リスク管理とは（全体像）
リスク管理（リスクマネジメント）は、「これから起こるかもしれない危険」を前もって見つけ、どれくらい危ないか評価し、どう対応するかを決めて手を打つ活動のこと。
進め方はおおまかに、①リスクを洗い出す → ②どれくらい起こりやすく影響が大きいか分析する → ③優先順位をつける → ④対応する → ⑤見張り続ける、という流れ。この活動全体の国際規格がISO 31000。
ここで一つ注意。ISO 31000（リスク全般の規格）と、ISO 27001（情報セキュリティの規格）は別もの。番号が違うとおり、扱う範囲が違う。試験ではこの取り違えがよく出る。
そして対応のときに使う考え方が、本命の4T。
詳しく：リスク対応の4T
ここが心臓部。リスクへの対応の4つの選択肢「4T」を表で押さえる。
リスク対応の4つの選択肢（4T）
| 4T | 日本語 | 何をする | 例 |
|---|---|---|---|
| Treat | 低減 | 対策してリスクを小さくする | バックアップやセキュリティ強化 |
| Terminate | 回避 | リスクのある活動自体をやめる | 危険な事業から撤退する |
| Transfer | 移転 | 他者に肩代わりしてもらう | 保険に入る・外部に委託する |
| Tolerate | 受容 | 受け入れて特に対応しない | 影響の小さいリスクは放置する |
4つとも頭文字がTなので「4T」と呼ぶ。一番大事なのが、4Tは「全部いっぺんにやる」ものではなく、リスクごとに状況を見て1つ（または適した組み合わせ）を選ぶということ。「4Tはすべて実施する」と思うのは誤り。
選び方の目安はこう。
- 影響が大きく、対策できる → Treat（低減）：対策して小さくする。
- 対策しても割に合わないほど危険 → Terminate（回避）：その活動自体をやめる。
- 自社で抱えきれない → Transfer（移転）：保険や外部委託で肩代わりしてもらう。
- 影響が小さい → Tolerate（受容）：あえて何もせず受け入れる。
たとえば、サイバー攻撃の損害を保険でカバーするのはTransfer（移転）の代表例。逆に、ほとんど起きず影響も小さいリスクをあえて放置するのはTolerate（受容）。
わかりやすく言い換えると
要するに、4Tは「危険にどう向き合うかの4つの作戦」だとイメージするとラク。
つまり、①Treat（低減）＝守りを固めて被害を小さくする、②Terminate（回避）＝危ないことはやめる、③Transfer（移転）＝保険などで人に肩代わりしてもらう、④Tolerate（受容）＝小さい危険は受け入れる。
そして覚えどころは、4つから状況に合うものを選ぶこと。全部いっぺんにやるのではなく、「このリスクにはどれが合うか」を考えて選ぶ、というわけ。
試験のツボ
🔴 一番出る：4Tは状況に応じて選ぶ
①4T＝Treat（低減）・Terminate（回避）・Transfer（移転）・Tolerate（受容）
②全部いっぺんにやるのではなく、リスクごとに合うものを選ぶ
🔴 次に出る：4Tの中身の例
①Transfer（移転）＝保険・外部委託で肩代わり
②Tolerate（受容）＝影響の小さいリスクは受け入れる
🟡 押さえると安定：規格の区別とプロセス
ISO 31000＝リスク全般の規格／ISO 27001＝情報セキュリティの規格（別もの）。プロセスは特定→分析→評価→対応→監視。
よくある間違い
①「4Tは4つともすべて実施しなければならない」→ ✗ 4Tはリスクごとに状況を見て選ぶもので、全部いっぺんにやるのではない。
②「ISO 31000とISO 27001は同じ規格だ」→ ✗ ISO 31000はリスク全般、ISO 27001は情報セキュリティの規格で別もの。
③「リスクを保険でカバーするのはTreat（低減）だ」→ ✗ 保険や外部委託で肩代わりしてもらうのはTransfer（移転）。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（リスク管理とISO 31000）
リスク管理とISO 31000に関する次の記述のうち、正しいものはどれか。
- ISO 31000は情報セキュリティだけの規格で、ISO 27001とまったく同じ内容とされている
- リスク管理とは起きてしまった事故の後始末だけを指し、事前に備える活動は含まないものとされる
- リスク管理はリスクを増やすための活動で、危険をできるだけ大きくすることを目的とするとされる
- リスク管理は起こりうる危険を見つけ・評価し・対応する活動で、国際規格はISO 31000である
解答は 4 だ、わが子よ。
リスク管理は、危険を見つけ・評価し・対応する一連の活動で、その国際規格がISO 31000である。リスク全般を扱う規格ぞ。
選択肢1は「情報セキュリティだけ・27001と同じ」が誤り（31000はリスク全般で別もの）、選択肢2は「後始末だけ」が誤り、選択肢3は「危険を大きくする」が誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 31000はリスク全般で27001とは別もの |
| 2 | ✗ | 事前に備える活動も含む |
| 3 | ✗ | 危険を小さくするための活動 |
| 4 | ✓ | 危険を見つけ評価し対応しISO 31000が規格で正しい |
オリジナル問題2（4Tの考え方）
リスク対応の4Tに関する次の記述のうち、正しいものはどれか。
- 4Tは低減・回避・移転・受容という4つの選択肢で、リスクごとに状況を見て選んでいくものだ
- 4Tは4つの選択肢すべてを、どんなリスクに対しても必ずいっぺんに実施するものとされている
- 4Tとはネットワーク機器を4台つなぐ配線方式のことで、リスク対応とは無関係なものとされる
- 4Tとは1日を4つの時間帯に分ける働き方のことで、リスク管理とはとくに関係がないとされている
解答は 1 だ。
4Tは、低減（Treat）・回避（Terminate）・移転（Transfer）・受容（Tolerate）の4つの選択肢で、リスクごとに状況に応じて選ぶものである。全部いっぺんにやるのではないぞ、わが子よ。
選択肢2は「すべていっぺんに実施」が誤り、選択肢3は「配線方式」、選択肢4は「働き方」がいずれも誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 4つの選択肢から状況に応じて選び正しい |
| 2 | ✗ | すべていっぺんに実施するのではない |
| 3 | ✗ | 配線方式のことではない |
| 4 | ✗ | 働き方のことではない |
オリジナル問題3（4Tの中身）
リスク対応の4Tの中身に関する次の記述のうち、正しいものはどれか。
- リスクを保険や外部委託で肩代わりしてもらうのは、4TのうちのTreat（低減）にあたるものとされる
- リスクを保険などで他者に肩代わりするのが移転(Transfer)、影響の小さいものを受け入れるのが受容だ
- 影響の小さいリスクをあえて受け入れて対応しないことは、4TのうちのTerminate（回避）にあたるとされる
- リスクのある活動自体をやめて危険を避けることは、4TのうちのTransfer（移転）にあたるものとされる
解答は 2 だ、わが子よ。
リスクを保険などで他者に肩代わりしてもらうのはTransfer（移転）、影響の小さいリスクを受け入れるのはTolerate（受容）である。それぞれの作戦を正しく結びつけよ。
選択肢1は移転をTreatとしており誤り、選択肢3は受容をTerminateとしており誤り、選択肢4は回避をTransferとしており誤りである。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 保険での肩代わりはTransfer（移転） |
| 2 | ✓ | 移転＝Transfer・受容＝Tolerateで正しい |
| 3 | ✗ | 受け入れるのはTolerate（受容） |
| 4 | ✗ | 活動をやめるのはTerminate（回避） |
まとめ
押さえどころ
- 🔴 4Tは状況に応じて選ぶ … Treat（低減）・Terminate（回避）・Transfer（移転）・Tolerate（受容）。全部いっぺんにやるのではない。
- 🔴 4Tの中身 … 移転＝保険や外部委託で肩代わり、受容＝小さいリスクは受け入れる。
- 🟡 規格の区別 … ISO 31000＝リスク全般、ISO 27001＝情報セキュリティ。別もの。プロセスは特定→分析→評価→対応→監視。
次に学ぶ
- サイバー保険 ── リスクを保険で肩代わりするTransfer（移転）の代表例。4Tと結びつけて押さえると理解が深まる。
- COBIT・ISO/IEC 38500 ── リスク管理を含むITガバナンス（経営によるITの方向づけ）の枠組み。
執筆: SikakuQuest編集部