原因と結果の図は、フィッシュボーン図や石川ダイアグラムとも呼ばれ、問題やイベントの潜在的な原因と結果を特定して分析するのに役立つグラフィカル ツールです。原因と結果の図は、最近開発された ERP システムに関連する技術的なリスク シナリオを作成するために使用できます。これは、次のことに役立ちます。
* 複雑な問題や出来事を、管理しやすく測定可能な原因と結果のカテゴリーとサブカテゴリーに分解する
* 問題や出来事に寄与するさまざまな要因間の関係や相互作用を視覚化する
* 問題や出来事の根本原因と最も重要な影響を特定する
* 問題や出来事をテストし検証するためのアイデアや仮説を生み出す
* 問題またはイベントを関係者に明確かつ論理的に伝え、提示する1 因果関係図は、次の手順で作成できます。
* 問題またはイベントを定義し、図の右側のボックスに記入します。
* ボックスから図の左側に水平線を引き、魚の骨の主背骨を表します。
* 問題や出来事に影響を与える主な原因のカテゴリー（人、プロセス、テクノロジー、環境など）を特定し、背骨の枝に書き込む
* 各カテゴリについて、問題やイベントに影響を与える可能性のあるサブカテゴリと具体的な原因をブレインストーミングしてリストし、それらを背骨のサブブランチに書き込みます。
* それぞれの原因について、問題や出来事から生じる可能性のある影響や結果を特定してリスト化し、それらを背骨のサブサブブランチに書き出します。
* 図を分析し、頻度、重大度、制御可能性に基づいて原因と結果に優先順位を付けます。
* 最も重要な原因と影響に基づいて技術的なリスクシナリオを作成し、それがERPシステムと組織にどのような影響を与えるかを説明します1

* 主要リスク指標 (KRI) は、組織の目標と業務に影響を及ぼす可能性のあるリスクのレベルと傾向に関する情報と洞察を提供する指標または尺度です。KRI は、組織がリスクを監視および伝達し、リスク管理の意思決定と計画をサポートするのに役立ちます。
* KRIの最も効果的な監視を実施するには、考慮すべき重要な要素の1つが
* 場所はしきい値の定義です。これは、組織のリスク選好度とリスク許容度に基づいて、KRI の許容範囲または制限を確立および指定するプロセスです。
しきい値の定義により、組織は次のような利点を得て KRI を監視できるようになります。
* KRI の実際の値または現在の値と KRI の期待値または希望値を比較および評価し、リスク レベルまたはパフォーマンスの変化または進展を示す可能性のある偏差または変動を識別して定量化することができます。
* KRI の値がしきい値を超えたり下回ったりしたときにアラートや通知をトリガーし、リスクとその影響に対処または修正するための適切なアクションや対応を開始できます。
* KRI と組織のリスク管理機能の調整と統合、および組織のリスク ポリシーと標準への準拠に役立つ参照とベンチマークを提供できます。
* その他のオプションは、KRI の許容範囲または限度を確立して指定するというしきい値定義の主な目的と利点に対応していないため、KRI の最も効果的な監視を実施するために必要となる重要な要素ではありません。
* エスカレーション手順とは、リスクとその対応に関する情報と状況を関係するステークホルダー間で伝達、共有し、必要に応じて適切なレベルまたは関係者にリスクとその対応をエスカレーションまたは転送するためのプロセスとガイドラインです。エスカレーション手順は、ステークホルダーの認識と関与を確保することで組織が KRI を監視するのに役立ちますが、KRI の許容範囲または制限を確立および指定するものではないため、必須の要素ではありません。
* 自動データ フィードとは、ソフトウェア ツールまたはシステムを使用して、KRI に関連するデータや情報を収集および送信し、データや情報の正確性、信頼性、適時性を確保するプロセスです。自動データ フィードは、KRI に必要かつ関連するデータや情報を提供することで、組織が KRI を監視するのに役立ちますが、KRI の許容範囲や制限を確立および指定するものではないため、導入する必要のある必須要素ではありません。
* 統制監視は、リスクの影響を受ける情​​報システムおよびリソースの機密性、整合性、可用性、信頼性を保証することを目的とした統制の妥当性と有効性を検証および確認するプロセスです。統制監視は、統制のパフォーマンスとコンプライアンスに関する保証と証拠を提供することで、組織が KRI を監視するのに役立ちますが、KRI の許容範囲または制限を確立および指定するものではないため、導入する必要のある必須要素ではありません。参照
* ISACA、CRISC レビューマニュアル、第 7 版、2022 年、40-41、47-48、54-55、58-59、62-63 ページ
* ISACA、CRISC レビュー問題、解答、解説データベース、2022、QID 206
* CRISC 練習クイズと試験準備

主要リスク指標 (KRI) を継続的に監視すると、リスク レベルやパフォーマンスの変化や傾向を検出して測定し、リスクが定義済みのしきい値やターゲットを超えたときにリスク所有者や関係者に警告できるため、早期警告が提供され、プロアクティブなアクションを実行できます。KRI は、リスクの可能性や影響、または制御の有効性や効率を監視および評価するのに役立つ測定基準または指標です。KRI は定量的または定性的なもので、内部または外部のソースから取得できます。継続的な監視は、定期的またはリアルタイムでデータを収集して分析し、意思決定やアクションの実行に役立つタイムリーで適切な情報を提供するプロセスです。
KRI の継続的な監視は、リスクの問題やインシデントが拡大したり、重大な損害や混乱を引き起こしたりする前に、それらを特定して対処するのに役立つため、早期警告を提供します。リスクが組織の定義済みリスク許容度を超えないようにすること、リスク プロファイルのスナップショットを提供すること、リスク許容度とリスク許容度が一致していることを保証することはすべて、KRI の継続的な監視の可能な結果ですが、これらは、早期警告を提供することという KRI の継続的な監視の主な目的と利点を反映していないため、最善の答えではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 3 章、セクション 3.3.2、97 ページ

説明/参照:
Explanation:
ビジネス プロセス オーナーは、プロセス要件の特定、プロセス設計の承認、プロセス パフォーマンスの管理を担当する個人です。一般的に、ビジネス プロセス オーナーは、企業内で適切な高位の地位にあり、プロセス固有のリスク管理活動にリソースを割り当てる権限を持っている必要があります。
誤った回答:
B: 各リスクのリスクオーナーは、その結果に最も影響力を持つ人物である必要があります。したがって、リスクオーナーの選択には通常、リスクの原因を考慮し、必要なことを理解して実行するのに最も適した人物を特定することが含まれます。
C: 最高財務責任者は、財務計画、記録管理、投資家関係、財務リスクに責任を負う、企業の最高幹部です。
D: 最高情報責任者は、IT 推進、IT とビジネス戦略の調整、IT サービスと情報の提供および関連する人的資源の配置の計画、リソースの確保、管理に責任を負う、企業の最高幹部です。

セクション: ボリューム D
説明/参照: