リスクファイナンシングとは何か、リスク低減との違いを整理
情報セキュリティマネジメント試験 平成31年度春期 午前 問5 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
リスク対応のうち，リスクファイナンシングに該当するものはどれか。
- ア
システムが被害を受けるリスクを想定して，保険を掛ける。
- イ
システムの被害につながるリスクの顕在化を抑える対策に資金を投入する。
- ウ
リスクが大きいと評価されたシステムを廃止し，新たなセキュアなシステムの構築に資金を投入する。
- エ
リスクが顕在化した場合のシステムの被害を小さくする設備に資金を投入する。
会話形式の解説
講師今回はリスク対応の分類の問題です。注目してほしいのは、どの選択肢にもお金が出てくることです。お金を何のために使うのかを見ていきましょう。
受験者ファイナンシングという言葉から、お金を使う対策なら全部当てはまりそうに思えてしまいました。
講師そこがこの問題の引っかけです。リスク対応は大きく2つに分けて考えます。リスクそのものを小さくしたり避けたりする「リスクコントロール」と、損失が出たときに資金面で補う「リスクファイナンシング」です。このほかにリスク受容という考え方もありますが、本問ではこの2つの区別が大事です。
受験者では、保険を掛ける対応は、事故が起きた後の損失を保険金で埋めるためのものなので、ファイナンシングでしょうか。
講師そのとおりです。保険は被害の発生自体を防ぐわけではありません。損失を資金面で埋め合わせる備えなので、リスクファイナンシングに当たります。保険によるリスク移転は代表例です。
受験者リスクの顕在化を抑える対策に資金を投入するものは、起こる可能性を下げる予防なので、リスク低減ですね。
講師はい。お金は使っていても予防のための支出なので、リスクコントロールに分類されます。
受験者リスクの大きいシステムを廃止して新しく作り直す選択肢は少し迷いました。新システムに資金を入れているので。
講師廃止はリスクの源を取り除く「リスク回避」で、リスクコントロールの一種です。構築に資金を投入していても、目的は損失の補填ではありません。
受験者被害を小さくする設備に投資する選択肢も、リスクが起きた後の話なのでファイナンシングに近いと感じました。
講師事後の被害に関係するので紛らわしいですね。ただ、設備で影響そのものを軽くするのはリスク低減です。損失をお金で補うわけではないので、これもリスクコントロールです。
受験者お金を使うかどうかではなく、リスク自体に働きかけるのか、出た損失をお金で補うのかで見分ければよいということですね。
講師そうです。補足すると、外部の保険に頼らずに損失を自己資金で負担するリスク保有も、資金手当ての一種として扱われることがあります。保険は「移転」、廃止は「回避」、予防策や被害軽減の設備は「低減」と、対応の名前と結び付けて覚えておくと安心です。
まとめ
リスク対応は、リスクそのものに働きかけるリスクコントロールと、損失を資金面で補うリスクファイナンシングに分けて考えられます。保険を掛けて損失を保険金で補う対応は、リスクファイナンシングの典型例です。顕在化を抑える対策や被害を小さくする設備への投資はリスク低減、リスクの大きいシステムの廃止はリスク回避で、どちらもリスクコントロールに当たります。資金を投入するかどうかではなく、支出の目的が予防・軽減なのか損失の補填なのかで判断するのがポイントです。
解答・解説
正解はアです
この問題のテーマ
リスク対応の手段のうち、どれが「リスクファイナンシング」に当たるかを問う問題です。リスクを抑える対策と、損失に資金面で備える対策を区別できるかが問われています。
解き方の考え方
リスク対応は、リスクそのものを小さくしたり避けたりする「リスクコントロール」と、損失が出たときに資金面で補う「リスクファイナンシング」に分けて考えます。各選択肢について、お金を使う目的が「被害の予防・軽減」なのか「発生した損失の補填」なのかを見ます。損失の補填に当たるものがリスクファイナンシングです。
選択肢ごとの解説
- ○ア システムが被害を受けるリスクを想定して，保険を掛ける。保険を掛けるという対応は、事故が起きた後の金銭的な損失を保険金で補うための備えです。被害の発生そのものを防ぐわけではなく、資金面で損失を埋め合わせるので、リスクファイナンシングに当たります。保険を使ったリスク移転は、リスクファイナンシングの代表例です。
- ×イ システムの被害につながるリスクの顕在化を抑える対策に資金を投入する。リスクの顕在化を抑える対策への投資は、リスクが発生する可能性を下げる「リスク低減」です。お金は使っていますが、予防のための支出なのでリスクコントロールに分類されます。
- ×ウ リスクが大きいと評価されたシステムを廃止し，新たなセキュアなシステムの構築に資金を投入する。リスクの大きいシステムを廃止するという対応は、リスクの源を取り除く「リスク回避」に当たり、リスクコントロールの一種です。新しいシステムの構築に資金を投入していても、その目的は損失の補填ではありません。
- ×エ リスクが顕在化した場合のシステムの被害を小さくする設備に資金を投入する。被害を小さくする設備への投資は、リスクが顕在化したときの影響を軽くする「リスク低減」です。事後の被害に関係する対策ですが、損失を資金で補うものではないので、リスクコントロールに当たります。
補足
この問題の誤りの選択肢は、どれも「資金を投入する」と書かれているので、お金が絡むものをすべてファイナンシングと考えると迷いやすくなっています。エの「被害を小さくする」も事後の話に見えますが、設備で影響を軽くするのはリスク低減です。また、外部の保険に頼らず、損失を自己資金で負担するリスク保有も、資金手当ての一種として扱われることがあります。
POINT
- リスクファイナンシングは、リスクが顕在化したときの損失を資金面で補うための備えです。
- 保険を掛けてリスクを移転することは、リスクファイナンシングの典型例です。
- リスクの回避や低減は、リスクそのものに働きかけるリスクコントロールに当たります。
- 資金を投入するかどうかではなく、支出の目的が予防・軽減か損失の補填かで区別します。