損失イベントとは、データ侵害、サイバー攻撃、自然災害など、組織に悪影響や損害をもたらす出来事のことです。損失イベントの影響とは、金銭的損失、評判の失墜、業務の中断、法的責任など、イベントによって引き起こされる損害や損失の範囲または規模です。個人を特定できる情報 (PII) の侵害に対する罰金を大幅に引き上げる、新たに制定された情報プライバシー法は、PII に関連するデータ侵害の潜在的なコストと重大性を高めるため、新しい法律の影響を受ける組織にとって損失イベントの影響を増大させる可能性が最も高くなります。その他のオプションは、損失イベントの影響の増大ほど可能性は高くありません。なぜなら、それらは新しい法律から直接生じるものではなく、以下で説明するように、組織のリスク管理能力などの他の要因に依存するからです。
* A. コンプライアンス違反の増加は、組織が新しい法律を遵守しないと想定されるため、起こりそうにありません。そうなると、組織はより多くのリスクと罰則にさらされることになります。合理的な組織であれば、PII を保護し、データ侵害を防止するための適切な管理と対策を実施することで、新しい法律を遵守しようとします。
* C. 残留リスクの増加は起こりそうにありません。なぜなら、組織が新しい法律を考慮してリスク対応戦略​​を調整しないと想定しているため、組織は望ましくないほど多くのリスクにさらされることになるからです。賢明な組織であれば、リスク軽減管理を強化するか、保険会社などの第三者にリスクを移転することで、残留リスクの削減に努めるでしょう。
* D. 顧客からの苦情の増加は、組織が PII に関連するデータ侵害をより多く経験し、それが顧客の満足度と忠誠心に影響を与えると想定されるため、起こりそうにありません。責任ある組織は、セキュリティ体制と実践を改善し、新しい法律とその影響について顧客に透明性と効果的なコミュニケーションをとることで、データ侵害を回避するよう努めます。参考文献 = リスクおよび情報システム管理研究マニュアル、第 2 章、セクション 2.1.1、32 ページ。

管理プロセスのパフォーマンスに関するレポートを確認する場合、残留リスク目標が達成されたかどうかを確認することが最も重要です。これは、管理プロセスによってリスクが許容レベルまでどの程度まで軽減されたかを示すためです。残留リスクとは、管理の実装後に残るリスクであり、企業のリスク選好度とリスク許容度と整合している必要があります。ビジネス プロセスの目標、規制基準、管理プロセスの設計は、リスク管理における管理プロセスの有効性と効率性を直接測定するものではないため、検証すべき最も重要な要素ではありません。
参考資料 = CRISC 練習クイズと試験準備、CRISC: リスクおよび情報システム管理認定のサンプル問題、質問 209。

代替コントロールは、優先アクションが完了するまで実装します。代替コントロールは、優先アクションを遅らせたり延期したりしながら、残留リスクを許容レベルまで下げるのに役立ちます。リスク処理計画は、特定のリスクに対して選択されたリスク対応戦略​​を実装するために必要なアクションとリソースを説明するドキュメントです。リスク対応戦略​​は、回避、移転、緩和、受け入れなど、リスクに対処するために選択される一連のアクションです。代替コントロールは、主要なコントロールまたは優先コントロールが実行可能または効果的でない場合に、代替または追加の保護または保証手段を提供するコントロールです。代替コントロールを実装することは、リスク管理プロセスと目標を維持し、優先アクションの遅延または延期による悪影響を回避または最小限に抑えるのに役立つため、最適なアプローチです。
リスク対応計画が期限内に完了できない場合、追加の主要リスク指標 (KRI) を開発し、アクション所有者をより経験豊富な人物に置き換え、関連するリスクのリスク対応戦略​​をリスク回避に変更するなどのアプローチが考えられますが、これらは残存リスク レベルに対処できず、新しいリスクや問題を引き起こす可能性があるため、最善のアプローチではありません。

は誤りです。リスク確率分布は、通常、
新しいリソースのリスク。