GRC 評価を実施する際には、GRC 評価ツールのすべてのレビュー手順に厳密に従うのではなく、専門的な判断を下すことが重要です。これらのツールは有益なガイドラインとフレームワークを提供しますが、組織や状況はそれぞれ異なります。専門的な判断により、評価の特定の状況やニュアンスに合わせて手順を柔軟に調整できるため、より適切で効果的な結果が保証されます。参考文献:
* ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン
* 内部監査の専門的業務に関する IIA 基準

コンプライアンスは、最もよく「義務をどの程度果たしているかの尺度」と関連付けられます。コンプライアンスには、組織に適用される法律、規制、ポリシー、および標準の遵守が含まれます。コンプライアンスは、組織が法的、規制的、および倫理的義務を果たしていることを保証し、それによって罰金、法的問題、および評判の低下を回避します。コンプライアンス プログラムには、すべての義務が一貫して果たされていることを確認するためのポリシー、手順、トレーニング、監視、および監査が含まれます。参照:
* ISO 19600:2014 - コンプライアンス管理システム - ガイドライン
* NIST SP 800-37 Rev. 2 - 情報システムおよび組織のリスク管理フレームワーク

評価の計画段階では、完全なリスク評価と詳細なテストを実施する必要はありません。その代わりに、限られた情報収集と初期手順で、固有のリスクと制御リスクを推定し、計画を進めることができます。この初期推定は、評価の範囲と焦点を設定するのに役立ちます。詳細なテストと包括的なリスク評価は、実際の評価段階で実施できます。このアプローチにより、より効率的で柔軟な計画プロセスが可能になります。参考文献:
* ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン
* NIST SP 800-30 Rev. 1 - リスク評価の実施ガイド

リスクは、不確実性が目標に及ぼす望ましい影響の尺度として定義されます。ISO 31000 規格によると、リスクは「不確実性が目標に及ぼす影響」であり、プラス (機会) またはマイナス (脅威) のいずれかになります。この定義には、目標と目的の達成に影響を与える可能性のある不確実性が含まれます。
リスクとは、潜在的な損失だけではなく、リスクを取ることで得られる潜在的な利益も指すことを強調しています。参考文献:
* ISO 31000:2018 - リスク管理 - ガイドライン
* NIST SP 800-30 Rev. 1 - リスク評価の実施ガイド

評価を実施する際は、新しい情報が明らかになったときに柔軟性を保ち、実行計画を調整することが重要です。この適応型アプローチにより、問題や改善点の特定において、評価が適切かつ効果的であり続けることが保証されます。新しい発見にかかわらず、元の計画に固執すると、重要なリスクや管理に対処する機会を逃す可能性があります。新しい情報に基づいて手順を適切に調整すると、評価の全体的な品質と有効性が向上します。参考文献:
* ISO 19011:2018 - マネジメントシステムの監査に関するガイドライン
* COSO内部統制 - 統合フレームワーク