リスクアセスメントでは、洗い出したリスクごとに影響度と起こりやすさを評価し、スコアで順位を付けます。評価の基準が人によって違うと、スコアを比べても意味がなくなるため、基準を決めて社内で合意しておくことが大切です。このページでは、リスクアセスメントの進め方として、起こりやすさと影響度の尺度の決め方、固有リスクのスコア、評価の基準を社内で合意しておく方法、定期的な評価の運用を説明します。
スコアの仕組み
Drataでは、リスクを影響度（impact）と起こりやすさ（likelihood）の2つの値で評価し、2つを掛けてスコアを計算します。
| 項目 | 内容 |
|---|---|
Inherent impact | リスク対応やコントロールを適用する前に、リスクが起こった場合の結果の重さ |
Inherent likelihood | リスク対応やコントロールを適用する前の、リスクが起こる見込み |
Inherent score | 固有リスクのスコア。影響度×起こりやすさ |
Residual impact | リスク対応やコントロールを適用した後に、リスクが起こった場合の結果の重さ |
Residual likelihood | リスク対応やコントロールを適用した後の、リスクが起こる見込み |
Residual score | 残留リスクのスコア。影響度×起こりやすさ |
既定では、影響度と起こりやすさは、どちらも1〜5の尺度です。1が最も低く、5が最も高い値で、スコアは1〜25になります。スコアが高いほど、対応を優先すべきリスクです。
スコアは、範囲ごとに区分（しきい値）に分けて表示されます。既定の区分は次の通りです。
| 色 | 区分 | スコアの範囲（既定） |
|---|---|---|
| 緑 | Low | 1〜4 |
| 黄 | Medium | 5〜9 |
| 薄いオレンジ | High | 10〜19 |
| オレンジ | Critical | 20〜25 |
リスクを評価する
リスクの評価は、リスク登録簿の一覧の行か、リスクの詳細のAssessmentの欄で行います。
- 一覧の行で評価する場合は、
Inherent impactとInherent likelihoodの欄で値を選びます。 - リスクの詳細で評価する場合は、リスクを選んで詳細を開き、
Assessmentの欄で値を入れます。Inherent Scoreは自動で計算され、直接は編集できません。
リスクの詳細。Assessmentの欄で影響度と起こりやすさを入れると、固有リスクのスコアが計算される
固有リスクのスコアが付くと、そのリスクは評価が済んだリスクとして数えられます。リスク対応を選ぶまで、リスク対応はUntreatedのままです。リスク対応と残留リスクの評価は、リスク対応と残留リスクで説明しています。
評価が済んでいないリスクは、一覧の絞り込みのAssessmentで探せます。一括インポートで加えたリスクや新しく加えたリスクは、評価するまでRisk Insightsのほかのグラフに出てこないため、Assessment progressで評価の漏れを確かめます。
尺度と区分を自社に合わせる
影響度と起こりやすさの5×5の尺度以外の方法で評価している組織は、Risk Management Proで、尺度と区分を自社の方法に合わせられます。Risk Management Standardでは、尺度は1〜5に固定されていて変えられません。
Risk Managementを開き、リスクの設定（Risk Settings）を開きます。Scoringを選びます。- 影響度と起こりやすさの段階の数を、それぞれ3〜10の範囲で決めます。
- 影響度と起こりやすさの各段階に、数値とラベルを付けます。
- 区分（Low、Medium、High、Criticalなど）を決めます。区分は2つ以上、5つまで作れます。区分の範囲は、影響度と起こりやすさの設定に応じて自動で調整されます。
Save settingsを選びます。
リスクの設定。Scoringタブで尺度と区分、Categoriesタブでカテゴリーを管理する
尺度と区分の設定は、全てのリスク登録簿に共通です。設定を変えられるのは、AdminとRisk Managerのロールのユーザーです。新しい設定が登録簿に反映されるまで、数分かかることがあります。
【注意】 影響度か起こりやすさの段階を減らすと、新しい範囲を超える値の付いたリスクのスコアが消えます。例えば、5×5の尺度を3×3に変えると、影響度か起こりやすさが3を超えるリスクだけが評価し直しの対象になり、範囲に収まるリスクのスコアは残ります。後で段階を増やしても消えたスコアは戻らないため、影響を受けたリスクは評価し直す必要があります。評価済みのリスクがある状態で段階を減らすと、適用の前に確認が求められます。
スコアの方法を変えた場合は、ヒートマップや定義など一部の箇所を、手作業で補う必要がある場合があります。
評価の基準を社内で合意しておく
影響度と起こりやすさの各段階が何を意味するかは、リスクアセスメントの方針に書いて、社内で合意しておきます。DrataのポリシーテンプレートのRisk Assessment Policyには、リスクの評価と対応の方法と、経営層が決める受け入れられるリスクの水準を定める項目があり、各段階の定義の例が載っています。
| 影響度の段階（例） | 定義の例 |
|---|---|
| Incidental（1） | 損害はごくわずか。規制当局への報告は不要 |
| Minor（2） | 小さな金銭的な損失。地域的な評判の低下 |
| Moderate（3） | 中程度の金銭的な損失。全国的な短期間の否定的な報道 |
| Major（4） | 大きな金銭的な損失。全国的な長期間の否定的な報道、市場シェアの大きな低下 |
| Extreme（5） | 甚大な金銭的な損失。国際的な長期間の否定的な報道、重い訴追や罰金 |
| 起こりやすさの段階（例） | 定義の例 |
|---|---|
| Rare（1） | 100年以上に1回 |
| Unlikely（2） | 50〜100年に1回 |
| Possible（3） | 25〜50年に1回 |
| Likely（4） | 2〜25年に1回 |
| Certain（5） | 2年に1回まで |
定義は組織に合わせて変えられますが、変えた場合は、リスクアセスメントの報告書にも同じ値を反映させる必要があります。
【注意】 Risk Assessment Policyのテンプレートの評価の区分は、Highが「9を超え16以下」、Criticalが「16を超える」で、Drataの画面の既定の区分（Highは10〜19、Criticalは20〜25）と同じではありません。方針、リスクアセスメントの報告書、Drataのリスクの設定で、区分がそろっているかを確かめてください。Risk Management Standardでは尺度を変えられないため、方針の尺度を1〜5に合わせます。
方針の案ができたら、ポリシーの承認の流れで承認を受け、公開しておきます。承認の流れはポリシーの承認と公開、テンプレートの編集はポリシーテンプレートを自社の規程に合わせるで説明しています。
テンプレートでは、HighとCriticalのリスクは全て対応することとし、MediumとLowのリスクの対応は管理者の判断に任せる書き方になっています。区分の決め方は、どのリスクに対応が必要かの判断にも直結するため、評価を始める前に決めておきます。
【運用のポイント】 金銭的な影響の見積もりなど、影響度×起こりやすさ以外の計算をしたい場合は、カスタムフィールドと数式を使えます。数値や通貨のカスタムフィールドとリスクの項目を組み合わせた数式の結果が、リスクの詳細に表示されます。数式はDrata Enterpriseのプランで使えます。契約のプランで使えるかは、正規販売代理店（デジタルアクセルズ）にご相談ください。
定期的な評価の運用
リスクアセスメントは一度で終わりではありません。リスクアセスメントの報告書は、新しいリスクを見つけたときに更新し、少なくとも年に1回は見直します。新しいシステム、ベンダー、拠点を加えたときなどの大きな変化があったときも、評価し直します。
| 仕組み | 使い方 |
|---|---|
| タスク | Tasksページでリスクに結び付けたタスクを作り、繰り返し（Recurrence）を設定すると、四半期ごとのリスクの見直しなどを割り当てられる。詳しくはタスクの管理 |
| ワークフロー | 固有リスクか残留リスクのスコアが変わったとき（例えばHighになったとき）に、リスクオーナーにタスクを作ったり、メールやSlackで知らせたりできる。Risk Management Proで使える。詳しくはワークフローで作業を自動化する |
Assessment progress | 評価が済んでいないリスクが残っていないかを確かめる |
見直しの結果は、リスクアセスメントの報告書としてダウンロードし、DCF-16（Periodic Risk Assessment）の証跡として登録します（リスク管理の全体像）。