「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

順番に見ていきましょう。
まずは予備知識として「リスク」と「リスクマネジメント」について説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

リスクは「危険性」のカタカナ表現です。



あるいは「不確実性」のカタカナ表現です。



一般的には「危険性」の意味で使われます。
資産運用の世界とかでは「不確実性」の意味で使われることもあるようです。

ただし、もしも あなたがISMS（情報セキュリティマネジメントシステム）をお勉強中で このページを見ているのであれば、ここまでの説明は忘れてもいいです。
「JIS Q 27000:2019」という資料の中で「リスク」は

目的に対する不確かさの影響

と定義されています。
※実際には長々とした「注記」が付いています。できれば原文を見てくださいね。
※この説明を書いている時点の情報です。将来的には「JIS Q 27000:2019」の「2019」の部分は変わるはずです。

それを丸暗記しておけば良いと思います。

あと、他の分野では他の定義があるようです。
試験勉強とかをしている人は、その分野の「リスク」の定義を調べてください。

リスクマネジメントは「リスクを管理すること」です。



リスクに対する対応というのは、リスクを

１．見つける
２．調べる
３．考える
４．対処する

といった段階を踏みます。

まずは「あっ！これは放っておくとヤバそうだ！」と気付くのが始まりです。
これが

１．見つける

です。

次に、そのヤバそうなことを調べます。
「何がヤバそうか？」とか「なんでヤバそうか？」とかですね。
これが

２．調べる

です。

次に調べた内容をもとにして考えます。
「う～ん、これを放っておいたら、どれくらいヤバいんだろう？」とかですね。
これが

３．考える

です。

最後に「よし！放っておくとヤバそうだから何とかしよう！」と（必要に応じて）行動に移します。
これが

４．対処する

です。

この「１．見つける」から「４．対処する」までの流れがリスクマネジメントです。



以上を踏まえて

リスクマネジメントの話で出てくる「リスクに対処する」作業

が「リスク対応」です。



……というのがイメージ重視の大雑把な説明です。

上でも登場した「JIS Q 27000:2019」という資料の中には以下のように書いてあります。

3.72
リスク対応（risk treatment）
　リスク（3.61）を修正するプロセス（3.54）。
　　注記1 リスク対応には，次の事項を含むことがある。
　　　− リスクを生じさせる活動を，開始又は継続しないと決定することによって，リスクを回避すること
　　　− ある機会を追求するために，リスクをとる又は増加させること
　　　− リスク源を除去すること
　　　− 起こりやすさ（3.40）を変えること
　　　− 結果（3.12）を変えること
　　　− 一つ以上の他者とリスクを共有すること（契約及びリスクファイナンシングを含む。）
　　　− 情報に基づいた選択によって，リスクを保有すること
　　注記2 好ましくない結果に対処するリスク対応は，“リスク軽減”，“リスク排除”，“リスク予防”及び“リスク低減”と呼ばれることがある。
　　注記3 リスク対応が，新たなリスクを生み出したり，又は既存のリスクを修正したりすることがある。
　（JIS Q 0073:2010の3.8.1を変更。注記1の“意思決定”を“選択”に置き換えた。）

ISMSをお勉強中の人は、この定義を丸暗記しておけば良いと思います。

ちなみに、某・資格試験の過去問で よく出てくるのは、リスク対応の内容を

１．リスク低減（リスク軽減）
２．リスク移転（リスク転嫁）
３．リスク回避
４．リスク受容（リスク保有）

の4つに分類する考え方です。



それぞれの分類の詳細については、それぞれの用語の説明ページを ご覧ください。



あと、ついでなので書いておくと

１．見つける
２．調べる
３．考える
４．対処する

のうち「１．見つける」は「リスク特定」と言います。



「２．調べる」は「リスク分析」です。



「３．考える」は「リスク評価」と呼ばれたりします。



気が向いたら、全部まとめて覚えてあげてください。

リスク特定：リスクを見つける作業
リスク分析：リスクを調べる作業
リスク評価：リスクについて考える作業
リスク対応：リスクに対処する作業

です。