主要リスク指標 (KRI) は、組織が目標やパフォーマンスに影響を与える可能性のある潜在的なリスクを監視および評価するために使用する指標です。KRI は、組織がリスクが重大な問題に発展する前に、リスクを特定、分析、対処するのに役立つ早期警告信号も提供します1。効果的な KRI とは、関連性があり、測定可能で、予測可能で、比較可能で、情報提供可能な KRI です2。効果的な KRI を開発するための最も重要な要素は、リスク管理と事業部門管理からの意見を取り入れることです。なぜなら、彼らはリスク環境、リスク選好度と許容度、および組織のリスク要因と影響について最もよく理解している人々だからです。リスク管理と事業部門管理からの意見を取り入れることで、組織は KRI が組織の戦略、ビジョン、ミッションと一致し、現在のリスクと新たなリスク、およびその潜在的な結果を反映することを確実にできます。上級管理職による後援、組織内部のデータとリソースの活用、内部監査との連携による開発は、リスク管理と事業部門管理からの意見を取り入れた場合と同じレベルの洞察と関連性が得られないため、効果的な KRI を開発するための最も重要な要素ではありません。上級管理職による後援は、組織のパフォーマンスとガバナンスに対する権限と説明責任を持つ上級リーダーのサポートと承認を得ることを伴う要素です。
上級管理職による後援を得ることは、KRI の重要性と価値を促進し、組織全体での KRI の伝達と実装を確実にするのに役立ちますが、KRI が組織のリスク プロファイルに対して適切かつ正確であることを保証するものではありません。組織内部のデータとリソースを活用することは、組織内で利用可能な情報と資産を使用して KRI の開発をサポートまたは可能にすることを伴う要素です。組織内部のデータとリソースを活用することは、KRI の品質と信頼性を高め、外部データとリソースの取得にかかるコストと複雑さを軽減するのに役立ちますが、KRI が包括的で組織のリスク環境と一致していることを保証するものではありません。内部監査と連携して開発することは、組織のリスク管理の妥当性と有効性について独立した客観的な保証とアドバイスを提供する内部監査機能と連携することを伴う要素です。内部監査と連携して開発することで、KRI の有効性とコンプライアンスを向上させ、改善のためのフィードバックと推奨事項を提供できますが、KRI が組織のリスク目標と戦略に関連し、現実的であることは保証されません。参考文献 = 1: 主要リスク指標: 実用ガイド | SafetyCulture2: 運用リスク管理のための KRI フレームワーク | Workiva3: [リスクおよび情報システム制御研究マニュアル、第 4 章: リスクと制御の監視と報告、セクション 4.1: 主要リスク指標、181 ～ 185 ページ。]

災害復旧の状況で復旧の優先順位を決定する際に主に考慮すべきことは、ビジネスの中断が組織の使命、目的、および関係者に与える影響です。ビジネスの中断は、収益、評判、顧客満足度、市場シェア、および競争上の優位性の喪失につながる可能性があります。したがって、復旧の優先順位は、組織の価値提案と戦略目標をサポートするビジネス プロセスと機能の重要性に基づいて決定する必要があります。データ セキュリティ (A)、復旧コスト (B)、および復旧リソースの可用性 (D) は重要な要素ですが、ビジネスの中断の影響に比べると二次的なものです。
データのセキュリティは回復プロセス全体を通じて確保する必要がありますが、回復の順序を決定するものではありません。
復旧コストは、業務の復旧によるメリットとバランスを取る必要がありますが、復旧の緊急性を反映するものではありません。復旧リソースの可用性は、復旧の優先順位に従って評価および割り当てる必要がありますが、復旧の順序を定義するものではありません。(リスクおよび情報システム管理レビューの質問、回答、および説明マニュアル、第 5 版、982 ページ)

リスク評価とリスク許容度を比較することは、特定されたリスクに対する行動計画の優先順位付けを行う際に最も役立つ基準です。リスクに対処する緊急性と重要性を判断するのに役立つからです。リスク評価は、リスク イベントの発生可能性と影響を考慮した後のリスク レベルであり、リスク許容度は、組織が目的を追求するために受け入れるリスクの量と種類です。リスク評価とリスク許容度を比較することで、組織はどのリスクが許容レベルを超えているか、範囲内か、下回っているかを特定し、それに応じて行動計画の優先順位を付けることができます。リスク許容度を超えるリスクは、組織の目的とパフォーマンスに重大な脅威となるため、最優先で処理する必要があります。リスク許容度内のリスクは、許容できるものの注意が必要なため、定期的に監視および管理する必要があります。リスク許容度を下回るリスクは、無視できる程度または重要ではないため、定期的に見直す必要があります。
参考文献:
*ISACA、リスク IT フレームワーク、第 2 版、2019 年、p. 751
*ISACA、リスク登録簿でリスクを優先順位付けするためのヒント2

セクション: ボリューム D