リスク評価とは？りすくひょうか
リスク評価とは、リスク分析で見積もったリスクの大きさを、あらかじめ定めたリスク基準と照らし合わせ、そのまま受け入れられるか、対応が必要かを判断して優先順位を付ける工程。リスク特定・リスク分析・リスク評価の3つをまとめてリスクアセスメントと呼び、評価はその最後の段階にあたる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
組織が抱えるリスクをすべて洗い出しても、対策に使えるお金と人手には限りがある。判断の基準を先に決めておかないと、そのときの担当者の感覚や直近の事故の印象で優先順位が変わり、対策が偏る。どの水準までなら受け入れると経営層が線を引いておくことで、判断がぶれずに説明もできるようになる。ITパスポートでは、この工程の順序が繰り返し問われる。
具体例
リスクマネジメントの国際規格を日本語化したJIS Q 31000は、この特定・分析・評価という流れを定めている。実務では、発生のしやすさと影響の大きさをそれぞれ3段階に置いた表を作り、「高に入るものは必ず低減策を講じる」「低は受容する」と基準を先に決めてから、洗い出したリスクを当てはめていく。
試験での引っ掛け
リスクアセスメント全体と、その最終段階であるリスク評価を同じものとして扱う選択肢が定番。リスクの大きさを算出するのは分析の役割で、評価がやるのは基準と照らして対応の要否と順番を決めること。評価が終わった後に来るのがリスク対応で、回避・低減・共有（移転）・保有の選択はそちらの工程になる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成25年度 秋期 ITパスポート試験 問56（IPA）
リスクマネジメントに含まれる四つのプロセスであるリスク対応、リスク特定、リスク評価、リスク分析を実施する順番として、適切なものはどれか。
正解：リスク特定→リスク分析→リスク評価→リスク対応
要点：リスクは特定→分析→評価→対応の順で扱う
リスクマネジメントでは、まずどのようなリスクがあるかを洗い出し（特定）、次に発生の可能性と影響の大きさを見積もる（分析）。その結果を基準と照らして対応の要否や優先順位を判断し（評価）、最後に低減・回避・移転・受容といった手立てを講じる（対応）。この順序が基本となる。
出典：平成26年度 秋期 ITパスポート試験 問47（IPA）
情報セキュリティのリスクマネジメントにおいて、リスクの重大さを決定するために、算定されたリスクを与えられた基準と比較するプロセスはどれか。
正解：リスク評価
要点：リスク評価は算定結果を基準と比べ重大さを決める
リスクマネジメントでは、リスクの特定→分析→評価という順で進む。このうちリスク評価は、分析で算定したリスクの大きさを、あらかじめ定めた受容基準と照らし合わせ、対応が必要かどうか・どれを優先するかを判断する段階である。
出典：平成29年度 秋期 ITパスポート試験 問57（IPA）
ISMSにおける情報セキュリティリスクの取扱いに関する"リスク及び機会に対処する活動"には、リスク対応、リスク評価、リスク分析が含まれる。この活動の流れとして、…
正解：リスク分析 → リスク評価 → リスク対応
要点：リスクは分析→評価→対応の順で取り扱う
リスクへの対処は、まずリスクの発生確率や影響の大きさを見積もるリスク分析を行い、次にその結果を受入基準と照らして対応が必要かどうかを判断するリスク評価を行う。そのうえで、低減・回避・移転・受容といったリスク対応を選んで実施する。分析→評価→対応の順が正しい流れである。
出典：平成29年度 春期 ITパスポート試験 問63（IPA）
情報セキュリティのリスクマネジメントをリスク特定，リスク分析，リスク評価，リスク対応に分けたときに，リスク対応に含まれるものはどれか。
正解：リスクへの対処方法を選択し，具体的な管理策の計画を立てる。
要点：リスク対応は対処方針の選択と具体的な管理策の計画
リスクアセスメントは特定・分析・評価の三段階で、どんなリスクがあるかを洗い出し、大きさを算定し、受容基準と照らして対応の要否を判断する。そのうえで実施するリスク対応では、低減・回避・移転・保有といった方針を選び、具体的な管理策とその実施計画を定める。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。