リスク受容

リスクの存在を認識した上で、積極的な対応策を講じない戦略。能動的受容（コンティンジェンシー計画を準備）と受動的受容（リスクが顕在化した時点で対応）がある。影響が小さいリスクや対応コストが高いリスクに適用される。

Past Exams

過去問での出題

過去問で 10 回出題（ITパスポート試験 4・応用情報技術者試験 3・情報セキュリティマネジメント試験 1・基本情報技術者試験 1・高度試験午前Ⅰ 1）。うち 1 回は用語そのものを問う問題です。

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

リスクの大きさに応じて監査資源を重点配分する監査手法。リスクの高い領域に重点を置くことで、限られた監査資源を効果的・効率的に活用する。リスク評価に基づく監査計画の策定が基本となる。

監査対象のリスクを特定・分析・評価するプロセス。リスクの発生可能性と影響度を基に、監査の優先順位や監査資源の配分を決定するための基礎情報を提供する。

識別されたリスクの一覧とその分析・評価結果、対応策を記録・管理する文書。リスクの内容、発生可能性、影響度、リスクオーナー、対応状況などを記録し、リスク管理の基礎資料として継続的に更新する。

リスクとそれに対応するコントロールの関係を一覧化したマトリックス。各リスクに対してどのようなコントロールが設計されているかを明示し、コントロールの網羅性やギャップの分析に活用される。

内部統制が存在しないと仮定した場合に、監査対象に重大な問題が発生する可能性。業務の複雑さ、IT環境の特性、取引の性質などにより影響され、統制リスクとは独立して評価する。

内部統制によって重大な問題が防止または検出・是正されないリスク。内部統制の設計上の有効性と運用上の有効性により決まり、統制テストの結果に基づいて評価する。