立ちます。制御分析、根本原因分析、および脅威分析もツールとして使用できますが、影響分析ほど効果的ではありません。参考資料 = ISACA リスクおよび情報システム制御 (CRISC) 認定試験の質問と回答、質問 12、CRISC レビュー マニュアル、第 6 版、215 ページ。

KPI を理解する:
* 主要業績評価指標 (KPI) は、プロセスの効率性と有効性を評価するために使用される指標です。有意義な洞察を提供するには、KPI が正確で関連性がなければなりません。
制御上の問題がないにもかかわらずプロセスの非効率性:
* KPI が非効率性を示しているにもかかわらず、制御上の問題が指摘されていない場合は、KPI がプロセスのパフォーマンスを正確に反映していない可能性があります。
* KPI を再調整することで、KPI が意図したとおりに正しく測定され、プロセスの効率性を正確に把握できるようになります。
再調整の手順:
* 現在の KPI とプロセス目標との整合性を確認します。
* プロセスのパフォーマンスをより適切に反映するように KPI パラメータまたはしきい値を調整します。
* 再調整された KPI を履歴データで検証し、正確性を確認します。
他のアクションとの比較:
* 新しいコントロールの実装: KPI の不一致の根本原因を理解していないと時期尚早です。
* プロセスの再設計: KPI が誤って調整されている場合、これは大規模で不必要です。
* 既存の制御設計の再評価: 重要ですが、KPI の精度を確保するためには二次的なものです。
参考文献:
* CRISC レビュー マニュアルでは、プロセス パフォーマンスの監視における正確な KPI の重要性と、不一致が見つかった場合の再調整の必要性を強調しています (CRISC レビュー マニュアル、第 3 章「リスク対応と軽減」、セクション 3.14「主要業績評価指標」)。

KRI と KCI はどちらも、企業のリスクと制御環境を測定および監視する指標です。
KRI は、リスク エクスポージャーのレベルと傾向を反映する指標であり、潜在的なリスク イベントや問題を特定するのに役立ちます。KCI は、リスク管理のパフォーマンスと有効性を反映する指標であり、管理が意図したとおりに機能し、リスクを軽減していることを確認するのに役立ちます。KRI と KCI はどちらも、リスク レベルの潜在的な変化に関する洞察を提供します。これは、新しい管理の強化、変更、実装、またはリスク戦略と目標の調整などのリスク対応アクションの必要性を通知できるためです。参考文献
= 最もよく尋ねられる CRISC 試験の質問と回答。CRISC: リスクおよび情報システム制御認定のサンプル問題、質問 240。