情報セキュリティマネジメント 平成28年度 秋期 午前 問9

✓ これが正解エ リスク対応後に残るリスク

解説

残留リスクはリスク対応を行った後に残るリスクです。

残留リスクは、リスク対応をひととおり行ったあとになお残っているリスクのことです。対策を打ってもリスクがまったくの零になることはめったにないので、どれだけ残っているかを把握し、受け入れられる水準かどうかを確かめます。手を打たずに抱えると決めたリスクも、残っている以上は残留リスクに数えます。逆に、活動そのものをやめて回避したものは、もう残っていないので含まれません。この言葉は、監査の場面で使われる言い方や、もうけと損失の両方があり得る種類のリスクを指す言い方と紛れやすいのですが、対応の後に残る、という一点で見分けられます。なお、出題当時のJIS Q 31000:2010は残留リスクを用語として定義していました。その後の改訂版であるJIS Q 31000:2019からはこの用語定義が外れ、JIS Q 27000などで同じ意味の定義が置かれています。

ほかの選択肢の解説

• ア 監査手続を実施しても監査人が重要な不備を発見できないリスク：手続を尽くしても監査を行う人が重要な不備を見つけられずに終わってしまう、という危うさを指す言い方です。対策を打った後に何が残るのかという話とは、そもそも舞台が違います。
• イ 業務の性質や本来有する特性から生じるリスク：その仕事の性質や、もともと備わっている特徴から生まれる危うさを指す言い方です。手を打つ前から存在しているものなので、対応を終えた後になお残っている分を指す言葉ではありません。
• ウ 利益を生む可能性に内在する損失発生の可能性として存在するリスク：もうけが出る見込みの裏側に、損失が出る見込みも抱えている、という種類のリスクを指す言い方です。損得どちらにも振れる性質を述べたもので、対応後に残る分量の話ではありません。