リスク管理担当者は、導入する新しい統制の費用対効果を検証し、それが企業のリスク許容度と戦略に合致し、ビジネスに価値をもたらすことを確認する必要があります。他の選択肢は、新しい統制の費用対効果の検証ほど重要ではありません。その理由は以下のとおりです。
* オプション A: リスク レジスタを更新することは良い方法ですが、新しい制御が有効かつ効率的であるという保証は得られません。
* オプション B: プロジェクトのリスク監視が開始されていることを確認することも良い方法ですが、プロジェクトが終了する前に実行する必要がある新しい制御の費用対効果の検証ほど緊急ではありません。
* オプションC：プロジェクトは既に完了しており、新しい統制も導入されているため、BIAの実施と文書化は本シナリオには該当しません。参考文献：リスクおよび情報システム統制研究マニュアル、第7版、ISACA、2020年、184ページ。

セクション: 巻D

リスク選好とは、組織が目標を達成するために受け入れるリスクの量と種類です。
リスク選好度は定性的または定量的に表現することができ、
状況とステークホルダーに応じてリスク選好度を定義し、伝達する必要がある。リスク選好度は、上級管理職または
取締役会は、取締役会の決定と行動を全社的に導くべきである。
組織。プロジェクトチームが確立されたリスク許容度を超えるリスクを受け入れた場合、リスクは
実務家にとって最善の行動は、リスク決定をプロジェクトスポンサーにエスカレーションしてレビューしてもらうことです。つまり、
リスク管理担当者は、リスクの受容とその根拠をプロジェクトスポンサーに報告する必要がある。
プロジェクトに必要なリソースとサポートを提供し、その成功に責任を負う個人またはグループ。
プロジェクトスポンサーはリスク決定をレビューし、それが組織の目標と一致しているかどうかを判断する必要があります。
目標と戦略、およびさらなる承認や措置が必要かどうか。参考資料 = リスクと
情報システム制御研究マニュアル、第1章、セクション1.3.1、p.25-26

セクション: 巻D