リスクアセスメント
JIS Q 31000:2019（リスクマネジメント－指針）において，リスクアセスメントを構成するプロセスの組合せとして，適切なものはどれか。
- アリスク特定，リスク分析，リスク評価
- イリスク特定，リスク分析，リスク対応
- ウリスク分析，リスク評価，リスク対応
- エリスク特定，リスク評価，リスクコミュニケーション
正解と解説を見る
正解 ア
この問題の基礎知識
- JIS Q 31000 は ISO 31000 を基にしたリスクマネジメントの指針で，そのプロセスは，コミュニケーション及び協議，適用範囲・状況・基準の確定，リスクアセスメント，リスク対応，モニタリング及びレビュー，記録作成及び報告から成る。
- リスク特定はリスクを発見・認識・記述すること，リスク分析はリスクの性質を理解しリスクレベルを決定すること，リスク評価は分析結果をリスク基準と比較して対応の要否を判断することである。
- リスク対応は，リスクアセスメントの結果を受けてリスクに対処する選択肢（回避，低減，共有，保有など）を選定し実施するプロセスであり，リスクアセスメントとは別のプロセスである。
アリスク特定，リスク分析，リスク評価正解
JIS Q 31000:2019 は，リスクアセスメントをリスク特定，リスク分析及びリスク評価を網羅するプロセス全体と定義している。リスク対応はリスクアセスメントの結果を受けて行う別のプロセスである。
イリスク特定，リスク分析，リスク対応
リスク対応はリスクアセスメントの後に，リスクに対処する選択肢を選定・実施するプロセスであり，リスクアセスメントには含まれない。リスク評価が欠けている。
ウリスク分析，リスク評価，リスク対応
リスクアセスメントの最初のプロセスであるリスク特定が欠けており，リスクアセスメントに含まれないリスク対応が入っている。リスクを特定しなければ分析や評価の対象が定まらない。
エリスク特定，リスク評価，リスクコミュニケーション
コミュニケーション及び協議は，リスクマネジメントプロセスの全段階にわたって行われる活動であり，リスクアセスメントを構成するプロセスではない。リスク分析が欠けている。
検証用の出典一部照合
JIS Q 31000:2019 リスクマネジメント－指針 ／ JIS Q 27000:2019 ／ NIST CSRC Glossary (ISO Guide 73)照合の根拠（5 件）
- ア（正解）: リスクアセスメント＝リスク特定・リスク分析・リスク評価
リスクアセスメントは、リスク特定（risk identification）・リスク分析（risk analysis）・リスク評価（risk evaluation）の 3 つのプロセス全体の総称である
IPA 制御システムのセキュリティリスク分析ガイド 第2版 · 第2版改定にあたって（新しいタブで開きます） - ア（正解）: JIS Q 27000:2019 におけるリスクアセスメントの定義。イ・ウ・エ（誤り）: 3 プロセスのいずれかを欠く
リスク特定、リスク分析及びリスク評価のプロセス全体
IPA 制御システムのセキュリティリスク分析ガイド 第2版 · 表 1-2（JIS Q 27000:2019 の規定）（新しいタブで開きます） - イ・ウ（誤り）: リスク対応はリスクアセスメントとは別に定義されたプロセス
リスクを修正するプロセス
IPA 制御システムのセキュリティリスク分析ガイド 第2版 · 表 1-2（JIS Q 27000:2019 の規定）（新しいタブで開きます） - ア（正解）: JIS Q 31000 の用語の基になる ISO Guide 73 の定義でも，リスクアセスメントはリスク特定・リスク分析・リスク評価のプロセス全体である
Overall process of risk identification, risk analysis, and risk evaluation.
NIST CSRC Glossary (ISO Guide 73) · risk assessment（新しいタブで開きます） - イ・ウ（誤り）: リスク対応はリスクを修正するプロセスとして別に定義されており，リスクアセスメントには含まれない
Process to modify risk.
NIST CSRC Glossary (ISO Guide 73) · risk treatment（新しいタブで開きます）
JIS Q 31000:2019（ISO 31000:2018）の本文は読めない（www.iso.org は 403，standards.iso.org の無償公開サイトは閉鎖）。JIS Q 27000:2019 と ISO Guide 73 の同じ定義で正解と誤答肢の排除は裏付けたが，問題文が根拠とする JIS Q 31000 の記述そのもの，及びエの解説（コミュニケーション及び協議が全段階にわたる活動であること）は原文で確認できていない。