主要業績評価指標 (KPI) は、意図した結果や目標に向けた組織またはチームの進捗状況とパフォーマンスに関する情報を提供する指標または尺度です。KPI は、戦略目標、運用目標、または戦術目標の達成状況を監視および評価し、組織またはチームの意思決定と改善をサポートするのに役立ちます1。
主要管理指標 (KCI) は、組織またはチームが直面するリスクや脅威を管理するために実装されている管理または保護手段の状態と有効性に関する情報を提供するメトリックまたは尺度です。KCI は、管理または保護手段の長所と短所を特定して評価し、組織またはチームのコンプライアンスと説明責任を確保するのに役立ちます2。
KPI と KCI の関係を最もよく表す記述は、KPI と KCI はどちらも次の点で役立つため、制御の有効性の理解に貢献するというものです。
* 管理策や安全策の実際の結果と期待される結果と影響を測定・比較し、ギャップや逸脱を判断する
* ギャップや逸脱の原因と結果を分析し理解し、根本的な問題や課題を特定する
* 管理策や安全策のパフォーマンスとコンプライアンスを評価して報告し、その結果とフィードバックを利害関係者に伝える
* 管理または安全策の設計と実装を改善および最適化し、リスク管理プロセスの効率と有効性を高める34 その他の記述は、KPI と KCI の関係を正確に示しているわけではなく、それらの相違点や誤解の一部を示しています。KPI は手動管理を測定し、KCI は自動管理を測定するというのが KPI と KCI の相違点ですが、一般的な相違点ではありません。KPI と KCI は、管理または安全策の種類と性質に応じて、手動管理と自動管理の両方を測定できます。堅牢な KCI プログラムによって KPI を測定する必要がなくなるというのは、KPI と KCI に関する誤解です。KPI と KCI は相互に排他的でも代替可能でもないからです。KPI と KCI は、組織またはチームのパフォーマンスとリスク管理に関する異なるが関連する情報を提供するため、互いに補完し、サポートし合います。
KCI は運用レベルで適用され、KPI は戦略レベルで適用されますが、これは KPI と KCI の違いですが、普遍的な違いではありません。KPI と KCI は、測定と評価の範囲と目的に応じて、組織またはチームのさまざまなレベルに適用できます。参考文献
* 主要業績評価指標 (KPI): 定義、種類、例
* 主要管理指標 - ISACA
* 主要管理指標: その概要と使用方法
* 主要業績評価指標と主要管理指標: 違いは何ですか?
* [CRISC レビューマニュアル、第 7 版]

リスク軽減行動計画とは、特定されたリスクに対処するために講じるべき行動、必要なリソース、タイムライン、所有者、および期待される結果を規定する文書です。リスク所有者とは、リスクとその対応を管理する権限と説明責任を持つ人物です。リスク担当者とは、リスク管理プロセスにおいてリスク所有者をサポートする人物です。リスク軽減行動計画の管理者が交代し、新しいコントロールが実装された場合、リスク担当者にとって最善の行動は、リスク所有者に決定を伝えて承認を得ることです。これにより、リスク所有者が変更を認識し、新しいコントロールに同意し、行動計画の変更を承認することが保証されます。その他のオプションは、リスクとその対応の最終的な責任を負うリスク所有者が関与しない可能性があるため、最善の行動ではありません。参考文献 = リスクおよび情報システム コントロール スタディ マニュアル、第 7 版、第 1 章
3、セクション3.1.1.1、pp.95-96。

実装後にコントロールをレビューする主な目的は、コントロールが意図したとおりに機能することを検証することです。これにより、コントロールがリスクの軽減に効果的かつ効率的であり、コントロールの目的と要件を満たしていることを確認できます。実装後にコントロールをレビューすると、コントロールの運用中に発生する可能性のある問題やギャップを特定して対処したり、コントロールのパフォーマンスと影響を監視および評価したりすることもできます。実装後にコントロールをレビューすると、コントロールの所有者と利害関係者にフィードバックと情報を提供したり、コントロールの設計と実装を適宜調整したりすることもできます。参考資料 = 最もよく尋ねられる CRISC 試験の質問と回答。CRISC: Certified in Risk & Information Systems Control サンプル問題、質問 254。ISACA Certified in Risk and Information Systems Control (CRISC) 認定試験の質問と回答、質問 254。CRISC by Isaca 実際の無料試験の Q&A、質問 9。