情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成27年度春期 午前Ⅰ 問13: JIS Q 31000:2010（リスクマネジメント−原則及び指針）における，残留リスクの定義はどれか。

問題本文

JIS Q 31000:2010（リスクマネジメント−原則及び指針）における，残留リスクの定義はどれか。

選択肢

• ア.監査手続を実施しても監査人が重要な不備を発見できないリスク
• イ.業務の性質や本来有する特性から生じるリスク
• ウ.利益を生む可能性に内在する損失発生の可能性として存在するリスク
• エ.リスク対応後に残るリスク

正解

エ. リスク対応後に残るリスク

解説

JIS Q 31000における残留リスクとは、リスク対応（低減・回避・移転など）を実施した後になお残るリスクのこと。エが定義に合致する。すべてのリスクを完全に消すことは難しく、対応後の残りを認識・受容することがリスクマネジメントの要点。残留リスクを評価し許容水準内かを確認する姿勢は、情報セキュリティ管理でも不可欠である。

選択肢ごとの解説

• ア.監査人が不備を見逃す発見リスクの説明で、残留リスクの定義ではなく誤り。
• イ.業務固有の性質から生じる固有リスクの説明であり、対応後に残るリスクとは異なり誤り。
• ウ.利益に内在する損失可能性を指す投機的リスクなどの説明で、残留リスクの定義ではなく誤り。
• エ.リスク対応後になお残るリスクという、JIS Q 31000の残留リスクの定義どおりで正しい。