JIS Q 31000（リスクマネジメント）とは？じすきゅーさんまんせん
JIS Q 31000（リスクマネジメント）とは、情報分野に限らずあらゆる種類のリスクを扱うための原則・枠組み・プロセスを定めた日本産業規格。リスクを「目的に対する不確かさの影響」と定義し、組織の状況の確定からリスクアセスメント、リスク対応、監視・レビュー、コミュニケーションまでの流れを示す。
最終更新：2026-10-06
この語が出る過去問を解く →背景
リスクの評価がセキュリティ・災害・為替・法務と部門ごとに別々のものさしで行われると、経営はどれを先に手当てすべきかを比べられない。ISO 31000を国内規格化したこの規格は、分野を問わず使える共通の考え方と用語を与えることで、その不揃いを調停するために作られた。情報セキュリティマネジメントでは、JIS Q 27001が求めるリスクアセスメントがこの枠組みの上に立っていることが問われる。
具体例
ISOが定めたISO 31000を日本産業規格として採り入れたもの。全社のリスク管理委員会がリスク基準や報告様式をこの規格に合わせることで、情報セキュリティのリスクを自然災害や人材流出と同じ表の上に並べて優先順位を付けられるようにする。
試験での引っ掛け
リスクを「損失」だけと捉えるのは誤りで、この規格の定義では良い方向のぶれも含む不確かさの影響を指す。また認証を取得するための規格ではなく指針として使うものであり、認証規格であるJIS Q 27001とはそこが分かれ目になる。
関連用語
出た過去問
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問2（IPA）
リスクの顕在化に備えて地震保険に加入するという対応は、JIS Q 31000:2010に示されているリスク対応のうち、どれに分類されるか。
正解：一つ以上の他者とそのリスクを共有する。
要点：保険加入は損失負担を他者と分けるリスク共有
JIS Q 31000のリスク対応には、回避・リスクテイク・リスク源の除去・起こりやすさの変更・結果の変更・リスクの共有・リスクの保有といった選択肢がある。保険への加入は、損失の財務的負担を保険会社という他者に肩代わりさせる行為なので「リスクの共有」（従来のリスク移転）に当たる。なお保険をかけても事象そのものの発生確率は変わらない点に注意したい。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問9（IPA）
JIS Q 31000:2010における残留リスクの定義はどれか。
正解：リスク対応後に残るリスク
要点：残留リスクは対策後も残り、受容には承認が要る
残留リスクとは、リスク対応を実施した後になお残っているリスクを指す。対策を打っても発生確率や影響をゼロにできることはまれで、費用対効果の観点から一定の残留リスクは受容するのが通例である。ただし受容にあたっては、そのリスクを認識し、責任者が承認するという手続きが求められる。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問5（IPA）
JIS Q 31000:2010（リスクマネジメント－原則及び指針）において、リスクマネジメントを効果的なものにするために、組織が順守することが望ましいこととし…
正解：リスクマネジメントは、組織に合わせて作られる。
要点：リスクマネジメントは組織に合わせ、動的で業務と一体
JIS Q 31000が掲げる原則には「リスクマネジメントは組織に合わせて作られる」があり、組織の外部・内部状況やリスクプロファイルに適合させることが求められる。他の原則として、動的で変化に対応すること、組織のプロセスに不可欠な要素であること、意思決定の一部であることなども挙げられている。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問6（IPA）
JIS Q 31000:2010（リスクマネジメント－原則及び指針）において、リスクマネジメントは、“リスクについて組織を指揮統制するための調整された活動”と定…
正解：リスク特定 → リスク分析 → リスク評価 → リスク対応
要点：特定・分析・評価がリスクアセスメント、その後に対応
リスクマネジメントプロセスでは、まずリスクアセスメントとして「リスク特定→リスク分析→リスク評価」を順に行い、その結果を受けてリスク対応を選択・実施する。特定で何が起こり得るかを洗い出し、分析でリスクレベルを算定し、評価でリスク基準と比較して対応要否と優先順位を決める、という流れである。
出典：令和6年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問1（IPA）
JIS Q 31000:2019（リスクマネジメントー指針）におけるリスクアセスメントを構成するプロセスの組合せはどれか。
正解：リスク特定，リスク分析，リスク評価
要点：リスクアセスメントはリスク特定・分析・評価の三つで構成される
JIS Q 31000では、リスクアセスメントはリスク特定・リスク分析・リスク評価の三つのプロセスで構成されます。まずどんなリスクがあるかを洗い出し（特定）、その性質やリスクレベル（結果と起こりやすさで表す大きさ）を把握し（分析）、リスク基準（リスクの重大性を判断する物差し）と照らして対応の要否や優先順位を判断します（評価）。その結果を受けて実施するリスク対応は、アセスメントの外側にある別のプロセスです。
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ 情報セキュリティ管理に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。