リスク分析とは？りすくぶんせき
リスク分析とは、起こりうる困りごとについて、どれくらいの確からしさで起き、起きたらどれくらい困るのかを見積もり、大きさをそろえて比べられるようにする作業です。「発生する可能性」と「起きたときの影響の大きさ」を組み合わせて、大・中・小のように段階をつけます。なぜ必要かというと、対策に使えるお金と人手には限りがあり、全部を同じ強さで守ることはできないからです。大きさが分かってはじめて、どれから手を打つかを決められます。分析の前には「そもそも何が起こりうるか」を洗い出す作業（リスク特定）があり、後には「その大きさなら受け入れるのか対策するのか」を決める作業（リスク評価）が続きます。
最終更新：2026-10-10
この語が出る過去問を解く →背景
危ないと感じたものを片端から対策していくと、費用も人手も足りなくなり、しかも本当に大きな危険が後回しになることがあります。人の感覚は、めったに起きないが被害が甚大なものを軽く見て、身近でよく話題になるものを重く見てしまうためです。リスク分析は、この感覚のばらつきを「起きやすさ」と「起きたときの大きさ」という共通のものさしに置き換え、限られた予算をどこから使うかを説明できるようにするために行います。試験でこの語が頻出するのは、対策を選ぶ前に必ず通る工程だからです。
具体例
自動車保険で、年齢や運転歴によって保険料が変わるのはリスク分析そのものです。若い運転者は事故の起きる可能性が高いという統計と、事故が起きたときに支払う金額の見込みを掛け合わせて、保険料という一つの数字にしています。会社の情報セキュリティでも同じで、「顧客名簿の入ったノートPCの紛失」は起きる可能性も影響も大きいから優先度が高い、と並べていきます。
試験での引っ掛け
リスク分析とリスク評価を入れ替えて出す問題が定番です。大きさを求めるのが分析、その大きさを社内の基準と比べて「受け入れる／対策する」を決めるのが評価です。もう一つ、リスク分析と対策の選び方（低減・回避・移転・受容）を混同しないでください。分析は測るところまでで、どうするかを決める工程ではありません。順番は「特定→分析→評価→対応」で、この並び自体がよく問われます。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成25年度 秋期 ITパスポート試験 問56（IPA）
リスクマネジメントに含まれる四つのプロセスであるリスク対応、リスク特定、リスク評価、リスク分析を実施する順番として、適切なものはどれか。
正解：リスク特定→リスク分析→リスク評価→リスク対応
要点：リスクは特定→分析→評価→対応の順で扱う
リスクマネジメントでは、まずどのようなリスクがあるかを洗い出し（特定）、次に発生の可能性と影響の大きさを見積もる（分析）。その結果を基準と照らして対応の要否や優先順位を判断し（評価）、最後に低減・回避・移転・受容といった手立てを講じる（対応）。この順序が基本となる。
出典：平成27年度 春期 ITパスポート試験 問56（IPA）解説で登場
出典：平成28年度 秋期 ITパスポート試験 問89（IPA）
A社では，自社の情報資産に関するリスク分析を実施した結果，近くの川が氾濫することで会社の1階にあるサーバルームが浸水するおそれがあることが分かった。サーバルーム…
正解：リスクの受容
要点：小さいリスクを対策せず引き受けるのが受容
発生の可能性が極めて低いと評価し、対策を講じずに損害が出た場合はそれを引き受けると判断したのだから、これはリスクの受容（保有）に当たる。移転は保険などで負担を移すこと、回避は原因そのものを断つこと、低減は対策で確率や影響を下げることを指す。
出典：平成29年度 秋期 ITパスポート試験 問57（IPA）
ISMSにおける情報セキュリティリスクの取扱いに関する"リスク及び機会に対処する活動"には、リスク対応、リスク評価、リスク分析が含まれる。この活動の流れとして、…
正解：リスク分析 → リスク評価 → リスク対応
要点：リスクは分析→評価→対応の順で取り扱う
リスクへの対処は、まずリスクの発生確率や影響の大きさを見積もるリスク分析を行い、次にその結果を受入基準と照らして対応が必要かどうかを判断するリスク評価を行う。そのうえで、低減・回避・移転・受容といったリスク対応を選んで実施する。分析→評価→対応の順が正しい流れである。
出典・参考
公式シラバスの3 システム戦略 ＞ 22. システム化計画 ＞ (1) システム化計画に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。