リスク レジスタは、特定されたリスク、その原因、影響、可能性、対応、所有者を記録して追跡するツールです。リスク レジスタを維持する際の最大の懸念は、リスク要因の重大な変更が除外されることです。リスク要因とは、リスクの発生と影響に影響を与える内部および外部の変数です。リスク要因は、ビジネス環境、IT 環境、脅威環境、または規制要件の変化により、時間の経過とともに変化する可能性があります。リスク レジスタがリスク要因の重大な変更を反映していない場合、企業のリスク プロファイルの正確で最新のビューを提供できず、効果的なリスク管理の決定とアクションをサポートできない可能性があります。その他のオプションは、リスク レジスタのさまざまな側面に関係するため、リスク要因の重大な変更を除外することほど懸念されるものではありません。
* 影響が定性的な用語で記録されるということは、リスク レジスタが低、中、高などの記述的なスケールを使用して、リスクの潜在的な結果を測定していることを意味します。これは、金銭的価値やパーセンテージなどの定量的な尺度ほど正確で一貫性がない可能性がありますが、リスク レジスタの有効性や有用性に必ずしも影響するわけではありません。
* 経営幹部が定期的なレビューを行わないということは、企業の上級管理職がリスク レジスタを定期的に評価および更新していないことを意味します。これは、リスク管理に対する経営陣のコミットメントや監視が不足していることを示している可能性がありますが、リスク レジスタの品質や完全性に直接影響するものではありません。
* IT リスクが IT 資産にリンクされていないということは、リスク レジスターが、特定されたリスクを、リスクの影響を受けるかリスクの一因となるハードウェア、ソフトウェア、データ、サービスなどの特定の IT リソースに関連付けていないことを意味します。これにより、リスクの可視性と追跡可能性が制限される可能性がありますが、リスクの特定または評価に必ずしも影響するわけではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 7 版、第 1 章、セクション 1.2.2.2、21 ～ 22 ページ。

組織のプロセス所有者は、給与データを生成、使用、または転送するビジネス プロセスの責任者であるため、第三者のコントロールの弱点により給与データが漏洩するリスクを負う必要があります。プロセス所有者は、給与データ処理の期待されるパフォーマンスとセキュリティ標準を定義する契約上の義務とサービス レベル契約を第三者が遵守していることも確認する必要があります。その他の選択肢は、リスク管理プロセスに関与している可能性はあるものの、リスクの主たる所有者ではないため、正解ではありません。第三者の IT 運用管理者、第三者の最高リスク管理責任者 (CRO)、および組織のリスク担当者は、リスクの二次所有者または利害関係者の例であり、リスク所有者にサポート、ガイダンス、または監視を提供することはできますが、リスクまたはリスク対応戦略​​について責任を負うことはありません。参考資料 = CRISC: Certified in Risk & Information Systems Control サンプル問題

説明/参照:
Explanation:
監査と説明責任のコントロール ファミリは、組織が効果的な監査プログラムを実装するのに役立ちます。監査対象を決定する方法の詳細を提供します。監査ログを保護する方法の詳細を提供します。また、否認防止のために監査ログを使用する方法に関する情報も含まれています。
誤った回答:
B: アクセス制御は、組織が効果的なアクセス制御を実装するのに役立つ制御ファミリです。
ユーザーが職務を遂行するために必要な権限と許可のみを持っていることを保証します。これには、最小権限や職務の分離などの原則が含まれます。
監査および説明責任の一連の制御は、効果的なアクセス制御の実装には役立ちません。