アプリケーション リスク プロファイルは、機能要件を確認するときに更新する必要があります。これにより、アプリケーションの変更によって発生する可能性のある潜在的なリスクを特定して評価し、適切なリスク対応を計画して実装することができます。この段階でアプリケーション リスク プロファイルを更新すると、変更が組織の目的、ポリシー、標準と一致し、利害関係者の期待とニーズを満たすようにするのにも役立ちます。ユーザー受け入れテスト後、本番環境へのリリース時、またはバックログ スケジューリング中にアプリケーション リスク プロファイルを更新するのは、リスク プロファイルを更新するのに最適なタイミングではありません。関連するリスクとその影響を把握するには遅すぎたり早すぎたりする可能性があるためです。参考文献 = リスクおよび情報システム制御研究マニュアル、第 7 版、第 2 章、セクション 2.1.1.1、511 ページ
1: ISACA リスクおよび情報システム管理認定 (CRISC) 試験ガイド、質問への回答
655.

リスク管理プロセスの独立したレビューの主な焦点は、プロセスの成熟度を評価することです。これは、プロセスが組織の目的、文化、ガバナンスとどの程度一致しているか、および組織全体でプロセスがどの程度適切に統合、実装、監視されているかを意味します。成熟したリスク管理プロセスとは、一貫性があり、効果的で、効率的で、変化する状況や環境に適応できるプロセスです。成熟度評価は、リスク管理プロセスの長所と短所、および改善の機会と課題を特定するのに役立ちます。その他のオプションは主な焦点ではありませんが、レビューの二次的または三次的な側面である可能性があります。リスク許容レベルの正確さは、組織がリスク選好度とリスク限度をどの程度適切に定義し、伝達しているかの尺度です。これらはリスク管理プロセスにとって重要な入力ですが、主な結果ではありません。リスクプロセスの結果の一貫性は、リスク管理プロセスの信頼性と再現性の尺度であり、プロセスで使用されるデータ、仮定、方法、およびツールの品質と妥当性を反映しますが、プロセスの全体的な有効性と効率性は反映しません。ステークホルダーの参加は、組織がリスク管理プロセスに内部および外部のステークホルダーをどの程度関与させ、関与させているかを測る指標であり、プロセスの認識、所有権、説明責任は強化されますが、プロセスの調整と統合は強化されません。参考文献 = リスク管理プロセスの評価、p. 9-10。