固有リスクと残存リスク: 違いと例の説明

公開: 2022-09-29

この記事では、固有リスクと残存リスクの主な違いを見ていきます。どちらにもそれぞれの意味合いがありますので、まずリスク管理とは何かを見てみましょう。

リスク管理とは？

リスク管理は、企業や組織で実行される最も重要なプロセスの 1 つです。それは、組織の利益とリソースのリスクを評価、認識、および管理することとして説明できます。この概念は新しいものではありません。しかし、組織がリスクをどう捉えるかは変化しています。

あらゆる組織の重大なリスクには、財務上のセキュリティ、規制責任、戦略的管理、自然災害、およびその他のインシデントが含まれます。企業は通常、リスクを考慮せずにリスクを確立し、目に見えないリスクが発生するたびに操作を失敗させる可能性があります。これらのリスクを適切に管理できないと、組織が長期的な目標を決定することが非常に困難になります。

管理者は、運用に存在する複数の種類のリスクを認識している必要があります。リスクを正しく管理するには、特定のコントロールが設計および実装される前と後にリスクを評価する方法を理解することが非常に基本的です。これにより、リスク、固有のリスク、および残留リスクに関して、以前に聞いたことがあるかもしれない 2 つの用語が表示されます。

組織内で最も一般的で適用可能な 2 つのリスクを詳しく見ていきます。それらは相関しており、適切に管理する必要があります。

固有のリスクとは何ですか?

固有のリスクとは、制限や管理を実施しなくても業務内に存在するリスクの数を指します。言い換えれば、本質的なリスクは通常、操作を制御できない場合に発生します。この種の脅威は、解決しようとする前に自然に存在します。したがって、前述のリスクに対する回復戦略の策定に影響を与えます。

固有のリスクは、会社の目標と目的が確立され、会社が目標を達成するのを妨げる可能性のあるすべてのハードルが認識された後にのみ決定できます。リスクが組織にもたらす可能性のある影響を認識することとは別に、管理者はリスクが自然な原因によるものかエラーによるものかにかかわらず、リスクの原因と原因を特定することも検討する必要があります。これにより、リスクの特徴と発生源が明らかになり、発生確率が低下します。

固有のリスクの例

固有のリスクは企業ごとに異なる可能性がありますが、コントロールで対処しないと重大なセキュリティ問題を引き起こす可能性がある一般的な例をいくつか見てみましょう。

機密データや個人データの紛失または誤った取り扱い –適切な管理がなければ、すべてのデータが保護され、保管されていることを確認してください。マネージャーや企業は、企業や顧客のデータを公開したり、失ったりする可能性があります。
セキュリティソフトウェアまたはデバイスの欠如 –従業員のガイドラインを標準化し、従業員がデバイスに対応する方法に関するパスワードルールを作成することは、会社のソフトウェアとハードウェアを保護するのに役立つ制御の好例です。これらの制御が存在しないか、緩すぎると、データ侵害が発生する可能性があります。
許可されていない不適切なユーザーアクセス –許可された従業員のみが特定の情報を表示および処理できるように、情報へのアクセスを監視および規制する必要があります。特定の情報に対して誤った見方をすると、プライバシー法違反、潜在的な訴訟、契約違反などの悪化につながる可能性があります。

監査には複数の種類のリスクが伴い、固有のリスクは最もリスクの高い脅威の 1 つと見なされます。より多くの保護手段や監査人を排除することは軽視されません。ただし、組織の財務諸表を分析する際には、この問題に対処する必要があります。

残存リスクとは？

リスク管理では、事業運営におけるリスクを克服する方法が複数あります。残留リスクとは、その場所内で制御されずに存在するリスクです。このタイプのリスクは、組織が予防措置を講じてリスクイベントの可能性と影響を最小限に抑えた後でも残るリスクとして簡単に持ち出すことができます。

リスクの移転とは、リスクが別のチームまたはパーティに移されることです。最後に、経営陣が特定のリスクを認識しているが、リスクの解決に投資しないことを決定した場合、リスク受容が発生します。リスクを処理するためのあらゆる努力にもかかわらず、存在するかどうかにかかわらず、すべてのリスクを根絶することは非常に複雑で不可能です。リスクは、コントロールの軽減後も残り、通常は残留リスクとして知られています。

残存リスクの例

固有のリスクと同様に、残存リスクは企業ごとに異なります。セキュリティが管理されている場合は常に監視する必要がある残留リスクの主な例は次のとおりです。

メールフィッシング –常に外部からのリスクがあります。メールフィッシングとは、攻撃者がメールを送信して個人情報を取得したり、単にシステムをハッキングしたりすることです。フィッシングメールは、多くの場合、カスタマーサービス、会社の幹部、人事部などの権限のある送信者から送信されているように作成されます。ただし、もともとメッセージは悪意のある第三者によってのみ送信されていました。
サードパーティのサイバー攻撃 –このようなサイバー攻撃は通常、組織の企業ネットワーク内に、保存された情報を無効化、中断、または制御するという外部の意図がある場合に発生します。攻撃は第三者によって実行されるため、攻撃がいつ発生するかを知ることは非常に不可能です。適切な管理とチェックが行われたとしても、これは依然として残存リスクのままです。
内部情報の盗難 –人々は、サイバー攻撃を顔の見えない第三者アクターと関連付けることがよくあります。個人データの誤った取り扱いや特権アカウントの悪用などの固有のリスクに対処するには、ログを記録して監視することで、この種の攻撃の可能性を高めることができますが、依然として残留リスクと見なされます。社内の人によるサボタージュも考慮しなければなりません。

リスク評価

固有のリスク評価は、CISOS およびセキュリティチームに、セキュリティコントロールを強化するためのフレームワークを提供します。最高レベルの評価を除けば、固有のリスク評価にはほとんど価値がありません。残存リスク評価には真の価値があり、サイバー犯罪者が悪用する前にエクスポージャーを特定して修正するのに役立ちます。

残存リスク対固有のリスクとその評価方法

すべての説明、例、および固有のリスクと残存リスクがどのように関連しているかについて学習した後。オペレーション内のリスクを評価および制御するために従うことができるいくつかの手順を見てみましょう。

1. リスクへの対応を確立する

まず、リスクが発生した場合に取るべき対応を考え出すことが不可欠です。これは、リスクの可能性とリスクの影響の点で非常に興味深いものになる可能性があり、深刻さが運用とビジネス自体にもたらす可能性があります. 分析が慎重に行われた後、リスクは簡単に管理できます。

2. コントロールの実験

確立されたリスク管理にアクセスし、それらが望ましいリスクのソリューションと同じくらい効果的であるかどうかを予測するには、実験が不可欠です。リスクを完全に排除できるかどうかはわかりませんが、リスクを一定のレベルまで下げることができれば、それが目標になるはずです。

3. リスク管理の確立

リスク管理は、主にリスクを解決し、一般的にリスク軽減を実施するために行われます。ほとんどの場合、リスク管理では、コストの影響を受ける可能性のあるリスクを軽減するために、事業運営に追加の手順が必要です。

賠償

すべての補償と修正計画は、個人的なリスクを解決しながら行われました。これにより、同じ脅威が再び発生した場合に、さらなる強化や将来の参照のための情報がもたらされる可能性があります。

固有のリスクは通常、次のような質問に答えます。

このサードパーティがもたらす一般的なリスクは何ですか?
固有のリスクは、企業のエコシステム全体にどのように分散されていますか?
このサードパーティがサイバーインシデントを起こした場合、それはどれほど悪いことでしょうか?
相互に関連する最大の固有リスクと最小の固有リスクをもたらすサードパーティは?

残存リスクは通常、次のような質問に答えます。

第三者は具体的にどのようなリスクをもたらしますか?
この第三者に影響を与える可能性のあるリスクの種類は何ですか?
残余リスクは、企業のエコシステム全体にどのように分散されていますか?
この個々のサードパーティ内で残存リスクはどのように分散されていますか?
特定のコントロール、サイバーインシデントの種類、およびその他の事柄について、どのサードパーティが最小および最大の残留リスクをもたらすか?

関連している：

24 の最高のリスク管理ソフトウェア

まとめます

組織のリスクとリスクの管理方法を正しく理解することは、すべての人の生活の一部です。今後のプロジェクトマネージャーにとって、さまざまな種類のリスクを区別して計画する方法を学ぶことは、リソースと時間をより効率的に管理するのに役立ちます。