Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第5部 5-6

残留リスクとは｜リスク受容を経営者に判断してもらう文書の書き方とひな形

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 対策しないと決めたリスクを、社長に判断してもらう文書を書くとき
  • 予算が足りず、すべてのリスクに対策できないと分かったとき
  • SGやCISMの勉強で、残留リスク・リスク受容・リスク所有者の関係を押さえたいとき

読み終えたあと、社内でこう言えます

「対策しないと決めたリスクは、社長に判断してもらう1枚にまとめました」

結論：残留リスクとは、リスク対応をしたあとに残っているリスクのことです。どれだけ対策しても残留リスクはゼロにはなりません。残ったリスクを受け入れるかどうかは、担当者ではなくリスクに責任と権限を持つ人、中小企業ではふつう社長が決めます。判断を仰ぐ文書には「何が残り、最悪どうなり、なぜ受け入れ、いつ見直すか」を1枚で書き、承認の日付を残します。

対策をしても残る残留リスクは、社長が内容を知ったうえで受け入れを判断し、期限を決めて見直す

残留リスクとは？保有リスク・リスク受容との関係

情報セキュリティの用語を定めたJIS Q 27000:2019は、関係する3つの言葉を次のように定義しています。規格の言い回しを要約して並べます。

用語意味（要約）注記のポイント
残留リスクリスク対応のあとに残っているリスクまだ見つけていないリスクも含みうる。「保有リスク」ともいう
リスク受容特定のリスクをとるという、情報に基づいた意思決定受け入れたリスクは、監視と見直しの対象になる
リスク所有者リスクを管理する説明責任と権限を持つ人―

残留リスクには2種類あります。1つは、対策をしたうえで、それでも残る部分です。もう1つは、リスク対応の4つで「保有」を選び、最初から対策しないと決めたリスクです。どちらも、内容を知ったうえで受け入れる判断が要ります。

注記にあるとおり、残留リスクにはまだ気づいていないリスクも含まれえます。「対策したから安全」ではなく、「この範囲は残っていると分かっている」状態を目指します。

残留リスクの受け入れは誰が決める？

受け入れを決めるのは、そのリスクに責任と権限を持つ人です。情報セキュリティの国際規格ISO/IEC 27001:2022（JIS Q 27001:2023）は、6.1.3でリスク対応を定めています。リスク対応計画と残留リスクの受容について、リスク所有者の承認を得ることを求めています。

中小企業では、事故が起きたときの損失や取引先への説明を最終的に負うのは社長です。担当者が「たぶん大丈夫」と一人で決めると、事故のあとに誰も判断していなかったことになります。担当者の役割は、社長が判断できる材料をそろえることです。役割の分け方はセキュリティ担当者の決め方も参考にしてください。

リスク受容の文書に何を書く？ひな形

受容の文書は、1件につき1枚、表の形で十分です。次のひな形は、そのまま社内の書式に写して使えます。記入例は架空です。

項目書く内容記入例
番号・起案日管理のための番号と日付R-03　2026年〇月〇〇日
対象情報資産または業務旧型の生産管理PC（検査装置につながる1台）
残るリスク何が起き、何が困るかサポートの終わったOSの弱点を突かれ、感染する
いまの対策すでにやっていることインターネットから切り離し、USBメモリの接続を禁止
対応後のリスク値評価の結果重要度2×可能性1＝2（小）
受け入れる理由対策しない・できない理由装置の買い替えに約800万円かかり、今期は予算がない
最悪の場合起きたときの影響を金額・日数で検査工程が最大5日止まる。手作業の検査で出荷は続けられる
受け入れの条件前提が崩れたら見直す条件ネットワークにつながない状態を保つこと
見直しの期限日付と、見直すきっかけ来期の予算編成時。または条件が崩れたとき
起案者・承認者名前と承認日起案：総務課長　承認：代表取締役（〇月〇〇日）

リスク値の出し方はリスクアセスメントの手順で説明しています。文書は、情報資産台帳やリスクの一覧と同じ場所に保管し、番号でつなぎます。情報セキュリティマネジメント試験（SG）のシラバスには、リスクをまとめた一覧として「リスク登録簿」という用語もあります。

社長に判断してもらう書き方のコツは？

社長は、技術の細かい話より「いくらで、何日止まり、誰に迷惑がかかるか」で判断します。次の5点を意識すると、短い文書でも判断しやすくなります。

  1. 結論を先に書く：「次のリスクを、来期まで受け入れることの承認をお願いします」と冒頭で書きます。
  2. 選択肢を並べる：「対策するなら800万円」「受け入れるなら最悪5日停止」のように、比べられる形にします。
  3. 金額と日数で書く：「重大な影響」ではなく、止まる日数や対応の費用で示します。
  4. 条件と期限をつける：無期限の受け入れにせず、見直す日と、前提が崩れたときの扱いを書きます。
  5. 承認の証拠を残す：押印、メールの返信、ワークフローの記録など、後から確かめられる形にします。

たとえば社員30人の金属加工業では（架空の例）

総務課長が、検査装置につながる古いPCについて、上のひな形で文書を作りました。社長は「切り離しの状態を毎月確かめること」を条件に加えて承認しました。半年後、装置の業者からリモート保守のためにネットワーク接続を求められます。条件が崩れるため、受け入れを見直すきっかけになり、接続の前に対策を検討できました。

受け入れたリスクは、いつ見直す？

JIS Q 27000:2019は、受け入れたリスクを監視と見直しの対象としています。NIST CSF 2.0も、変更と例外を管理し、リスクへの影響を評価して記録することを求めています。次のときに見直します。

見直しの結果、受け入れを続けるなら再承認の日付を足し、対策するならリスク対応計画に移します。規程や仕組みを定期的に見直す流れはPDCAで規程を見直す節で扱います。

チェックシートではこう聞かれる

よくある設問答え方の例
対策後に残るリスクを把握し、経営者が承認していますか。はい。残留リスクを一覧にし、受け入れる理由と見直し期限を記載した文書で、代表者が承認しています。
受け入れたリスクを定期的に見直していますか。はい。年1回と、受け入れの前提が変わったときに見直し、結果を記録しています。
当社の情報に関して、対策できていない事項はありますか。はい。サポート終了のOSを使う検査用PCが1台ありますが、ネットワークから切り離し、貴社の情報は扱っていません。

対策できていない事項は、隠すより、代わりの対策と範囲を添えて書くほうが信頼につながります。ただし、実態と違う内容は書かないでください。書き方の全体はチェックシートの回答の書き方にあります。

試験ではここが問われる

SG・支援士・Security+ 5・CISM 2

  • 残留リスクの定義：リスク対応後に残っているリスク。JIS Q 27000では「保有リスク」ともいい、まだ特定されていないリスクを含みうるとされています。
  • 誰が受け入れるか：ISO/IEC 27001では、残留リスクの受容はリスク所有者が承認します。担当者や監査人が決めるものではありません。
  • リスク受容は「情報に基づく」判断：知らずに放置することは受容ではありません。受け入れたリスクは監視と見直しの対象です。
  • リスク選好と許容度：CISMでは、経営が決めるリスク選好（取ってよいリスクの量）と、それに沿った受容の判断が重視されます。
  • 英語：residual risk（残留リスク）、risk acceptance（リスク受容）、risk owner（リスク所有者）、risk appetite（リスク選好）。

確認問題

問1 JIS Q 27000:2019における「残留リスク」の説明として、最も適切なものはどれですか。

  1. ア リスク対応の前に存在する、すべてのリスク
  2. イ リスク対応の後に残っているリスクで、未特定のリスクも含みうる
  3. ウ 保険で移転したため、自社には残らないリスク
  4. エ 経営者がまだ承認していない、対策中のリスク
答えと解説
正解：イ　残留リスクは対応後に残るリスクで、注記では未特定のリスクも含みうるとされています。アは対応前のリスクです。ウは、移転しても自社にリスクが残る点を見落としています。エは承認の状態の話で、定義ではありません。

問2 社員25人の印刷会社（架空）で、情報システム担当者が、古い複合機の弱点を「費用が高いので対策しない」と一人で決め、記録も残しませんでした。この状態の問題として、最も適切なものはどれですか。

  1. ア 対策しないこと自体が、規格で禁止されている
  2. イ リスクに責任と権限を持つ人が、内容を知ったうえで受け入れを判断していない
  3. ウ 複合機は情報資産ではないため、評価の対象外である
  4. エ 担当者がリスク所有者なので、問題はない
答えと解説
正解：イ　保有そのものは正当な選択肢ですが、リスク所有者による情報に基づいた判断と記録が必要です。アは誤りで、保有は認められた対応です。複合機も文書のデータを扱う資産なのでウも誤りです。中小企業でリスクの責任と権限を持つのは通常は社長で、エも適切ではありません。

問3 受け入れたリスクを見直すきっかけとして、最も適切でないものはどれですか。

  1. ア 受け入れの前提だった「ネットワークにつながない」状態が変わった
  2. イ 同業他社で、同じ種類の事故が報道された
  3. ウ 文書に書いた見直しの期限が来た
  4. エ 承認した社長が、文書を読み返していない
答えと解説
正解：エ　読み返していないこと自体は、リスクの大きさや前提を変えません。アは条件の崩れ、イは起こりやすさの見直し、ウは決めた期限で、いずれも見直しのきっかけです。

よくある質問

残留リスクをゼロにすることはできますか？
できません。規格の定義でも、残留リスクには未特定のリスクが含まれうるとされています。目指すのは、残っているリスクを把握し、受け入れられる大きさまで下げて、責任者が承認した状態です。
リスク受容の承認は、口頭でもよいですか？
記録が残る形にしてください。事故や監査のあとに「誰が、いつ、何を知って受け入れたか」を示せないと、判断していなかったのと同じになります。メールで承認の返信をもらうだけでも、記録になります。
リスク保有とリスク受容は、同じ意味ですか？
ほぼ重なりますが、見る角度が違います。保有はリスク対応の選択肢の1つで、受容は「このリスクをとる」という意思決定そのものを指します。JIS Q 27000でも、残留リスクは「保有リスク」ともいうとされています。

この記事のまとめ

できていない項目の書き方は任せて、確認だけに

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたセキュリティチェックシートに、御社の実態に合わせた回答を作ってお返しします。対策できていない項目は、代わりの対策や受け入れの判断を添えた書き方でご提案します。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. 日本産業標準調査会（JISC）「JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語」（2019年）※JIS検索から閲覧
  2. ISO「ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements」（2022年10月）
  3. 日本産業標準調査会（JISC）「JIS Q 31000:2019 リスクマネジメント－指針」（2019年）※JIS検索から閲覧
  4. 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月）
  5. NIST「The NIST Cybersecurity Framework (CSF) 2.0」（2024年2月）
  6. IPA「情報セキュリティマネジメント試験 シラバス」Ver.4.1（2025年4月）