解説

JIS Q 31000:2019（リスクマネジメント指針）においてリスクアセスメントは3つのプロセスで構成される：①リスク特定（リスクを洗い出す）②リスク分析（リスクの可能性・影響を評価）③リスク評価（分析結果をリスク基準と比較し優先順位を決定）。「リスク対応」はリスクアセスメントの後に続くプロセスであり、アセスメント自体には含まれない。「リスク受容」は評価の結果としての意思決定であり、独立したプロセスではない。選択肢bの「リスク特定・リスク分析・リスク評価」が正解。

なぜ他の選択肢は違うのか

選択肢 ア

「リスク特定・リスク評価・リスク受容」はリスク分析が欠けている。リスク受容はリスクアセスメントの構成要素ではなく、リスク対応の選択肢の一つ。

選択肢 ウ

「リスク分析・リスク対応・リスク受容」はリスク特定が欠け、リスク対応（アセスメント後のプロセス）が含まれている。構成が誤り。

選択肢 エ

「リスク分析・リスク評価・リスク対応」はリスク特定が欠けており、リスク対応はアセスメントの構成要素ではない。

解くときのポイント

JIS Q 31000のリスクアセスメント＝「特定→分析→評価」の3ステップ。リスク対応（処理・軽減・移転・受容・回避）はアセスメントの後。ISMS（JIS Q 27001）やITリスク管理でも同じフレームワークが使われる。