Risk Owner
Risk Owner
Risk Owner（リスクオーナー）とは
ひとことで
特定のリスクを管理する責任と権限を持つ人。通常は、そのリスクが影響する業務やプロセスの責任者である。リスク対応の方針を決め、残余リスクの受容を判断する。
たとえると
家のリフォームで、業者（専門家）はいくつかの案と注意点を説明してくれますが、どの案にするか、予算をどこまでかけるかを最終的に決めるのは家の持ち主です。
現場ではこう使う
ある製造業で、工場の生産管理システムにサポート切れのOSが残っていることが分かりました。情報セキュリティマネージャーはリスクと対策案をまとめ、工場長に説明しました。工場長がリスクオーナーとして、来期の更新まで監視を強化して受容すると決定し、その判断を記録しました。
試験のポイント
EXAM POINTCISMでは「リスクを受容する決定を下すべきなのは誰か」に対して、リスクオーナー（事業側）が正解になることが非常に多いです。セキュリティマネージャーは評価・助言・報告を担い、自らリスクを受容しません。CISAでは、リスクオーナーが明確に割り当てられているかが監査の確認ポイントになります。
混同しやすい用語との違い
- Risk Registerリスクを一覧で記録・管理する台帳。リスクオーナーはそこに記載される責任者
- CSIRTインシデント対応の実務チーム。リスクの受容を決める立場ではない