JIS Q 31000のリスク特定・分析・評価・対応の違いを整理する
情報セキュリティマネジメント試験 令和7年度 問1 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
JIS Q 31000:2019(リスクマネジメント－指針)におけるリスクマネジメントプロセスに関する記述のうち，適切なものはどれか。
- ア
リスク対応の意義は，プロセスの設計，実施及び結末の質及び効果を保証し，改善することである。
- イ
リスク特定の意義は，リスクに対処するための選択肢を選定し，実施することである。
- ウ
リスク評価の意義は，組織の目的の達成を助ける又は妨害する可能性のあるリスクを発見し，認識し，記述することである。
- エ
リスク分析の意義は，必要に応じてリスクのレベルを含め，リスクの性質及び特徴を理解することである。
会話形式の解説
講師今回は、JIS Q 31000:2019というリスクマネジメントの指針で、プロセスの各段階が何のために行われるかを問う問題です。選択肢ごとに、段階の名前とその説明が合っているかを確かめていきましょう。
受験者段階の名前は覚えているつもりですが、「分析」と「評価」はどちらも似た意味に聞こえて、区別があいまいです。
講師そこが一番の注目点です。まず流れを確認します。リスクアセスメント、つまりリスクを洗い出して判断するまでの一連の作業は、リスク特定、リスク分析、リスク評価の順に進みます。その後にリスク対応が続きます。
受験者そうすると、最初のリスク特定はリスクを見つける段階ですね。リスク特定の説明として「対処の選択肢を選んで実施する」と書かれた選択肢は、合っていない気がします。
講師そのとおりです。対処方法を選んで実行するのはリスク対応の役割です。リスク特定は、組織の目的の達成を助けるものも妨げるものも含めて、リスクを発見し、認識し、記述する段階です。
受験者その「発見し、認識し、記述する」という説明は、別の選択肢でリスク評価の説明として出てきています。これも名前が入れ替わっているということですか。
講師はい。リスク評価は、分析の結果をリスク基準、つまり組織があらかじめ決めた判断の物差しと照らし合わせて、追加の対応が必要かどうかを判断する段階です。リスクを見つけることは評価の役割ではありません。
受験者リスク対応の説明として「プロセスの質や効果を保証し、改善する」と書かれた選択肢はどうでしょうか。対応も改善も、手を打つという点では近いように思えます。
講師迷いやすいところですね。プロセスそのものの質や効果を保証し改善するのは、モニタリング及びレビューの役割です。リスク対応は、個々のリスクにどう対処するかを決めて実行する段階なので、説明が合っていません。
受験者残るのは、リスク分析を「必要に応じてリスクのレベルを含め、リスクの性質と特徴を理解する」と説明した選択肢ですね。これは名前と中身が合っていそうです。
講師正解です。リスク分析で一つ一つのリスクの特性を把握し、その結果が次のリスク評価で判断の材料になります。
受験者まとめると、特定は見つけて記述する、分析は理解する、評価は基準と照らして判断する、対応は対処法を選んで実行する、モニタリング及びレビューはプロセスの質を保証し改善する、という対応ですね。
講師よく整理できています。この問題では、正しい説明を別の段階の名前にずらして誤りの選択肢を作っています。日常語では似ている分析と評価も、規格では「理解する」のが分析、「基準と照らして判断する」のが評価と区別されています。なお、リスクのレベルは数値だけでなく、定性的に表すこともできます。
まとめ
JIS Q 31000:2019のリスクマネジメントプロセスでは、リスクアセスメントがリスク特定、リスク分析、リスク評価の順に進み、その後にリスク対応が続きます。リスク特定はリスクを発見し記述する段階、リスク分析は必要に応じてリスクのレベルを含めてリスクの性質と特徴を理解する段階です。リスク評価は分析結果をリスク基準と照らし合わせて追加の対応が必要かを判断し、リスク対応は対処方法を選んで実行します。プロセスの質を保証し改善するのはモニタリング及びレビューの役割です。この問題では、正しい説明を別の段階の名前に入れ替えて誤りの選択肢を作っているため、段階名と説明の対応を覚えておくことが解答の鍵になります。
解答・解説
正解はエです
この問題のテーマ
JIS Q 31000:2019 が定めるリスクマネジメントプロセスのうち、リスク特定、リスク分析、リスク評価、リスク対応、モニタリング及びレビューがそれぞれ何のために行われるかを問う問題です。
解き方の考え方
各選択肢の説明が、本当はどのプロセスの役割なのかを考えます。まず、リスクアセスメントは「特定→分析→評価」の順に進み、その後にリスク対応が続くという流れを思い出します。「見つけて記述する」「性質を理解する」「基準と照らして判断する」「対処法を選んで実行する」「プロセスの質を保証・改善する」という各段階のキーワードを、選択肢が示すプロセス名と照らし合わせます。名前と中身が合っているものが正解です。
選択肢ごとの解説
- ×ア リスク対応の意義は，プロセスの設計，実施及び結末の質及び効果を保証し，改善することである。アの「プロセスの質や効果を保証し、改善する」という説明は、モニタリング及びレビューの役割です。リスク対応は、リスクにどう対処するかを決めて実行する段階なので、プロセス名と説明が合っていません。
- ×イ リスク特定の意義は，リスクに対処するための選択肢を選定し，実施することである。イの「対処の選択肢を選んで実施する」という説明は、リスク対応の役割です。リスク特定は、対象となるリスクを見つけ出して記述する段階であり、対処方法を決める段階ではありません。
- ×ウ リスク評価の意義は，組織の目的の達成を助ける又は妨害する可能性のあるリスクを発見し，認識し，記述することである。ウの「目的の達成を助ける、または妨げるリスクを発見し、認識し、記述する」という説明は、リスク特定の役割です。リスク評価は、分析の結果をリスク基準と照らし合わせて、追加の対応が必要かどうかを判断する段階です。
- ○エ リスク分析の意義は，必要に応じてリスクのレベルを含め，リスクの性質及び特徴を理解することである。エの「必要に応じてリスクのレベルを含めて、リスクの性質と特徴を理解する」という説明は、リスク分析の役割として正しいです。リスク分析で一つ一つのリスクの特性を把握し、その結果が次のリスク評価で判断の材料になります。
補足
この問題は、各プロセスの説明を別のプロセス名に入れ替えて誤りの選択肢を作っています。そのため、説明とプロセス名の対応を正しく覚えていれば解けます。特に「分析」と「評価」は日常語では似た意味で使われますが、規格では「理解する」のが分析、「基準と照らして判断する」のが評価と区別されている点に注意してください。また、リスクのレベルは数値だけでなく、定性的に表すこともできます。
POINT
- リスクアセスメントは、リスク特定、リスク分析、リスク評価の三つで構成され、この順に進みます。
- リスク特定は、目的の達成に有利なものも不利なものも含めて、リスクを見つけて記述する段階です。
- リスク分析は、必要に応じてリスクのレベルを含め、リスクの性質と特徴を理解する段階です。
- リスク評価は、分析の結果をリスク基準と照らし合わせ、追加の対応が必要かどうかを判断する段階です。
- リスク対応は対処方法を選んで実行する段階で、プロセスの質を保証し改善するのはモニタリング及びレビューの役割です。