リスク対応とは？

リスク対応の意味

評価したリスクに対する処置の選択で、回避・低減（軽減）・移転（共有）・保有（受容）の4分類が基本。FEではそれぞれの具体例を選ばせる問題が頻出で、費用と残留リスクの関係も問われる。

リスク対応の具体例

危険なサービスを廃止するのが回避、暗号化や二重化で発生確率や影響を下げるのが低減、サイバー保険への加入や業務の外部委託が移転、影響が小さく対策費が上回るため何もしないと決めるのが保有。

リスク対応は試験でどう引っ掛けられる？

保険は「損害を金銭で補う」だけで事故自体は防げないため移転であり、回避ではない。また、対策後に残る残留リスクはゼロにならず、経営者が受容を判断する必要がある点も押さえる。

リスク対応と関連する用語

• リスクアセスメント
• BCP（事業継続計画）
• 情報セキュリティポリシ

リスク対応が出た過去問

• PMBOKガイド第6版によれば、脅威と好機の、どちらに対しても採用されるリスク対応戦略として、適切なものはどれか。

  正解：受容

  要点：受容とエスカレーションは脅威にも好機にも使える

  PMBOKでは、脅威への対応戦略が回避・転嫁・軽減、好機への戦略が活用・共有・強化とされ、これに加えて受容（受け入れ）とエスカレーションは脅威と好機の双方に適用される。受容は積極的に手を打たず、発生したときに対処する（あるいは何もしない）戦略である。

  出典：令和2年度 10月 応用情報技術者試験 午前 問54（IPA）

• プロジェクトマネジメントにおいて、コンティンジェンシー計画を作成するプロセスはどれか。

  正解：リスクへの対応

  要点：コンティンジェンシー計画はリスク対応プロセスで作成する

  コンティンジェンシー計画は、特定したリスクが実際に発生した場合に備えてあらかじめ用意しておく対応策であり、リスクへの対応（リスク対応の計画）のプロセスで作成される。リスクの特定はリスクを洗い出す段階、リスクの評価は発生確率と影響度から優先順位を付ける段階であり、具体的な対策を決めるのはその後の対応プロセスである。

  出典：令和5年度 秋期 応用情報技術者試験 午前 問54（IPA）

• JIS Q 31000:2019（リスクマネジメント－指針）におけるリスクアセスメントを構成するプロセスの組合せはどれか。

  正解：リスク特定、リスク分析、リスク評価

  要点：リスクアセスメントは特定・分析・評価の3プロセス

  JIS Q 31000におけるリスクアセスメントは、リスク特定・リスク分析・リスク評価の3つのプロセスで構成されます。まずリスクを洗い出し（特定）、起こりやすさと影響の大きさを把握し（分析）、基準と照らして対応の要否や優先順位を判断します（評価）。その結果を受けて実施するリスク対応は、アセスメントの後に続く別のプロセスです。

  出典：令和4年度 秋期 応用情報技術者試験 午前 問41（IPA）