ITリスクプロファイルの変更を伝える際に最も重要となるのは、現在のリスクプロファイルと現在のリスクプロファイルのギャップです。
統制環境の望ましい状態を示すことで、ステークホルダーに統制の範囲と影響を示すことができる。
変化とそれに対処するために必要な行動とリソース。統制環境とは、一連のポリシー、
ITリスクが特定、評価、対処されることを合理的に保証するプロセスとシステム
効果的かつ効率的に。現在の管理環境の状態は、既存のレベルと
統制の実施状況と、統制適用後に残る残留リスク。望ましい状態
統制環境は、統制の目標レベルとパフォーマンス、そしてリスク選好と
組織の許容範囲。統制環境の現状と望ましい状態との間のギャップ
ITリスク管理プロセスの改善または強化の領域、および優先順位と
リスク対応戦略。他の選択肢は、変更を伝える際に含めるべき最適なものではない。
ITリスクプロファイルでは、役立つ情報や関連情報である可能性があるものの、必ずしもそうではありません。
業界の同業他社はITリスクプロファイルについてある程度の文脈や比較を提供できるが、測定したり、
ITリスクレベルまたは統制環境の変化を説明する。外部からの攻撃や関連する
代替制御はITシステムとネットワークのセキュリティと回復力を実証できるが、
ITリスクプロファイルや統制環境の全範囲を網羅しているわけではない。
業界における主要なITリスク管理の実践は、次のような洞察とベンチマークを提供することができます。
ITリスク管理プロセスは、組織や企業の特定の状況やニーズを反映していない。
ステークホルダー。参考文献 = リスクと情報システム管理研究マニュアル、第5章：リスクと管理
監視と報告、181 ページ。

効果的な管理の実施が不十分だと、リスクの露出が増大し、コンプライアンスが低下し、
組織のパフォーマンスに影響を与える。したがって、ステークホルダーにとって最も重要な情報は、
効果的な統制の実施がビジネス目標、プロセス、そして成果に及ぼす影響。
ビジネス上の損失には、財務上の損失、評判の失墜、業務の非効率性、顧客
不満、法的責任など。他の選択肢は、ビジネスへの影響ほど重要ではありません。
統制の有効性と事業価値を直接結び付けるものではありません。参考文献 = リスクと情報
システム制御研究マニュアル、第4章、セクション4.3.2、128ページ。

組織がビジネスプロセスを再構築する場合、BCP改訂の最初のステップは、新しい
重要な機能やプロセスの継続性に影響を及ぼす可能性のある、潜在的に混乱を招くシナリオ。これは
リスク評価やビジネス影響分析（BIA）を実施して、リスクの可能性と影響度を判断することで、
組織の目標と業務に及ぼす様々な脅威と脆弱性の影響を特定することで
新たな潜在的に破壊的なシナリオが発生した場合、組織は回復戦略、目標、および
それに応じて計画を立てます。
参考文献:
*ISACA、リスク IT フレームワーク、第 2 版、2019 年、p. 761
*ISACA、IT事業継続性/災害復旧監査プログラム、2021年、52ページ

費用便益分析は、自動化制御への投資の正当性を立証する上で最適な手法です。費用便益分析は、投資の費用と便益を比較・評価し、実現可能性と収益性を判断するのに役立ちます。費用便益分析とは、自動化制御への投資といったプロジェクトや意思決定の予想される費用と便益を特定、測定、比較するプロセスです。費用便益分析は、以下のメリットを提供することで、自動化制御への投資の正当性を証明するのに役立ちます。
* 主観的または定性的な判断に頼るのではなく、データ主導型で証拠に基づいた意思決定アプローチが可能になります。
* 組織全体および外部の利害関係者に対して、投資の価値と影響を評価し伝達するための、一貫性のある標準化された方法を促進します。
* 投資と組織の戦略および目標の整合をサポートし、望ましい成果の達成を評価するのに役立ちます。
* 投資の機会と課題を特定して優先順位を付け、それらに対処するための適切な戦略と行動を策定して実行するのに役立ちます。
* 投資とその結果に関するフィードバックと学習の機会を提供し、継続的な改善と革新の文化を育むのに役立ちます。
その他のオプションは、自動制御への投資を正当化するのに役立つ最良の方法ではありません。
投資とリスク選好度の整合はリスク管理の重要な側面ですが、投資のコストと利点に直接対処するものではありません。リスク選好とは、組織がその目的を追求するために受け入れるリスクの量と種類です。投資とリスク選好度の整合は、投資が組織のリスク許容度や優先順位と一致していること、また組織が過度または受け入れ不可能なリスクにさらされないことを保証するのに役立ちます。代替コントロールの排除は、自動化されたコントロールに投資することで得られる可能性のある利点ですが、投資を正当化する方法ではありません。代替コントロールとは、主要なコントロールまたは推奨されるコントロールが実行可能でない、または効果的でない場合に、リスクを軽減するために実装される代替または追加のコントロールです。代替コントロールの排除は、コントロール環境の複雑さとコストを削減し、コントロールの効率と信頼性を向上させるのに役立ちます。
人件費の削減は自動化制御への投資によるメリットの一つですが、投資を正当化する手段ではありません。人件費とは、自動化されたプロセスや機能に関わるスタッフや従業員に関連する費用です。人件費の削減は、組織の収益性と生産性の向上、そしてリソースのより効果的かつ効率的な配分に役立ちます。参考文献
= 費用便益分析：専門家ガイド | Smartsheet、ITリスクリソース | ISACA、自動化 - 効率、コスト削減、ロボティクス | ブリタニカ