説明/参照:
Explanation:
リスクは常に変化するため、毎年、または重大な変化があった際に評価が行われます。これは、1年間という合理的な期間を考慮しつつ、重大な変化（もしあれば）にも対応できるため、最適な選択肢となります。
誤った回答:
A: 大きな変化があった場合にのみリスクを評価すると、時間の影響は考慮されません。
リスクは常に変化しているため、時間の経過とともに全体的なリスクに影響を及ぼす小さな変化が発生します。
したがって、リスク評価も毎年行う必要があります。
B: 重大な変化が発生した場合、年に一度のリスク評価だけでは不十分です。この重大な変化は全体的なリスクに影響を与えるため、考慮する必要があります。
D: 重要なプロセスについては、重要な変更にタイムリーに対応していないため、4 ～ 6 か月ごとにリスク評価を行う必要はありません。

セクション: 巻D
Explanation:
変更要求ログには、すべての変更要求のステータス（承認済みまたは拒否済み）が記録されます。
変更要求ログは、変更要求の記録として、また、変更要求の状況を常に追跡するための手段として使用されます。変更要求ログは、変更管理プロセスの一貫性を確保するための手段となります。プロセスへの共通の入力を促し、すべての変更要求に対する共通の見積りアプローチとなります。ログはプロジェクト要件の重要な構成要素であるため、プロジェクトの実施を担当するプロジェクトチームメンバーが容易に利用できるようにする必要があります。ログは、プロジェクトの変更要求の承認または不承認の責任を負わないメンバーのみが読み取り専用でアクセスできるファイルに保管する必要があります。
誤った回答:
B: プロジェクトアーカイブにはすべてのプロジェクト文書が含まれており、プロジェクトまたはフェーズの終了プロセスを通じて作成されます。この質問には最適な選択肢ではありません。
C: 教訓は、拒否された、または承認された変更要求のステータスを文書化するのに適した場所ではありません。
D: プロジェクト ドキュメントの更新は、これをプロジェクト ドキュメントに具体化するための最適な選択肢ではありませんが、拒否された変更は変更要求ログの一部になります。

リスク選好度とは、組織が目標を達成するために受け入れるリスクの量と種類を指します。リスク選好度は、組織のリスクに対する姿勢と、特定のシナリオにおいてリスクを引き受ける意思を反映しています。リスク選好度は通常、取締役会によって承認された定性的なステートメントで表現されます1。
リスクキャパシティとは、組織が財務の安定性やその他の重要な目標を損なうことなく、責任を持って引き受けることができるリスクの最大量です。リスクキャパシティは、収入、資産、負債、債務、保険の適用範囲、扶養家族、時間軸といった客観的な要因によって決定されます。リスクキャパシティは通常、組織が対応できるリスクの限界を示す定量的な指標で表されます2。
慎重なビジネス慣行では、リスク選好度がリスクキャパシティを超えないことが求められます。これは、組織が許容できる、あるいは維持できる以上のリスクを負うことを意味するためです。リスク選好度がリスクキャパシティを上回った場合、組織は倒産、倒産、評判の失墜、法的責任、規制上の制裁といった深刻な結果に直面する可能性があります。したがって、組織はリスク選好度をリスクキャパシティと整合させ、リスクエクスポージャーがリスク許容度3の範囲内に収まるようにする必要があります。
他の選択肢は正しくありません。固有リスクとは、統制や軽減策がない場合に存在するリスクのレベルです。これは、プロセスまたは活動に内在する自然なリスクレベルです。残余リスクとは、統制や軽減策を適用した後に残るリスクのレベルです。これは、リスク対応を実施した後に残るリスクです。リスク許容度とは、特定の目標またはリスクに関連する結果の許容可能な変動です。これは、組織が受け入れる準備ができているリスクエクスポージャーの範囲です4。これらの概念はいずれもリスク選好と直接比較できるものではなく、組織が引き受けることができるリスクの限界を表すものもありません。参考文献 = リスク選好とリスク許容度：違いは何ですか？ - ISACA リスク許容度とリスクキャパシティの違いは何ですか？ - Investopedia リスク管理：リスクキャパシティ、リスク選好、リスク許容度の理解 - Consulting Edge
[CRISC レビューマニュアル 第 7 版]

リスクオーナーの承認により、変更内容の説明責任が確保され、企業のリスク管理戦略との整合性が確保されます。これは、リスク軽減活動の管理を維持するために不可欠な、リスクオーナーシップとガバナンスの原則の遵守を反映しています。