Risk Appetite
Risk Appetite
Risk Appetite（リスク選好）とは
ひとことで
組織が目標を達成するために、どの程度のリスクであれば進んで受け入れるかという、全体としての方針。取締役会や経営陣が決める。個々のリスク判断や統制の水準を決める際の基準になる。
たとえると
登山チームが事前に「多少きつくても景色のよい上級ルートを選ぶ」のか「安全第一で初心者ルートにする」のかを決めておくようなものです。この方針があるから、途中の判断がぶれません。
現場ではこう使う
あるフィンテック企業の取締役会は、「新サービスの早期投入のためには一定のリスクを取るが、顧客資産の喪失につながるリスクは極めて低く抑える」というリスク選好を定めました。情報セキュリティマネージャーは、これに基づいて対策の優先順位を決めました。
試験のポイント
EXAM POINTCISMでは「セキュリティ戦略やリスク対応を決める前に把握すべきもの」としてリスク選好が頻出です。リスク選好を決めるのは経営層であり、セキュリティマネージャーではありません。リスク選好は全体の方針、リスク許容度はそこから許される個別の幅、という関係で区別しましょう。
混同しやすい用語との違い
- Risk Toleranceリスク選好から許容される具体的なばらつきの幅。リスク選好は全体としての方針
- Residual Risk対策後に残るリスク。リスク選好の範囲内に収まっているかで受容を判断する