リスク対応戦略の転嫁
プロジェクトにおけるマイナスのリスク（脅威）への対応戦略のうち，転嫁に該当するものはどれか。
- ア納期遅延による損害賠償に備えて保険に加入し，リスクが顕在化したときの損失の負担を保険会社に移す。
- イ不確実性の高い新技術を採用する計画を取りやめ，実績のある技術に変更する。
- ウ性能要件を満たせないリスクに備えて早期にプロトタイプを作成し，リスクの発生確率を下げる。
- エリスクが顕在化したときに使用するコンティンジェンシー予備を確保しておき，発生時に対応する。
正解と解説を見る
正解 ア
この問題の基礎知識
- PMBOK では，マイナスのリスク（脅威）への対応戦略として，回避，転嫁，軽減，受容などが挙げられる。
- 回避はリスクの原因となる計画を変えて脅威をなくすこと，転嫁は保険や契約によって影響と責任を第三者に移すこと，軽減は発生確率や影響度を下げることである。
- 受容はリスクの存在を認め，発生確率や影響度を変える対策は講じないことで，コンティンジェンシー予備を確保しておく積極的な受容と，特に何もしない消極的な受容がある。
- プラスのリスク（好機）に対する戦略は活用，共有，強化，受容などであり，脅威への戦略と区別する。
ア納期遅延による損害賠償に備えて保険に加入し，リスクが顕在化したときの損失の負担を保険会社に移す。正解
転嫁は，リスクの影響とその対応の責任を第三者に移す戦略である。保険への加入や，履行保証・契約不適合責任に関する契約条項による責任の移転が代表例である。
イ不確実性の高い新技術を採用する計画を取りやめ，実績のある技術に変更する。
リスクの原因となる計画自体を変更し，脅威を完全に取り除こうとするものであり，回避に該当する。リスクの負担を第三者に移す転嫁とは異なる。
ウ性能要件を満たせないリスクに備えて早期にプロトタイプを作成し，リスクの発生確率を下げる。
リスクの発生確率や影響度を受容可能な水準まで下げる処置であり，軽減に該当する。リスクを第三者に移すものではない。
エリスクが顕在化したときに使用するコンティンジェンシー予備を確保しておき，発生時に対応する。
リスクを認めたうえで発生時に備えて予備を確保するものであり，積極的な受容に該当する。リスクの負担は自組織に残る。
検証用の出典出典照合済み
PMBOK ガイド 第 6 版 ／ JIS Q 31000:2019 ／ NIST SP 800-39 Managing Information Security Risk照合の根拠（4 件）
- ア（正解）: 保険によってリスクの責任・損失負担を保険会社に移すことが転嫁（transfer）である
Risk transfer shifts the entire risk responsibility or liability from one organization to another organization (e.g., using insurance to transfer risk from particular organizations to insurance companies).
NIST SP 800-39 Managing Information Security Risk · Section 3.3, Risk Sharing or Transfer（新しいタブで開きます） - イ（誤り）: リスクの原因となる技術の採用をやめるのは回避である
risk avoidance involves taking specific actions to eliminate the activities or technologies that are the basis for the risk
NIST SP 800-39 Managing Information Security Risk · Section 3.3, Risk Avoidance（新しいタブで開きます） - ウ（誤り）: プロトタイプで発生確率を下げるのはリスク低減（軽減）であり，転嫁とは別の対応である
Risk mitigation, or risk reduction, is the appropriate risk response for that portion of risk that cannot be accepted, avoided, shared, or transferred.
NIST SP 800-39 Managing Information Security Risk · Section 3.3, Risk Mitigation（新しいタブで開きます） - エ（誤り）: リスクを自組織で引き受け，発生時に予備で対応するのは受容である。負担を他組織に移す転嫁の定義（ア）から明らかに外れる
Risk acceptance is the appropriate risk response when the identified risk is within the organizational risk tolerance.
NIST SP 800-39 Managing Information Security Risk · Section 3.3, Risk Acceptance（新しいタブで開きます）