正解：ウ
各選択肢の解説
ア全資産について発生回数と損失額を見積もり、年間の予想損失額を金額で出す。
誤り。これは定量的分析です。費用と比べたいときには向きますが、根拠となる件数や 損失額の記録がほとんど無いので、数字の当て推量になります。150件すべてに行うと 時間もかかり、「短期間で優先順位を付ける」という目的に合いません。
イ過去に事故が起きた資産だけを取り出し、それらに絞って詳しく分析する。
誤り。まだ事故が起きていない資産のリスクが抜け落ちます。記録がほとんど無い部門では、 対象の大半が見落とされます。分析を絞るのは、全体を見渡したあとに 重要なものを選ぶ段階で行うことです。
ウ発生可能性と影響を段階で見積もり、リスクマトリックスでリスクレベルを出す。
正解。リスクの定性的分析です。数字の記録が無くても段階で見積もれるので、 多くの資産を短期間で並べ、リスクレベルの高い順に優先順位を付けられます。
エ脆弱性診断で見つかった脆弱性の件数が多い資産から、優先順位を付ける。
誤り。脆弱性の件数はリスクの一部の材料にすぎません。扱う情報の重要度や事業への影響を 見ていないので、件数が多くても影響の小さい資産が上位に来ることがあります。 リスクは起こりやすさと影響の組合せで比べます。
理解を深めるために
数字が無いなら、段階で見積もって全体を並べる
健康診断で、まず問診で「要注意」の人を拾い出し、その人だけ精密検査に回すのと似ています。 最初から全員に精密検査をすると時間もお金もかかります。リスク分析でも、 対象が多く数字の記録が乏しいときは、段階で見積もる定性的分析で全体を並べるのが先です。
定性的分析とリスクマトリックス
定性的分析では、発生可能性と影響を「高・中・低」などの段階で見積もります。
- 縦軸に影響、横軸に発生可能性を取った表（リスクマトリックス）に置くと、リスクレベルが決まる
- 件数や損失額の記録が無くても、業務を知る人の判断で見積もれる
- 多数のリスクを短期間で比べられ、優先順位を付けやすい
一方で、段階の意味が人によってぶれやすいので、段階の定義を決めてから見積もります。 費用対効果を示す必要がある重要なリスクは、あとから定量的分析で掘り下げます。
混同しやすいものとの違い
| 進め方 | この場面での向き不向き |
|---|---|
| 定性的分析（リスクマトリックス） | 記録が無くても全体を短期間で並べられる |
| 定量的分析（年間の予想損失額） | 根拠の数字が無く、全件に行うには時間がかかる |
| 事故歴のある資産に絞る | 事故が起きていないリスクが漏れる |
| 脆弱性の件数で並べる | 影響の大きさを見ていない |
「材料の数字があるか」「何のために分析するか」の2点で、分析の進め方を選び分けます。