リスクマネジメントとは
リスクマネジメントとは、企業や組織の運営において、発生する可能性のある危険（リスク）をあらかじめ予測・評価し、そのリスクによる被害を最小限に抑えるために対策を立てて実行する一連の管理プロセスのことです。リスクを放置すると甚大な損害に繋がりますが、すべてのリスクをゼロにするには莫大なコストがかかります。そのため、リスクの「発生確率」と「発生時の影響度」を分析し、対策の優先順位を決めます。リスク対策には、リスクを避ける「回避」、対策して減らす「低減」、他社に分担する「移転」、許容範囲として受け入れる「保有」の4つがあります。
具体例
社内のデータが紛失するリスクに対して、定期的なバックアップを取ることで被害を小さく抑える対策（リスクの低減）を行い、一方で火災などの想定外の災害に対しては火災保険に加入することで金銭的被害を肩代わりしてもらう（リスクの移転）こと。
リスクの分類と対策：
1. 発生確率(高) × 影響度(高) => 回避 (システム利用停止など
2. 発生確率(高) × 影響度(低) => 低減 (ウイルスソフト導入)
3. 発生確率(低) × 影響度(高) => 移転 (保険加入)
4. 発生確率(低) × 影響度(低) => 保有 (特に対策せず監視)もう少し詳しく
組織におけるリスクマネジメントのプロセスは、一般的に「リスク特定」「リスク分析」「リスク評価」からなる「リスクアセスメント」と、その後に実施される「リスク対応」の一連の流れで構成されています。
最初の段階である「リスク特定」では、情報漏洩やサーバー停止、社員の誤操作など、自社にどのようなリスクが存在するかを洗い出します。次の「リスク分析」では、特定されたリスクが「どの程度の確率で発生するか（発生可能性）」と「発生したときにどれほどの損害が出るか（影響度）」を数値やレベルで推し量ります。その結果をもとに「リスク評価」を行い、対策すべき優先順位や許容できるリスクの境界（評価基準）を決定します。
そして最後の「リスク対応」において、具体的な対策を以下の4つの手法から選択して実行します。
・回避（Avoidance）： リスクの要因そのものを排除すること。個人情報の取り扱いそのものを中止する、脆弱なシステムの使用を廃止するなど。
・低減（Reduction / Mitigation）： リスクの発生確率を下げる、または発生時の被害を小さくする対策を行うこと。セキュリティソフトの導入、アクセス制限の設定、定期バックアップの実施など。
・移転（Transfer / Sharing）： リスクを他者に肩代わりさせること。サイバー保険への加入、業務の外部委託（アウトソーシング）など。
・保有（Retention / Acceptance）： リスクを認識したうえで、特に対策を行わずに受け入れること。対策コストが想定される損害額を上回る場合や、発生確率・影響度ともに極めて低い場合などに選択されます。
試験でのポイント
試験において最も頻出するテーマは、「リスク対応」の4分類（回避・低減・移転・保有）の定義と、具体的な対策例を正しく結びつける問題です。例えば、「火災や自然災害に備えて損害保険を契約する」は「移転」、「セキュリティ上の脆弱性が発見された古いWebサーバーの使用を取りやめる」は「回避」、「不正アクセスを防ぐためにファイアウォールを設置する」は「低減」、「対応費用が高額なため軽微なバグを修正せず監視のみとする」は「保有」といったように、提示されたシナリオから適切な対応手段を正しく判別できるようにしておくことが必要です。
また、リスク（Risk）が、「脅威（外部からの悪意ある攻撃や災害などの要因）」と「脆弱性（システムや組織に存在するセキュリティ上の弱点）」が掛け合わされることによって発生する、という基本的な関係性も記述式や選択肢で問われやすいため、公式として整理しておくと理解が深まります。
関連する用語
リスクアセスメントにおいて評価の対象となる、外部の悪意ある攻撃要因である「脅威」、システム側の弱点を表す「脆弱性」、リスク低減のための具体的なセキュリティ認証技術である「多要素認証」などがあります。