Residual Risk
Residual Risk
Residual Risk（残余リスク）とは
ひとことで
リスク対応（統制の導入など）を行った後になお残るリスク。リスクをゼロにすることはできないため、残余リスクがリスク選好・許容度の範囲内かを確認し、リスクオーナーが正式に受容する。
たとえると
傘をさして雨の中を歩いても、足元は少し濡れてしまうようなものです。傘（対策）で濡れる量は大きく減りますが、ゼロにはなりません。その残りを「この程度ならよい」と納得できるかが大事です。
現場ではこう使う
ある病院では、電子カルテのアクセス制御と監視を強化しました。それでも内部の正規利用者による不正閲覧のリスクは残るため、リスクの評価結果を診療部門の責任者に示し、残余リスクとして受容するかどうかの判断を求めました。
試験のポイント
EXAM POINTCISMでは「残余リスクを受容するのは誰か」が頻出で、答えはリスクオーナー（事業側の責任者）です。セキュリティマネージャーは評価と助言を行います。残余リスクがリスク選好を超えるなら、追加の対策が必要です。CISAでは、残余リスクの受容が正式に文書化されているかが確認ポイントになります。
混同しやすい用語との違い
- Inherent Risk統制を考慮する前のリスク。残余リスクは統制を考慮した後に残るリスク
- Risk Appetite受け入れてよいリスクの方針。残余リスクはそれと比較して受容を判断する対象