平成26年度 春期 ITパスポート試験 公開問題 問98 解説 リスク対策の優先順位

この問題は、指定された計算式に従って各リスクのスコアを算出し、ルールに基づいて順位を付けることで解くことができます。

手順は以下の通りです。

1. 各リスクについて、指針(1)の式：$(低減できる影響額 \times 発生確率) - 対策コスト$ を計算します。
2. 計算結果の大きい順に優先順位を付けます。
3. 計算結果が同じ場合は、指針(2)に従い、対策コストが小さいものを優先します。

計算と優先順位の決定

まずは、各リスクの値を計算します。

• リスクW: $(500 \times 0.3) - 50 = 150 - 50 = 100$
• リスクX: $(1000 \times 0.2) - 100 = 200 - 100 = 100$
• リスクY: $(3000 \times 0.1) - 200 = 300 - 200 = 100$
• リスクZ: $(5000 \times 0.1) - 200 = 500 - 200 = 300$

次に、この結果を基に順位を決めます。

1. 計算結果が最大の300である「リスクZ」が1位です。
2. 残りのW、X、Yはすべて100です。指針(2)によりコストが小さい順に並べると、W(50)、X(100)、Y(200)の順となります。

この結果、リスクWの優先順位は2となります。したがって、選択肢イが正解です。

リスク管理におけるコスト対効果の考え方

この問題で用いた計算式は、リスクマネジメントにおける定量的リスク評価の基礎的な考え方です。ビジネスの現場では、すべてのリスクを完全になくすことはコストの観点から不可能です。そのため、「リスクを放置したことによる損失」と「そのリスクに対処するための投資」を比較し、最も費用対効果が高い（＝投資価値がある）対策を優先する必要があります。

今回の計算式は「期待値」の考え方を応用しています。「低減できる影響額 × 発生確率」は、その対策を講じることで得られる経済的なメリットの期待値です。そこから対策コストを引くことで、正味の利益（ネットのメリット）を算出しています。この計算を行うことで、直感や感情に頼らず、数値的根拠に基づいて公平かつ合理的な意思決定を行うことが可能になります。

教育的意図と活用場面

この問題は、プロジェクトマネジメントにおいて「資源（予算・時間）が限られている中で、いかに効率的にリスクを低減させるか」という意思決定能力を問うものです。実務においても、情報セキュリティ対策やシステム開発の移行計画など、限られた予算で大きな効果を上げるために頻繁に使われる手法です。

例えば、サイバー攻撃のリスクに対するセキュリティソフトの導入を検討する際、「攻撃を受けた時の損害額（影響額）」と「攻撃の発生頻度（確率）」、「セキュリティソフトの導入・維持費用（コスト）」を当てはめることで、経営層に対して「この対策を講じるべき論理的理由」を説明できるようになります。ITパスポート試験では、こうした「定量的根拠に基づいた論理的思考」を身に付けているかが問われています。

参考リンク

• 情報処理技術者試験の過去問解説サイト
• リスク評価と意思決定のビジネス活用例
• ISO 31000（リスクマネジメント）の定義と概念