組織のリスク プロファイルの変化を特定する最良の方法は、主要リスク指標 (KRI) を監視することです。これは、特定の運用リスクへのエクスポージャーのレベルに関する情報を提供する指標です1。KRI は、時間の経過に伴うリスク レベルの変化を監視し、新たなリスクを特定し、リスクが許容しきい値を超えたときにリスク対応アクションをトリガーするのに役立ちます2。KRI は、リスク管理戦略をビジネス目標や状況に合わせるのにも役立ちます。その他のオプションは、KRI と同じレベルの洞察やガイダンスを提供しないため、組織のリスク プロファイルの変化を特定する最良の方法ではありません。
主要業績評価指標 (KPI) を監視すると、ビジネス プロセスの結果や成果は明らかになりますが、それらに影響を与えるリスクや不確実性は明らかになりません。リスク所有者へのインタビューでは、リスクの認識や態度に関する主観的または定性的な情報は得られますが、リスクの露出や影響に関する客観的または定量的なデータは得られません。ギャップ分析を実施すると、組織の現状と望ましい状態の違いは明らかになりますが、リスクの原因や発生源は明らかになりません。参考資料 = 主要リスク指標、主要リスク指標: 実用ガイド

説明/参照:
Explanation:
意思決定ツリー分析は、プロジェクト マネージャーが最適なリスク対応を決定するのに役立つリスク分析ツールです。このツールを使用すると、確率、影響、リスク エクスポージャー、および選択したリスク対応が選択したリスク イベントの確率や影響にどのように影響するかを測定できます。このツールは、考えられる各行動方針に関連するリスクと機会のバランスの取れたイメージを形成するのに役立ちます。このため、特にリソースが限られている場合に、さまざまな戦略、プロジェクト、または投資機会の中から選択する際に役立ちます。意思決定ツリーは、意思決定とその起こりうる結果 (偶然のイベントの結果、リソース コスト、および効用など) のツリー状のグラフまたはモデルを使用する意思決定支援ツールです。
誤った回答:
A: プロジェクト ネットワーク図は、プロジェクト マネージャーと関係者がプロジェクト作業の流れを視覚化するのに役立ちますが、リスク対応計画の一部としては使用されません。
B: 因果分析はリスク要因を明らかにするために使用され、リスク対応計画には効果的ではありません。
この分析では、プラスまたはマイナスの影響や結果に寄与する根本原因や要因を調査するための予測分析ツールまたは診断分析ツールが使用されます。
D: デルファイ法はリスク分析、つまり最も起こりうるリスクを特定するために使用されます。デルファイは、組織のビジネスリスクを個別に評価する専門家のグループです。各専門家がリスクを個別に分析し、リスクに優先順位を付け、その結果をコンセンサスにまとめます。

セクション: 巻 B
Explanation:
リスク ガバナンスは、年に 1 回ではなく、定期的なレポートと継続的なレビューを必要とする継続的なライフ サイクルです。
誤った回答:
A、C、D: これらはリスクガバナンスに当てはまります。

リスク管理担当者が、従業員が職務に関係のない会社の情報を USB ドライブにコピーする傾向が増加していることを確認した場合、リスク レジスターで更新する必要がある要素はリスクの可能性です。その理由は次のとおりです。
* リスクの可能性:
* リスク可能性とは、リスクイベントが発生する確率を指します。
* 不適切な行為（機密情報のコピーなど）の増加傾向が見られる場合、発生確率が高くなり、リスクの可能性が高まります。
* リスクの影響:
* こうした行動の影響は大きい可能性がありますが、増加傾向は直接的な影響ではなく、発生可能性に特に影響します。
* アクションによって発生する潜在的な損害に変化がない限り、リスクの影響は一定のままです。
* 主要リスク指標（KRI）：
* この観察結果は KRI として機能する可能性がありますが、直ちに実行すべきアクションは、リスク レジスタ内の可能性を更新して、確率の増加を反映することです。
* リスク許容度:
* リスク選好度は、組織が受け入れるリスクのレベルを定義します。この観察は逸脱を示唆していますが、リスク選好度自体に直接影響するものではありません。
* 参考文献:
* CRISC レビュー マニュアルでは、新しい観察と傾向に基づいてリスクの可能性を定期的に更新することの重要性を強調しています (CRISC レビュー マニュアル、第 2 章: IT リスク評価、セクション 2.9.1 固有のリスク)。

組織は、クラウド コンピューティング、ソフトウェア開発、データ処理などの IT システム、アプリケーション、またはサービスの一部をサードパーティ ベンダーに委託する場合があります。組織は、サードパーティ ベンダーの統制環境を評価する必要があります。これは、ベンダーのリスク管理および統制活動の雰囲気と文化を確立する一連のポリシー、手順、およびプラクティスです。複数のサードパーティ ベンダーの統制環境を評価する最善の方法は、リスクの高いベンダーから独立した統制レポートを取得することです。独立した統制レポートは、ベンダーのサービスに関連し適用可能な標準またはフレームワーク (ISAE 3402 や SOC 2 など) に基づいて、ベンダーの統制の設計、実装、および有効性を証明するドキュメントです。独立した統制レポートは、ベンダーの統制の客観的で信頼性の高い評価を提供する、独立した資格のある監査人によって作成されます。
高リスク ベンダーとは、機密データや秘密データにアクセスしたり、重要または複雑なサービスを提供したりすることで、組織に最高レベルのリスクをもたらすベンダーです。高リスク ベンダーから独立した管理レポートを取得することで、組織はベンダーの管理が組織のニーズに対して適切かつ適切であること、またベンダーが契約および規制要件に準拠していることを確認できます。その他のオプションは、ベンダーの管理環境に関する十分な情報や証拠、一貫性のある情報や証拠を提供しない可能性があるため、高リスク ベンダーから独立した管理レポートを取得するほど効果的ではありません。
* 主要なリスクとコントロールを網羅するベンダーの内部リスク評価を確認するということは、ベンダーのリスク レジスター、リスク マトリックス、またはリスク レポートを確認するなどして、ベンダー自身のリスクとコントロールの評価を組織が調査することを意味します。これにより、ベンダーのコントロール環境に関する情報や洞察が得られる可能性がありますが、ベンダーの内部リスク評価には、方法論、範囲、または品質における偏り、矛盾、またはギャップがある可能性があるため、独立したコントロール レポートを取得する場合ほど信頼性が高く、客観的ではない可能性があります。
* プロセスの品質と提供に関するベンダーのパフォーマンス メトリックを確認するということは、組織が主要業績評価指標 (KPI)、サービス レベル契約 (SLA)、顧客満足度調査などを使用してベンダーのパフォーマンスと結果を測定および監視することを意味します。これにより、ベンダーの統制環境に関する情報やフィードバックが得られる可能性がありますが、ベンダーのパフォーマンス メトリックがベンダーの統制のすべての側面やコンポーネントを網羅していないか、ベンダーの統制の最新または更新されたステータスや結果を反映していない可能性があるため、独立した統制レポートを取得する場合ほど包括的または関連性が高くない可能性があります。
* 第三者からベンダーの参照情報を取得するということは、組織が収集し検証することを意味します。
* ベンダーのサービスに関する他の顧客や利害関係者からの推薦や推薦。直接連絡を取ったり、レビューや評価を読んだりして入手します。これにより、ベンダーの統制環境に関する情報や証拠が得られる可能性がありますが、第三者からのベンダーの推薦には、ベンダーのサービスに対する期待、経験、意見に偏り、矛盾、またはばらつきがある可能性があるため、独立した統制レポートを入手する場合ほど正確で一貫性があるとは限りません。参考文献 = リスクおよび情報システム統制研究マニュアル、第 7 版、第 4 章、セクション 4.1.2.1、147 ～ 148 ページ。