重要度：B
問26：あるリスクについて、影響が小さく発生可能性も低いため、追加の対策費用に見合わないと判断した。リスク保有として扱う場合の進め方として、最も適切なものはどれか。
- A：受容基準の範囲内と確認し、承認を得て受け入れて記録する
- B：受容基準の範囲内であれば、承認の手続を経ずに受け入れて監視を続ける
- C：一度受容した後は、事業環境が変化しても再評価の対象へ戻さない
- D：金銭的な損失の見込みだけを確認し、法令上の要求は考慮せずに受容する
【第26問：正解と解説】
正解：A
・A
正しい。保有は受容基準との比較と承認を伴う意思決定であり、記録して以後も監視を続ける。
・B
受容基準の範囲内でも、定められた権限者の承認と記録を経て受け入れる。
・C
発生可能性や影響は変化するため、保有したリスクも監視と再評価の対象であり続ける。
・D
金銭面で小さくても、法令や契約上受容できないリスクは保有の対象にできない。
重要度：B
問27：管理策を実施した後の残留リスクの扱いとして、最も適切なものはどれか。
- A：残留リスクが受容基準を上回っていても、対策を実施済みなら受容する
- B：対策前の評価結果だけをその後も使用し、対策後の再評価は行わない
- C：対策後のリスクを再評価し、追加対応か受容かを判断する
- D：残留リスクが受容基準を下回る場合は、記録や監視の対象から外す
【第27問：正解と解説】
正解：C
・A
対策の実施は受容の根拠にならない。残留リスクを受容基準と比較して判断する。
・B
対策の効果と残るリスクを確認しなければ、受容の妥当性を判断できない。
・C
正しい。対策後の発生可能性や影響を確認し、リスク所有者などの権限者が対応又は受容を判断する。
・D
基準内で受容したリスクも、環境変化に備えて記録し監視を続ける。
重要度：C
問28：個別には小さいと評価された複数のリスクが、同じ重要業務へ同時に影響する可能性がある。最も適切な対応はどれか。
- A：個々のリスクが小さいので、リスクどうしの相互関係は確認しない
- B：依存関係や同時発生時の影響を確認し、集約して全体として再評価する
- C：最も古くから記録されているリスクだけを残し、他は削除する
- D：発生の原因が異なるリスクは同時には顕在化しないとみなし、個別の評価を維持する
【第28問：正解と解説】
正解：B
・A
個別評価だけでは、共通原因や連鎖による大きな影響を見落とす可能性がある。
・B
正しい。複数リスクの依存関係や累積影響を確認し、集約した場合の全体的なリスクを評価する。
・C
記録を削除しても、実際のリスクや依存関係はなくならない。
・D
原因が異なるリスクでも、同じ業務へ同時に影響して累積的な損害を生じさせる場合がある。
重要度：C
問29：複数のリスク対応策の優先順位を決める方法として、最も適切なものはどれか。
- A：リスクの大きさ、法令の要求、費用、残留リスクなどを総合して決める
- B：対策に掛かる費用が最も安いものだけを、常に最優先で実施する
- C：担当者が個人的に関心をもった対策から、順不同で実施していく
- D：全ての対策を同じ優先度として扱い、完了の期限は定めない
【第29問：正解と解説】
正解：A
・A
正しい。リスクの大きさ、法令・契約上の要求、費用、実施可能性、対策後の残留リスクを総合的に評価し、合理的な順序を決める。
・B
安価でも重要なリスクへ十分な効果がない場合がある。
・C
個人の関心ではなく、組織の基準と事業上の必要性で判断する。
・D
優先順位と期限がなければ、資源配分や進捗管理が困難になる。
重要度：C
問30：重要業務を一つの海外クラウド事業者へ依存している。外部サービス利用のリスクとして、最も適切なものはどれか。
- A：サービスの可用性だけを評価し、データが所在する国の法的要求は確認しない
- B：データの保存場所を確認していれば、他社サービスへの移行可能性は評価しない
- C：SLAの稼働率を確認していれば、再委託先の管理状況は確認の対象にしない
- D：事業者の障害、サービス終了、データ所在、移行困難性の影響を評価する
【第30問：正解と解説】
正解：D
・A
海外にデータが所在する場合、準拠法やデータ保護の規制など法域の要求も評価する必要がある。
・B
サービスの終了や条件の変更に備え、データの移行可能性や代替手段も検討しておく。
・C
SLAは指標の一つにすぎず、再委託を含む委託先の管理体制も確認の対象になる。
・D
正しい。技術だけでなく、契約、法令、集中依存、事業継続などの観点から外部サービスのリスクを分析する。
コメント