リスク受容に必要な手続は？JIS Q 27001で誰が承認するか

正解はアです

選択肢ごとの解説

1. ○ア  受容するリスクについては，リスク所有者が承認すること
   この肢は、受容するリスクをリスク所有者が承認する、と言っています。規格は、リスク対応計画と、受け入れる残留リスクの両方について、リスク所有者の承認を求めています。リスク所有者とは、そのリスクに責任と権限を持つ人です。この人が受容を決めれば、判断の責任の所在がはっきりします。したがって、正しい説明です。
2. ×イ  受容するリスクを監視やレビューの対象外とすること
   この肢は、受容したリスクを監視やレビューの対象から外す、と言っています。しかし、リスクは状況によって大きくなったり、新しく発生したり、消えたりします。そのため、受容したリスクも残留リスクとして監視とレビューを続ける必要があります。したがって、誤りです。
3. ×ウ  リスクの受容は，リスク分析前に行うこと
   この肢は、リスク分析の前に受容する、と言っています。しかし、受容するかどうかは、分析と評価の結果をリスク受容基準と照らして決めます。分析をしなければ、判断のもとになる情報がそろいません。したがって、順序が逆であり、誤りです。
4. ×エ  リスクを受容するかどうかは，リスク対応後に決定すること
   この肢は、受容するかどうかをリスク対応の後に決める、と言っています。しかし、受容はリスク対応の選択肢の一つです。そのため、リスク対応のプロセスの中で決めます。対応が終わるのを待つ必要はありません。したがって、誤りです。