リスク保有とは？りすくほゆう
リスク保有は、リスクを評価したうえで、追加の対策をとらずにそのリスクを受け入れ、起きたときの損失を自社で負担するリスク対応である。リスク対応の4分類（回避・低減・移転・保有）の一つで、「リスク受容」とも呼ぶ。選ぶのは、影響が小さい、発生確率が低い、対策の費用が想定される損失より大きいなどの理由で、リスクがあらかじめ決めた受け入れの基準（リスク受容基準）に収まるときである。「気づかずに放置する」こととは違い、評価して意図的に受け入れると決め、その判断を記録し、責任者（リスク所有者）が承認する。低減や移転の後に残る残留リスクを受け入れるのもリスク保有である。起きたときの損失に備えて費用を積み立てておくのは、移転と並ぶリスクファイナンシング（損失が起きたときのお金の手当て）の一つになる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
すべてのリスクに対策すると費用がかかりすぎ、対策費が守る資産の価値を上回ることもある。どのリスクにも何らかの手を打つ前提では、優先度の低いリスクにまで予算と人手を取られる。そこで、評価の結果「これは受け入れる」と決めること自体を正式な対応の一つとして扱い、受け入れたことを記録・承認して、後から状況が変わったときに見直せるようにしている。ISMS の要求事項の規格（JIS Q 27001）も、残留リスクの受け入れについてリスク所有者の承認を得ることを求めている。
具体例
社員に配る業務用の iPhone について、Apple の「探す」で紛失時に遠隔消去できるようにした（リスク低減）あとにも、「消去するまでの短い間に画面をのぞかれる」程度のリスクは残る。影響が小さく、さらに対策する費用に見合わないと評価し、追加の対策をとらずに受け入れると決めて責任者が承認すれば、それがリスク保有である。
試験での引っ掛け
「対策をとらずに受け入れる」「損失は自社で負担する」はリスク保有であり、回避（活動をやめる）でも移転（保険に入る）でもない。「対策の費用が想定損失を上回るので何もしない」という選択肢も保有に当たる。保有は「評価せずに放置する」こととは違い、評価と受け入れの判断（記録・承認）を伴う。低減・移転の後に残った残留リスクを受け入れることも保有である。プロジェクトマネジメントの分野では同じ考え方を「受容」と呼ぶ。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成30年度 秋期 基本情報技術者試験 午前 問58（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事…
正解：リスクアセスメントを実施した後に，リスク受容基準を決めた。
要点：リスク受容基準はアセスメントの前に定めておく
ISMSではリスク受容基準を含むリスク基準をあらかじめ定め、その基準に照らしてリスクアセスメントを行うことが求められる。順序が逆でアセスメント後に受容基準を決めると、評価結果に合わせて基準を作ることになり客観性が失われるため、指摘事項となる。
出典：平成29年度 秋期 基本情報技術者試験 午前 問43（IPA）解説で登場
リスクアセスメントを構成するプロセスの組合せはどれか。
正解：リスク特定、リスク分析、リスク評価
要点：リスクアセスメント＝リスク特定→リスク分析→リスク評価の3工程
JIS Q 31000などの定義では、リスクアセスメントはリスク特定・リスク分析・リスク評価の3つのプロセスから成る。まずどんなリスクがあるかを洗い出し、次に発生可能性と影響度からリスクの大きさを見積もり、最後に基準と照らして対応の要否や優先順位を判断する。リスク対応やリスク受容はアセスメントの後に続く別工程である。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。