プライバシー影響アセスメント

個人情報の収集を伴う情報システムの導入や改修にあたり、プライバシーへの影響を事前に評価し、リスクを低減するための手法。マイナンバー制度では特定個人情報保護評価として実施が義務付けられている。

個人情報を取り扱う情報システムの導入・変更時に、プライバシーへの影響を事前に評価する手法。リスクの特定と対策の検討を行い、プライバシー保護を設計段階から組み込む。PIAとも略される。

個人情報を扱うシステムやデータ活用の施策について、企画・設計の段階でプライバシーへの影響を評価し、リスクを低減する対策を組み込む手法。個人情報の流れを洗い出し、収集・利用・提供・保存の各段階で起こり得る権利侵害の大きさと可能性を評価して、対策と残るリスクを報告書にまとめる。手順の規格にJIS X 9251があり、日本ではマイナンバーを扱う行政機関などの特定個人情報保護評価が制度化されている。

個人情報を取り扱う情報システムの導入や、事業の開始・変更にあたり、プライバシーへの影響とリスクを事前に評価し、設計の段階で対策を講じる手法で、プライバシー影響アセスメントとも呼ぶ。後から改修するより費用を抑えられ、プライバシーバイデザインを実践する手段となる。進め方はJIS X 9251（ISO/IEC 29134）に示され、GDPRはリスクの高い処理にデータ保護影響評価（DPIA）を義務付けている。

リスクの大きさに応じて監査資源を重点配分する監査手法。リスクの高い領域に重点を置くことで、限られた監査資源を効果的・効率的に活用する。リスク評価に基づく監査計画の策定が基本となる。

監査対象のリスクを特定・分析・評価するプロセス。リスクの発生可能性と影響度を基に、監査の優先順位や監査資源の配分を決定するための基礎情報を提供する。

識別されたリスクの一覧とその分析・評価結果、対応策を記録・管理する文書。リスクの内容、発生可能性、影響度、リスクオーナー、対応状況などを記録し、リスク管理の基礎資料として継続的に更新する。

リスク対応の選択肢の一つで、リスクの存在を認識した上で、追加の対策を講じずにリスクを受け入れること。リスクの水準が許容範囲内である場合や、対策コストがリスクの影響を上回る場合に選択される。

リスクとそれに対応するコントロールの関係を一覧化したマトリックス。各リスクに対してどのようなコントロールが設計されているかを明示し、コントロールの網羅性やギャップの分析に活用される。

内部統制が存在しないと仮定した場合に、監査対象に重大な問題が発生する可能性。業務の複雑さ、IT環境の特性、取引の性質などにより影響され、統制リスクとは独立して評価する。