IT部門がデータセンターを海外拠点にアウトソーシングするのではなく、社内に維持することを決定した場合、リスク登録簿に反映されるべきリスク対応はリスク回避です。リスク回避とは、リスクの発生源を排除するか、活動計画や範囲を変更することでリスクを完全に回避するリスク対応戦略です。リスク回避は、リスク発生の可能性を排除することで、リスクへの露出と影響をゼロに抑えるのに役立ちます。この場合、IT部門は、データセキュリティ、法令遵守、サービス品質、コミュニケーション、文化的な問題など、様々な脅威、脆弱性、不確実性を伴う可能性のあるデータセンターを海外拠点にアウトソーシングするリスクを回避します。データセンターを社内に維持することで、IT部門はデータセンターの管理と所有権を維持し、アウトソーシングに伴う潜在的なリスクを排除します。リスク軽減、リスク受容、リスク移転は、IT部門による実際の決定と行動を反映しておらず、リスクの源や発生を排除するものではないため、適切なリスク対応ではありません。参考文献 = CRISC レビューマニュアル、第 6 版、ISACA、2015 年、51 ページ。

CRISC 351-400 トピック3 フラッシュカードによると、リスク分析に一般的なITリスクシナリオセットを使用する場合の最大の懸念は、リスク要因が組織に関連しない可能性があることです。これは、一般的なリスクシナリオが組織の具体的な状況、目標、環境に合わせて調整されておらず、組織が直面する固有の脅威、脆弱性、および影響を捉えきれない可能性があるためです。
したがって、一般的なリスクシナリオを使用すると、リスク評価と分析が不正確または不完全になり、効果的または不適切なリスク対応につながる可能性があります。これを回避するには、組織はリスクシナリオを自らの状況とニーズに合わせてカスタマイズし、関連するステークホルダーと専門家をプロセスに関与させる必要があります。参考資料：CRISC 351-400 topic3 フラッシュカード、リスク分析のための一般的なITリスクシナリオ：
最大の懸念

セクション: 巻D

内部監査は、取締役会と上級管理職に対し、内部監査の有効性について独立した保証を提供する。
ガバナンスと保証の原則に準拠したリスク管理プログラムの実装。