解説

JIS Q 27001:2014では，リスクアセスメントの結果に基づくリスク対応の一形態として，リスクを受容（許容範囲内として受け入れる）する場合があります。このとき，受容するリスクについてはリスク所有者の承認を得ることが求められます。リスク所有者はそのリスクの運用管理に説明責任と権限をもつ立場であり，残留リスクを受容してよいかを判断・承認します。したがって正解はa『受容するリスクについては，リスク所有者が承認すること』です。選択肢bは，受容したリスクも監視・レビューの対象であり対象外とするのは誤り。cはリスク受容はリスク分析・評価の後に行うものでリスク分析前ではない。dはリスク受容自体がリスク対応の一形態であり『リスク対応後に決定する』という記述は不適切です。受容の可否はリスク所有者が承認するという点が要点です。

なぜ他の選択肢は違うのか

選択肢 イ

受容したリスクも，状況の変化によってレベルが変わり得るため，監視やレビューの対象とすべきです。受容したからといって監視・レビューの対象外とするのは不適切です。

選択肢 ウ

リスクの受容は，リスク分析・評価を経てリスクの大きさを把握した後に判断します。リスク分析前にあらかじめ受容を決めることはできず，時期の記述が誤りです。

選択肢 エ

リスク受容はリスク回避・低減・移転などと並ぶリスク対応の一形態です。『リスク対応後に決定する』という位置付けは誤りで，受容自体が対応の選択肢です。

解くときのポイント

受容するリスクは『リスク所有者が承認』が要件。受容後も監視・レビュー対象。受容は分析・評価の後に判断するリスク対応の一形態。