残留リスクとは？ざんりゅうりすく
残留リスクとは、リスク対応を実施した後もなお残るリスク。対策で発生可能性や影響を下げてもゼロにはできないため、対応後にどれだけ残るかを見積もり、それがリスク基準に照らして受け入れられる水準かをリスク所有者が判断する。受容すると決めた残留リスクは、判断した人と根拠を記録に残し、以後も監視の対象として扱う。
最終更新：2026-10-06
この語が出る過去問を解く →背景
対策を打つほど費用と業務の手間は増えるのに、リスクは減りこそすれ消えない。どこまでやれば十分かという問いに答えを出すには、「残る分をどう扱うか」を明示的に決める段取りが要る。残留リスクという枠を置くことで、「対策したから安心」という曖昧な終わり方を避け、残る危険を誰の責任で引き受けたのかを組織として記録できるようになる。試験では、この承認の主体が誰かという形でも問われる。
具体例
標的型メール対策として訓練とフィルタリングを導入しても、巧妙な文面で開封される可能性は残る。この残った部分を残留リスクとして見積もり、検知後の初動手順と連絡体制を用意したうえで、リスク所有者が受容すると判断してリスク登録簿に記録する。翌年のアセスメントで水準が変わっていないかを再確認する。
試験での引っ掛け
対策を講じれば残留リスクは常にゼロになると考えるのが典型的な誤り。ゼロにできないからこそ受容の判断が必要になる。またこの判断を担当者が独断で行うのではなく、リスク所有者（多くは所管部門の責任者）が承認するという主体の違いも問われる。受容したリスクも放置してよいわけではない。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問9（IPA）
JIS Q 31000:2010における残留リスクの定義はどれか。
正解：リスク対応後に残るリスク
要点：残留リスクは対策後も残り、受容には承認が要る
残留リスクとは、リスク対応を実施した後になお残っているリスクを指す。対策を打っても発生確率や影響をゼロにできることはまれで、費用対効果の観点から一定の残留リスクは受容するのが通例である。ただし受容にあたっては、そのリスクを認識し、責任者が承認するという手続きが求められる。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問5（IPA）解説で登場
JIS Q 27001において、リスクを受容するプロセスに求められるものはどれか。
正解：受容するリスクについては、リスク所有者が承認すること
要点：残留リスクの受容にはリスク所有者の承認が必要
JIS Q 27001では、リスク対応の結果として残った残留リスクをリスク所有者が承認することを求めている。リスクを受け入れるという判断は組織としての意思決定であり、その責任を負うリスク所有者の承認が必須となる。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問8（IPA）解説で登場
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）では，リスクを運用管理することについて，アカウンタビリティ及び権限をもつ人又は主体…
正解：リスク所有者
要点：リスク所有者はリスク管理の説明責任と権限をもつ主体
リスク所有者とは、リスクを運用管理することについて、説明責任（アカウンタビリティ）と、そのために必要な権限をもつ人または主体をいう。リスク対応計画や残留リスクの承認を行うのもこのリスク所有者である。
出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問3（IPA）解説で登場
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問7（IPA）解説で登場
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）では、リスクを運用管理することについて、アカウンタビリティ及び権限をもつ人又は主体…
正解：リスク所有者
要点：リスクの運用管理に責任と権限をもつ主体がリスク所有者
リスクを運用管理することについてアカウンタビリティと権限をもつ人または主体を、JIS Q 27000ではリスク所有者と呼ぶ。リスクアセスメントの結果やリスク対応計画、残留リスクの受容についてはリスク所有者の承認が求められる。監査員や利害関係者はリスクを管理する立場ではない点に注意する。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ 対応）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。