リスク基準とは？りすくきじゅん
リスク基準は、見つけたリスクの重大さをどう判定し、どこから対応が必要と考えるかを、組織があらかじめ決めておく物差しである。起こりやすさと影響の大きさをどう組み合わせて大きさを判断するか、どの水準までなら受け入れてよいかを定める。リスクアセスメントを始める前に用意しておく点が問われる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
リスクの大きさは絶対的な数字ではなく、その組織がどれだけの損失に耐えられるかで変わる。同じ100万円の損害でも、受け止め方は会社の規模によって違う。だから基準は自分たちで決めるしかない。そして評価の結果を見てから基準を決めると、対応したくないリスクを「許容範囲だった」と後付けで片付けられてしまう。順序を先に固定することそのものに意味がある。
具体例
発生の頻度を3段階、影響の大きさを3段階に分けた表を作り、掛け合わせた値が6以上なら必ず対策、3から4なら費用を見て判断、2以下は受け入れる、と社内で先に決めておく。リスクマネジメントの規格であるJIS Q 31000や、情報セキュリティマネジメントのJIS Q 27001は、この基準を定めることを求めている。
試験での引っ掛け
リスク基準を決めるのはアセスメントの前だという順序が問われる。もう一つ、リスク対応の4分類（リスク回避・リスク移転／共有・リスク低減・リスク保有／受容）と混同しやすいが、基準はどの対応を選ぶかを判断するための物差しであって、対応そのものではない。基準の数値は法令や規格が与えてくれるわけではなく、組織が自分で決める点も押さえる。
関連用語
出た過去問
出典：平成30年度 秋期 ITパスポート試験 問99（IPA）解説で登場
ISMSにおける情報セキュリティリスクアセスメントでは、リスクの特定、分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。 a あらかじめ定…
正解：a
要点：リスク評価は基準と照合して対応の優先順位を決める段階
リスクアセスメントは特定・分析・評価の三段階からなり、このうち評価は、分析結果をあらかじめ定めたリスク基準と照らして、対応の要否や優先順位を決める段階である。リスクを洗い出すbは特定の段階、判断の物差しとなる基準を定めるcはアセスメントに先立つリスク基準の確立にあたるため、評価に該当するのはaだけとなる。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。