リスクの定性的分析（発生確率・影響度マトリクス）とは？
リスクの定性的分析（発生確率・影響度マトリクス）とは、特定した個々のリスクについて、発生確率と影響度をそれぞれ「高・中・低」などの尺度で相対的に評価し、優先的に対応すべきリスクを絞り込む分析。発生確率と影響度を軸にしたマトリクス（表）に位置づけて可視化することが多い。数値でシミュレーションする定量的分析よりも簡便に行える。
情報セキュリティマネジメント試験の過去問では6回出題されています（2016年度〜2026年度）。
りすくのていせいてきぶんせき
リスクの定性的分析（発生確率・影響度マトリクス）の意味
特定した個々のリスクについて、発生確率と影響度をそれぞれ「高・中・低」などの尺度で相対的に評価し、優先的に対応すべきリスクを絞り込む分析。発生確率と影響度を軸にしたマトリクス（表）に位置づけて可視化することが多い。数値でシミュレーションする定量的分析よりも簡便に行える。
リスクの定性的分析（発生確率・影響度マトリクス）の具体例
プロジェクト開始時に想定リスクを一覧化し、それぞれの発生しやすさと影響の大きさを3段階評価のマトリクスに位置づけて、優先的に対応すべきリスクを絞り込む。
リスクの定性的分析（発生確率・影響度マトリクス）は試験でどう引っ掛けられる？
定量的分析と順序・役割を取り違えやすい。定性的分析は高・中・低の相対評価で対応すべきリスクを絞り込む段階、定量的分析は絞り込まれたものについて金額や確率分布でシミュレーション（モンテカルロ法、期待金額価値）する段階。全リスクに定量的分析を行うわけではない。
リスクの定性的分析（発生確率・影響度マトリクス）と関連する用語
リスクの定性的分析（発生確率・影響度マトリクス）が出た過去問
リスクの顕在化に備えて地震保険に加入するという対応は、JIS Q 31000:2010に示されているリスク対応のうち、どれに分類されるか。
正解：一つ以上の他者とそのリスクを共有する。
要点：保険加入は損失負担を他者と分けるリスク共有
JIS Q 31000のリスク対応には、回避・リスクテイク・リスク源の除去・起こりやすさの変更・結果の変更・リスクの共有・リスクの保有といった選択肢がある。保険への加入は、損失の財務的負担を保険会社という他者に肩代わりさせる行為なので「リスクの共有」（従来のリスク移転）に当たる。なお保険をかけても事象そのものの発生確率は変わらない点に注意したい。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問2（IPA）JIS Q 31000:2010における残留リスクの定義はどれか。
正解：リスク対応後に残るリスク
要点：残留リスクは対策後も残り、受容には承認が要る
残留リスクとは、リスク対応を実施した後になお残っているリスクを指す。対策を打っても発生確率や影響をゼロにできることはまれで、費用対効果の観点から一定の残留リスクは受容するのが通例である。ただし受容にあたっては、そのリスクを認識し、責任者が承認するという手続きが求められる。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問9（IPA）リスク対応のうち，リスクファイナンシングに該当するものはどれか。
正解：リスクによってシステムが被害を受けた場合を想定して保険を掛ける。
要点：リスクファイナンシングは保険など損失の資金手当てを行う対応
リスクファイナンシングは、損失が発生したときの資金を手当てする対応であり、保険加入や引当金の準備がこれに当たる。これに対し、発生確率や影響そのものを下げる対策はリスクコントロールと呼ばれ、区別される。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問6（IPA）リスク対応のうち、リスクファイナンシングに該当するものはどれか。
正解：システムが被害を受けるリスクを想定して、保険を掛ける。
要点：リスクファイナンシングは保険等で損失を金銭的に手当てすること
リスクファイナンシングは、リスクが顕在化したときの損失を金銭面で手当てする対応であり、保険への加入や引当金の準備が代表例である。これに対し、発生確率や被害を技術的・組織的な対策で下げるのはリスクコントロールに分類される。資金を投じるかどうかではなく、損失の補填を狙うのか発生や影響そのものを抑えるのかで区別する。
出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問5（IPA）JIS Q 27000:2019（情報セキュリティマネジメントシステム-用語）における“リスクレベル”の定義はどれか。
正解：結果とその起こりやすさの組合せとして表現される、リスクの大きさ
要点：リスクレベル＝結果の大きさ×起こりやすさ
リスクレベルは、リスクが顕在化したときの結果（影響の大きさ）と、その起こりやすさ（発生確率）を組み合わせて表したリスクの大きさである。この二軸で表現することで、複数のリスクを同じ尺度で比較し優先順位付けできる。似た用語であるリスク基準や脆弱性とは意味が異なるので混同しないこと。
出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問5（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。