リスクの特定・分析・対応とは？

リスクの特定・分析・対応の意味

プロジェクトリスクマネジメントの基本的な流れ。まずリスクを洗い出し（特定）、発生確率と影響度を評価し（分析）、優先度に応じた対応策を検討・実施する（対応）という一連のプロセス。

リスクの特定・分析・対応の具体例

プロジェクト開始時に想定リスクを一覧化し、それぞれの発生しやすさと影響の大きさをマトリクスで評価して、優先的に対応すべきリスクを絞り込む。

リスクの特定・分析・対応は試験でどう引っ掛けられる？

分析は「すべてのリスクをつぶす」ためではなく、発生確率と影響度から優先順位を付けるために行う。特定は着手時に一度きりではなく、プロジェクトの進行中も繰り返す点も問われやすい。

リスクの特定・分析・対応と関連する用語

• リスクマネジメント（プロジェクト）
• リスク対応戦略（回避・軽減・転嫁・受容）

リスクの特定・分析・対応が出た過去問

• 情報セキュリティのリスクマネジメントにおいて、リスクの重大さを決定するために、算定されたリスクを与えられた基準と比較するプロセスはどれか。

  正解：リスク評価

  要点：リスク評価は算定結果を基準と比べ重大さを決める

  リスクマネジメントでは、リスクの特定→分析→評価という順で進む。このうちリスク評価は、分析で算定したリスクの大きさを、あらかじめ定めた受容基準と照らし合わせ、対応が必要かどうか・どれを優先するかを判断する段階である。

  出典：平成26年度 秋期 ITパスポート試験 問47（IPA）

• ISMSにおける情報セキュリティリスクの特定に関する記述において，a，bに入れる字句の適切な組合せはどれか。 ISMSの［a］における情報の機密性，［b］及び可…

  正解：a：適用範囲内 / b：完全性

  要点：ISMSは適用範囲内で機密性・完全性・可用性の喪失を特定する

  ISMSではまず適用範囲を定め、その範囲内にある情報資産について、機密性・完全性・可用性という三つの特性が損なわれることによるリスクを特定する。脆弱性はリスクを生じさせる要因の一つであって、守るべき特性の名称ではない。

  出典：平成29年度 春期 ITパスポート試験 問83（IPA）

• X社では、現在開発中である新商品Yの発売が遅れる可能性と、遅れた場合における今後の業績に与える影響の大きさについて、分析と評価を行った。この取組みに該当するもの…

  正解：リスクアセスメント

  要点：リスクの特定・分析・評価をまとめてリスクアセスメント

  リスクマネジメントでは、まずリスクを洗い出し（特定）、その起こりやすさと影響の大きさを見積もり（分析）、対応が必要かどうかを判断する（評価）。この特定・分析・評価の一連の流れをリスクアセスメントと呼ぶ。設問は、発売が遅れるという事象の発生可能性と業績への影響度を検討しており、まさにこの手続に当たる。

  出典：平成30年度 秋期 ITパスポート試験 問21（IPA）

• プロジェクトリスクマネジメントは、リスクの特定、リスクの分析、リスクのコントロールという流れで行う。リスクの特定を行うために、プロジェクトに影響を与えると想定さ…

  正解：ブレーンストーミングを関係者で行う。

  要点：リスク特定は洗い出しの段階。評価は次の分析で行う

  リスクの特定は、まだ表面化していない不確実な事象を漏れなく洗い出す段階である。そのため、関係者が集まって自由に意見を出し合い、批判せずに数多くの候補を挙げる発想法が有効である。挙がったリスクを発生確率と影響度で評価するのは次の分析段階で行う作業になる。

  出典：平成30年度 秋期 ITパスポート試験 問50（IPA）

• ISMSにおける情報セキュリティリスクアセスメントでは、リスクの特定、分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。 a あらかじめ定…

  正解：a

  要点：リスク評価は基準と照合して対応の優先順位を決める段階

  リスクアセスメントは特定・分析・評価の三段階からなり、このうち評価は、分析結果をあらかじめ定めたリスク基準と照らして、対応の要否や優先順位を決める段階である。リスクを洗い出すbは特定の段階、判断の物差しとなる基準を定めるcはアセスメントに先立つリスク基準の確立にあたるため、評価に該当するのはaだけとなる。

  出典：平成30年度 秋期 ITパスポート試験 問99（IPA）