JIS Q 31000（リスクマネジメント）とは？
JIS Q 31000（リスクマネジメント）とは、情報分野に限らず、あらゆるリスクの管理に共通する原則と枠組み、プロセスを示した規格。リスクを「目的に対する不確かさの影響」と定義し、状況の確定、リスクアセスメント、リスク対応、監視、コミュニケーションの流れを示す。
情報セキュリティマネジメント試験の過去問では9回出題されています（2016年度〜2026年度）。
じすきゅーさんまんせん
JIS Q 31000（リスクマネジメント）の意味
情報分野に限らず、あらゆるリスクの管理に共通する原則と枠組み、プロセスを示した規格。リスクを「目的に対する不確かさの影響」と定義し、状況の確定、リスクアセスメント、リスク対応、監視、コミュニケーションの流れを示す。
JIS Q 31000（リスクマネジメント）の具体例
情報セキュリティのリスク評価だけでなく、災害や人材流出、為替変動なども同じ枠組みで扱えるため、全社のリスク管理委員会がこの規格に沿って評価基準や報告様式を統一し、部門ごとにばらばらだった判断のものさしをそろえる。
JIS Q 31000（リスクマネジメント）は試験でどう引っ掛けられる？
リスクを「損失」だけと捉えるのは誤り。この規格の定義では、良い方向のぶれも含む不確かさの影響を指す。また認証を取得する規格ではなく、指針として使うものである。
JIS Q 31000（リスクマネジメント）と関連する用語
JIS Q 31000（リスクマネジメント）が出た過去問
リスクの顕在化に備えて地震保険に加入するという対応は、JIS Q 31000:2010に示されているリスク対応のうち、どれに分類されるか。
正解：一つ以上の他者とそのリスクを共有する。
要点：保険加入は損失負担を他者と分けるリスク共有
JIS Q 31000のリスク対応には、回避・リスクテイク・リスク源の除去・起こりやすさの変更・結果の変更・リスクの共有・リスクの保有といった選択肢がある。保険への加入は、損失の財務的負担を保険会社という他者に肩代わりさせる行為なので「リスクの共有」（従来のリスク移転）に当たる。なお保険をかけても事象そのものの発生確率は変わらない点に注意したい。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問2（IPA）JIS Q 31000:2010における残留リスクの定義はどれか。
正解：リスク対応後に残るリスク
要点：残留リスクは対策後も残り、受容には承認が要る
残留リスクとは、リスク対応を実施した後になお残っているリスクを指す。対策を打っても発生確率や影響をゼロにできることはまれで、費用対効果の観点から一定の残留リスクは受容するのが通例である。ただし受容にあたっては、そのリスクを認識し、責任者が承認するという手続きが求められる。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問9（IPA）情報技術セキュリティ評価のための国際標準であり、コモンクライテリア（CC）と呼ばれるものはどれか。
要点：コモンクライテリアはISO/IEC 15408
ISO/IEC 15408はコモンクライテリア（CC）と呼ばれる、IT製品やシステムのセキュリティ機能とその保証レベルを評価するための国際規格である。日本ではJIS X 5070として規格化され、評価済み製品の調達判断に利用される。品質のISO 9001、環境のISO 14000シリーズ、情報セキュリティリスクマネジメントのISO/IEC 27005と混同しないよう番号で押さえたい。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問30（IPA）情報セキュリティに係るリスクマネジメントが効果的に実施されるよう、リスクアセスメントに基づいた適切なコントロールの整備、運用状況を検証又は評価し、保証又は助言を…
正解：情報セキュリティ監査
要点：独立した立場でコントロールを検証し保証・助言するのが情報セキュリティ監査
独立かつ専門的な立場の実施者が、情報セキュリティのコントロールの整備状況・運用状況を検証・評価し、保証または助言を与える活動は情報セキュリティ監査である。独立性が要件となる点が、自己点検型の手法と決定的に異なる。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問3（IPA）JIS Q 31000:2010（リスクマネジメント－原則及び指針）において、リスクマネジメントを効果的なものにするために、組織が順守することが望ましいこととし…
正解：リスクマネジメントは、組織に合わせて作られる。
要点：リスクマネジメントは組織に合わせ、動的で業務と一体
JIS Q 31000が掲げる原則には「リスクマネジメントは組織に合わせて作られる」があり、組織の外部・内部状況やリスクプロファイルに適合させることが求められる。他の原則として、動的で変化に対応すること、組織のプロセスに不可欠な要素であること、意思決定の一部であることなども挙げられている。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問5（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。