リスク特定とは？

リスク特定の意味

リスク源、事象、原因、起こり得る結果を発見・認識し、記述するプロセス。網羅性が重要であり、ここで漏れたリスクはその後の分析・評価・対応の対象にならない。

リスク特定の具体例

業務フローをたどりながら、各処理での誤入力・不正操作・システム停止といった事象を洗い出し、一覧に記述する。

リスク特定は試験でどう引っ掛けられる？

リスクを受容するかどうかの判断は「リスク評価」の役割。特定は発見・認識・記述の段階にとどまる。

リスク特定と関連する用語

• リスク分析
• リスク評価
• リスクアセスメント

リスク特定が出た過去問

• リスクマネジメントに含まれる四つのプロセスであるリスク対応、リスク特定、リスク評価、リスク分析を実施する順番として、適切なものはどれか。

  正解：リスク特定→リスク分析→リスク評価→リスク対応

  要点：リスクは特定→分析→評価→対応の順で扱う

  リスクマネジメントでは、まずどのようなリスクがあるかを洗い出し（特定）、次に発生の可能性と影響の大きさを見積もる（分析）。その結果を基準と照らして対応の要否や優先順位を判断し（評価）、最後に低減・回避・移転・受容といった手立てを講じる（対応）。この順序が基本となる。

  出典：平成25年度 秋期 ITパスポート試験 問56（IPA）

• 情報セキュリティのリスクマネジメントをリスク特定，リスク分析，リスク評価，リスク対応に分けたときに，リスク対応に含まれるものはどれか。

  正解：リスクへの対処方法を選択し，具体的な管理策の計画を立てる。

  要点：リスク対応は対処方針の選択と具体的な管理策の計画

  リスクアセスメントは特定・分析・評価の三段階で、どんなリスクがあるかを洗い出し、大きさを算定し、受容基準と照らして対応の要否を判断する。そのうえで実施するリスク対応では、低減・回避・移転・保有といった方針を選び、具体的な管理策とその実施計画を定める。

  出典：平成29年度 春期 ITパスポート試験 問63（IPA）

• プロジェクトリスクマネジメントは、リスクの特定、リスクの分析、リスクのコントロールという流れで行う。リスクの特定を行うために、プロジェクトに影響を与えると想定さ…

  正解：ブレーンストーミングを関係者で行う。

  要点：リスク特定は洗い出しの段階。評価は次の分析で行う

  リスクの特定は、まだ表面化していない不確実な事象を漏れなく洗い出す段階である。そのため、関係者が集まって自由に意見を出し合い、批判せずに数多くの候補を挙げる発想法が有効である。挙がったリスクを発生確率と影響度で評価するのは次の分析段階で行う作業になる。

  出典：平成30年度 秋期 ITパスポート試験 問50（IPA）

• 次の作業a〜dのうち、リスクマネジメントにおける、リスクアセスメントに含まれるものだけを全て挙げたものはどれか。 a リスク特定 b リスク分析 c リスク評価…

  正解：a, b, c

  要点：リスクアセスメント＝特定・分析・評価の3段階

  リスクアセスメントは、リスク特定・リスク分析・リスク評価の三つの活動をまとめた総称である。どのようなリスクがあるかを洗い出し、影響度と発生確率を分析し、対応の要否や優先度を判断するところまでが範囲となる。リスク対応はその結果を受けて行う次の段階である。

  出典：令和1年度 秋期 ITパスポート試験 問56（IPA）

• リスクアセスメントを三つのプロセスに分けるとすると、リスクの特定、リスクの評価ともう一つはどれか。

  正解：リスクの分析

  要点：リスクアセスメントは特定・分析・評価の3工程

  JIS Q 31000などのリスクマネジメント規格では、リスクアセスメントは「リスク特定→リスク分析→リスク評価」の3つの手順で構成される。リスク特定でリスクを洗い出し、リスク分析で発生確率と影響度からリスクの大きさを見積もり、リスク評価でその結果を受容基準と照らして対応の要否や優先順位を決める。設問の残る1つは、特定と評価の間に位置する分析の工程である。

  出典：令和1年度 春期 ITパスポート試験 問1（IPA）