説明/参照:
Explanation:
特定の管理または対策にかかるコスト（管理オーバーヘッド）が特定のリスクを軽減することで得られる利益を上回る場合、企業はリスク軽減のコストを負担するよりもリスクを受け入れることを選択できます。これは、次の比例原則に従って行われます。
一般に認められたセキュリティシステムの原則 (GASSP)

一般に認められた情報セキュリティ原則 (GAISP)

誤った回答:
A: 特定の制御のコストが特定のリスクを軽減することで得られるメリットを上回る場合、制御は適用されず、リスクが受け入れられることになります。
B: 制御のコストが特定のリスクを軽減することによる利益を上回るため、制御を適用すべきではありません。
是正制御は制御の一種であるため、採用すべきではありません。
D: リスクは機会があるときに利用されています。つまり、リスクはプラスです。しかし、このケースでは、軽減が必要なマイナスのリスクが存在します。したがって、リスクを利用することはできません。

統制所有者の主な責任は、統制が効果的に機能することを保証することです。統制所有者には、統制の設計、実装、監視、およびパフォーマンスと妥当性の報告、ならびに統制のギャップや欠陥の特定と対処を行う権限と責任があります。上級管理職へのリスクの伝達、統制が軽減している関連リスクの把握、および統制の弱点の特定と評価は、主な責任ではありません。これらは、統制所有者ではなく、リスク所有者、リスク担当者、または監査人の役割と責任に関係しているからです。参考文献 = CRISC レビュー マニュアル、第 7 版、101 ページ。

リスク分析は、リスクイベントの重大性、リスクの
優先順位、リスクの発生確率と影響度。

セクション: 巻 A
Explanation:
リスク管理能力成熟度レベル 0 の企業は、リスクの信頼できる情報について十分な知識を持たずに意思決定を行います。レベル 1 では、企業はリスクの信頼できる情報に基づいて意思決定を行います。
誤った回答:
A、C、D: 企業のリスク管理能力成熟度レベルが 1 となるのは、次の場合です。
* リスクは重要であり、管理する必要があることは理解されていますが、リスクは技術的な問題として捉えられており、ビジネスでは主に IT リスクのマイナス面を考慮しています。
* リスク識別基準は企業によって大きく異なります。
* リスク選好度とリスク許容度は、一時的なリスク評価時にのみ適用されます。
* エンタープライズ リスク ポリシーと標準が不完全であるか、外部要件のみを反映しており、防御可能な根拠と実施メカニズムが欠けています。
* リスク管理スキルはアドホックに存在しますが、積極的に開発されていません。
* リスクとは無関係なコントロールのアドホック インベントリがデスクトップ アプリケーション全体に分散されています。