リスク回避

リスクの原因となる活動やシステムの利用を取りやめることでリスクをなくす対応方法。リスクが大きすぎて他の対策では対処しきれない場合に選択される。

リスクを生じさせる活動を開始しない、または継続しないことでリスクを取り除く対応方法。リスクが許容できないレベルの場合に、事業やサービスそのものを中止・撤退する判断を行う。

リスクの原因となる活動そのものをやめて、リスクを取り除くリスク対応。危険な機能を提供しない、該当業務から撤退するなどが該当する。効果は確実だが、得られたはずの利益も失う。

リスクを生む活動そのものを取りやめる、あるいは着手しないことでリスクをなくす対応。個人情報の収集をやめる、危険な業務を廃止するなどが該当する。効果は確実だが、得られるはずの便益も失う点に注意を要する。

脅威を完全に排除するリスク対応戦略。リスクの原因を除去するか、プロジェクト計画を変更してリスクの影響を受けないようにする。例として、リスクの高い技術の使用を避ける、スコープを変更するなどがある。

リスクを生じさせる活動そのものを行わない、又は中止することでリスクをなくす対応。機微情報の取扱いをやめる、リスクの高いサービスを廃止するなどが該当する。事業機会も同時に失う点に留意する。

リスクの大きさに応じて監査資源を重点配分する監査手法。リスクの高い領域に重点を置くことで、限られた監査資源を効果的・効率的に活用する。リスク評価に基づく監査計画の策定が基本となる。

監査対象のリスクを特定・分析・評価するプロセス。リスクの発生可能性と影響度を基に、監査の優先順位や監査資源の配分を決定するための基礎情報を提供する。

識別されたリスクの一覧とその分析・評価結果、対応策を記録・管理する文書。リスクの内容、発生可能性、影響度、リスクオーナー、対応状況などを記録し、リスク管理の基礎資料として継続的に更新する。

リスク対応の選択肢の一つで、リスクの存在を認識した上で、追加の対策を講じずにリスクを受け入れること。リスクの水準が許容範囲内である場合や、対策コストがリスクの影響を上回る場合に選択される。

リスクとそれに対応するコントロールの関係を一覧化したマトリックス。各リスクに対してどのようなコントロールが設計されているかを明示し、コントロールの網羅性やギャップの分析に活用される。

内部統制が存在しないと仮定した場合に、監査対象に重大な問題が発生する可能性。業務の複雑さ、IT環境の特性、取引の性質などにより影響され、統制リスクとは独立して評価する。