説明/参照:
Explanation:
これはポジティブなリスク対応です。クラッシュは強化の一例です。ボーナスという報酬を得るために、プロジェクトを早期に完了する確率を高めているのです。強化はポジティブなリスクを保証するものではありませんが、イベントの発生確率は高めます。
誤った回答:
A: クラッシュはポジティブなリスク対応です。一般的に、クラッシュはリスクを増加させるものではなく、リスクを増加させるファストトラッキングなどの他の一般的なスケジュール圧縮手法と混同されることがよくあります。
C: これはエクスプロイトの例ではありません。エクスプロイトとは、発生するであろうポジティブなリスク反応を利用する行為です。
D: クラッシュするとコストが追加されますが、この場合、クラッシュは強化というポジティブなリスク対応の例です。

自動的には管理されない独立した部門リスク登録簿を維持することの最大の懸念は、
集約すると、経営陣がリスクプロファイルを正確に評価できなくなる可能性がある。リスクプロファイルとは、
組織が直面するリスクとそれが組織の目標に与える影響を全体的に把握するのに役立ちます。
経営陣がリスク管理の優先順位を決定し、リソースを割り当て、リスク選好とリスク管理目標を一致させる。
戦略。部門のリスク登録簿が集約されていない場合、経営陣は完全かつ
組織全体のリスクを一貫して把握できていない。重要なリスクを見逃したり、過大評価したり、
一部のリスクを過小評価したり、矛盾した、あるいは重複したリスク情報を持っている。これは、リスク管理の不備につながる可能性がある。
経営上の意思決定と結果。他の選択肢も懸念事項ではあるが、
リスクプロファイルを評価できない。参考文献 = リスクおよび情報システム管理研究マニュアル、
第 2 章「IT リスク評価」、セクション 2.2「IT リスク分析」、63 ページ。

ビジネスプロセスオーナーは、CRMシステムなど、ITシステムによってサポートされるビジネスプロセスに責任を負うステークホルダーです。ビジネスプロセスオーナーは、ビジネスプロセスとITシステムに関連するリスクとその対応を管理する権限と責任を有します。ビジネスプロセスオーナーは、新システムにおけるITセキュリティ管理の不十分さに起因する顧客データ漏洩のリスクを負うべきです。これは、ビジネスプロセスのパフォーマンス、機能、コンプライアンスに直接影響を与えるからです。その他の選択肢は、リスク管理プロセスにおける異なる役割や責任を伴うため、正解ではありません。
* 最高情報セキュリティ責任者（CIO）は、企業全体の情報セキュリティプログラムを監督し、情報セキュリティ管理者および実務者に指導と指示を与える上級役員です。CIOは、顧客データ漏洩のリスク管理においてビジネスプロセスオーナーに助言やサポートを提供する場合がありますが、リスクを自ら負うことはありません。
* 最高リスク管理責任者（CRO）は、企業全体のリスク管理プログラムを監督し、リスク管理者および実務担当者に指導と指示を与える上級役員です。CROは、顧客データ漏洩リスクの管理においてビジネスプロセスオーナーに助言や支援を行う場合がありますが、リスクを自ら所有するわけではありません。
* IT統制管理者は、新システムのITセキュリティ統制など、ITリスクを軽減するIT統制を設計、実装、監視する担当者です。IT統制管理者は、顧客データ漏洩のリスク管理についてビジネスプロセスオーナーに助言やサポートを提供する場合がありますが、リスクを自ら負うことはありません。参考文献：『リスクと情報システム統制研究マニュアル』第7版、第3章、セクション3.1.1.1、95～96ページ。

* IT 制御の自己評価は、組織内の管理者とスタッフが IT リスクを軽減するために設計および実装した IT 制御の有効性と効率性を識別および評価する手法です12。
* 効果的な管理とは、意図した目的や目標を達成しない、あるいは設計通りまたは期待通りに機能しない管理のことです34。
* 低残留リスクシナリオとは、既存の管理とその有効性を考慮した後、組織の目的、パフォーマンス、または価値創造に影響を及ぼす可能性と影響が低い状況または事象を指します56。
* 経営陣の IT 管理自己評価をレビューし、いくつかの低残留リスク シナリオにリンクする無効な管理に気付いた場合の次の行動は、経営陣に低リスク シナリオを受け入れることを推奨することです。これは、リスクの露出レベルを認識して許容し、リスクを軽減または排除するためのさらなる行動をとらないというリスク対応戦略です78。
* リスクの露出レベルが低く、許容範囲内であること、また、コントロールの実装や改善にかかるコストと労力が潜在的な利益や価値を上回る可能性があることを考慮すると、低リスクのシナリオを受け入れることが最も費用対効果が高く、合理的な選択肢であるため、経営陣に低リスクのシナリオを受け入れることを推奨することが次の行動方針となります78。
* 経営陣に低リスクのシナリオを受け入れるよう推奨することも、リスクを特定して対処するというリスク管理プロセスと目標と一致するため、次の行動方針となる。
* 組織の目標の達成とステークホルダーへの価値提供に影響を与え、リスクと報酬のバランスを最適化するために使用されます78。
* その他の選択肢は、次に取るべき行動そのものではなく、異なる状況やシナリオにおいて検討または実行できる可能性のある代替案または手順です。例えば、
* 経営陣のリスク許容度評価は、組織のリスク選好度、基準、および目標78に基づき、組織またはその事業部門にとって許容可能なリスクエクスポージャーのレベルを決定し、伝達するステップです。ただし、このステップは通常、リスク評価プロセスの前または最中に行われ、複数の低残存リスクシナリオ78に関連する効果的なコントロールの欠如が判明した後に行われるわけではないため、次のステップではありません。
* 軽減策の提案とは、リスクエクスポージャーのレベルを低減または排除し、リスク管理プロセスの有効性と効率性を向上させる追加または代替の対策を提案または推奨する一連の行動です78。ただし、この行動は、残留リスクが低いシナリオでは不要または適切ではないため、次の行動には適していません。対策の導入または改善にかかるコストと労力が、潜在的なメリットまたは価値を上回る可能性があるためです78。
* 統制に関連するリスクシナリオの再評価とは、リスクランドスケープに影響を与える現状または変化した状況や要因に基づき、リスクシナリオの発生確率と影響度、および組織のリスクエクスポージャーまたはリスク許容度を見直し、更新する一連の行動です78。ただし、この一連の行動は、低残存リスクシナリオには不要であり、関連性もありません。なぜなら、リスクエクスポージャーのレベルは既に低く許容可能であり、効果的な統制がリスク評価に大きな影響を与えないからです78。参考文献
* 1: 統制自己評価 - PwC1
* 2: 統制自己評価 - Wikipedia2
* 3: 効果のないコントロール：それが何であるか、そしてそれをどのように特定するか3
* 4: 効果のないコントロール：それが何であるか、そしてそれをどのように特定するか4
* 5: 残余リスク - 定義と例5
* 6: 残留リスク：定義、計算式、管理6
*7: リスク IT フレームワーク、ISACA、2009 年
* 8: ITリスク管理フレームワーク、トロント大学、2017年