リスク対応の4分類とは？りすくたいおうのよんぶんるい
リスク対応の4分類とは、特定し評価したリスクへの打ち手を、回避・低減・移転（共有）・保有（受容）の4つに整理した枠組み。回避は活動そのものをやめ、低減は起こりやすさか損害の大きさを下げ、移転は保険や契約で損失の負担を他者と分け、保有は組織が定めたリスク受容基準に照らして対策せず受け入れる。
最終更新：2026-10-06
情報セキュリティマネジメントを最短で暗記・合格する →背景
対策には費用がかかるのに、リスクをゼロにすることはできない。どこまで手を打ち、どこから先は受け入れるのかを担当者の感覚で決めると、部門ごとに水準がばらつき、事故が起きた後で判断の根拠を説明できない。あらかじめ受容基準を決め、対応を4つの型に当てはめて費用と効果を並べることで、優先順位と残留リスクの承認を決裁ラインに乗せられるようになる。
具体例
部門で新たに個人情報を集めるとき、収集項目そのものをやめるのが回避、アクセス権の限定と暗号化で被害を抑えるのが低減、サイバー保険への加入が移転、影響が小さいと判断した残りを基準に照らして残すのが保有にあたる。保有と決めた残留リスクは、部門長の判断で終わらせず、記録に残して経営層の承認を得る。
試験での引っ掛け
移転しても発生確率は下がらない——保険は損害の穴を埋めるだけで、事故そのものは起きるし、利用者への説明責任は自社に残る。「活動を中止する」は低減ではなく回避、「何もしない」ではなく基準に照らして引き受けるのが保有。業務を委託しても、委託先で起きた事故の監督責任まで移るわけではない点も頻出。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。