組織にとって望ましいリスク姿勢を最もよく表すのは、残留リスクがリスク許容度よりも低い場合です。残留リスクとは、リスク対応またはリスク管理を実施した後に残るリスクのことです。
リスク許容度とは、組織が引き受けたり、負ったりすることをいとわないリスクの許容レベルです。望ましいリスク態勢とは、組織が残存リスクをリスク許容度以下のレベルにまで削減した状態です。これは、組織がリスク目標を達成し、残りのリスク エクスポージャーに問題がないことを意味します。その他のオプションは、組織がリスクを効果的に管理していないことを示しているため、望ましいリスク態勢を最もよく表しているわけではありません。固有リスクがリスク許容度より低いということは、組織がリスクを適切に特定または評価していないことを意味します。固有リスクとは、コントロールや対応が適用される前のリスクです。運用リスクがリスク許容度より高いということは、組織がリスク対応やコントロールを適切に実装または監視していないことを意味します。運用リスクとは、内部プロセス、人材、システムが不十分または機能しないことから生じる損失のリスクです。受け入れリスクがリスク許容度より高いということは、組織がリスク選好度とリスク許容度を一致させていないことを意味します。受け入れリスクとは、組織がそれ以上のアクションをとらずに保持または引き受けることを選択したリスクです。参考文献 = リスクおよび情報システム制御研究マニュアル、第 2 章、セクション 2.3.1、2-23 ページ。

プロセス文書が不完全な場合、リスク担当者にとって最大の懸念は、リスク所有者を特定できないことです。リスク所有者とは、特定のリスクまたは関連するリスクのグループを管理する権限と責任を持つ個人または団体です。リスク所有者は、リスクの特定、評価、対応、およびリスクのパフォーマンスと改善の監視と報告を支援します。また、リスク所有者は、取締役会、経営陣、事業部門、IT 機能などの関連する利害関係者とリスク管理活動のコミュニケーションと調整にも役立ちます。リスク所有者は通常、プロセス文書で特定されます。プロセス文書には、各プロセスの役割、責任、手順、およびリソースが記載されています。リスク所有者を特定できないことは、リスク担当者にとって大きな懸念事項です。リスク管理プロセスの説明責任、透明性、および有効性に影響を及ぼし、リスク管理活動に混乱、対立、またはギャップが生じる可能性があるためです。その他のオプションは、リスク所有者を特定できないことほど懸念されるものではありませんが、リスク管理プロセスに何らかの困難や制限をもたらす可能性があります。リソースを効率的に割り当てることができないこと、リスク登録を完了できないこと、プロセスの専門家を特定できないことはすべて、リスク管理プロセスの品質と適時性に影響を与える要因ですが、必ずしもリスク管理プロセスの権限と責任に影響を与えるわけではありません。参考文献 = リスクと情報システム管理研究マニュアル、第2章、セクション2.2.1、ページ
2-11.

セクション: ボリューム D

セクション: ボリューム D