リスク受容

対策を追加してもリスクを完全になくせないときや、追加対策の費用が影響に見合わないときには、残るリスクを引き受ける判断が必要になります。
リスク受容は、把握したリスクを、権限を持つ人が条件と理由を確認して受け入れる対応です。
NIST SP 800-39は、情報セキュリティのリスク対応の一つとして受容を扱っています。

未対応と受容を区別する

仮の例として、社内向けの報告書作成機能に、処理が遅くなる可能性が残るとします。
月末の一部の処理で発生し、代わりに手作業で作れるなら、公開範囲を限定して継続する判断を検討できます。
その場合も、影響を受ける担当者、遅延の上限、代替作業、見直す期限を確認します。
誰も評価していない問題を、後から「受容した」と呼ぶことはできません。

記録には、事象と影響、現在の対策、追加対策を見送る理由、決定者を残します。
見積りに使ったデータが乏しければ、その不確実性も示します。
影響を負う部門へ知らせず、開発担当者だけで業務全体の負担を受け入れる判断をしないようにします。

対策後にも残る判断

受容は、対策を一切行わない場合だけの用語ではありません。
監視や復旧方法を準備したうえで、残ったリスクを受け入れる場合もあります。
報告書の例なら、遅延を検知し、手作業へ切り替える方法を用意した後でも、担当者の負担は残ります。
その残余リスクが、組織で定めた許容範囲内かを確かめます。

受け入れた条件は、利用者数や処理量が増えると変わります。
「試行中だけ」「月の件数が一定以下」といった条件を置き、超えたときに再判断します。
受容を無期限の免除にすると、古い前提でリスクを抱え続ける可能性があります。
見直し日と、予定を待たずに再検討する兆候を決めます。

また、受容の判断は、適用される法令や契約の義務を任意に消すものではありません。
義務に関わる内容は、対象とする制度や契約を確認したうえで選択肢を絞ります。
損失の可能性と得られる便益を説明し、実行する人と判断する人が同じ条件を理解できる記録にします。

関連する記事：リスク許容度、リスク軽減、コンティンジェンシープラン。