リスクマネジメントとは？

リスクマネジメントの意味

企業経営に影響を及ぼす可能性のある様々なリスク（自然災害、事故、情報漏えい、法令違反など）を洗い出し、発生確率と影響度を評価したうえで、回避・低減・移転・受容といった適切な対応策を計画的に講じる経営管理活動。想定外の事態が発生した際の損失を最小限に抑え、企業の持続的な成長を支える重要な経営機能として位置づけられる。

リスクマネジメントの具体例

製造業の企業が主要部品の調達を特定の国の一社に依存していたリスクを洗い出し、複数の調達先を確保することで供給停止リスクを低減した。

リスクマネジメントは試験でどう引っ掛けられる？

リスクマネジメントは災害等発生後の事業継続を目的とするBCP・BCMを包含する、より広い概念である点が問われやすく、両者の範囲の違いが混同されやすい。

リスクマネジメントと関連する用語

• BCP（事業継続計画）
• BCM（事業継続マネジメント）
• コンプライアンス

リスクマネジメントが出た過去問

• 災害による事業中断へのリスク対策として、データセンタを関東と関西の2か所に設置することとした。このリスク対策は、リスクマネジメントにおける四つのリスク対応のうち…

  正解：低減

  要点：拠点の分散配置は影響を小さくするリスク低減策

  データセンタを地理的に離れた2か所へ分散すると、一方が被災してももう一方で業務を続けられるため、事業中断による損害の大きさや発生確率を小さくできる。損失を保険などで他者に移すのでも、事業をやめて危険源を無くすのでもないので、リスク低減にあたる。

  出典：平成22年度 秋期 ITパスポート試験 問30（IPA）

• リスクマネジメントに含まれる四つのプロセスであるリスク対応、リスク特定、リスク評価、リスク分析を実施する順番として、適切なものはどれか。

  正解：リスク特定→リスク分析→リスク評価→リスク対応

  要点：リスクは特定→分析→評価→対応の順で扱う

  リスクマネジメントでは、まずどのようなリスクがあるかを洗い出し（特定）、次に発生の可能性と影響の大きさを見積もる（分析）。その結果を基準と照らして対応の要否や優先順位を判断し（評価）、最後に低減・回避・移転・受容といった手立てを講じる（対応）。この順序が基本となる。

  出典：平成25年度 秋期 ITパスポート試験 問56（IPA）

• 情報セキュリティにおけるリスクマネジメントに関する記述のうち、最も適切なものはどれか。

  正解：組織の全員が役割を分担して、組織全体で取り組む。

  要点：情報セキュリティは全社の枠組みで全員が役割を分担する

  情報セキュリティのリスクマネジメントは、経営者が責任を持って方針を示し、全社共通の枠組みのもとで各部門・各従業員が役割を分担して継続的に取り組むものである。特定の担当者や部署に任せきりにしたり、通常業務と切り離した活動にしたりすると実効性が失われる。

  出典：平成25年度 春期 ITパスポート試験 問71（IPA）

• 情報セキュリティのリスクマネジメントにおいて、リスクの重大さを決定するために、算定されたリスクを与えられた基準と比較するプロセスはどれか。

  正解：リスク評価

  要点：リスク評価は算定結果を基準と比べ重大さを決める

  リスクマネジメントでは、リスクの特定→分析→評価という順で進む。このうちリスク評価は、分析で算定したリスクの大きさを、あらかじめ定めた受容基準と照らし合わせ、対応が必要かどうか・どれを優先するかを判断する段階である。

  出典：平成26年度 秋期 ITパスポート試験 問47（IPA）

• リスクマネジメントを推進するために，リスクマネジメントシステムの導入のための実行計画を最初に策定した。その後に行う活動を次のa～cに分けて行うとき，PDCAサイ…

  正解：a→b→c

  要点：PDCAは計画→実行→評価→改善の順に回す

  PDCAは計画（Plan）、実行（Do）、評価（Check）、改善（Act）の順に回す。実行計画の策定がPにあたるので、その後は計画に沿った対策の実施（D）、効果の測定と有効性の評価（C）、是正・改善措置（A）と進む。したがってa→b→cの順になる。

  出典：平成27年度 秋期 ITパスポート試験 問49（IPA）