主要リスク指標（KRI）は、企業に関連するリスクのレベルを測定および監視するために使用される指標です。
組織内の特定のプロセス、活動、またはシステム1。KRIは通常、リスク管理で使用されます。
潜在的なリスクの早期警告サインを提供し、組織がそれらのリスクを軽減するための積極的な措置を講じるのを支援する。
リスク。KRIは定量的かつ測定可能なように設計されており、組織はリスクの変化を追跡できる。
時間の経過に伴うレベルの変化と、リスクの増大の可能性を示唆する傾向やパターンを特定します。
マイナスのセキュリティ投資収益率（ROI）は、KRIとして最も有益である。
組織はセキュリティに、生み出したり保護したりする価値よりも多くの費用を費やしています。セキュリティがマイナスになるということは、
ROIは、組織がセキュリティに過剰投資しているか、セキュリティ資産を十分に活用していないかのいずれかを示唆しています。
または、セキュリティの価値を低下させる重大なセキュリティ脅威やインシデントに直面している。セキュリティROIがマイナスになると、
組織にセキュリティ戦略、予算、パフォーマンスを見直し、それに応じて調整するよう警告する
セキュリティROIを最適化し、リスクエクスポージャーを削減すること2。現在の資本配分準備金は、最も
KRIとしては有益ではない。特定のプロセスに関連するリスクのレベルを直接測定するものではないためである。
活動、またはシステム。資本配分準備金とは、組織が確保する資本の額である。
事業活動から生じる潜在的な損失や負債をカバーするために、資本配分準備金は、
組織全体のリスク選好度と許容度は示されているが、その情報源に関する具体的な情報は提供されていない。
組織が直面するリスクの種類、影響3. プロジェクトコストの差異は、
KRI は、特定のプロセス、アクティビティ、またはシステムに関連するリスクのレベルを直接測定するものではないためです。
プロジェクトコスト差異とは、プロジェクトの実際のコストと計画コストの差です。プロジェクトコスト
差異はプロジェクトのパフォーマンスや効率性を示すかもしれないが、具体的な内容は提供しない。
プロジェクトの目的、範囲、品質、スケジュールに影響を与える可能性のあるリスクに関する情報4. 年間損失
予測は、関連するリスクのレベルを直接測定するものではないため、KRIとしてはあまり有益ではない。
特定のプロセス、活動、またはシステムに関連する損失。年間損失予測は、潜在的な損失の推定値です。
組織が様々なリスクイベントにより年間に被る可能性のある損失。年間損失予測は
組織がリスク管理活動を計画し予算を立てるのに役立つが、具体的な内容は提供していない。
発生する可能性のあるリスク事象の可能性、頻度、または重大性に関する情報5. 参考文献 = 1: 主要なリスク
指標 - Wikipedia2: 主要リスク指標とは？3: 資本配分 - 概要、重要性、そして
方法4: プロジェクトコスト差異: 定義、計算式、例5: [年間損失予測値 (ALE)
- 定義、公式、例]

ITリスク管理フレームワークは、ITリスク管理を導き、サポートする原則、プロセス、実践の集合体です。
IT関連リスクの特定、分析、評価、処理、監視、および伝達
組織12.
ITリスク管理フレームワークを導入する主な利点は、信頼できる
リスクを認識した意思決定の基盤となり、組織は潜在的な利益と
IT の利用による悪影響を認識し、それに応じてリソースを割り当て、行動の優先順位を付ける12。
リスクを認識した意思決定のための信頼できる基盤は、以下の要素で構成されます12。
ITリスク、その発生源、影響、対応に関する共通言語と理解
ITリスクの特定、分析、評価、および処理に対する一貫性のある構造化されたアプローチ
ITリスク管理のための明確で透明なガバナンス構造と説明責任
組織のリスク選好を反映した包括的かつ最新のITリスク登録簿とプロファイル
許容範囲
関連性のあるタイムリーな情報を提供する定期的かつ効果的なITリスク監視および報告プロセス
ステークホルダーへ
フィードバックと教訓を取り入れた継続的かつ積極的なITリスク改善プロセス
他の選択肢は主な利点ではなく、むしろ、
ITリスク管理フレームワーク。例：
関連する法的および規制上の要件への準拠は、ITリスクの実装の結果である。
組織が義務を果たし、罰金や損害を回避することを保証する管理フレームワーク
制裁12.
組織内の管理の改善と損失の最小化は、ITリスク管理の導入によるメリットです。
IT 関連のインシデントやイベントの発生確率と影響を軽減する管理フレームワーク12。
ビジネス目標とIT目標の整合は、ITリスク管理を導入するメリットである。
IT戦略と活動が組織の使命と目標をサポートすることを保証するフレームワーク
vision12. 参考文献
1: リスク IT フレームワーク、ISACA、2009 年
2: ITリスク管理フレームワーク、トロント大学、2017年

ERM - ステップ3 - リスク処理の記事によると、リスク移転は次のようなリスク処理オプションです。
リスクの所有権および/または責任を保険会社、請負業者、または
サプライヤー。リスク移転は通常、組織が能力やリソースを持っていない場合に採用されます。
リスクを内部で管理する場合、またはリスク移転のコストがリスクを保持するコストよりも低い場合
リスク。このケースでは、組織はリース支払いプロセスを、専門知識を持たないサービスプロバイダーにアウトソーシングしています。
必要な規制基準への準拠の証拠。これは、組織が
リース料の支払いを確実にする責任を負うサービスプロバイダーへの不遵守リスク
プロセスは規制要件を満たしています。したがって、答えはBです。移転。参考資料 = ERM - ステップ3 -
リスク処理

説明/参照:
Explanation:
0 存在しない: 企業のリスク管理能力の成熟度レベルが 0 となるのは次の場合です:
企業はリスク管理やビジネスへの影響を考慮する必要性を認識していない

ITリスクから。
リスクを伴う決定には信頼できる情報が欠けています。

リスク管理と企業リスクとの統合に関する外部要件の認識

管理（ERM）が存在しません。
誤った回答:
A、C、D：これらはすべて、リスク管理能力成熟度モデルのより上位レベルであり、企業はこれらのレベルにおいてリスク認証情報を考慮した意思決定を行っています。さらに、これらのレベルでは、企業はリスク管理に関する外部要件を認識し、ERMと統合しています。