過去のリスクイベントのレビューは、リスク管理ライフサイクルにおけるリスク評価プロセスにおいて最も有用です。リスク評価とは、プロジェクトまたは組織に影響を及ぼす可能性のあるリスクを特定、分析、評価するプロセスです1。過去のリスクイベントのレビューは、以下のことに役立ちます。
* 過去のリスクの原因、発生源、結果を特定し、過去のプロジェクトや組織の成功と失敗から学ぶ
* 過去のデータと傾向に基づいて潜在的なリスクの可能性と影響を分析し、統計的手法またはモデルを使用してリスクシナリオの確率と重大性を推定します。
* リスクの露出レベルを評価し、それをプロジェクトまたは組織のリスク選好および許容度と比較し、さらなる注意や行動を必要とするリスクを優先順位付けします。
* 過去のリスクイベントを、ブレインストーミング、チェックリスト、インタビュー、アンケート、SWOT分析、根本原因分析、モンテカルロシミュレーションなどのリスク特定および分析手法の入力または例として使用する2 参考文献 = リスクおよび情報システム管理研究マニュアル、第5章：リスク評価プロセス3

導入後の統制レビューの主な目的は、統制が意図したとおりに機能していることを検証することです。これにより、統制がリスク軽減において効果的かつ効率的であること、そして統制の目的と要件を満たしていることを確認できます。また、導入後の統制レビューは、統制運用中に発生する可能性のある問題やギャップを特定して対処し、統制のパフォーマンスと影響を監視および評価するのにも役立ちます。導入後の統制レビューは、統制の所有者と利害関係者にフィードバックと情報を提供し、統制の設計と実装を適宜調整できるようにします。参考資料 = CRISC試験のよくある質問。CRISC：リスクおよび情報システム統制認定試験のサンプル問題、質問254。ISACAリスクおよび情報システム統制認定試験（CRISC）の質問と回答、質問254。CRISC by Isaca実際の無料試験Q&A、質問9。

セクション: 巻A
Explanation:
アクティビティ期間見積りのレビューは、アクティビティまたはプロジェクト全体の時間的余裕に関連するリスクを識別するのに役立ち、範囲の幅によってリスクの程度が示されます。
誤った回答:
B: アクティビティ コスト見積りのレビューは、スケジュールされたアクティビティを完了するために予想されるコストを定量的に評価し、範囲で表現され、範囲の幅によってリスクの度合いが示されるため、リスクを特定する上で役立ちます。
C: リスクマネジメント計画とは、プロジェクトマネージャーが、リスクの有効性を推定し、予測し、リスクを軽減するための対応計画を策定するために作成する文書です。リスク評価マトリックスも含まれています。
D: スケジュール上の不測の事態がどのように報告され、評価されるかを説明します。

予測残留リスクを示すことは、既存のリスク対応計画が年度末のリスク状況にどのような影響を与えるかを説明する上で最も効果的な方法です。残留リスクとは、リスク対応を実施した後に残るリスクのレベルです1。予測残留リスクとは、リスク対応の想定と期待に基づいて、将来のある時点で残ると推定されるリスクのレベルです2。予測残留リスクを示すことで、リスク担当者は以下のことが可能になります。
* リスク対応計画の有効性と効率性を示し、それによってリスク レベルが固有リスク (リスク対応前のリスク) から残留リスクにどのように低減されるかを実証します3。
* 予測される残留リスクを、リスク選好度およびリスク許容度と比較します。リスク選好度およびリスク許容度とは、組織が目標達成のために受け入れる、または追求する意思のあるリスクの量と種類です4。これにより、予測される残留リスクが許容可能かどうか、またリスク対応計画がリスクレベルと一貫性があり、比例しているかどうかを判断するのに役立ちます5。
* 予測された残留リスクの達成に影響を与える可能性のあるギャップ、問題、課題を特定して対処し、適切な改善措置または緊急時対応計画を推奨して実装します6。
その他のオプションは、次の理由により、リクエストに応答するための最も役立つ方法ではありません。
* 統制を整備せずにリスクを評価することは、組織の現在および将来のリスク状況を反映していないため、最も有益な方法とは言えません。統制とは、リスクの防止、検知、是正、緩和など、リスクを修正するために実施される対策または行動です7。統制を整備せずにリスクを評価することは、固有のリスクを測定するのに役立ちますが、リスク対応計画の影響や成果を示すことはできません。
* ピアベンチマークの結果を提供することは、組織固有のリスクプロファイルを反映していないため、最も役立つ方法とは言えません。ピアベンチマークとは、共通の基準または指標8に基づいて、組織のリスクレベルとパフォーマンスを同業他社や競合他社と比較するプロセスです。ピアベンチマークの結果を提供することは、リスク管理態勢の参考資料や基準を提供するのに役立ちますが、リスク対応計画の効果や結果を示すものではありません。
* 現行の統制下でリスク評価を行うことは、組織の将来または予測されるリスク状況を反映していないため、最も有益な方法とは言えません。現行の統制下でリスク評価を行うことは、現在の残存リスクを測定するのに役立ちますが、年度末における予想または推定残存リスクを示すものではありません。
参考文献
* 残留リスク - CIO Wiki
* 予測残余リスク - CIO Wiki
* リスク対応計画 - CIO Wiki
* リスク選好とリスク許容度 - CIO Wiki
* リスク選好：それが何であるか、そしてなぜそれが重要なのか - ガートナー
* リスク監視とレビュー - 全米科学アカデミー出版
* コントロール - CIO Wiki
* ベンチマーク - CIO Wiki
* [リスク対応 - CIO Wiki]