リスク評価とは？りすくひょうか
リスク評価とは、リスク分析で算定したリスクの大きさをリスク基準と比較し、そのリスクが受容可能かどうか、対応の要否と優先順位を判断するプロセス。JIS Q 31000では、リスク特定・リスク分析・リスク評価の三つを合わせてリスクアセスメントと呼び、リスク評価はその最終段階に位置する。
最終更新：2026-10-06
この語が出る過去問を解く →背景
リスクの大きさを算出しても、それだけでは対応する理由にも、しない理由にもならない。受け入れられる水準をあらかじめ決めておかなければ、判断が担当者ごとに揺れる。リスク基準は経営が定めるものであって現場が決めるものではない。監査人にとっては、リスクアプローチで監査対象と重点を選ぶ自らの作業そのものがこのプロセスであり、選定の根拠として説明を求められる。
具体例
発生可能性と影響度からリスクレベルを算定し、「高」は必ず低減策を講じ、「中」は責任者の承認を得て受容可否を判断し、「低」は受容するという基準に照らして仕分ける。監査ではその基準自体が経営会議で承認されているかも確認対象になる。
試験での引っ掛け
リスクアセスメント全体と、その最終段階であるリスク評価を取り違えやすい。評価は大きさを算出する作業（それはリスク分析）ではなく、基準と照らして対応の要否と優先順位を決める作業である。受容の決定は評価の結果であり、リスク特定の段階では行わない。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 春期 システム監査技術者試験 午前Ⅱ 問3（IPA）解説で登場
財務報告に係る内部統制監査におけるリスクアプローチの説明のうち,適切なものはどれか。
正解：想定されるリスクのうち,財務諸表の重要な虚偽表示リスクが高い項目に監査のリソースを重点的に配分する。
要点：リスクアプローチは重要な虚偽表示リスクの高い領域へ資源を重点配分する
リスクアプローチは、限られた監査資源を重要な虚偽表示リスクの高い領域に集中させる考え方である。全業務を一律に網羅的に調べるのではなく、リスク評価の結果に応じて手続の種類・時期・範囲を変える点が特徴になる。固有リスクだけでなく統制リスクも併せて評価し、リスクの高低に応じてリソースを配分する。
出典：平成29年度 春期 システム監査技術者試験 午前Ⅱ 問10（IPA）解説で登場
金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(平成23年)”において,“全社的な内部統制”としての“ITへの対応”に該当する評価項目はどれか。
正解：経営者は,ITに関する適切な戦略,計画などを定めているか。
要点：全社的なITへの対応は経営者のIT戦略・計画の適切性を問う
全社的な内部統制は、組織全体に影響を及ぼす統制環境やリスク評価、ITへの対応などを対象とし、経営者レベルの方針・体制が評価項目になる。したがってITへの対応では、経営者がIT戦略や計画を適切に定めているかが問われる。個別システムの試験の十分性や障害対応、委託契約の締結といった項目は、業務プロセスに係る内部統制やIT全般統制の領域である。
出典：令和3年度 秋期 システム監査技術者試験 午前Ⅱ 問20（IPA）解説で登場
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。
正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。
要点：リスク特定は発見・認識・記述の段階で、受容可否の判断は評価
JIS Q 27000の用語定義では、脅威は損害を与え得る望ましくないインシデントの潜在的原因、脆弱性は脅威に付け込まれ得る資産や管理策の弱点を指す。リスク特定はリスクを発見・認識・記述するプロセスで、リスク源、事象、原因、起こり得る結果を洗い出す段階である。リスク基準と比較して受容可否を決めるのはリスク評価であり、リスク対応はその後の処置を選ぶ段階になる。
出典：令和5年度 秋期 システム監査技術者試験 午前Ⅱ 問19（IPA）
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク評価についての説明として、適切なものはどれか。
正解：リスクとその大きさが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス
要点：リスク評価は分析結果をリスク基準と比べ受容可否を決める
JIS Q 27000では、リスクアセスメントをリスク特定・リスク分析・リスク評価の三段階で捉える。このうちリスク評価は、リスク分析で得た結果をあらかじめ定めたリスク基準と照らし合わせ、そのリスクとその大きさが受容できるかどうか、対応が必要かどうかを決めるプロセスである。
出典：令和7年度 秋期 システム監査技術者試験 午前Ⅱ 問19（IPA）解説で登場
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク対応についての説明として、適切なものはどれか。
正解：リスクを修正するプロセス
要点：リスク対応はアセスメント後にリスクを修正するプロセス
リスクマネジメントの用語は、リスクアセスメント（リスク特定→リスク分析→リスク評価）と、その結果を受けて実際に手を打つリスク対応に分かれる。前半はリスクの姿を明らかにして受容可否を判断する段階であり、リスク対応はそこで受け入れられないと判断されたリスクを修正する段階、すなわち低減・回避・移転・受容といった選択肢を選んで実行するプロセスを指す。「評価までが分析、修正が対応」と切り分けると各定義を取り違えにくい。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。