解説

JIS Q 27000:2014では，リスク所有者（risk owner）を『リスクを運用管理することについて，アカウンタビリティ（説明責任）及び権限をもつ人又は主体』と定義しています。したがって正解はdです。リスクアセスメントの結果，識別された各リスクには，その対応に責任をもつリスク所有者を割り当てます。リスク所有者はリスク対応計画を承認し，残留リスクを受容する役割を担います。選択肢の監査員（独立した立場で評価する人），トップマネジメント（組織全体を統括する経営層），利害関係者（組織の活動に利害をもつ人や組織）は，いずれもリスクの運用管理について個別の権限と説明責任をもつ『リスク所有者』とは異なる用語です。用語の定義を正確に区別して覚えることが大切です。

なぜ他の選択肢は違うのか

選択肢 ア

監査員は，独立した立場でISMSが規格や方針に適合しているかを評価する役割です。個々のリスクを運用管理する権限と説明責任をもつリスク所有者とは異なります。

選択肢 イ

トップマネジメントは組織を最高位で指揮・管理する経営層です。ISMS全体に責任をもちますが，個々のリスクを運用管理する主体を指すリスク所有者とは定義が異なります。

選択肢 ウ

利害関係者は，組織の活動や決定に利害をもつ人や組織（顧客・株主・取引先など）です。リスクの運用管理について権限と説明責任をもつ者ではありません。

解くときのポイント

リスク所有者＝個々のリスクの運用管理に『アカウンタビリティと権限』をもつ人・主体。リスク対応計画の承認や残留リスクの受容を担う。