リスクアセスメントとは？りすくあせすめんと
リスクアセスメントとは、リスク特定・リスク分析・リスク評価の三つを合わせたプロセス。何が起こり得るかを洗い出し、その大きさを見積もり、あらかじめ定めたリスク基準と照らして対応の要否と優先順位を決めるところまでを指す。用語と手順の正はJIS Q 31000にある。
最終更新：2026-10-06
この語が出る過去問を解く →背景
資源は有限で、すべてのリスクに同じ手をかけることはできない。担当者の感覚で危なそうなものから潰していくと、判断の根拠が人によって変わり、後から説明できなくなる。特定・分析・評価と段階を分け、比較の物差しであるリスク基準を先に決めておくことで、対応の優先順位に第三者が検証できる筋道が通る。監査ではこの筋道が組織に備わり、記録で辿れるかどうかが検証対象になる。
具体例
JIS Q 31000が示す手順に沿い、情報資産・脅威・脆弱性の一覧化（特定）、影響度と発生可能性の見積り（分析）、受容基準との比較（評価）の順で実施する。監査人は三段階の記録が残り、評価結果と対応方針が対応づいているかを確かめる。
試験での引っ掛け
リスク対応（低減・回避・移転共有・受容の選択と実施）はアセスメントの後続プロセスであり、アセスメントには含まれない。またリスク評価はリスク基準と比べて受容の可否を判断する段階であって、大きさを見積もる段階ではない。見積りは分析にあたる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：令和3年度 秋期 システム監査技術者試験 午前Ⅱ 問19（IPA）
NIST“Cybersecurity Framework：重要インフラのサイバーセキュリティを改善するためのフレームワーク（1.1版）”にある機能とカテゴリの組…
正解：識別／リスクアセスメント：自組織は、組織の業務、組織の資産及び個人に対するサイバーセキュリティリスクを把握している。
要点：CSFの識別機能にリスクアセスメントが属し組織のリスクを把握する
NISTサイバーセキュリティフレームワークは、識別・防御・検知・対応・復旧の五つのコア機能を置き、その下にカテゴリを配置する。リスクアセスメントは、自組織の業務・資産・個人に対するリスクを把握するカテゴリで、現状を把握する段階である識別機能に属する。他の選択肢は、カテゴリが本来属する機能とずれている。
出典：令和5年度 秋期 システム監査技術者試験 午前Ⅱ 問19（IPA）解説で登場
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク評価についての説明として、適切なものはどれか。
正解：リスクとその大きさが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス
要点：リスク評価は分析結果をリスク基準と比べ受容可否を決める
JIS Q 27000では、リスクアセスメントをリスク特定・リスク分析・リスク評価の三段階で捉える。このうちリスク評価は、リスク分析で得た結果をあらかじめ定めたリスク基準と照らし合わせ、そのリスクとその大きさが受容できるかどうか、対応が必要かどうかを決めるプロセスである。
出典：令和7年度 秋期 システム監査技術者試験 午前Ⅱ 問19（IPA）解説で登場
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク対応についての説明として、適切なものはどれか。
正解：リスクを修正するプロセス
要点：リスク対応はアセスメント後にリスクを修正するプロセス
リスクマネジメントの用語は、リスクアセスメント（リスク特定→リスク分析→リスク評価）と、その結果を受けて実際に手を打つリスク対応に分かれる。前半はリスクの姿を明らかにして受容可否を判断する段階であり、リスク対応はそこで受け入れられないと判断されたリスクを修正する段階、すなわち低減・回避・移転・受容といった選択肢を選んで実行するプロセスを指す。「評価までが分析、修正が対応」と切り分けると各定義を取り違えにくい。
出典・参考
高度試験 午前I（ITパスポート 相当）のシラバスの1 企業と法務 ＞ 1. 経営・組織論 ＞ (2) 経営管理に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。