リスクスコアリングと優先順位付け

1）目的と結果

• 同等の（統一された尺度と数式）、
• 透明（データソースと仮定は文書化されています）、
• 測定可能（制御とインシデントに関連するメトリックとKRI）、
• 実行可能ファイル（各リスクは、有効期限があるCAPA/放棄計画に対応しています）。

出力：統一されたリスクレジスタ、優先順位付けされた測定バックログ、ヒートマップ、残留リスク報告、監査準備ができたアーティファクト。

2）利用規約とリスクレベル

固有のリスク-コントロールを除くリスク。
残留リスク-現在のコントロールを考慮したリスク（ToD/ToE/CCM検証済み）。
Target Risk-CAPA/補償措置後の目標レベル。
Likelihood （L）-評価地平線にシナリオが発生する確率。
インパクト（I）-最大のもの：金融、ライセンス/法律、プライバシー/データ、運用/SLO、評判。
KRI-L/Iに影響を与えるリスク指標（例えば、dsar_response_p95、チャージバック比）。

3）スケールと基本モデル

3.1離散行列（5 × 5または4 × 4）

スコア=L × I→範囲1-25（または1-16）。

• 20-25=クリティカル、12-19=ハイ、6-11=ミディアム、1-5=ロー。
• しきい値はスコアリングポリシーで公開され、常にすべてのドメインに適用されます。

• 1->3年に一度；2-1〜3年に一度。3-毎年；4-四半期ごとに；5月/より頻繁に。

• 1-<€10k；2-€10-100k；3-€100-300k；4-€300k- €1m；5->€1m；法律/ライセンスのリスクにより、レベルは少なくとも4-5に上昇します。

3.2定量モデル

ALE（年次損失期待値）：'ALE=SLE × ARO'、ここで'SLE'はイベントごとの平均損害であり、'ARO'は年間予想される頻度です。
FAIRアプローチ（簡略化）：頻度（Threat Event Frequency）と損失（Loss Magnitude）の値をシミュレートし、パーセンタイル（p50/p95）を使用して決定を行います。
モンテカルロ：周波数とダメージの分布（lognorm/gammaなど）、10-100k run→loss curve （loss exceedance curve）。最も高価な/規制の重要なリスクに適用します。

推薦：症例の80％-マトリックス5 × 5、20％（トップリスク）-ALE/FAIR/モンテカルロ。

4）残留リスクとターゲットリスク

1.「コントロールなし」の前提から固有の値を計算します。
2.既存のコントロール（tested ToD/ToE/CCM）→Residualの有効性を検討してください。
3.計画されたCAPA/補償措置と達成日を考慮して、ターゲットを決定します。
4.ターゲットが許容しきい値（リスク食欲）を≤した場合-OK；そうでない場合は、有効期限と補償コントロールを持つ放棄が必要です。

5）データソースと証拠

メトリックとKRI（ダッシュボード、ログ、インシデントレポート）。
試験結果（CCM）、監査（内部/外部）を制御します。
プロバイダレポート：SLA/証明書/インシデント/データ場所の変更。
金融分析：罰金、チャージバック、詐欺損失％。
各スコアには、タイムスタンプとハッシュレシート（WORM）による証拠リンクが付属しています。

6）取り組みの優先順位付け（リスクの移転→行動）

6.1ライス（リスク適応）

'RICE=（Reach × Impact_adj × Confidence ）/Effort'

リーチ-顧客/取引/管轄区域の数が影響を受けます。
Impact_adj-変換されたI（またはALE/損失 p95）。

信頼性-評価の信頼性（0。5/0.75/1.0).

努力-マンウィーク/コスト。
RICEソート→クイック勝利。

6.2リスク調整されたWSJF

'WSJF=遅延/ジョブサイズのコスト'、

'Cost of Delay=Risk Reduction+Time Criticality+Business Value'。

リスク低減は、残留/ALEの減少が予想されます。
時間の重要性-規制当局/監査の締め切り。
ビジネス価値-収入/貯蓄、顧客の信頼。

6.3規制の優先度

リスクがライセンス/法律に関連しており、厳しい期限がある場合、「経済的」スコアに関係なく、自動的にCritical/Highに該当します。

7）しきい値のルールとエスカレーション

クリティカル：即時トリアージ、CAPA ≤ 30日、60-90日で再監査。毎週の委員会です。
高い：CAPA ≤ 60日、フォローアップ90日。
Medium：四半期計画に含める。
低：監視+「技術債務」スロット機能。
KRIしきい値：琥珀（警告）と赤（必須エスカレーションとCAPA）。

8）役割とRACI

9）ダッシュボード

リスクヒートマップ：マトリックス5 × 5、ドメイン/国/プロバイダによるフィルタ。
リスクファネル：固有→残留→ターゲット。
ALE/p95損失によるトップN：定量的リスク。
KRIウォッチリスト：インジケータとしきい値、琥珀/赤警報。
CAPAの影響：予想される/実際の減少；タイムラインの進捗状況。
免除：現在の例外、期限、補償措置。

10）パフォーマンスメトリック

リスク低減指数：加重平均リスク率（四半期/四半期）を∆。
On-time CAPA：時間通りに（重症度による）測定の％。
繰り返し調査結果（12ヶ月）：繰り返し違反の割合。
エビデンスの完全性：フルパッケージ（High+の100％ターゲット）のリスク。
予測精度：推定損失と実際の損失/周波数の不一致。
Triage/Time-to-Plan/Time-to-Target。

11） SOP（標準的なプロシージャ）

SOP-1： 初期化とスケール

L/Iスケールとカテゴリーのしきい値を定義する→委員会で承認する→リポジトリに記録する（バージョン管理）。

SOP-2： 四半期ごとの再評価

KRI/インシデントの収集→L/I/ALEの再計算→オーナーによるレビュー→委員会の優先順位付け→ロードマップの公開。

SOP-3： トリガーインシデント

Critical/Highインシデントの場合-予定外の再計算、CAPAと優先順位の調整。

SOP-4： 定量分析（トップリスク）

入力ディストリビューション→モンテカルロ（≥ 10kラン）→ロスカーブ→委員会の決定を準備します。

SOP-5： アーカイブと証拠

スライスをエクスポート（CSV/PDF）+ハッシュレシート→WORMアーカイブ→GRCカード内のリンク。

12）テンプレートと「as-code」

12.1スコアリングポリシー（スニペット）

scales:
likelihood:
1: ">3y / p<5%"
3: "annual"
5: "monthly+"
impact_finance:
1: "<€10k"
3: "€100k–€300k"
5: ">€1m"
categories:
critical: "score>=20 or regulatory_deadline<=60d"
high: "score>=12"
tolerance:
privacy_licensing: "min_impact=4"

12.2リスクカード（YAML）

yaml id: RSK-PRIV-DSAR-001 title: "DSAR delinquency"
domain: "Privacy"
jurisdictions: ["EEA","UK"]
likelihood: 4 impact: 4 score: 16 model: "matrix_5x5"
ale_eur: 280000 # if controls were considered: ["CTRL-DSAR-SLA, ""CTRL-RET-DEL"]
kri:
- key: "dsar_response_p95_days"
warn: 18 red: 20 residual: 12 target: 6 capa:
- id: CAPA-123 action: "DSAR queue optimization, auto-prioritization, alerts"
due: "2025-02-15"
expected_delta: -6 waiver: null evidence: ["hash://.../metrics. csv","hash://.../ccm_report. pdf"]

12.3優先順位付け（WSJF例）

yaml initiative: "Automation DSAR queue"
cod:
risk_reduction: 8 time_criticality: 5 business_value: 3 job_size: 5 wsjf: 3. 2

13）補償措置と免除

• パフォーマンス指標による補償制御（手動チェック、制限、追加監視）を導入します。
• 私達は有効期限、所有者および取り替えの計画と放棄を発行します；
• 30-90日の必須の再監査。

14） Antipatterns

KRI/コントロール/インシデントに接続しない「美しい行列」。
目的の結果にフローティングスケールと「手動チューニング」。
計算と仮定のバージョニングの欠如。
まれなリビジョン→マップは現実を反映していません。
有効期限および補償措置なしで免除されます。
トップリスクの定量的分析の欠如。

15）成熟度モデル（M0-M4）

M0アドホック：「目で」推定、単一のポリシーはありません。
M1計画：マトリックス5 × 5、四半期ごとの更新、基本的なダッシュボード。
M2管理：KRI/CCM、 CAPAリンク、WORMエビデンスとのコミュニケーション。
M3統合：トップリスクのためのALE/FAIR/モンテカルロ、ロードマップ、CI/CDゲートのWSJF/RICE。
M4継続的保証：予測KRI、自動再計算、推奨優先順位、エビデンス・バイ・デザイン。

16）関連するwiki記事

ヒートリスクマップ

リスクベース監査（RBA）

KPIとコンプライアンス指標

コンプライアンス継続監視（CCM）

修復計画（CAPA）

ポリシーとコンプライアンスリポジトリ

コンプライアンスロードマップ

外部監査人による外部監査

合計

リスクスコアリングと優先順位付けは、技術ではなく、エンジニアリングの分野です。安定したスケールとポリシー、実証可能なデータ、トップリスクの定量的方法、明示的なしきい値とエスカレーション、CAPAとロードマップへの直接リンクです。このアプローチは、意思決定を予測可能にし、承認を促進し、ビジネスの全体的なリスクを軽減します。