「回避・低減・移転・受容の違いは?」
「優先順位は、どうやって決める?」
リスクの大きさは、たった2つの掛け算で決まります。発生確率 × 影響度——起こりやすさと、起きたときの痛みです。リスクマネジメントとは、目的達成を妨げる不確実な事象を洗い出し、回避・低減・移転・受容の4対応で備える管理活動です。この記事は、その優先順位の付け方を軸に進めます。
あらゆるリスクに全力で対応する時間も予算もありません。だから「どれから手を打つか」を決める技術が要る。特定・分析・評価の流れ、4対応の使い分け、そしてマトリクスでの優先順位まで順に開きます。基本情報 科目A マネジメント系に効きます。
1. リスクは「確率」と「影響」で測る
リスクとは、目的達成を妨げる不確実な事象です。「不確実」がポイントで、起きるか起きないか分からないものを、あなたは計画の段階で先に洗い出し、打ち手を準備します。測る物差しは発生確率と影響度の2軸。この2つで、リスクの大きさが決まります。
リスクには、損失をもたらす負のリスク（脅威）と、うまくいけば利益になる正のリスク（機会）があります。試験の中心は脅威の管理ですが、新規事業の成功確率を高める「機会の活用」も、広い意味でこの管理に含まれます。
2. 特定・分析・評価の3ステップ
対応の前に、リスクを見極める工程がリスクアセスメントです。特定 → 分析 → 評価の順に進みます。この順序は崩しません。
| ステップ | やること | 主な手段 |
|---|---|---|
| 1. 特定 | どんなリスクがあるかを洗い出す | 過去事例・チェックリスト・関係者ヒアリング |
| 2. 分析 | 発生確率と影響度を見積もる | 定性評価（高・中・低）／定量評価（金額・日数） |
| 3. 評価 | 対応すべき優先順位を決める | マトリクスへの配置・対応基準との照合 |
いちばん効くのは特定です。ここで見落としたリスクは、その後どれだけ丁寧に分析・評価しても登場しません。存在しないものには備えられないからです。だからチェックリストや関係者ヒアリングで、洗い出しの網を広く張ります。分析では、まず「高・中・低」で大づかみにつかむ定性評価から入り、重要なものほど金額や日数で測る定量評価へ寄せていきます。
3. 4つの対応を使い分ける
評価したリスクへの打ち手は、4つに整理されます。それぞれ「確率と影響のどちらに、どう効くか」で覚えると、取り違えません。
| 対応 | 中身 | 具体例 |
|---|---|---|
| 回避 | リスク要因そのものを取り除く | 危険な工程をやめる／その機能を実装しない |
| 低減（軽減） | 発生確率や影響度を下げる | テストを厚くする／バックアップを取る |
| 移転（共有） | 保険や委託で別主体に分担する | サイバー保険／外部ベンダーへの委託 |
| 受容 | 承知のうえで受け入れる | 影響の小さいリスクは対策せず静観 |
IPAシラバスでは「回避・低減・移転・受容」と並びますが、低減は軽減、移転は共有と呼ぶ場合があります。同じものの別名なので、言い換えに惑わされないことが試験対策の要点です。運用の文脈でリスク管理がどう組み込まれるかは ITILとITサービスマネジメントとは でつながります。
4. マトリクスで「どれから手を打つか」を決める
複数のリスクを前にしたとき、順番を決める道具がリスクマトリクスです。縦軸に影響度、横軸に発生確率を取り、各リスクを配置します。図で位置と優先度の関係を示します。
優先順位は、右上から左下へ下がります。あなたが手を打つ順番は、次のとおりです。
- 右上（高確率 × 大影響）: 最優先。回避または低減で正面から潰す
- 右下・左上（中程度）: 低減または移転を検討する
- 左下（低確率 × 小影響）: 受容で様子を見る
マトリクスのもう1つの効能は、関係者の合意形成です。同じリスクでも、立場によって見え方が変わります。可視化して同じ図を囲めば、判断のばらつきが減る。あなたが現場で使うときは、完璧を目指さず、大きなリスク3〜5件を書き出すところから始めれば十分です。大きな影響度のリスクが現実になっても事業を止めない備えは BCP（事業継続計画）とは で具体化できます。
5. 選び分けは、たった一問で決まる
マネジメント系では、リスクマネジメントは4対応の名前と、マトリクスの考え方が問われます。あなたが握るべき判断の一問は、これです。「そのリスクは、確率と影響のどちらが問題か。そして、そのコストは見合うか」。
「保険をかける対応は?」なら移転、「そもそもやめる対応は?」なら回避、「発生確率を下げる対応は?」なら低減、「小さいから受け入れる対応は?」なら受容。名前を丸暗記すると、言い換えられた瞬間に迷います。効くのは「何に、どう効く打ち手か」で捉えること。マトリクスで大きさを測り、4対応で打ち手を選ぶ——この2段構えが頭にあれば、選択問題はほどけます。プロジェクト全体の中でリスク管理がどう位置づくかは プロジェクトマネジメントとは と併せて押さえると、マネジメント系の地図がつながります。
次のステップ
マネジメント系のどこにリスクが位置するかを地図で見たいなら、基本情報技術者試験の試験範囲と勉強法ガイド で全体の並びを先に確認すると、学習の順番が定まります。
4対応とマトリクスは、問題で試すと定着します。基本情報技術者 マネジメント系の問題集 で、リスク対応の問われ方を、問題で試しておきましょう。