リスクの洗い出しと判断のしかた｜進める・条件付き・見送るを決める手順

◆監修・編集責任者　小園 将隆　2026年11月2日

B2B EC-COLUMN

「リスクは?」と聞かれて止まったとき、まず何を決めればよいか

新しいクラウドサービスや生成AIの導入を任され、上長から「リスクは?」と聞かれても、何を挙げてどこまで対策すれば進めてよいのかが決められない。
止まってしまう原因の多くは、リスクの種類を並べようとしていることにあります。
まず取り組みを作業に分け、どの作業で誰にどんな損失が出るかに結び付けて、判断を左右する数個に絞ります。
次に起きやすさと影響を自社の物差しで見積もり、受け入れる・減らす・避ける・移すを選びます。
最後に残るリスクと条件を一枚にまとめ、進める・条件付きで進める・見送るのどれにするかを示します。

判断の対象と損失が出る場面を先に決める

リスクの一覧を作り始めると、情報漏えい、システム障害、法令違反、費用超過など、思いつく言葉はいくらでも出てきます。
ただ、こうした種類の名前を並べた一覧は、上長が知りたい「この取り組みを進めてよいか」には答えません。
どの項目も、どこかの会社で起きうることだからです。
一覧が長くなるほど、どれが判断を左右するのかが見えにくくなり、説明する側も対策をどこまで書けばよいのか分からなくなります。

先に決めておくのは二つです。
一つは判断の対象、つまり何を、どの範囲で始めるのかです。
「生成AIを導入する」では広すぎて、全社員が自由に使う場合と、問い合わせ対応の下書きだけに使う場合とでは、損失が出る場面がまったく違います。
もう一つは損失が出る場面で、どの作業で、どの相手に、どんな結果が及ぶのかです。
この二つが決まると、以降の絞り込みも見積もりも、同じ前提の上で進められます。

ここからは、ひとつの仮の例で考えます。
ある中小企業で、顧客からの問い合わせメールへの返信文を、クラウドの生成AIサービスで下書きする運用を始めたいとします。
検討を任されたのは担当者、承認するのは上長で、取引先の中には顧客情報の扱いを契約で取り決めている相手もいる、という状況です。
判断の対象は「問い合わせ返信の下書きにAIサービスを使うこと」であり、社内のほかの業務でAIを使うかどうかは、今回の判断には含めません。
範囲をこう決めておけば、後から「経理の資料作成にも使うのか」と聞かれても、それは別の判断だと切り分けて答えられます。

承認者が心配していることを聞き取る

対象を決めたら、一覧を作る前に、承認者が何を心配しているのかを聞いておきます。
上長の「リスクは?」という問いは、漠然とした不安から出ていることもあれば、具体的な心当たりがあって出ていることもあります。
たとえば、以前にメールの誤送信で取引先へ謝罪した経験がある上長なら、心配の中心は顧客情報の扱いかもしれません。
AIの回答の誤りを報道で見た上長なら、誤った内容を顧客へ送ってしまうことを心配しているかもしれません。

聞き取りは、相手の不安を確かめるためだけのものではありません。
承認者が何を見て判断するのかが分かれば、資料に載せる項目と、載せなくてよい項目の区別がつきます。
「費用はどこまでなら出せるか」「問題が起きたときに誰が顧客や取引先へ説明するのか」「取引先との契約に触れないか」といった問いを先に受けておけば、資料を作り直す手間も減ります。
聞き取った心配は、そのまま結論にするのではなく、次の節で作業ごとの損失と突き合わせる材料にします。
上長の心配が作業のどこにも結び付かなければ、それは誤解を解けば済む話であり、結び付けば一覧に残す項目になります。

IPAが中小企業のIT・セキュリティ担当者向けに開いていたリスク分析のワークショップも、自社について詳しくリスクを分析してリスクの高いものを特定し、優先順位を付けた対策計画を立てて効率よく対策することを趣旨にしていました³。
このワークショップは2024年に開催を終えており、題材も情報セキュリティに限られます。
それでも、全部を同じ重さで扱わず、自社にとって高いものを先に特定してから対策を考えるという順序は、本記事の手順の土台と同じです。
新しい取引の開始や設備の導入のように情報管理を伴わない判断でも、この順序自体は使えます。

自分の状況で判断を左右するリスクはどれか、どう絞るのか

作業ごとに誰にどんな損失が出るかを書く

絞り込みは、取り組みの流れを作業単位に分けるところから始めます。
先の例なら、問い合わせを受け取る、内容をAIサービスに入力して下書きを作る、担当者が下書きを確認して送る、やり取りの履歴を残す、という流れになります。
作業に分けると、「情報漏えい」という大きな言葉が、「下書きを作るときに顧客の氏名や注文内容を入力する」という具体的な場面に置き換わります。

次に、各作業について「誰に」「何の損失が」「どれだけ」出るかを書きます。
入力の作業では、顧客情報がサービス側でどう扱われるかが利用規約や設定によって変わるため、扱いが想定と違えば、顧客と、情報の扱いを契約で取り決めている取引先に対して、説明の負担と信用の損失が生じます。
同じ下書きの作業でも、サービスが止まれば下書きが作れなくなりますが、手作業での返信に戻せるなら、損失は返信が遅れる程度です。
確認・送信の作業では、下書きに誤った納期や条件が混じったまま送れば、顧客への誤案内と、その訂正や謝罪の手間が生じます。
履歴を残す作業では、サービスのアカウントが他人に使われれば、保存されたやり取りを見られるおそれがあります。

損失に結び付かない項目は、一覧から外します。
問い合わせを受け取る作業は導入の前後で変わらないため、今回の判断で新たに増える損失はありません。
「AIの技術が将来どうなるか分からない」という不安も、それだけではどの作業の誰の損失にもつながらないので、この判断の一覧には載せません。
外したからといって無視するわけではなく、今回の承認で決めることではない、と区別するだけです。
先の例では、顧客情報の扱い、下書きの誤り、サービスの停止、アカウントの不正利用の四つが残ります。

10大脅威の順位は候補探しにだけ使う

作業ごとに書き出しても、見落としがないか不安が残ることがあります。
情報管理を伴う導入なら、IPAが公表している「情報セキュリティ10大脅威」の組織向けの一覧が、候補を探す手掛かりになります。
2026年版の組織向けでは、最上位がランサム攻撃による被害、続いてサプライチェーンや委託先を狙った攻撃、その次がAIの利用をめぐるサイバーリスクで、AIの利用をめぐるリスクは2026年に初めて選ばれました¹。

先の例に当てはめると、AIサービスを外部から借りて使う以上、提供事業者は自社の情報を預ける相手、つまり一種の委託先にあたり、AIの利用そのものもこの一覧の項目に重なります。
そう考えると、顧客情報の扱いという項目は「委託先に預けた情報がどうなるか」という見方からも検討が要る、と気付けます。
一方でランサム攻撃は、今回の導入で新たに増える損失とは言いにくく、導入前から社内のパソコンやサーバーに共通する課題です。
このように一覧の項目を自社の作業に一つずつ当て、当てはまるものだけを候補に加え、当てはまらないものは今回の判断から外します。

注意したいのは、順位が自社の優先度を示しているわけではないことです。
この順位は、2025年に起きた社会的に影響の大きかった事故や攻撃の状況を根拠に、研究者や実務担当者による選考会の審議と投票で決められています¹。
つまり全国でどんな被害が目立ったかを示すもので、個々の組織で被害が起きる確率ではありません。
「上位にあるから自社でも最優先」と資料に書くと、承認者は「うちの場合はどうなのか」を判断できなくなります。
順位は候補の洗い出しの入口に限って使い、どれを優先するかは次の見積もりで自社の事情から決めます。

情報管理を伴わない取り組み、たとえば新しい取引の開始や設備の導入でも、作業に分けて損失を書く手順は同じように使えます。
ただ、その分野にこの一覧のような手掛かりがあるとは限らないので、作業の書き出しと、承認者からの聞き取りが見落としを防ぐ役割をより強く担います。

▼ 図の内容を文字で読む

1. 問い合わせを受け取る
   • 導入の前後で変わらない
   • 新たな損失はなく一覧から外す
2. AIサービスに入力して下書きを作る
   • 顧客情報の扱いが想定と違う → 顧客と契約で取り決めのある取引先への説明と信用の損失
   • サービスが止まる → 返信の遅れ（手作業に戻せる）
3. 下書きを確認して送る
   • 誤った納期や条件のまま送る → 顧客への誤案内と訂正の手間
4. やり取りの履歴を残す
   • アカウントが他人に使われる → 保存された履歴を見られる

起きやすさと影響の大きさは、どう見積もって並べるのか

3段階の物差しを自社の言葉で決める

絞った項目を並べるには、同じ物差しで見積もる必要があります。
ここで迷いやすいのが、起きやすさを示す統計も、損害額の相場も手元にないことです。
外部の発生確率や業界の平均的な損害額を探して当てはめたくなりますが、対象や条件の違う数字を借りると、根拠を問われたときに説明できません。
本記事では、外部の数字を使わず、起きやすさと影響をそれぞれ高・中・低の3段階程度で付ける方法を提案します。

大事なのは、各段階を自社の言葉で定義することです。
影響なら、業務が止まる長さ、影響を受ける顧客や取引先の範囲、取引先へ正式な報告や謝罪が必要になるか、といった社内で共有できる言葉で区切ります。
先の例なら、取引先との契約に関わる説明が必要になるものを高、個別の顧客への訂正で収まるものを中、社内の手間が増えるだけのものを低、と定義できます。
起きやすさは、その作業を誰がどれくらいの頻度で行うか、防ぐのを人の注意だけに頼っているか、過去に社内で似たことが起きたか、で区切ります。
毎日複数の担当者が行い、確認が人の注意頼みの作業なら高、たまにしか行わず仕組みで防げる作業なら低、という具合です。

定義は承認者と事前にすり合わせておくと、見積もりの結果で揉めにくくなります。
担当者が「中」と付けた項目を上長が「高」だと感じたとき、その差が物差しの定義の違いから来ているなら、話し合っても平行線になりがちです。
定義を先に共有しておけば、議論は「この作業はどの段階に当たるか」という具体的な話になり、意見が分かれた場合も、どの事情の見方が違うのかがはっきりします。

情報セキュリティについて、もう一段細かく算定したい場合は、IPAの中小企業向けガイドラインにあるリスク分析シートが参考になります。
先のワークショップの案内では、このシートで情報資産の洗い出し、リスク値の算定、対策の検討を解説するとしていました³。
ただし案内は旧版のガイドラインに基づいている可能性があり、最新の第4.0版での位置付けや算定のしかたは、ガイドラインの本体で確かめてから使うのが確実です。

マトリクスに置いて優先順位を付ける

段階を付けたら、横に起きやすさ、縦に影響をとったマトリクス（縦横の表）に置きます。
先の例で、高を3、中を2、低を1として置いてみます。
顧客情報の扱いは、入力のたびに起こりうる一方で設定やルールで防げる余地もあるので起きやすさは中、取引先への説明が必要になりうるので影響は高とします。
下書きの誤りは、毎日の作業で人の確認に頼るため起きやすさは高、個別の顧客への訂正で収まるので影響は中です。
サービスの停止は起きやすさ・影響とも低、アカウントの不正利用は起きやすさは低くても、履歴を見られれば取引先への説明が要るので影響は高です。

マトリクスに置くと、優先順位はおおまかに「右上ほど先」と読めます。
ただし、点の位置だけで順位を機械的に決める必要はありません。
アカウントの不正利用のように、起きやすさは低くても影響が高い項目を起きにくいからと後回しにすると、起きたときに取り返しがつきにくくなります。
反対に、起きやすさが高くても影響が低い項目は、毎回の手間として受け止めるほうが合理的な場合もあります。
マトリクスは順位を決めるためというより、影響が高い列にどの項目があるか、同じ段階に並んだ項目のうちどれを先に扱うかを、承認者と同じ画面で話すための道具です。

もう一つ、見積もりは対策をとる前の状態で付けます。
すでに対策を織り込んだ状態で「低」と付けると、その対策が本当に実施されるのかが資料から消えてしまいます。
対策前の位置と、対策後に残る位置を分けて書くと、次に選ぶ方針がどれだけ効くのかが承認者にも見えるようになります。

受け入れる・減らす・避ける・移す、どれを選ぶか

4つの方針の選ぶ条件

見積もりが済んだら、項目ごとに対応の方針を決めます。
本記事では方針を、受け入れる、減らす、避ける、移すの四つに整理します。
リスクマネジメントで広く使われる言い方ですが、ここで示す選ぶ条件は規格の条文ではなく、判断のための本記事の整理です。

• 受け入れる：影響が小さく、対策にかける費用や手間が、起きたときの損失を上回る場合。
  起きたらどう対処するかを決めておく。
• 減らす：影響が大きく、手順や設定で起きやすさや影響を下げられる場合。
• 避ける：減らしきれず、その作業や範囲が取り組みの目的に欠かせない部分ではない場合。
  作業や範囲そのものをやめる。
• 移す：起きたときの損失を自社だけでは負担しきれず、保険や委託契約の条項などで第三者に負担を委ねられる場合。

先の例に当てはめます。
サービスの停止は、手作業に戻せば返信が遅れる程度なので受け入れるを選び、止まったときは手作業で返信すると決めておきます。
下書きの誤りは、送る前に担当者が納期・金額・条件の記載を元の情報と照らし合わせる手順を設けて、減らすを選びます。
アカウントの不正利用は、サービスに用意されていればパスワードに加えて別の確認を求める設定を使い、担当者ごとにアカウントを分けて共有しない運用にして、減らします。

方針を選ぶときに迷いやすいのは、減らすと避けるの境目です。
避けるは、取り組み全体をやめることだけでなく、範囲を狭めることでも選べます。
ある取引先との契約で外部サービスへの情報提供が制限されているなら、その取引先からの問い合わせだけはAIを使わずに返信する、という形で一部を避けられます。
目的が「返信の下書きを速く作ること」なら、一部の問い合わせを対象から外しても、目的は大きく損なわれません。
反対に、避けると目的そのものが成り立たなくなる場合は、減らす方法を探すか、取り組み自体を見直すことになります。

方針を組み合わせる場合

方針は一項目に一つと決める必要はありません。
先の例の顧客情報の扱いは、一つの方針では収まりにくい項目です。
入力してよい情報と入力しない情報を決めて周知し、サービスの利用規約や設定で入力内容がどう扱われるかを確かめて、減らします。
そのうえで、契約で制限のある取引先の分は対象から外して避けます。
二つを組み合わせて、ようやく影響が高い状態から下げられる、という整理です。

移すは、単独で選ぶより、組み合わせの一部として考えるほうが扱いやすい方針です。
保険や委託契約の条項で損失の一部を第三者に委ねても、顧客への説明や信用の低下といった損失まで肩代わりされるとは限りません。
どの損失が補償や契約の対象になるかは、保険の約款や契約の条件によって個別に異なるため、移すを選ぶ場合は、対象となる損失と対象外の損失を分けて書いておく必要があります。
先の例でアカウントの不正利用に備えて保険を検討するなら、補償される範囲を確かめたうえで、減らす対策と並べて示すことになります。

組み合わせたあとに残る位置を、前の節のマトリクスにもう一度置き直します。
顧客情報の扱いは、入力しない情報のルールが守られれば起きやすさは下がりますが、守られるかどうかは人の注意に頼る部分が残ります。
こうして対策前に影響が高かった項目が、対策後にどこまで下がり、何が下がりきらずに残るのかを書いておくと、それが最後の判断の材料になります。

▼ 図の内容を文字で読む

• サービスの停止
  • 条件：手作業に戻せば損失は返信の遅れにとどまる
  • 方針：受け入れる（止まったら手作業で返信）
• 下書きの誤り
  • 条件：送信前の照合で起きやすさを下げられる
  • 方針：減らす（納期・金額・条件を元の情報と照合）
• アカウントの不正利用
  • 条件：設定と運用で起きやすさを下げられる
  • 方針：減らす（別の確認を求める設定、アカウントを共有しない）
• 顧客情報の扱い
  • 条件：ルールと設定で下げられるが、契約で制限のある取引先分は下げきれない
  • 方針：減らす＋避ける（入力しない情報のルール、制限のある取引先分は対象外）

対策の負担と効果、体制・費用などの条件をどう比べるか

同じ4項目で対策案を並べる

方針が決まると、対策の候補がいくつか出てきます。
このとき承認者が知りたいのは、それぞれの対策がいくらかかり、誰がどれだけ手を取られ、いつから効き、それでも何が残るか、です。
そこで対策案を、費用、担当者の工数、導入までの期間、残るリスクの四つの項目で同じ表に並べます。
金額や時間は、自社の見積もりや契約中のサービスの条件をもとに入れます。

先の例で、表に入れる中身を考えてみます。

• 入力しない情報のルール作りと周知：費用はほとんどかからないが、ルールを作る工数と、全員に伝えて守られているかを確かめる工数がかかる。
  ルールを決めればすぐ始められる。
  人の注意に頼る部分が残る。
• 送信前の照合手順：費用はかからないが、返信のたびに照合の手間が積み上がる。
  手順を決めればすぐ始められる。
  見落としは残りうる。
• 認証の強化と担当者ごとのアカウント：サービスの契約内容によって費用が変わりうる。
  設定の工数は初回が中心。
  設定を終えるまで効かない。

費用だけを見ていると見落としやすいのが、工数と残るリスクです。
送信前の照合は費用がかからない一方、毎回の手間が増えるため、照合に時間をかけすぎると、下書きを速く作るという導入の目的を打ち消してしまいます。
そうなると、照合する項目を納期・金額・条件のように誤りの影響が大きいものに限る、といった調整が要ります。
対策そのものが取り組みの目的と釣り合っているかは、この表で初めて承認者に見えるようになります。

残るリスクの欄は、空欄にしないでおきます。
「対策済み」と書くと、何が残っているのかが承認者に伝わらず、後で問題が起きたときに「聞いていない」となりがちです。
どの対策も何かを残すのが普通なので、残るものを言葉で書いておくほうが、承認者は安心して判断できます。

IPAガイドラインとSECURITY ACTIONの使いどころ

情報管理を伴う導入では、対策の候補を自分たちだけで考えるのが難しい場合もあります。
IPAの「中小企業の情報セキュリティ対策ガイドライン」は、経営者編と実践編、それに付録からなり、個人事業主や小規模事業者を含む中小企業等が使うことを想定しています²。
第4.0版は2026年に公開されています²。

この構成から考えると、承認する上長は経営者編を、対策を具体化する担当者は実践編を、というように、立場ごとに読む部分を分けやすい資料です。
担当者が対策案を表に並べるときは、ガイドラインに示された対策と照らし合わせて、抜けている観点がないかを確かめる使い方ができます。
ただしガイドラインは中小企業全般に向けた対策の目安であり、自社の作業ごとの損失を書く作業の代わりにはなりません。
先の例の入力しない情報のルールのように、どの情報を入力しないかは、自社の問い合わせの中身と取引先との契約から決めるしかありません。

SECURITY ACTIONは、中小企業自らがガイドラインに示した情報セキュリティ対策に取り組むことを自己宣言する制度です²。
自己宣言であり、第三者による認証ではありません。
取引先に自社の取り組みを示す材料の一つとして使えますが、取引先が第三者の認証や個別の質問票への回答を求めている場合は、その代わりにはならない点に注意が要ります。

▼ 図の内容を文字で読む

• 入力しない情報のルール作りと周知
  • 費用：ほとんどかからない
  • 工数：ルール作りと、守られているかの確認
  • 期間：ルールを決めればすぐ始められる
  • 残るリスク：人の注意に頼る部分が残る
• 送信前の照合手順
  • 費用：かからない
  • 工数：返信のたびに照合の手間が積み上がる
  • 期間：手順を決めればすぐ始められる
  • 残るリスク：見落としは残りうる
• 認証の強化と担当者ごとのアカウント
  • 費用：サービスの契約内容によって変わりうる
  • 工数：設定の工数は初回が中心
  • 期間：設定を終えるまで効かない

進める・条件付きで進める・見送るの線引きと、承認者への伝え方

三つの判断の目安

ここまでで、絞った項目ごとに対策後の位置と、それでも残るものが書けています。
そのうえでの線引きを、本記事では次のように提案します。

• 進める：対策後も影響が大きいまま残る項目がない。
• 条件付きで進める：影響が大きい項目が残るが、対策の実施、確認する時期、撤退の基準という条件を付ければ管理できる。
• 見送る：条件を付けても受け入れられない項目が残る。

この線引きは一般則ではありません。
どこまでを担当部署の判断にでき、どこから上位の承認が要るかは、承認者の権限や社内規程によって変わります。
影響が「高」の項目が一つでも残れば役員の承認が要る、と決めている会社なら、条件付きで進める判断も、上長ではなくその先の承認者に上げることになります。

先の例では、顧客情報の扱いが、ルールと対象外の設定を組み合わせても、人の注意に頼る部分を残します。
そこで条件付きで進めるとし、条件を三つ付けます。
利用開始前に入力しない情報のルールの周知とサービスの設定確認を済ませること、利用を始めて最初の月末に入力内容を抜き取りで点検すること、入力しないはずの情報が入力された例が見つかったら利用を止めて見直すこと、です。
撤退の基準を先に決めておくと、問題が見つかったときに続けるか止めるかで迷わずに済みます。

条件付きで進めるのは妥協ではなく、止めどころを決めたうえで始める判断です。
承認したあとは、条件を実施し、決めた時期に点検し、対策後の位置を見積もり直し、続ける・条件を変える・止めるのどれかを決め直します。
決め直した判断がまた次の確認時期を持つので、この流れは一度で終わらず繰り返されます。

見送るのも、一つの結論です。
見送る場合は、どの項目が受け入れられなかったのか、何が変われば判断を変えられるのかを書き残しておきます。
先の例なら、取引先との契約が見直されたときや、入力内容の扱いを社内で管理できる契約形態が選べるようになったときに、改めて検討できる、という書き方です。

承認者に出す1枚の構成

承認者に出す資料は、次の順に一枚でまとめます。

1. 取り組みの目的と範囲（何を、どこまで始めるのか）
2. 絞ったリスク（どの作業で誰にどんな損失が出るか、対策前の位置）
3. 方針と残るリスク（選んだ方針、対策の負担、対策後に残るもの）
4. 承認してほしい条件（判断の区分、確認する時期、撤退の基準）

この順にするのは、承認者が判断の前提から順に追えるようにするためです。
目的と範囲が先にないと、どのリスクがこの取り組みに固有のものかが分かりません。
リスクを対策より先に置くのは、対策がどの損失に効くのかを、承認者が対応させて読めるようにするためです。
最後に求める条件を置けば、承認者は何に同意するのかを一目で確かめられます。

書き方では、根拠と提案の境目を崩さないようにします。
10大脅威を引く場合は、全国で影響が大きかった脅威の傾向として示し、自社の発生確率のようには書きません。
見積もりには、高・中・低の定義を一行添えます。
対策の効果は「これで事故は起きない」とは書かず、どの作業のどんな誤りが減り、何が残るのかを書きます。

同じ取り組みを取引先へ説明する場面では、社内向けの一枚をそのまま渡すことはできません。
取引先が知りたいのは、自分たちの情報がどう扱われるかです。
先の例なら、入力しない情報のルール、契約で制限のある取引先の問い合わせは対象外にしていること、送信前の確認の手順といった、相手の情報に関わる部分を抜き出して示すことになります。
SECURITY ACTIONの宣言をしているなら、取り組みを示す材料の一つとして添えられます。

▼ 図の内容を文字で読む

1. 条件付きで承認する
2. 利用開始前に条件を実施する
3. 決めた時期に点検する
4. 対策後の位置を見積もり直す
5. 続ける・条件を変える・止めるを決め直す

取り組みを作業にどう分けるか、どの損失を一覧に残すかは自社の業務と取引先との関係から決まり、担当者が一人で作ると承認者の視点が抜けやすいためです。

検討中の取り組みの作業の分け方と、一覧に残す項目・外す項目の線引きが妥当かを、第三者の目で一緒に確かめられます。無料相談で要件を整理する

要点の整理

軸	基準
最初に決めること	判断の対象と範囲、損失が出る作業と相手、承認者の心配
絞り込み	作業ごとに誰にどんな損失が出るかで残し、損失につながらない項目は外す
10大脅威の順位	候補探しの入口。自社の発生確率や優先度ではない
見積もり	起きやすさと影響を自社の言葉で定義した3段階程度。対策前と対策後を分ける
対応方針	受け入れる・減らす・避ける・移すを条件で選び、組み合わせてよい
対策の比較	費用・工数・期間・残るリスクを同じ表で並べる
判断	大きな影響が残らなければ進める、条件で管理できれば条件付き、受け入れ難ければ見送る

条件付きで進める場合の条件や撤退の基準は、承認者の権限や社内規程、取引先との契約によって変わり、記事の目安だけでは決めきれないためです。 承認者に出す一枚の構成と、条件・確認時期・撤退基準の書き方が自社の状況に合っているかを確かめられます。

よくある質問

リスクの洗い出しは何個くらいに絞ればよいですか

決まった数はありません。
作業ごとに誰にどんな損失が出るかを書き、損失につながらない項目を外した結果として残る数が目安です。
それでも多すぎる場合は、同じ作業で同じ相手に同じ損失が出る項目を一つにまとめ、承認者が一枚で見渡せる範囲に収めます。

起きやすさの見積もりに統計がないときはどうすればよいですか

外部の確率を探すより、自社の言葉で定義した3段階程度の物差しを使うことを提案します。
その作業を誰がどれくらいの頻度で行うか、防ぐのを人の注意だけに頼っているか、社内で似たことが起きたかで区切ります。
対象や条件の違う数字を借りると根拠を説明できず、10大脅威の順位も個々の組織の発生確率ではありません¹。

対策費が損失より高いときは受け入れてよいですか

影響が小さい項目なら、受け入れるを選ぶ候補になります。
ただし影響が大きいのに対策費が高い場合は、受け入れる前に、範囲を狭めて避けるか、保険や契約で移せないかを検討します。
受け入れる場合も、起きたときの対処を決め、受け入れたことを承認者に示しておきます。

取引先からセキュリティ対策の説明を求められたら何を出せばよいですか

まず、相手が質問票への回答、契約条項への同意、認証の有無のどれを求めているのかを確かめます。
そのうえで、相手の情報がどう扱われるかに関わる自社の対策を抜き出して示します。
IPAのガイドラインに沿って対策を進めていることや、SECURITY ACTIONの自己宣言は材料の一つになりますが、自己宣言は第三者認証ではありません²。

AIの利用は、どのリスクとして整理すればよいですか

AIの利用をめぐるサイバーリスクは、2026年版の10大脅威［組織］で初めて選ばれました¹。
ただ自社の判断では、AIを一つのリスクとしてまとめるより、作業に分けて整理するほうが対策につながります。
入力する情報の扱い（外部の提供事業者に情報を預ける面）、出力の誤りをそのまま使うこと、アカウントの不正利用のように分けると、それぞれに方針を選べます。

承認後にリスクの状況が変わったら、いつ見直せばよいですか

条件付きで進めた場合は、承認時に決めた確認時期が最初の見直しです。
それとは別に、取り組みの範囲を広げるとき、取引先との契約が変わったとき、使っているサービスの規約や設定が変わったとき、社内で似た事象が起きたときは、時期を待たずに見積もりと方針を見直します。

1. 1　出典：独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026［組織］」（2026年）
2. 2　出典：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン（第4.0版）概要ページ」（2026年）
3. 3　出典：独立行政法人情報処理推進機構（IPA）「中小企業向けリスク分析ワークショップ案内」（2024年）