脆弱性とは、脅威によって悪用され、資産に危害や損害を与える可能性のある弱点または欠陥のことです。
従業員が他の従業員のためにドアを開けておくことで、後続の従業員が立ち止まってカードをスワイプする必要がなくなる。
自身のIDバッジを盗むことは、IDのセキュリティ制御をバイパスするため、脆弱性を最もよく表す行動です。
バッジシステムでは、不正アクセスや認証されていないアクセスを許してしまいます。この行為は、
盗難、破壊行為、妨害行為、または
スパイ活動。参考資料 = CRISC: リスクおよび情報システム管理認定のサンプル問題、
質問258. CRISC試験のよくある質問と回答、質問10. ISACAリスクおよび
情報システム制御（CRISC）認定試験の質問と回答、質問258。CRISC
ISACA 実際の無料試験 Q&A、質問 9。

組織のリスク登録簿をレビューするリスク専門家にとって最も懸念される問題は、複数のリスク
行動計画は目標完了日を過ぎています。これは、リスク対応が適切に行われていないことを示しています。
効果的かつタイムリーに実施されず、リスクの露出が期待通りに軽減されない可能性がある。
経営陣が通常よりも多くのリスクを受け入れ、多くの資産に関連するリスクが定性的に表現される
条件、そして多くのリスクシナリオが同じ上級管理職によって所有されていることは、見逃されたことほど懸念されるものではない。
期限は、リスク選好、許容度、企業文化を反映する可能性があるため、
組織。参考資料 = ISACA リスクおよび情報システム管理認定（CRISC）認定
試験問題と解答、質問 10、CRISC レビューマニュアル、第 6 版、140 ページ。

主要業績評価指標（KPI）は、組織またはチームが意図した成果または目標に向けてどの程度進捗し、成果を上げているかを示す指標または尺度です。KPIは、戦略目標、運用目標、または戦術目標の達成状況を監視および評価し、組織またはチームの意思決定と改善を支援するのに役立ちます1。
主要管理指標（KCI）は、組織またはチームが直面するリスクや脅威を管理するために実施されている管理策や安全対策の状況と有効性に関する情報を提供する指標または尺度です。KCIは、管理策や安全対策の長所と短所を特定・評価し、組織またはチームのコンプライアンスと説明責任を確保するのに役立ちます2。
KPI と KCI の関係を最もよく表しているのは、KPI と KCI はどちらも次の点で役立つため、制御の有効性の理解に貢献するというものです。
管理策またはセーフガードの実際および予想される成果と影響を測定および比較し、ギャップまたは逸脱を判断する ギャップまたは逸脱の原因と結果を分析および理解し、根本的な問題または課題を特定する 管理策またはセーフガードのパフォーマンスとコンプライアンスを評価および報告し、結果とフィードバックを利害関係者に伝達する 管理策またはセーフガードの設計と実装を改善および最適化し、リスク管理プロセスの効率と有効性を高める34 その他の記述は、KPI と KCI の関係を正確に示しているのではなく、それらの相違点や誤解の一部を示しています。KPI は手動管理策を測定し、KCI は自動管理策を測定するというのは、KPI と KCI の違いではありますが、一般的な違いではありません。KPI と KCI は、管理策またはセーフガードのタイプと性質に応じて、手動管理策と自動管理策の両方を測定できます。堅牢な KCI プログラムによって KPI を測定する必要がなくなるというのは、KPI と KCI が相互に排他的でも代替可能でもないという誤解です。 KPI と KCI は、組織またはチームのパフォーマンスとリスク管理に関する異なるが関連した情報を提供するため、互いに補完し、サポートし合います。
KCIは運用レベルで適用され、KPIは戦略レベルで適用されます。これはKPIとKCIの違いですが、普遍的な違いではありません。KPIとKCIは、測定と評価の範囲と目的に応じて、組織またはチームのさまざまなレベルで適用できます。参考資料：主要業績評価指標（KPI）：定義、種類、および例、主要管理指標 - ISACA、主要管理指標：概要と使用方法、主要業績評価指標と主要管理指標：違いは何ですか？
[CRISC レビューマニュアル 第 7 版]

説明/参照:
Explanation:
環境におけるリスクに影響を与える対策を選択して実施するプロセスをリスク処理と呼びます。
誤った回答:
C: リスクを分析し評価するプロセスをリスク評価と呼びます。
D: リスク管理とは、組織内のリスクの処理を指導および制御するための調整された活動です。