セクション: 巻D
Explanation:
これらは発生確率が高く、影響度の高いリスクを示すため、定期的に監視されます。リスクは時間の経過とともに変化するため、KRIもこれらの変化するリスクに対する有効性について定期的に監視する必要があります。
誤った回答:
A、B、C：これらはすべてKRIに当てはまります。重要リスク指標（KRI）は、企業の主要な監視指標です。
KRIは関連性が高く、重要なリスクを予測または示唆する高い確率を有します。KRIは、大規模企業において管理・報告すべきリスク指標の数が多すぎる状況を回避するのに役立ちます。
KRI の完全なセットでは、リスクとその影響を完全に示すために、リスク、根本原因、ビジネスへの影響の指標もバランスをとる必要があります。

リスク管理担当者にとって最善の行動は、機械学習モデルの設計を統制目標に照らしてレビューすることです。これは、統制手段としてのモデルの適合性、有効性、信頼性を評価するのに役立ちます。機械学習モデルは、データから学習し、データに基づいて予測や意思決定を行うことができる人工知能の一種です。機械学習モデルは、過剰なアクセス権限の特定、不正アクセスの検出、アクセス権の推奨など、アクセス管理プロセスの自動化や強化に使用できます。しかし、機械学習モデルは、データ品質、モデルの精度、モデルのバイアス、モデルの説明可能性、モデルのセキュリティ、モデルのガバナンスなど、新たなリスクや課題ももたらします。したがって、リスク管理担当者は、機械学習モデルの設計を統制目標に照らしてレビューする必要があります。統制目標とは、統制によって達成しようとする具体的な目標または成果です。統制目標は、ITリスク管理戦略、ITガバナンスフレームワーク、ITポリシーと標準、そして規制要件から導き出すことができます。機械学習モデルのレビューは、以下の側面をカバーする必要があります。 - データ ソースと入力: リスク担当者は、機械学習モデルのトレーニングとテストに使用されるデータが、関連性があり、完全で、正確で、一貫性があり、アクセス管理プロセスとアクセス権を反映していることを確認する必要があります。また、リスク担当者は、データが安全かつ準拠した方法で収集、保存、処理、送信され、データのプライバシーと機密性が保護されていることも確認する必要があります。 - モデルのアルゴリズムと出力: リスク担当者は、モデル アルゴリズムがアクセス管理プロセスと制御目標に対して適切で、堅牢で、透明性があることを検証する必要があります。さらに、リスク担当者は、モデルの出力が正確で、信頼性が高く、解釈可能であり、アクセス管理プロセスと制御目標にとって有意義で実用的な洞察や推奨事項を提供していることも評価する必要があります。 - モデルのパフォーマンスと監視: リスク担当者は、制御目標と事前定義されたメトリックと指標に対して、モデルのパフォーマンスと有効性を測定および監視する必要があります。リスク管理担当者は、アクセス管理プロセスとアクセス権の変更を反映するためにモデルを定期的に更新・維持し、コンプライアンスと品質を確保するためにモデルを定期的に監査・レビューする必要があります。リスク管理担当者は、機械学習モデルの設計を統制目標に照らしてレビューすることで、モデルが目的に適合し、アクセス管理プロセスと統制目標に付加価値をもたらしていることを確認できます。また、リスク管理担当者は、機械学習モデルを統制手段として使用することで生じる可能性のある潜在的なリスクや問題を特定し、軽減することもできます。参考資料 = リスクおよび情報システム管理研究マニュアル、第 3 章: リスク対応と軽減、セクション 3.3: 管理の設計と実装、pp. 124-1271、ワークスペースでのロールの管理 - Azure Machine Learning2、データセット推論: Machine Learning における所有権の解決3

リスク シナリオに優先順位を付ける最も効果的なアプローチは、戦略計画への影響を評価することです。これは、リスク管理プロセスを組織のビジョン、ミッション、および目標と一致させるのに役立ちます。
戦略計画とは、組織の方向性、優先事項、目標を定義し、資源と取り組みの配分を導く文書です。戦略計画への影響を評価することで、組織はどのリスクシナリオが戦略目標の達成にとって最大の脅威または機会となるかを特定し、それに応じて優先順位を付けることができます。その他の選択肢は、以下で説明するように、組織の具体的な状況、ニーズ、期待に直接関連していないため、戦略計画への影響を評価するほど効果的ではありません。
* B. 業界のベストプラクティスに合わせることは、同じ業界またはセクターの同業他社や競合他社が確立し、遵守しているリスク管理に関する標準、規範、および期待事項に従うアプローチです。業界のベストプラクティスに合わせることで、組織のリスク管理のパフォーマンスと成熟度をベンチマークおよび比較し、改善または革新の余地を特定するのに役立ちます。ただし、このアプローチは、業界平均または標準とは異なる可能性のある、組織独自のカスタマイズされたリスクシナリオを考慮していないため、戦略計画への影響を評価するほど効果的ではありません。
* C. リスクマネジメントの専門家からの意見聴取は、リスクマネジメントに関する知識、経験、またはスキルを有する専門家やスペシャリストから助言、指導、またはフィードバックを求めるアプローチです。リスクマネジメントの専門家からの意見聴取は、リスク分析と評価の質と妥当性を高め、リスク軽減のための洞察と提言を提供するのに役立ちます。しかし、このアプローチは、組織のリスク選好、選好、期待を反映しておらず、リスクマネジメントの専門家の意見や視点とは異なる可能性があるため、戦略計画への影響を評価するほど効果的ではありません。
* D. リスク対応コストの評価は、リスクの回避、軽減、移転、受容といったリスク対応戦略の実施に必要な資源と労力を見積もるアプローチです。リスク対応コストの評価は、リスク管理の効率性と有効性を最適化し、リスクを取ることによる潜在的な利益とコストのバランスをとるのに役立ちます。しかし、このアプローチは、組織のパフォーマンスと評判に影響を与える可能性のあるリスクシナリオの潜在的な結果と成果を考慮していないため、戦略計画への影響を評価するほど効果的ではありません。参考文献 = リスクおよび情報システム管理学習マニュアル、第2章、セクション
2.3.1、45 ページ。リスクの優先順位付けの究極ガイド - Hyperproof、リスクの優先順位付け: それは何ですか?
[2021 ガイド＆マトリックス] - ERMソフトウェア、リスクの優先順位付けとは | Centraleyes、リスク管理におけるシナリオプランニング：なぜ必要なのか - SmartCompliance

シャドーIT利用のリスク評価において最も重要な要素は、不正なアプリケーションやデバイスによって処理、保存、または送信されるデータの分類です。これにより、データに必要な機密性、整合性、可用性のレベル、および侵害や損失の潜在的な影響が決まります。シャドーITのビジネスメリット、アプリケーション関連の費用、データ量は、リスク分析に影響を与える可能性のある要素としてはそれほど重要ではありませんが、データの分類ほどではありません。参考文献：『Risk IT Framework』第2版、28ページ、『CRISC Review Manual』第6版、98ページ。

説明/参照:
Explanation:
リスク指標は企業内の管理ポイントに設置され、データ収集に使用されます。収集されたデータは、そのポイントにおけるリスクレベルを測定するために使用されます。また、潜在的に危険な状況を示唆する可能性のあるイベントやインシデントを追跡します。
リスク指標は、ログ、アラーム、レポートなどの形式で提供されます。リスク指標は、内部環境と外部環境における様々なパラメータに基づいて選択されます。例えば、以下のようなパラメータが挙げられます。
企業の規模と複雑さ

企業が事業を展開する市場の種類

企業の戦略の焦点

誤った回答:
C: さまざまなリスク対応を適用する際には、リスク選好度とリスク許容度が考慮されます。