セクション: 巻 C
Explanation:
リスクが残存しているかどうかに関係なく、すべてのリスクはリスク評価によって決定されます。
誤った回答:
A: 対策を講じた後に残っている脆弱性を判断しても、脅威については何もわからないため、リスクを判断することはできません。
B: すべてのリスクを移転することは、残余リスクの決定とは関係ありません。これはリスク管理の方法の 1 つです。
C: リスクは、それが残存しているかどうかに関係なく、脅威分析だけでは判断できません。

説明/参照:
Explanation:
この変更は成果物の変更に関わるため、コスト変更管理システムを通過する必要があります。コスト変更管理システムは、変更が発生した理由、コストが及ぼす影響、プロジェクトがどのように対応すべきかを検討します。
誤った回答:
B: これは契約変更ではありません。契約が存在する、または契約が存在する場合は材料費が契約条件外であるという証拠があります。契約条件に従って、この種の変更が許容される可能性がある時間と材料の契約を検討しました。ベンダーが契約条件を変更したい場合は、変更を契約変更管理システムに入力するのが適切です。
C: 材料費のせいでプロジェクトの範囲が変わることはありません。
D: 変更に対して常に考慮する必要がある変更管理システムは、スケジュール、コスト、範囲、契約の 4 つです。

新しい規制要件に応じて管理プロセスが実装されたが、生産性が大幅に低下しているという懸念を解決する最善の方法は、問題を上級管理職にエスカレートすることです。上級管理職は組織内で最高レベルの権限と責任を持ち、組織の戦略的な方向性、目標、リスク許容度を設定する責任があります。上級管理職はリスク管理プロセスも監督し、管理が組織の目標と価値に合致していることを確認する必要があります。問題を上級管理職にエスカレートすると、規制要件の遵守と組織の生産性の維持のバランスを取るのに役立ちます。その他のオプションは、問題を無視するか、規制に違反するか、管理を危険にさらすため、上級管理職に問題をエスカレートするほど効果的でも望ましくもありません。

* 主要リスク指標 (KRI) は、組織の目標と業務に影響を及ぼす可能性のあるリスクのレベルと傾向に関する情報と洞察を提供する指標または尺度です。KRI は、組織がリスクを監視および伝達し、リスク管理の意思決定と計画をサポートするのに役立ちます。
* KRI の最も効果的な監視を実装するためには、しきい値の定義が必須です。しきい値の定義とは、組織のリスク選好度とリスク許容度に基づいて、KRI の許容範囲または限度を確立して指定するプロセスです。
しきい値の定義により、組織は次のような利点を得て KRI を監視できるようになります。
* KRI の実際の値または現在の値と KRI の期待値または希望値を比較および評価し、リスク レベルまたはパフォーマンスの変化または進展を示す可能性のある偏差または変動を識別して定量化することができます。
* KRI の値がしきい値を超えたり下回ったりしたときにアラートや通知をトリガーし、リスクとその影響に対処または修正するための適切なアクションや対応を開始できます。
* KRI と組織のリスク管理機能の調整と統合、および組織のリスク ポリシーと標準への準拠に役立つ参照とベンチマークを提供できます。
* その他のオプションは、KRI の許容範囲または限度を確立して指定するというしきい値定義の主な目的と利点に対応していないため、KRI の最も効果的な監視を実施するために必要となる重要な要素ではありません。
* エスカレーション手順とは、リスクとその対応に関する情報と状況を関係するステークホルダー間で伝達、共有し、必要に応じて適切なレベルまたは関係者にリスクとその対応をエスカレーションまたは転送するためのプロセスとガイドラインです。エスカレーション手順は、ステークホルダーの認識と関与を確保することで組織が KRI を監視するのに役立ちますが、KRI の許容範囲または制限を確立および指定するものではないため、必須の要素ではありません。
* 自動データ フィードとは、ソフトウェア ツールまたはシステムを使用して、KRI に関連するデータや情報を収集および送信し、データや情報の正確性、信頼性、適時性を確保するプロセスです。自動データ フィードは、KRI に必要かつ関連するデータや情報を提供することで、組織が KRI を監視するのに役立ちますが、KRI の許容範囲や制限を確立および指定するものではないため、導入する必要のある必須要素ではありません。
* 統制監視は、リスクの影響を受ける情​​報システムおよびリソースの機密性、整合性、可用性、信頼性を保証することを目的とした統制の妥当性と有効性を検証および確認するプロセスです。統制監視は、統制のパフォーマンスとコンプライアンスに関する保証と証拠を提供することで、組織が KRI を監視するのに役立ちますが、KRI の許容範囲または制限を確立および指定するものではないため、導入する必要のある必須要素ではありません。参照
* ISACA、CRISC レビューマニュアル、第 7 版、2022 年、40-41、47-48、54-55、58-59、62-63 ページ
* ISACA、CRISC レビュー問題、解答、解説データベース、2022、QID 206
* CRISC 練習クイズと試験準備