リスク所有者とは？りすくしょゆうしゃ
リスク所有者とは、特定のリスクを管理する説明責任と権限を持つ人。リスク対応の方法を決め、対策後に残るリスク（残留リスク）を受容するかどうかを最終的に判断する立場にあり、JIS Q 27001はリスクアセスメントの結果と対応計画についてリスク所有者の承認を求めている。
最終更新：2026-10-06
この語が出る過去問を解く →背景
リスクの一覧が「誰のものでもない表」になると、対策の実施も、残ったリスクを引き受ける判断も先送りされる。そこで規格はリスクごとに引き受ける人を名指しさせ、承認という形で判断を記録に残させている。セキュリティ部門が代わりに決めてしまうと、費用も業務停止も引き受けない人が判断することになり、実行されない対策が並ぶ。この分離が試験の狙いになる。
具体例
顧客情報システムに関するリスクであれば、そのシステムを所管する部門長がリスク所有者となり、対策の実施状況を確認したうえで、残ったリスクを受容するかどうかを承認する。ISMSの内部監査では、この承認の記録が確認対象になる。
試験での引っ掛け
対策を実行する現場担当者と、残留リスクを受容する権限を持つリスク所有者は同一人物とは限らない。またリスク所有者は情報セキュリティ部門ではなく、その資産と業務を持つ部門の側に置かれるのが原則で、「専門部署が所有者」と答えるのが典型的な誤りになる。
関連用語
出た過去問
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問5（IPA）
JIS Q 27001において、リスクを受容するプロセスに求められるものはどれか。
正解：受容するリスクについては、リスク所有者が承認すること
要点：残留リスクの受容にはリスク所有者の承認が必要
JIS Q 27001では、リスク対応の結果として残った残留リスクをリスク所有者が承認することを求めている。リスクを受け入れるという判断は組織としての意思決定であり、その責任を負うリスク所有者の承認が必須となる。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問8（IPA）
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）では，リスクを運用管理することについて，アカウンタビリティ及び権限をもつ人又は主体…
正解：リスク所有者
要点：リスク所有者はリスク管理の説明責任と権限をもつ主体
リスク所有者とは、リスクを運用管理することについて、説明責任（アカウンタビリティ）と、そのために必要な権限をもつ人または主体をいう。リスク対応計画や残留リスクの承認を行うのもこのリスク所有者である。
出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問3（IPA）
JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)において、リスクを受容するプロセスに求められるものはどれか。
正解：受容するリスクについては、リスク所有者が承認すること
要点：残留リスクの受容はリスク所有者が承認する必要がある
ISMSではリスク対応後に残る残留リスクを受容するかどうかを判断するが、その承認はリスク所有者(リスクを管理する責任と権限をもつ者)が行うことが求められる。担当者の判断で勝手に受容するのではなく、責任者が明示的に承認する点が要求事項の要である。受容したリスクも監視・レビューの対象から外れるわけではない。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問7（IPA）
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）では、リスクを運用管理することについて、アカウンタビリティ及び権限をもつ人又は主体…
正解：リスク所有者
要点：リスクの運用管理に責任と権限をもつ主体がリスク所有者
リスクを運用管理することについてアカウンタビリティと権限をもつ人または主体を、JIS Q 27000ではリスク所有者と呼ぶ。リスクアセスメントの結果やリスク対応計画、残留リスクの受容についてはリスク所有者の承認が求められる。監査員や利害関係者はリスクを管理する立場ではない点に注意する。
出典：令和4年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問1（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム-要求事項）において、リスクを受容するプロセスに求められるものはどれか。
正解：受容するリスクについては、リスク所有者が承認すること
要点：残留リスクの受容はリスク所有者の承認が必須
ISMSではリスク対応の結果として残る残留リスクを受け入れる際、その責任を負うリスク所有者が承認することを求めている。リスクを受け入れる判断は組織の資源配分に関わるため、実務担当者ではなく責任と権限をもつ者が行う必要があるからである。受容後もリスクは消滅しないので監視とレビューは継続し、受容の判断はリスクアセスメント（特定・分析・評価）を経た上で行う。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ リスク分析と評価（情報セキュリティリスクアセスメント）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。