詳細説明：例外の数が多い場合、多くの場合、ポリシーとビジネスニーズの間に不一致が生じています。ポリシーを見直すことで、制限が厳しすぎるか、セキュリティを維持しながら例外を減らすための調整が必要かどうかを判断できます。

セクション: 巻B
説明/参照:
Explanation:
故障モード影響分析は、影響の大きいリスクの種類を発見するために使用されます。
FMEA:
* シックス シグマ手法で使用されるツールの 1 つであり、次のような堅牢なプロセスを設計および実装します。
- 故障モードを特定する
- リスクの優先順位を設定し、リスクに対処して軽減するための是正措置を講じることができるようにすること
- プロセスのどこで障害の原因が（内部または外部の）顧客に影響を与えるかを特定し、文書化するのに役立ちます。
- 障害モードを特定し、プロセスによってもたらされるリスク、ひいては企業全体に及ぶリスクを評価するために使用されます。誤った回答:
A、D: これら2つはリスク分析手法ですが、影響度の高いリスクの種類に特化したものではありません。したがって、最適な回答ではありません。
B: デルファイ法は潜在的なリスクを特定するための手法です。この手法では、次のような質問を通して回答を収集します。
参加者からの入力は内容に応じて整理されます。収集された回答は、更なる情報提供、追加、コメントのためにこれらの専門家に送り返されます。その後、プロジェクトにおける最終的なリスクリストが作成されます。この手法の参加者は匿名であるため、個人がグループ内の他のメンバーに過度の影響を与えるのを防ぐことができます。デルファイ法は、迅速な合意形成に役立ちます。

ITリスク評価は、経営陣が意思決定のための情報として活用するのに最適です。
組織のITシステム、ネットワーク、および組織が直面している現在のリスクと潜在的なリスクに関する貴重な情報
データとそれが組織の目標とパフォーマンスに与える影響。ITリスク評価は、
最も重要かつ関連性の高いリスクを特定し、優先順位を決定し、最も効果的なリスクを評価し、選択する。
適切かつ効果的なリスク対応。ITリスク評価は、経営陣がリスク配分を行い、
ITリスク管理のためのリソースと予算を最適化し、リスクの状況を伝達し報告し、
経営幹部、取締役会、その他の利害関係者にパフォーマンスを報告します。ITリスク評価は
経営陣が機会と利益の両方を考慮した情報に基づいたバランスの取れた意思決定を行えるよう支援する。
IT関連の活動と投資の脅威。参考文献 = ITリスクマネジメント完全ガイド1

組織の災害復旧プログラムの有効性を最もよく測定する主要業績評価指標 (KPI) は、復旧時間目標 (RTO) 内に復旧された重要なシステムの割合です。
RTOとは、業務プロセスまたはシステムの中断後に復旧しなければならない許容可能な時間枠です。RTO内で復旧した重要なシステムの割合は、災害復旧プログラムが事業継続要件をどの程度満たし、中断の影響を最小限に抑えられるかを示します。
その他の選択肢は、災害復旧プログラムの有効性ではなく、災害復旧プログラムの効率、品質、または範囲に関連するため、RTO内での重要システムの復旧率ほど適切ではありません。参考文献 = リスクおよび情報システム管理研究マニュアル、第4章
リスクと管理の監視と報告、セクション 4.2: 主要業績評価指標、183 ページ。

組織にリスク受容フレームワークを提案する際に、リスク管理担当者が考慮すべき最も重要な点は、リスク受容を承認する権限を持つ個人または役割を明確に定義することです。これにより、プロセスが適切に管理され、説明責任が果たされ、組織のリスク管理ポリシーと整合したものになります。
* リスク受容フレームワーク:
* 目的：リスク受容フレームワークは、リスクを受容するかどうかを判断するための構造化された基準とプロセスを提供します。これには、組織のリスク選好度とリスク許容度に照らしたリスクの評価が含まれます。
* 承認：リスクを受け入れる権限を持つ人物を特定することは非常に重要です。これにより、組織のリスク許容度と戦略目標に関する適切な知識、経験、そして理解を持つ人物のみが、これらの意思決定を行えるようになります。
* 承認された個人の重要性:
* 説明責任：リスク受容に関する役割を明確に定義することで、説明責任が確保されます。意思決定を行う者が結果に責任を持ち、自らの意思決定が及ぼす潜在的な影響を理解することが不可欠です。
* 一貫性: 特定の役割を定義することで、組織はリスク受け入れの決定における一貫性を確保し、アドホックまたは一貫性のないリスク管理慣行の可能性を減らします。
* 戦略との整合性: 承認された個人は通常、組織の戦略目標を理解し、リスクの受け入れがこれらの目標と一致することを保証する個人です。
* 参考文献:
* CRISC レビュー マニュアルでは、リスクの受け入れは組織内で適切なレベルの権限と責任を持つ個人によって正式に承認される必要があることを強調しています。
* ISACA のガイドラインによれば、効果的なリスク管理フレームワークには、適切な監視と組織目標との整合性を確保するために、誰がリスクを受け入れることができるかを明確に定義する必要があります。