TOP＞情報セキュリティ＞ リスクアセスメント手法の適用

トピックと手法から学ぶリスクマネジメント 第３回：コンプライアンスに対するリスクアセスメント 著者：プライド   三澤 正司   2006/8/21

前のページ  1  2  3   4  次のページ

リスクアセスメント手法の適用

前回において「内部統制の限界」「財務報告の信頼性に関するリスク」「監査リスク」「リスクの認識・評価に関する問題」について確認し、今回は「事業活動に関わる法令などの遵守」に関するリスクを確認してきたが、ここからはそれらの観点を踏まえリスクアセスメント手法を説明する。

シナリオライティング法

事故や不正に至る状況を予測する手法として「シナリオライティング法」がある。    シナリオライティング法とは、仮説に従い将来の定性的な情景を時間や分野を区別して予測を記述し、複数の代替案を作成する手法である。    これは組織の外部環境に生じる様々な出来事を論理的に積み上げ、現在の状況から将来どのような状況が生まれるかを示すものであり、社会調査の手法としてアンケートやヒアリング情報と組み合わせて使うことがある。    シナリオライティング法は、一定の状況より主観的に想定し、外部環境の変化を複合的に捉え、業務特性を理解したうえで、それに最も大きな影響を与える状況を想定するものであり、具体的な対応策定につなげることを目的としている。    シナリオライティング法は、以下のプロセスで実施される。

1. シナリオの想定

事故や不正発生時の外部環境の大きさの変化のシナリオを想定する。想定できる事象であるが、環境の大きな変化を一から想定することはかなり困難であるために、過去に起こった事例を参考にすることも有効である。    起こりうる事象間の因果関係を分析してシナリオを想定し、因果関係については、その根拠を調査する。具体的には過去の事例を参考にしたり、関係者へのヒアリングを実施することがあげられる。

2. リスク要因の特定

想定されたシナリオが実際に起こった場合に、どのリスク要因が実際に影響を受けるのか特定を行う。例えば不正のリスク要因の「機会」について、陥りやすい環境、手段などの影響を検討する。

3. リスク要因の変化幅特定

特定されたリスク要因が実際にどれだけ変化するのかの特定を行う。この段階では影響を受けるリスク要因が特定されているので、専門的な観点からの分析を依頼できる。また日常の延長線上で「もっとも起こりそうなシナリオ」ではなく、「起こりうる最悪状態のシナリオ」を想定することが重要である。そしてもっとも重要なことは、そのシナリオが実際に起こったときにどのような対応をとるかということになる。

前のページ  1  2  3   4  次のページ

著者プロフィール 株式会社プライド  三澤 正司 ITコーディネータ プラント会社勤務時に、情報システム分野およびシステム開発方法論に興味を持ち、株式会社プライドに入社。主としてプロジェクト支援、標準化支援、教育に従事するが、ここ数年は、情報セキュリティ、管理業務に関わる支援の比重が大きくなってきている。

INDEX 第3回：コンプライアンスに対するリスクアセスメント   はじめに   不正はなぜ起こるのか リスクアセスメント手法の適用   デルファイ法

トピックと手法から学ぶリスクマネジメント 第1回 リスクアセスメントの範囲の策定 第2回 内部統制に対応するリスクアセスメント 第3回 コンプライアンスに対するリスクアセスメント 第4回 個人情報保護法とISMSからみるリスクマネジメント 第5回 個人情報漏洩のリスク評価 第6回 プロジェクトマネジメントにおけるリスクアセスメント