リスク対応とは？りすくたいおう
リスク対応とは、評価したリスクに対して、どこまで手当てし、どこから先は引き受けるかを決めて実行する工程。取りうる手は四つで、統制を入れて発生確率や影響を下げる（低減）、活動そのものをやめる（回避）、保険や委託で他者と分け合う（移転・共有）、対策を打たずに引き受ける（受容）。受容も対応の一つである。
最終更新：2026-10-06
この語が出る過去問を解く →背景
リスクは減らせば減らすほどよいというものではない。対策には費用がかかり、費用が損害の期待値を上回れば経営判断として合理的でなくなる。だから対応とは「何をどこまで減らし、どこから先は受け入れるか」を決める行為であり、受容もれっきとした対応の一つである。監査では、受容したリスクについて権限のある者が承認し、記録に残しているかが検証の要点になる。
具体例
情報漏えいリスクに対し、暗号化とアクセス制御で低減したうえで、残る損害の一部をサイバー保険で移転し、なお残るリスクは責任者の承認を得て受容する。監査人は、残留リスクの一覧と承認の記録が残っているかを確かめる。
試験での引っ掛け
移転しても説明責任や法的責任まで移るとは限らず、委託しても委託元の管理責任は残る。また受容は「何もしないこと」ではなく、権限者の承認を伴う意思決定である。回避は活動そのものの中止を指すため、統制を強化することを回避と呼ばない。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：令和3年度 秋期 システム監査技術者試験 午前Ⅱ 問20（IPA）解説で登場
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。
正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。
要点：リスク特定は発見・認識・記述の段階で、受容可否の判断は評価
JIS Q 27000の用語定義では、脅威は損害を与え得る望ましくないインシデントの潜在的原因、脆弱性は脅威に付け込まれ得る資産や管理策の弱点を指す。リスク特定はリスクを発見・認識・記述するプロセスで、リスク源、事象、原因、起こり得る結果を洗い出す段階である。リスク基準と比較して受容可否を決めるのはリスク評価であり、リスク対応はその後の処置を選ぶ段階になる。
出典：令和7年度 秋期 システム監査技術者試験 午前Ⅱ 問19（IPA）
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク対応についての説明として、適切なものはどれか。
正解：リスクを修正するプロセス
要点：リスク対応はアセスメント後にリスクを修正するプロセス
リスクマネジメントの用語は、リスクアセスメント（リスク特定→リスク分析→リスク評価）と、その結果を受けて実際に手を打つリスク対応に分かれる。前半はリスクの姿を明らかにして受容可否を判断する段階であり、リスク対応はそこで受け入れられないと判断されたリスクを修正する段階、すなわち低減・回避・移転・受容といった選択肢を選んで実行するプロセスを指す。「評価までが分析、修正が対応」と切り分けると各定義を取り違えにくい。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。