新たなリスク管理の展開（3）〜内部統制、ISMS，BCM で求められるリスク管理

リスク管理がどのような手順で行われるかについて、JISQ2001規格「リスクマネジメントシステム構築のための指針」と、エンタープライズを志向して、内部統制のフレームワーク（COSO）を拡大させた「COSO-ERM」を基に解説しています。

特集特集

2007年9月25日（火） 16時15分

リスク管理がどのような手順で行われるかについて、JISQ2001規格「リスクマネジメントシステム構築のための指針」と、エンタープライズを志向して、内部統制のフレームワーク（COSO）を拡大させた「COSO-ERM」を基に解説しています。

─

●2.2「ERMプロセスの流れ」
リスク管理は、リスクアセスメント(影響度評価)とリスクへの対応に大きく分かれます。企業全体にわたるリスク管理について、その手続きの流れを示します。

（1）リスクアセスメント
リスクアセスメントは、リスクの発見及び特定、リスクの算定、リスクの評価を含み、リスク管理で最初のステップとしで重要なところです。

（a）リスク分析
・リスクの発見及び特定
企業の目的・目標に関連するものを含めて、企業に重大な影響を及ぼす可能性のあるリスク要因を発見して、漏らすことなく、包括的に洗い出し特定します。

（b）リスクの算定
特定されたリスクは、発生可能性と企業への影響度に基づき、企業・組織にとっての重要度を算定します。リスクの算定は、関係者が納得できる合理的な指標を用いて、統一的な視点で相対的な比較が可能となるように行われることが望まれます。

（c）リスクの評価
リスク評価では、リスクの算定に基づいて、投資対効果を踏まえた対策を考えるために優先順位を付けます。

（2）リスクへの対応
　リスクの評価を踏まえて対応すべきリスクについて管理目標を設定し、許容できるリスク量を定めます。その上で、目標の範囲内に残留リスクが収まるように、リスク対策を選択しなければなりません。残留リスクを小さくしようとすると、当該リスクへの対策を強化することが必要になります。リスク対策の種別を以下（a）〜（d）に示します。

（a）移転：リスクを保険、契約等により他へ転嫁したり、分担したりさせる…

【執筆：東京大学　情報セキュリティコミュニティ　副代表　林誠一郎】

NTTデータ・セキュリティ | セキュリティ対策コラム
http://www.nttdata-sec.co.jp/column/

【関連URL】
新たなリスク管理の展開（1)
https://www.netsecurity.ne.jp/7_9737.html
新たなリスク管理の展開（3）
https://www.netsecurity.ne.jp/7_10044.html

※ この記事は Scan購読会員向け記事をダイジェスト掲載しました
購読会員登録案内
http://www.ns-research.jp/cgi-bin/ct/p.cgi?m-sc_netsec

《ScanNetSecurity》