エンタープライズITリスク管理とは、組織の目標、業務、または資産に影響を及ぼす可能性のあるIT関連リスクを特定、分析、評価、および対処するプロセスです1。エンタープライズITリスク管理は、組織全体のリスク管理フレームワークおよび戦略と整合し、組織の価値創造と保護を支援する必要があります2。
企業のITリスク管理を評価する際には、組織のリスク選好度とリスク許容度を確認することが最も重要です。リスク選好度とは、組織が戦略目標を達成するために受け入れるリスクの量と種類です3。リスク許容度とは、組織がリスク選好度に関して許容できる変動の許容レベルです4。組織のリスク選好度とリスク許容度を確認することで、評価において以下のことが可能になります。
* 企業のITリスク管理が組織のリスク文化とビジョンと一貫性があり互換性があることを確認する
* ITリスクとその影響を評価し、優先順位を付ける明確で測定可能な基準と境界を提供する
* リスク軽減のコストと利益のバランスをとる適切なリスク対応と管理の選択と実装を指導する
* IT リスクのパフォーマンスと結果の監視と報告、および必要に応じて IT リスク戦略と目標の調整を可能にする5 参照 = エンタープライズ IT リスク管理 - ISACA、エンタープライズ リスク管理 - Wikipedia、リスク アペタイト - COSO、リスク許容度 - COSO、リスク アペタイトと許容度 - IRM

統制評価とは、統制の設計と有効性を評価するプロセスです。
リスクを軽減するために実施される。コントロール評価は、データ損失の根本原因、
既存の管理策と、管理環境を改善するための潜在的な解決策。管理評価
システム内でデータ損失の可能性が高いことが判明した後に実施するべきである。これは貴重な情報を提供する可能性がある。
リスク対応と報告のための情報。参考文献 = リスクと情報システム管理研究
マニュアル、第 3 章「リスク対応と軽減」、セクション 3.2「制御評価」、p. 147-149。

リスク選好度を決定する上で最も重要な要素は、経営陣の合意を得ることです。これは、組織が目標達成のために受け入れるリスクの量と種類について、経営陣と取締役会の合意と支持を得ること、そして組織全体におけるリスク選好度の整合性と一貫性を確保することを伴うためです。その他の選択肢は、リスク選好度の決定というよりも、リスクの評価、ベンチマーキング、または特定にそれぞれ関連するため、最も重要な要素ではありません。参考文献：CRISCレビューマニュアル第7版、109ページ。

セクション: 巻D