JISX0162:2008 システム及びソフトウェア技術－ライフサイクルプロセス

X 0162：2008 (ISO/IEC 16085：2006)

（1）

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

ページ

序文 ··································································································································· 1

1 概要······························································································································· 1

1.1 適用範囲 ······················································································································ 1

1.2 目的 ···························································································································· 1

1.3 適用分野 ······················································································································ 1

1.4 適合性 ························································································································· 2

1.5 免責条項 ······················································································································ 2

2 引用規格························································································································· 3

3 用語及び定義 ··················································································································· 3

4 この規格の適用 ················································································································ 6

5 ライフサイクルにおけるリスク管理 ····················································································· 7

5.1 リスク管理プロセス ······································································································· 7

5.2 空箇条 ························································································································ 15

附属書A（参考）リスク管理計画 ··························································································· 16

附属書B（参考）リスク活動要求 ··························································································· 18

附属書C（参考）リスク対応計画 ··························································································· 20

附属書D（参考）ソフトウェアライフサイクルにおけるリスク管理の適用 ······································ 22

附属書E（参考）注釈付き参考文献 ························································································ 25

X 0162：2008 (ISO/IEC 16085：2006)

（2）

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

まえがき

この規格は，工業標準化法に基づき，日本工業標準調査会の審議を経て，経済産業大臣が制定した日本

工業規格である。

この規格は，著作権法で保護対象となっている著作物である。

この規格の一部が，特許権，出願公開後の特許出願，実用新案権又は出願公開後の実用新案登録出願に

抵触する可能性があることに注意を喚起する。経済産業大臣及び日本工業標準調査会は，このような特許

権，出願公開後の特許出願，実用新案権又は出願公開後の実用新案登録出願に係る確認について，責任は

もたない。

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

日本工業規格 JIS

X 0162：2008

(ISO/IEC 16085：2006)

システム及びソフトウェア技術−

ライフサイクルプロセス−リスク管理

System and software engineering-Life cycle process-Risk Management

序文

この規格は，2006年に第2版として発行されたISO/IEC 16085を基に，技術的内容及び対応国際規格の

構成を変更することなく作成した日本工業規格である。

なお，この規格で点線の下線を施してある“注記”は，対応国際規格にはない事項である。

概要

この規格は，リスク管理の継続的なプロセスを規定する。箇条1は，概要を提供し，目的，適用範囲及

び適用分野を規定するとともに，適合性基準についても規定している。箇条2は，引用規格である。参考

文献は，附属書Eに記載している。箇条3は，用語及び定義を規定している。箇条4は，どのようにリス

ク管理をライフサイクルに適用するかを規定している。箇条5は，リスク管理のプロセスについて規定し

ている。

幾つかの附属書がある。附属書A，附属書B及び附属書Cは，リスク管理ライフサイクルプロセスの中

で作成するリスク管理計画，リスク活動要求及びリスク対応計画の三つの文書の内容について推奨してい

る。附属書Dは，リスク管理がJIS X 0160（ソフトウェアライフサイクルプロセス）のどこに記載されて

いるかを要約したものである。附属書Eは，この規格が扱う素材に関連する規格類及びその他の文書の注

釈付き参考文献である。

1.1

適用範囲

この規格は，システム又はソフトウェアの取得，供給，開発，運用及び保守におけるリスク管理プロセ

スについて規定する。

注記この規格の対応国際規格及びその対応の程度を表す記号を，次に示す。

ISO/IEC 16085:2006，Systems and software engineering−Life cycle processes−Risk management

(IDT)

なお，対応の程度を表す記号(IDT)は，ISO/IEC Guide 21に基づき，一致していることを示す。

1.2

目的

この規格は，供給者，取得者及び管理者に，幅広く多様なリスクを管理するために適した一組のプロセ

ス要件を提供することを目的とする。この規格は，詳細なリスク管理技術を提供していないが，その代わ

りに，適用してもよい幾つかの技術についてリスク管理に対するプロセスを定義することに焦点を当てて

いる。

1.3

適用分野

この規格は，全ライフサイクルにおけるリスク管理のためのプロセスを規定する。この規格は，すべて

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

の適切なプロジェクトに適用するために組織が採用することに適している。この規格は，システム又はソ

フトウェアの課題を扱う組織に関連するリスクを管理するのに役立つ。

この規格は，JIS X 0160:1996，JIS X 0170とともに，又は独立して適用してもよい。

1.3.1

JIS X 0160:1996との共用

JIS X 0160:1996は，ソフトウェアの取得，供給，開発，運用及び保守のプロセスを規定した“上位”規

格である。この規格は，ソフトウェアプロジェクトの管理における成功のかぎ（鍵）は，リスクを管理す

る活動である，との認識を採用している。JIS X 0160:1996は，何箇所かでリスク及びリスク管理に言及し

ているが，リスク管理のプロセスについては規定していない（附属書D参照）。この規格は，ある意味で，

JIS X 0160の追補1に規定されたリスク管理プロセスの定義に従ったプロセスを規定している。この規格

は，管理者，参加者及びその他のステークホルダーの観点を支援するために，任意の（対象）領域又は任

意のライフサイクルフェーズにおいて，組織レベルのリスク又はプロジェクトレベルのリスクを管理する

ために使用してもよい。

JIS X 0160:1996のライフサイクルプロセスの枠組みでは，リスク管理は“組織に関するライフサイクル”

である。組織に関するプロセスにおけるアクティビティ及びタスクは，そのプロセスを使用する組織の責

務である。したがって，組織は，このプロセスが確立されていることを確認する。

JIS X 0160:1996とともに使用する場合，この規格は，JIS X 0160のその他の管理及び技術プロセスがリ

スクの対応を実施することを前提としている。これらのプロセスとの適切な関係が規定されている。

1.3.2

JIS X 0170:2004との共用

JIS X 0170:2004は，リスク管理プロセスを含み，何箇所かでリスク及びリスク管理について述べている。

この規格は，管理者，参加者及びその他のステークホルダーの観点を支援するために，任意の（対象）領

域又は任意のライフサイクルフェーズにおいて，組織レベルのリスク，エンタープライズレベルのリスク

又はプロジェクトレベルのリスクを管理するために使用してもよい。

この規格は，JIS X 0170:2004に規定するリスク管理プロセスに広く適合しており，リスク管理の計画及

び実施を支援するための追加のプロセス情報を提供している。JIS X 0170:2004とともに使用する場合，こ

の規格は，JIS X 0170のその他の管理及び技術プロセスがリスクの対応を実施することを前提としている。

箇条1の適用範囲，目的，適用分野及び適合性の要求は，システムライフサイクルへの応用のために解釈

することができる。定義（箇条3），プロセス情報（箇条5），並びにリスク管理計画（附属書A），リスク

活動要求（附属書B）及びリスク対応計画（附属書C）の概要は，システムライフサイクルに直接適用で

きる。

1.3.3

JIS X 0160及びJIS X 0170とは独立した適用

それに対し，この規格は，どんな特定のシステム又はソフトウェアライフサイクル規格と独立して使用

してもよい。このやり方で使用する場合，リスクの対応のために追加条項を適用する。

1.4

適合性

組織又はプロジェクトは，リスク管理プロセスの実行を通して，この規格への適合性を主張してもよい。

その場合には，箇条5に規定するアクティビティ及びタスクの中のすべての要求［“なければならない”と

いう言葉で必す（須）として規定された要求］を計画及び実行を通して，提示してもよい。

この規格がJIS X 0160:1996又はJIS X 0170:2004と独立して適用される事例の場合，リスク対応のため

の追加要件が5.1.4.2に規定されている。

1.5

免責条項

この規格は，リスク管理のプロセス，アクティビティ及びタスクのための最小限の要件を制定するもの

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

である。この規格に従って，要件を実行すること，又はリスク管理計画若しくはリスク活動要求を準備す

ることは，リスクの消滅を保証するわけではない。どのような団体に対しても，この規格への適合性は，

社会的，道義的，財務的又は法律的責務を免除しない。

引用規格

次に掲げる規格は，この規格に引用されることによって，この規格の規定の一部を構成する。これらの

引用規格は，記載の年の版を適用し，その後の改正版（追補を含む。）には適用しない。

JIS X 0134:1999 システム及びソフトウェアに課せられたリスク抑制の完全性水準

注記対応国際規格：ISO/IEC 15026:1998，Information technology−System and software

integrity levels（IDT）

JIS X 0160:2007 ソフトウェアライフサイクルプロセス

注記1

対応国際規格：ISO/IEC 12207: 1995，Information technology−Software life cycle

processes, Amendment 1:2002及びAmendment 2:2004 (IDT)

注記2

JIS X 0160は，1996年にISO/IEC 12207: 1995を基づき第１版が発行された。その後，対

応国際規格がAmendmentを発行したのを受け，2007年に追補1が発行された。この規

格では，第１版又は追補1を区別して引用する場合、発行年又はʻ追補1ʼを付記して区別

している。

JIS X 0170:2004 システムライフサイクルプロセス

注記対応国際規格：ISO/IEC 15288:2002，Systems engineering−System life cycle processes

（IDT）

注記1 JIS X 0160:2007は，この規格をJIS X 0160と独立して適用する場合には，不要である。

注記2 IEEE/EIA 12207.0-1996は，ISO/IEC 12207:1995の代わりに使用してもよい。

注記3 JIS X 0170:2004は，この規格をJIS X 0170と独立して適用する場合には，不要である。

用語及び定義

この規格で用いる主な用語及び定義は，次による。

3.1

結果（consequence）

事象から生じるもの。

注記1 一つの事象から一つ以上の結果が生じることがある。

注記2 結果は好ましいものから，好ましくないものまで変動することがある。しかし，安全の側面

では，結果は常に好ましくないものである。

注記3 結果は，定性的にも定量的にも表現されることがある。

（ISO/IEC Guide 73:2002，3.1.2を参照）

3.2

事象（event）

ある一連の状況の発生。

注記1 事象は，確実である場合も不確実である場合もある。

注記2 事象は，単独で発生する場合もあり，連続して発生する場合もある。

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

注記3 あらかじめ定めた期間について，事象の発生確率を推定することができる。

（ISO/IEC Guide 73:2002，3.1.4を参照）

3.3

発生確率（probability）

事象が起こりそうな程度。

注記1 ISO 3534-1:1993，1.1では，発生確率に次のような数学的定義を与えている。

“無作為の事象に伴う0から1までの尺度としての実数。それは，長時間にわたって把握

された発生頻度，又は事象の起こりやすさに関係する。起こりやすさが高い場合，その発生

確率は1に近くなる。”

注記2 リスクを表現する場合，発生確率の代わりに頻度が使用されることがある。

注記3 発生確率に関する起こりやすさは，次のように階級又は階層として選択されることがある。

− めったにない／ありそうもない／あまり多くない／ありそうである／ほぼ確実にある。

（rare/unlikely/moderate/likely/almost certain）

又は

− 考えられない／まずない／わずかである／ときどきである／多分ある／しばしばある。

（incredible/improbable/remote/occasional/probable/frequent）

（ISO/IEC Guide 73:2002，3.1.3を参照）

3.4

プロジェクトリスク台帳（project risk profile）

プロジェクトの現状及び履歴的なリスク関連の情報。プロジェクトにおける個々のリスク要因のすべて

を要約又は集約したもの。

注記プロジェクトリスク台帳情報は，リスクの時系列的記録及び個々のリスク要因が一緒になった

リスク管理体系，優先順位，リスクに関係した方策，対応状態，緊急時対応計画，並びにリス

ク活動要求を含んでいる。プロジェクトリスク台帳は，個々のリスクについての全リスク要因

からなり，現状及び履歴的リスク状態を含んでいる（3.14及び3.15を参照）。

3.5

リスク（risk）

事象の発生確率と事象の結果との組合せ。

注記1 用語“リスク”は，一般に少なくとも好ましくない結果を得る可能性がある場合にだけ使用

される。

注記2 ある場合には，リスクは期待した成果，又は事象からの逸脱の可能性から生じる。

注記3 安全に関する事象に対しては，JIS Z 8051を参照すること。

（ISO/IEC Guide 73:2002，3.1.1を参照）

3.6

リスクの受容（risk acceptance）

リスクを受容する意思決定。

注記1 “受容する（accept）”という動詞は，名詞“受容（acceptance）”のもつ基礎的な辞書の意味

を引き継いで選ばれている。

注記2 リスクの受容は，リスク基準に依存する。

（ISO/IEC Guide 73:2002，3.4.10を参照）

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

3.7

リスク活動要求（risk action request）

リスクしきい値を超えると判断された一つ以上のリスクに対する，推奨される対応案及びその根拠。

3.8

リスクカテゴリ（risk category）

リスクの等級又は型（例えば，技術的，法的，組織的，安全性，経済的，工学的，費用的，日程的）。

注記リスクカテゴリは，リスク因子の特性である（3.18を参照）。

3.9

リスク基準（risk criteria）

リスクの重大さを評価するために与えられた判断基準に適用される尺度。

注記リスク基準は，関連するコスト及び利益，法規制の要求事項，社会経済及び環境側面，ステー

クホルダーの関心事，優先度並びにアセスメントに使用するその他の情報を含む。

（ISO/IEC Guide 73:2002，3.1.6を参照）

3.10

リスク脅威量（risk exposure）

個人，プロジェクト又は組織に現れるリスクによる潜在的損失。リスクが生じるだろうという発生確率

とリスク発生の結果の大きさとの関数。

注記リスク脅威量は，発生確率と結果の大きさとの積として一般に定義される。すなわち，期待値

又は予期される脅威の程度である。このリスク管理規格は，リスク脅威量の定性的表現を含む，

更に広い視点に立つ。

3.11

リスク管理計画（risk management plan）

リスク管理プロセスの要素及び資源が，組織又はプロジェクトの中にどのように実行されるかという記

述。

3.12

リスク管理プロセス（risk management process）

製品又はサービスのライフサイクル全体にわたるリスクを系統的に識別し，分析し，対応し，監視する

連続的なプロセス。

3.13

リスク管理システム（risk management system）

リスクを管理運営することに関係する，組織の管理システムの一連の要素。

注記1 管理システムの諸要素には，戦略的な計画策定，意志決定及びリスクを処理するためのその

他のプロセスを含むことがある。

注記2 リスク管理システムは，組織の文化を反映する。

（ISO/IEC Guide 73:2002，3.1.8を参照）

3.14

リスク台帳（risk profile）

リスクの現状及び履歴的なリスク状態情報の時系列的記録。

3.15

リスク状態（risk state）

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

現在のプロジェクトのリスク情報。リスク情報は，個々のリスクに関連している。

注記1 個々のリスクに関する情報は，現状の説明，原因，発生確率，結果，推定の尺度，推定の確

証，対処，しきい値及びリスクが，いつそのしきい値に達するだろうかという推定を含み得

る。

注記2 推定とは，発生確率及び結果の推定のことをいう。

3.16

リスクしきい値（risk threshold）

ステークホルダーの行動の引き金となる条件。

注記それぞれのリスク，リスクカテゴリ又は異なるリスク基準に基づいたリスクの組合せに対し，

異なったリスクしきい値を定義してもよい。

3.17

リスク対応（risk treatment）

リスクを変更するための方策を，選択及び実施するプロセス。

注記1 リスク対応という用語は，それ自身，方策として使用されることがある。

注記2 リスク対応の方策には，リスクの回避，最適化，移転又は保有を含むことがある。

（ISO/IEC Guide 73:2002，3.4.1を参照）

3.18

リスク因子（source）

結果をもたらす可能性が潜在する物事又は行動。

注記安全の分野においては，リスク因子はハザード（JIS Z 8051:2004を参照）に該当する。

（ISO/IEC Guide 73:2002，3.1.5を参照）

3.19

ステークホルダー（stakeholder）

リスクに影響を与え，リスクの影響を受け，又は影響を受けると認識する個人，グループ又は組織。

注記1 意思決定者もまた，ステークホルダーである。

注記2 ステークホルダーとは，利害関係者も含むが，更に広い意味をもつ［利害関係者（interested

party）は，ISO 9000:2000の3.3.7を参照］。

（ISO/IEC Guide 73:2002，3.2.1を参照）

この規格の適用

この規格は，JIS X 0160:1996及びJIS X 0170とともに利用することを容易にするため，同じプロセス記

述の取決めを多く使用している。ここに規定されているリスク管理ライフサイクルプロセスは，アクティ

ビティの集合体として分割され，更に，それぞれのアクティビティに対する要求は，タスクの集合体とし

て定義されている。この規格において，第1階層の細分箇条（X.1）はプロセスを表し，第2階層の細分箇

条（X.X.1）はアクティビティを表し，その下の細分箇条（X.X.X.1）はタスクを表す。

このリスク管理規格は，製品及びサービスに対する取得，供給，開発，運用及び保守を支援している。

この規格の適用において，特定のライフサイクルプロセスモデルを要求するものではない。

プロジェクトレベルのリスク管理は，組織的レベルでリスク管理がプロセスと一緒に運用されていると

き，最も効果的である。このリスク管理規格のプロセス，アクティビティ及びタスクは，組織の他のリス

ク管理業務及びシステムに統合されるのが望ましい。組織のリスク管理プロセスが存在しないならば，こ

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

の規格は，その構築のガイドとして有効であるかもしれない。

さらに，規格の適用がシステム及びソフトウェアのリスクを対象とするならば，そのプロセスは，組織

の問題管理のやり方と統合されなければならない。例えば，緊急時対応計画が実行されなければならない

事象が発生したときである。リスク対応のアクティビティは，他のプロジェクト管理のアクティビティと

同様に管理されるのが望ましい。

リスク管理が最も効果的なのは，測定プロセスと統合されるときである。JIS X 0141は，システム工学・

ソフトウェア工学及び管理に関する専門分野に適用できる測定プロセスを規定している。JIS X 0141で規

定されている測定プロセスは，リスクの特定と定量化との助けとなるこの規格で規定されたリスク管理ア

クティビティ及びリスク管理タスクとともに機能する。

ライフサイクルにおけるリスク管理

リスク管理は，常にリスクを識別し，分析し，対応し，監視することを目的とする。リスク管理の実施

に成功すると，次の状態になる。

a) 行われるリスク管理の範囲が決定されている。

b) 適切なリスク管理戦略が定義され，実行されている。

c) リスクの発生時及びプロジェクトの進行中，リスクが識別されている。

d) リスクは分析され，これらのリスクに対応するための資源を利用する優先度が決定される。

注記ここでの“資源”は，人員，予算などの，いわゆる“経営資源”を指している。

e) リスク対策は，リスク状態の変化及びリスク対応アクティビティの進ちょく（捗）を決定するために，

定義され，応用され，総合的に評価される。

リスクの影響を是正し，避けるために，優先度，発生確率及び結果に基づいて，適切な対応が取られ

る。

5.1

リスク管理プロセス

リスク管理プロセスは，製品又はサービスのライフサイクルを通じて，体系的にリスクを扱う連続した

プロセスである。

このプロセスは，次のアクティビティから成り立つ。

a) リスク管理の計画及び実行（図1の②）

b) プロジェクトリスク台帳の管理（図1の③）

c) リスク分析の実施（図1の④）

d) リスク監視の実施（図1の⑥）

e) リスク対応の実施（図1の⑤）

リスク管理プロセスの評価（図1の⑦）

リスク管理プロセスを，図1に示す。“⑤リスク対応の実施”が“①技術及び管理のプロセス”の一部で

ある，と仮定されていることに注意すること。

以降の説明での丸数字は，図1での丸数字と同じである。

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

図1−リスク管理プロセスのモデル（参考情報）

ステークホルダーが参加する“①技術及び管理のプロセス”は，リスク管理プロセスが支援しなくては

ならない情報要求事項（すなわち，ステークホルダーが，情報に基づいて，リスクを含めた決定をするた

めに必要とする情報）を定義する。これらの情報要求事項は，“②リスク管理の計画及び実行”アクティビ

ティと“③プロジェクトリスク台帳の管理”アクティビティとの両方に引き渡される。“②リスク管理の計

画及び実行”アクティビティで，リスク管理が行われるであろう一般的な指針に関する方針，使用される

手順，適用される特定の技術，及びリスク計画に関連した他の問題が定義される。

“③プロジェクトリスク台帳の管理”アクティビティで，過去から現在までのリスク管理及びリスク状

態情報が得られる。プロジェクトリスク台帳は，すべての個別のリスク台帳（すなわち，個別のリスクに

関する過去から現在までのリスク情報）のすべてを含む。言い換えると，すべてのリスク状態を含む。

プロジェクトリスク台帳の情報は，“④リスク分析の実施”アクティビティを通して絶えず更新され，維

持される。そして，それはリスクを識別して，リスクの発生確率及び結果を決定して，リスク脅威量を決

定し，リスクしきい値を超えているリスクに対して，リスク対応を推奨するリスク活動要求を準備する。

推奨リスク対応は，他のリスク状況及びリスク対応状況とともに，レビューのために管理プロセスに送

られる（⑤）。管理プロセスでは，受容できないと判明したリスクに対して，どのようなリスク対応が実行

されるかを決定する。リスク対応計画が，対応を必要とするリスクのために作られる。これらの計画は，

情報の要求

⑥リスク監視の
実施

⑦リスク管理プロセ
スの評価

プロジェクトリスク台帳

改善活動

①技術と管理のプロ

セス

⑤リスク対応の実施

②リスク管理の

計画及び実行

③プロジェ

クトリスク

台帳の管理

④リスク分析の
実施

フィードバック

プロジェクトリスク台
帳及びリスク活動要求

管理の決定

①技術及び管

理のプロセス

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

他の管理計画及び他の進行中のアクティビティと協調が図られる。

すべてのリスクは，“⑥リスク監視の実施”アクティビティで追跡する必要がなくなるときまで，例えば，

リスクがなくなるまで，絶えず監視される。さらに，新しいリスク及びリスク因子が探し求められる。

リスク管理プロセスの定期的な評価は，その有効性を保証するために必要である。“⑦リスク管理プロセ

スの評価”アクティビティの間に，プロセスを改善するため，又はリスクを管理する組織若しくはプロジ

ェクトの能力を改善するために，使用者及びほかからのフィードバックを含めた情報が得られる。評価の

結果として定義された改善は，“②リスク管理の計画及び実行”アクティビティで実行される。

リスク管理プロセスは，製品のライフサイクルを通じて連続的に適用される。しかしながら，リスク管

理プロセスが一度始まると，リスク管理プロセスのアクティビティ及びタスクは，繰り返しながら，各々

のタスクと相互に作用しあう。例えば，“④リスク分析の実施”アクティビティでは，評価タスク自身の間

に得られたリスクについての知識が増加したために，リスク評価の実行中に数回，リスクが推定されるか

もしれない。リスク管理プロセスは，“ウォータフォール”型のプロセスではない。

5.1.1

リスク管理の計画及び実行

“②リスク管理の計画及び実行”アクティビティの目的は，リスク管理プロセスを確立することである。

リスク管理プロセスは，組織的なリスク管理プロセスがあるときは，それと調整されることが望ましい。

このアクティビティでは，だれがリスク管理を実行し，使用される特定のリスク管理プロセスを定義して，

プロセスを実行するために要求される資源を割り当てるかということを確立しなければならない。そして，

リスク及びリスク対応が，ステークホルダーの間でどのように話し合われ，調整されるかということを確

立しなければならない。

このアクティビティは，プロジェクトの初めに行われることが望ましく，情報要求が変わるたびに繰り

返されるのが望ましい。このアクティビティの間で作られた情報は，附属書Aに示されるようなリスク管

理計画の中で文書化されなければならない。

注記 IEEE Std 1058-1998（B24）は，ソフトウェアプロジェクト管理計画でリスク管理計画の文書化

を要求している。AS/NZ規格4360（B2）は，組織の中でリスク管理システムを確立し，実行

するための一般的な枠組みを提供している。

このアクティビティは，5.1.1.1〜5.1.1.5に示されたタスクから成り立っている。

5.1.1.1

リスク管理方針の確立

リスク管理が行われるときの指針を記述したリスク管理方針は，明示的に定義されなければならない。

この方針は，ステークホルダーによって必要とされるリスク関連情報の収集を支援しなければならない。

この方針には，次のことを議論に含むのが望ましい。

a) リスク管理が，どのように管理者及び職員によって実行され，管理され，支援されるか。

b) ステークホルダーによるリスク管理継続の約束が，どのように得られ，維持されるか。

c) リスク管理プロセスが，ステークホルダーの間で，どのように調整されるか。

d) リスク管理プロセスにおいて，職員の教育及び訓練が，どのように実行され，どんな経験が職員に必

要とされるか。

e) リスク情報，すなわち，プロジェクトリスク台帳が，ステークホルダーに，どのように及びどの程度

の頻度で，伝えられ，レビューされるか。

リスクに対応するための資源が，どのように用意されるか。

可能ならば，この方針は，既存の組織的なリスク管理方針と調整されるのが望ましい。上記のものを定

義する，文書化された組織的なリスク管理方針を参照してもよい。そして，プロジェクトのための詳細だ

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

けが文書化される必要がある。

5.1.1.2

リスク管理プロセスの確立

実行されるリスク管理プロセスの記述は，文書化され，広められなければならない。リスク管理プロセ

スを実行する手順の記述は，次のことを含むのが望ましい。

a) リスクの再解析及び監視の頻度

b) 要求されるリスク分析の型（定量的及び／又は定性的）

c) リスクの確率及び結果を表すために使用される尺度，並びにそれらの記述及び測定の不確かさ

d) 用いられるリスクしきい値の型

e) リスク状態を追跡し，監視するのに用いられる対策の型

リスク対応のために，どのようにリスクの優先順位を付けるか。

g) リスク管理プロセスにおいて，どのステークホルダーの見方を反映しているか。

h) 考慮されることが望ましいリスク因子及びリスクカテゴリ

このタスクの間に，リスク管理プロセス，特定の手順及び技法が，プロジェクト状況に合致するよう選

ばれるのが望ましい。

注記 IEC Guide 60300-3-9:1995（B7）は，一般に使用されるリスク分析技法の選択及び使用のための

指針を提供する。IEC 61508-7:2000（B16）は，ソフトウェア安全性に関連する対策及び技法に

関する有用な資料を提供する。

実行可能なときは，リスク管理プロセスは，既存の組織的なリスク管理プロセスと調整されるのが望ま

しい。リスク管理プロセスは，前述の一覧[a)〜h)]の内容を記述した組織的なリスク管理プロセスの文書を

参照してもよく，その場合には，プロジェクトのための詳細だけが文書化される必要がある。

5.1.1.3

責任の確立

リスク管理の実行に責任がある関係者と，彼らの役割及び責任は，明白に識別されなければならない。

関係者は，組織の中でリスク管理プロセスに対する責任を割り当てられなければならない。

5.1.1.4

資源の割当て

リスク管理の実行に責任がある関係者は，リスク管理プロセスを実行するために，適切な資源を提供さ

れなければならない。

5.1.1.5

リスク管理プロセス評価の確立

リスク管理プロセスを評価し，改善するプロセスの記述は，情報がどのように教訓として得られるかと

いうことに従い，提供されなければならない。以前にこのプロセスを使用した結果から得たすべての関連

する教訓も，次のプロセスの実行に取り入れられるのが望ましい。

5.1.2

プロジェクトリスク台帳の管理

“③プロジェクトリスク台帳の管理”アクティビティの目的は，リスクが関係するステークホルダーに

十分に，かつ，簡潔に伝達できるように，存在するリスク及びリスク対応について，現在及び過去の一貫

性のある一覧を作成することである。これには，リスク管理の状況，現在のリスク状態及びリスク経過を

含む。

プロジェクトリスク台帳は，ライフサイクルを通して維持されなければならない。

このアクティビティは，5.1.2.1〜5.1.2.4に挙げたタスクからなる。

5.1.2.1

リスク管理の背景の定義

リスク管理プロセスの背景は，定義され，文書化されなければならない。

リスク管理の背景の定義には，リスク活動要求が支援するステークホルダーの一つ以上の見解の記述，

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

及び管理すべき一つ以上のリスクカテゴリについての記述を含まなければならない。特に重要と思われる，

セキュリティ，安全性又はその他のソフトウェアリスクのカテゴリは，個別に扱ってもよい。

注記 IEEE Std 1228-1994（B26），JIS T 14971（B33），JIS T 5750規格類（B5〜B7）及びIEC 61508

規格類（B10〜B16）は，安全性に関連するリスクに言及するために，この規格と併用してもよ

い。

リスク管理の背景の定義には，（可能ならば，参照することで）次について技術的及び管理的記述をも含

まなければならない。

a) 目的（例えば，プロジェクトが成功とみなされるために満たさなければならないような，かぎ（鍵）

となる技術的，政治的又は経済的性能基準は何か。）

b) 前提条件（例えば，プロジェクトの制御の範囲外と考えられるものは何か。）

c) 制約条件（例えば，プロジェクトに課せられた制約は何か。）

リスク分析又はリスク対応に影響を与え得るその他の関連情報も含まれなければならない（例えば，そ

のプロジェクトのリスク関連情報を公表できるか。また，それを禁止する理由はあるか。）。

5.1.2.2

リスクしきい値の設定

リスクしきい値は，あるレベルでリスクが許容され得るような条件を定義するものであるが，文書化さ

れなければならない。

リスクしきい値は，測定されたリスク基準の最大レベルで，ステークホルダーによる明確なレビューな

しに許容可能なものである。リスクしきい値は，個々のリスク又はリスクの組合せについて規定しなけれ

ばならない。プロジェクト全体としてのリスクしきい値を規定するのが望ましい。リスクしきい値は，JIS

X 0134:1999の規定に従ったシステム完全性レベルから，システム及びソフトウェアのために導かれるのが

望ましい。リスクしきい値は，コスト，日程，技術及び関連する結果，又はリスク脅威度で規定されても

よい。

リスクがリスクしきい値を超えそうな兆候がある場合は，その兆候をリスク状態に定義し，文書化され

るのが望ましい。

注記 IEEE Std 1012-1998（B22）は，検証及び妥当性確認活動の計画における完全性レベルの利用に

ついて規定している。JIS X 0134:1999（B38）は，システム及びソフトウェア完全性レベルの

利用について規定している。IEC 61508-5:1998（B14）は，安全度水準を決定するための手法の

例を提供している。JIS X 0141:2004（B40）は，リスクを特徴付け，定量化するのを助けるの

に使用できる計測プロセスを規定している。

5.1.2.3

プロジェクトリスク台帳の確立及び維持

プロジェクトリスク台帳は確立し，維持されなければならない。プロジェクトリスク台帳は，総合的な

プロジェクトリスク情報，現在及び過去のリスク状態を順に含むような，個々のリスクのすべてについて

収集したものを含む。プロジェクトリスク台帳は，少なくとも次の項目から構成されなければならない。

a) リスク管理状況

b) 発生確率，結果及びリスクしきい値を含む，各リスク状態の時系列記録

c) ステークホルダーによって提供されたリスク基準に基づく各リスクの優先順位

d) リスク対応の進行状況に従ったリスクへのリスク活動要求

プロジェクトリスク台帳には，各リスクの詳細な記述，その原因，用いた見積尺度，状態を評価するた

めに用いたリスク関連測定値，緊急時対策計画及びリスク状態で得たその他のリスク関連情報を含むのが

望ましい。

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

プロジェクトリスク台帳は，個々のリスク状態が変化したときには更新しなければならない。例えば，

リスクの記述，リスク脅威量若しくはリスク対応，リスク管理の背景に発生する変化，又は新たなリスク

が識別された場合である。情報は，獲得，伝達及びアセスメントを容易にするために電子情報で保存する

のが望ましい。

5.1.2.4

リスク現状の伝達

プロジェクトリスク台帳又は関連するリスク台帳（例えば，個別のリスク，又は組み合わされたリスク）

は，必要に応じてステークホルダーに定期的に伝達されなければならない。リスク現状の情報は，すべて

のステークホルダーに可能な限り広く，利用可能とするのが望ましい。

5.1.3

リスク分析の実施

“④リスク分析の実施”アクティビティの目的は，次のとおりである。

a) 引き金事象，潜在危険，脅威又はリスクを作り出す状況を識別する。

b) 事象の発生確率，各リスクの結果及びリスク発生時期を算定する。

c) 各リスク又は定義されたリスクの組合せを適用可能なしきい値に対して評価し，リスクしきい値を超

えるリスクに対応するための代替案を作り出し，優先順位に基づいて対応することを勧告する。

リスク分析は，ライフサイクルを通して継続的に実施されなければならない。

“リスク分析の実施”アクティビティは，5.1.3.1〜5.1.3.3に挙げたタスクからなる。

5.1.3.1

リスク識別

リスクは，リスク管理の背景に含まれるカテゴリで識別されなければならない。例えば，前提条件の変

化に起因する追加リスクのような，リスク管理の背景における変化も，識別されなければならない。

リスクを識別するためには，多様な手法を利用するのが望ましい。これらの手法には，リスク質問表，

分類学，ブレインストーミング，シナリオ分析，過去からの学習，及びプロトタイピング（試行）又はそ

の他の知識獲得の手法を含んでもよい。繰返し可能な識別プロセスは，過去からの学習を獲得する助けと

して使用されてもよい。可能な場合には，リスクをもたらす，引き金事象，潜在危険，危険な兆候又は状

況を，将来のリスク対応の助けとするために識別するのが望ましい。識別されないリスクは，暗黙に受け

入れられる。

リスクカテゴリは，ステークホルダーとの効果的な意思疎通のために，首尾一貫して用いるのが望まし

い。分析，監視及び対応が容易なように，関連する複数のリスクは，結合してもよい。システム又はソフ

トウェアの異常，測定値の報告及びその他の指標は，リスクの出処として継続的に点検するのが望ましい。

注記 IEEE Std 1044-1993（B23）は，異常な状態を分類するのに有用な情報を提供している。IEEE Std

982.1-1988（B20）は，ソフトウェアの信頼性評価に関する有用な情報を提供している。JIS X

0141:2004（B40）は，リスクを識別し，特徴付けることに役立つような測定プロセスを提供し

ている。

5.1.3.2

リスク算定

識別された各リスクの発生確率及び結果は，算定されなければならない。

算定は，定量的又は定性的のいずれでもよい。ステークホルダーは，どのリスクを定性的な尺度を使用

して評価し，どのリスクを定量的な尺度を用いて評価するかを規定するのが望ましい。

リスクの確率及び結果に用いる尺度は，一貫して使用されなければならない。使用される尺度に固有の

記述上及び測定上の不確定性は，リスク管理計画に記述するのが望ましい。リスク算定における確かさの

レベルは，リスク状態に記録するのが望ましい。

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

5.1.3.3

リスク評価

各リスクは，リスクしきい値に対して評価されなければならない。リスクは，独立して評価し，組み合

わせて評価し，システムリスク及び事業リスクとの相互作用とともに評価するのが望ましい。個々のリス

クがリスクしきい値より小さくても，リスクの組合せが全体としてのプロジェクトをリスクについて容認

できなくならないことを確認するために，リスクは，プロジェクトリスクしきい値に対して評価されるの

が望ましい。リスクを評価するためには，決定木，シナリオ計画，ゲーム理論，確率分析及び線形計画法

のような，いろいろな技法を用いてもよい。

リスクは，優先順位を付けなければならず，その順位付けの基準は，ステークホルダーによって決定さ

れる。優先度は，リスクが問題となると予期されるときには，リスク脅威量，リスク関連測定法又はその

他の一貫した基準に基づいてもよい。

リスクを軽減又は除去するために，リスク対応の多様な代替案が考慮されるのが望ましい。リスクしき

い値を超える各リスクについては，リスクの除去，発生確率若しくは結果の厳しさの低減，又はリスク許

容について，推奨される対応戦略を規定し，附属書Bのようなリスク活動要求書に文書化しなければなら

ない。緊急時対策は，しきい値を超えたすべてのリスクに対して作成するのが望ましい。対応の代替案の

効果を示す指標も規定しなければならない。リスク，その推奨する対応，及びリスク対応効果の指標は，

ステークホルダーの承認，否認又は修正を得るために，伝えなければならない。

注記 IEEE Std 982.1-1988（B20）は，リスク関連測定法を規定するのに有用と思われる情報を提供し

ている。IEC 60300-3-9:1995（B7），IEC Std 60812:1985（B8）及びIEC Std 61025:1990（B9）

は，リスク評価を支援する有用な技法を提供している。JIS X 0141:2004（B40）は，リスクの

評価に役立つような計測プロセスを提供している。

5.1.4

リスク対応の実施

“⑤リスク対応の実施”アクティビティは，次のことを目的としている。

a) リスクがステークホルダーにとって許容できるかどうかを決定する。許容できない場合は，

b) リスクを許容可能なレベルに低減する行動を開始する。

リスク対応には，リスク脅威量を低減するための行動を選択し，計画し，監視し，制御することが含ま

れる。

ステークホルダーは，リスク対応のために，リスクしきい値を超えたすべてのリスクを評価しなければ

ならない。リスク対応は，必要に応じて継続的に実施されなければならない。

5.1.4.1

リスク対応の選択

ステークホルダーは，リスク活動要求書におけるリスク対応のための推奨代替案を提供されなければな

らない。リスク対応代替案がリスク活動要求書で推奨されたならば，そのリスクが受け入れられるかどう

かを決定するために，ステークホルダーによって評価されなければならない。ステークホルダーが，リス

クを受入れ可能にするために行動することが望ましいと決定した場合，リスク対応代替案は，実行されな

ければならず，必要な資源によって支援されなければならず，他のプロジェクトアクティビティと連携し

て監視されなければならない。

ステークホルダーは，リスクしきい値を超えた場合であっても，例えば，対応のコストが高すぎる，時

期が適切でない，又は対応のための資源が存在しない，といった場合にはリスクを許容してもよい。この

状況においては，そのリスクには高い優先順位があると考え，将来リスク対応行動が必要かどうかを決定

するために，継続的に監視しなければならない。また，ステークホルダーは，リスク活動要求書で提供さ

れるリスク対応を決定するためのより多くの情報を要求するか，又はほかの対応の取組みを助言するかも

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

しれない。ステークホルダーが，リスク活動要求書に存在しない対応代替案を助言した場合，リスク活動

要求は，助言された対応代替案を分析するための“リスク分析を実施する”アクティビティに戻さなけれ

ばならない。次いで，リスク活動要求書は，再評価のためにステークホルダーへ再提出されなければなら

ない。

5.1.4.2

リスク対応の計画及び実行

この細分箇条は，この規格がJIS X 0160:1996又はJIS X 0170:2004と併用して適用されるならば，5.1.4.2.1

を適用し，併用されないならば，5.1.4.2.2を適用する。

5.1.4.2.1

JIS X 0160:1996，及びJIS X 0170:2004を用いたリスク対応

この細分箇条は，JIS X 0160:1996又はJIS X 0170:2004と併用して適用するこの規格の利用者に適用す

る。

いったんリスク対応が選択されると，それはJIS X 0160:1996の7.1.3.3又はJIS X 0170:2004の5.4.4.3

に規定する実行及び管理アクティビティに基づき，同じ管理行動を受け入れなければならない。

5.1.4.2.2

JIS X 0160:1996，又はJIS X 0170:2004とは独立したリスク対応

この細分箇条は，JIS X 0160:1996又はJIS X 0170:2004とは独立して適用するこの規格の利用者に適用

する。

リスク対応代替案が受け入れられると，ステークホルダーは，附属書Cに記述されているような，対応

のための詳細計画を策定しなければならない。この計画を実行する方法，並びに，進ちょく（捗）及び成

功を提供し監視する資源が確立されなければならない。各々のリスク対応を成功させるために，当該組織

に責任を割り当てなければならない。

リスク対応計画は，既存のプロジェクト計画並びにその管理プロセス及びアクティビティに基づいて，

実行され統合されなければならない。

ステークホルダーは，リスクの対応に失敗した場合の緊急時対策行動を規定するのが望ましい。緊急時

対策行動は，許容できると思われるリスクに対しても必要になるかもしれない。

5.1.5

リスク監視の実施

“⑥リスク監視の実施”アクティビティは，次のことを目的とする。

a) 個々のリスク状態及びリスク管理の実施状況をレビューし，更新する。

b) リスク対応の有効性のアセスメントを行う。

c) 新たなリスク及びリスク因子を見付け出す。

5.1.5.1

リスク監視

プロジェクトリスク台帳に記録される測定項目を用いて，すべてのリスク状態の変化を，ライフサイク

ルを通して継続的に監視しなければならない。リスク管理実施状況の変化を監視し，プロジェクトリスク

台帳に文書化しなければならない。リスクは，ステークホルダーによって提供された基準（例えば，リス

ク脅威量，時期など）に基づいて，監視の優先順位を付けられなければならない。監視の優先順位は，優

先順位が現時点でも妥当であるかどうかを検証するために，定期的にレビューされるのが望ましい。高優

先順位のリスクは，頻繁に監視されるのが望ましい。状態が変化したリスクは，リスク評価を受けなけれ

ばならない。評価は，発見後速やかに行うのが望ましい。

5.1.5.2

リスク対応の監視

リスク対応の効果を評価するために，尺度が実装され監視されなければならない。効果のない対応の原

因は，速やかに識別され改訂されるのが望ましい。リスクが既に対応の効果によって不必要になったとき

を決定するための基準は，ステークホルダーによって設定されるのが望ましい。

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

注記 JIS X 0141（B40）は，リスク対応の衝撃の監視を助けるために使用することができる測定プロ

セスを提供している。

5.1.5.3

新しいリスクの探索

システムは，そのライフサイクルを通して，継続的に新しいリスク及び資源を監視しなければならない。

新しいリスク及び資源は，リスク分析の後ステークホルダーに通知されなければならない。

5.1.6

リスク管理プロセスの評価

“⑦リスク管理プロセスの評価”アクティビティは，次のことに関して，ステークホルダーに対してフ

ィードバックを行うことを目的とする。

a) リスク管理プロセスの品質

b) リスク管理手順，プロセス，又は方針を改善することが望ましい領域

c) 系統的リスクをよりよく低減したり排除したりするための，組織のリスク管理手順，プロセス又は方

針を変更する機会の識別

このアクティビティは，5.1.6.1〜5.1.6.3に述べたタスクからなる。

5.1.6.1

リスク管理情報の収集

識別されたリスク，そのリスク因子，その背景要因，その対応及び選択した対応の成功についての情報

は，リスク管理プロセスを改善し教訓を得る目的で，プロジェクトのライフサイクル全般で収集しなけれ

ばならない。収集した情報は，組織のリスク管理手順，プロセス及び方針を改善するために有用であろう。

収集した情報は，それの収集，通信及び評価を容易にするために，電子化してもよい。

5.1.6.2

リスク管理プロセスの評価及び改善

リスク管理プロセスは，その効果及び効率を定期的に見直さなければならない。プロジェクト又は組織

のリスク管理システム，及びプロセスを改善する機会は，どのようにリスク管理プロセスそれ自体によっ

て提示されたリスクを低減又は排除できるか，という考察を含めて識別するのが望ましい。適用できる場

合は，プロセスは改善するのが望ましく，組織のリスク管理システム及び方針並びにプロセスは（存在す

るならば）更新するのが望ましく，プロジェクトのリスク管理計画は，更新するのが望ましい。ステーク

ホルダーは，見直し期間を決定しなければならない。

5.1.6.3

教訓の作成

識別したリスク，これらの対応及び対応の成果に関する情報を，ステークホルダー及びその他の関係者

は，系統的なプロジェクト及び組織のリスクを識別する目的で，定期的に見直しをしなければならない。

個々のプロジェクトの教訓を，系統的なリスクの識別を助けるために，収集してもよい。ステークホルダ

ーは，見直し期間を決定しなければならない。

5.2

空箇条

この箇条は，JIS X 0160に合わせて意図的に空欄のままにしてある。

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

附属書A

（参考）

リスク管理計画

A.1 目的

リスク管理計画は，プロジェクト活動期間中にリスク管理活動がどのように実行され，支援されるかと

いうことを定義することを目的とする。リスク管理計画は，計画プロセスの主要な成果物であり，リスク

管理を実行するための仕組みとして役立つものである。リスク管理計画は，プロジェクト管理計画又は他

のプロジェクト文書にリスク管理情報又は進め方を含めることを要求しているJIS X 0160:1996の5.2.4.5

k)，IEEE/EIA 12207.1-1997の6.11.3 1)（B28）及びJIS X 0170:2004の5.4.6.4 a)の意図に合っているであろ

う。A.2に概要を示しているリスク管理計画は，IEEE Std 1058-1998（B24）の4.5.4の意図にも合ってい

るであろう。

A.2 リスク管理計画

リスク管理プロセスでは，次に概要を示している箇条を含むリスク管理計画をまとめるのが望ましい。

もし，箇条又は箇条の所要の段落に対応する情報がない場合，管理計画の箇条又は段落の先頭箇所に，省

略する理由とともに“この箇条は，この計画に適用しない”という文章を含めるのが望ましい。必要に応

じて，付加的な情報を加えてもよい。幾つかのリスク管理計画については，他の文書に書かれてもよい。

もし，そうであるならば，それらの文書への参照情報を管理計画の本文に書くのが望ましい。

リスク管理計画の概要を，次に示す。

1 概要

1.1 発行日及び版

1.2 発行元組織

1.3 承認権限者

1.4 改定

2 適用範囲

（プロジェクトにおけるリスクの境界及び限界を定義する。）

3 参照文書

4 用語集

5 リスク管理の概要

（対象プロジェクト又は組織の状況に対するリスク管理の仕様を記述する。）

6 リスク管理の方針

（リスク管理に当たって適用される指針について記述する。）

7 リスク管理プロセスの概要

8 リスク管理の責任

（リスク管理を実施するときの組織の責任を定義する。）

9 リスク管理の組織

（組織単位内でリスク管理の責任をもつ，役割又は組織を記述する。）

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

10 リスク管理の導入教育及び教育訓練

11 リスク管理のコスト及びスケジュール

12 リスク管理プロセスの記述

（当該プロジェクト又は当該の状況で使用されている組織的リスク管理プロセスがあるならば，それを参

照する。そのプロセスの適用が適切であるならば，適用されたことを記述する。リスク管理プロセスを実

行する手順を記述する。組織的なプロセスが存在していなければ，そのプロジェクト又はその状況で使用

されるリスク管理プロセス及び手順を記述する。）

12.1 リスク管理の概要

12.2 リスク分析

12.3 リスク監視

12.4 リスク対応

（リスクがどのように扱われるのかを記述する。逸脱事項又は問題事項を扱うための標準管理プロセスが

存在している場合は，このプロセスを参考にする。特別な環境のために，リスクが個別のリスク対応活動

を必要とするならば，該当する活動を記述する。）

13 リスク管理プロセスの評価

（プロジェクト又は組織が，プロジェクト及び／又は組織のリスク管理プロセスを改善するためにどのよ

うにして測定情報を収集し，利用するのかということを記述する。）

13.1 リスク情報の獲得

13.2 リスク管理プロセスの評価

13.3 教訓の作成

14 リスクコミュニケーション

（リスク管理情報が，ステークホルダーと関係者（例えば，必ずしも組織に必要としているわけではない

が，プロジェクト若しくは製品の成功又は性能に関心がある人）との間でどのように調整され，連絡され

るかということを記述する。）

14.1 プロセスの文書化及び報告

14.2 ステークホルダーとのリスク管理に関する調整

14.3 関係者とのリスク管理に関する調整

15 リスク管理計画変更手順及び履歴

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

附属書B

（参考）

リスク活動要求

B.1

目的

リスク活動要求は，どのリスク情報が獲得され，ステークホルダーに連絡されるかということについて，

仕組みを規定することを目的とする。リスク管理プロセスは，リスクしきい（閾）値を超えるリスクに対

し，リスク活動要求の生成を要求する。

B.2

リスク活動要求

リスク管理プロセスでは，次に概要を示している情報を含むリスク活動要求をまとめることが望ましい。

もし，箇条又は要求された箇条内の段落に適切な情報がない場合は，活動要求の箇条又は項の表題の下に，

削除する適切な理由とともに“この箇条は，この計画に適用しない”というような文章を含めることが望

ましい。必要に応じて，付加的な箇条が加えられるかもしれない。リスク活動要求の幾つかは，他のドキ

ュメントに現れるかもしれない。もし，そうであるならば，それらのドキュメントとの関連が活動要求の

本文に組み込まれるのが望ましい。

リスク活動要求の概要を，次に示す。

1 開始日

2 適用範囲

3 主題

4 要求元

5 リスク管理プロセスの概要

（この箇条は提示された後，変更が生じなければ，一連の活動要求で，一度，参照されるかもしれない。）

5.1 プロセス計画範囲

5.2 ステークホルダーの展望

5.3 リスクカテゴリ

5.4 リスクしきい（閾）値

5.5 プロジェクトの目的

5.6 プロジェクトの仮定

5.7 プロジェクトの制約

6 リスク

（この箇条はユーザの選択によって，一つのリスク又は複数のリスクを含むかもしれない。上記のすべて

の情報がすべてのリスクセットに対応しているところでは，一つの活動要求で十分である。情報が変化す

るところでは，それぞれの要求は，リスク又は共通の情報を共有しているリスクを含むかもしれない。）

注記 “リスクセット”とは，複数のリスクを束ねたものをいう。

6.1 リスクの記述

6.2 リスクの発生確率

6.3 リスクの結果

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

附属書C
（参考）

リスク対応計画

C.1 目的

リスク対応計画は，許容できないとみなされるリスクを，どのように扱うかということを定義すること

を目的とする。リスク対応計画は，リスク活動要求内で定義され，選択され，推奨された代替案を実行す

るための仕組みとして役立つものである。

C.2 リスク対応計画

推奨されたリスク活動要求の中で記述された対応代替案が選択された後，次に概略を示した箇条を含ん

でいるリスク対応計画が展開されることが望ましい。対応計画に対する幾つかの情報が，リスク活動要求

の中に現れるかもしれない。もしそうであるならば，リスク活動計画に対する関係が，適切な箇条の対応

計画の本文に組み込まれることが望ましい。もし，箇条に適切な情報がない場合は，対応計画は，箇条又

は段落の表題の下に，省略するための適切な理由とともに，“この箇条は，この計画に適用しない”という

表現を含むことが望ましい。もし必要ならば，付加的な情報が計画に加えられるかもしれない。

個々のリスクに対し，リスク対応計画展開の必要性を軽減するために，適切な特徴を共有しているリス

クに対し，リスク対応計画が定義されるかもしれない。

リスク対応計画の概要を，次に示す。

1 概要

1.1 発行日及び版

1.2 発行権限者

1.3 承認権限者

1.4 改定

2 計画範囲

3 参考文献

4 用語集

5 計画されたリスク対応活動及びタスク

（許容できないとみなされたリスク又はリスクの組合せに対し，選択されたリスク対応の詳細を記述する。

対応を実行するときに問題点があればそれを記述する。）

6 対応のスケジュール

7 対応のための資源及びその割付け

8 責任と権限

（対応が実行されることを確かめる責任がだれにあるのか，及びその権限を記述する。）

9 対応制御の計測方法

（リスク対応の効果を評価するための計測方法を定義する。）

10 対応のコスト

11 関係する組織間のインタフェース

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

附属書D
（参考）

ソフトウェアライフサイクルにおけるリスク管理の適用

“リスク”及び“リスク管理”は，JIS X 0160関連規格の全体にわたって参照される。それらの参照は，

便宜のためにここに再提示してある。

D.1 JIS X 0160におけるリスク管理の適用

D.1.1 一般

− JIS X 0160追補1:2007の附属書Fは，リスク管理に関する情報を提供する。この規格の適用は，その

附属書の中で示された情報と一致している。

− JIS X 0160追補1:2007の附属書Hは，リスク管理に関する情報を提供する。この規格の適用は，その

附属書の中で示された情報と一致している。

D.1.2 取得プロセス

− JIS X 0160:1996の5.1.1.6を参照。

− JIS X 0160:1996の5.1.1.8を参照。

− JIS X 0160追補1:2007のH.1.2を参照。

D.1.3 供給プロセス

− JIS X 0160:1996の5.2.4.4を参照。

− JIS X 0160:1996の5.2.4.5を参照。

D.1.4 運用プロセス

− JIS X 0160追補1:2007のF.1.4.1を参照。

D.1.5 検証プロセス

− JIS X 0160:1996の6.4.1.1を参照。

D.1.6 共同レビュープロセス

− JIS X 0160:1996の6.6.2.1を参照。

− JIS X 0160:1996の7.1.2.1を参照。

D.1.7 管理プロセス

− JIS X 0160追補1:2007のF.3.1を参照。

− JIS X 0160追補1:2007のF.3.1.5を参照。

D.1.8 修整プロセス

− JIS X 0160:1996の附属書Aを参照。

D.1.9 支援ライフサイクルプロセス

− JIS X 0160追補1:2007のG.1.1，6.9.2.2を参照。

D.1.10 資金要求事項

− JIS X 0160追補1:2007のH.1.6を参照。

D.1.11 プロジェクト要求事項

− JIS X 0160追補1:2007のH.1.7を参照。

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

D.1.12 契約合意

− JIS X 0160追補1:2007のH.1.11を参照。

D.1.13 供給者関係

− JIS X 0160追補1:2007のH.1.15を参照。

− JIS X 0160追補1:2007のH.2.1.3，5.1.8.3を参照。

D.1.14 利用者関係

− JIS X 0160追補1:2007のH.1.16を参照。

− JIS X 0160追補1:2007のH.2.1.4，5.1.9.2を参照。

D.2 IEEE/EIA 12207規格群におけるリスク管理の適用

D.2.1 一般

IEEE/EIA 12207.2-1997の附属書Lは，リスク管理に関する情報を提供する。この標準の適用は，その

附属書の中で示された情報と一致している。

− IEEE/EIA 12207.1-1997，4.2.4のガイダンスを参照。

− IEEE/EIA 12207.1の5.2.2を参照。

D.2.2 取得プロセス

− IEEE/EIA 12207.0-1996の5.1.1.6を参照。

− IEEE/EIA 12207.0-1996の5.1.1.8を参照。

− IEEE/EIA 12207.2-1997の5.1.1.8，ガイダンスを参照。

− IEEE/EIA 12207.1-1997の6.1.3を参照。

− IEEE/EIA 12207.2-1997の5.1.3.5，ガイダンスを参照。

− IEEE/EIA 12207.2-1997の5.1.4.2，ガイダンスを参照。

D.2.3 供給プロセス

− IEEE/EIA 12207.0-1996の5.2.4.4を参照。

− IEEE/EIA 12207.0-1996の5.2.4.5を参照。

− IEEE/EIA 12207.2-1997の5.2.4.5，ガイダンスを参照。

− IEEE/EIA 12207.1-1997の6.11.3を参照。

− IEEE/EIA 12207.2-1997の5.2.5.3，ガイダンスを参照。

D.2.4 開発プロセス

− IEEE/EIA 12207.2-1997の5.3.1.4，ガイダンスを参照。

− IEEE/EIA 12207.2-1997の図I.2を参照。

− IEEE/EIA 12207.1-1997の6.26.3を参照。

D.2.5 運用プロセス

− IEEE/EIA 12207.0-1996のG.11を参照。

D.2.6 検証プロセス

− IEEE/EIA 12207.0-1996の6.4.1.1を参照。

D.2.7 共同レビュープロセス

− IEEE/EIA 12207.2-1997の6.6.1.3，ガイダンスを参照。

− IEEE/EIA 12207.0-1996の6.6.2.1を参照。

− IEEE/EIA 12207.2-1997の6.6.2.1，ガイダンスを参照。

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

附属書E

（参考）

注釈付き参考文献

（B1） ANSI/EIA 632，Processes for Engineering a System

この規格は，エンジニアリングシステムのプロセス要件を提供している。この規格には，品質，費用，

日程又は技術的特性の変更をもたらすかもしれない不確かな事象の影響を低減するためのリスク管理を含

む。

（B2） AS/NZS 4360:1999，Australian / New Zealand Standard for Risk Management

この規格は，組織にリスク管理システムを構築し，実行するための一般的な枠組みを提供している。こ

の規格は，組織における安全性，品質及び事業実績を向上させることを目的としている。

（B3） BS-6079-3:2000，Project Management. Guide to the Management of Business Related Project Risk. BSI，

2000

この規格は，プロジェクトを理解するときに出くわす（遭遇する）ビジネスに関連するリスクの識別及

び制御の手引を提供している。この規格は，工業部門，商業部門及び公的，又はボランタリ部門で運用す

るプロジェクト組織という広い範囲に適用可能である。この規格は，プロジェクトスポンサ及びプロジェ

クトマネージャのために書かれている。彼らの一方又は両方は，様々な種類及び大きさの一つ以上のプロ

ジェクトに対する更に高いレベルの権限に，ほとんどいつも責任を負っている。業務（アプリケーション）

が特定の組織の環境及びニーズに釣りあっている（比例している）ことを意味している。

（B4） CAN/CSA-850-97，Risk Management Guideline for Decision-Makers. CSA，1997

この指針は，あらゆる種類のリスク課題を効率的に管理する意志決定者を支援することを意図している

（目指している）。リスク課題には，健康，財産，環境若しくは他の何か価値のあるものに対する損害，又

は被害を含む。この指針は，意思決定に必要な情報を取得し，分析し，評価し，伝達するためのプロセス

を記述している。この指針は，リスク管理決定プロセスの主要構成要素，及びそれらの相互の関係につい

ての記述を段階的なプロセスで提供している。

（B5） JIS C 5750-1:2000 ディペンダビリティ管理−第1部：ディペンダビリティプログラム管理

この規格は，顧客（及び／又は供給者）によって提供される保守支援の性能と同様に，製品の信頼性

（reliability）性能及び保守性性能を取り扱う信頼性（dependability）保証についての情報を提供している。

注記対応国際規格：IEC 60300-1:1995，Dependability Management, Part 1: Dependability

programme management（IDT）

（B6） JIS C 5750-2:2000 ディペンダビリティ管理−第2部：ディペンダビリティプログラム要素及びタ

スク

この規格は，信頼性保証を実施するとき，分析，予測又はデザインレビューの一環として製品リスクを

理解するうえで有用な様々な技術を提供している。

注記対応国際規格：IEC 60300-2:1995，Dependability Management, Part 2: Dependability

programme elements and tasks（MOD）

（B7） IEC 60300-3-9:1995，Dependability Management, Part 3: Application Guide−Section 9: Risk analysis of

technological systems

この手引は，共通的に使用されているリスク分析技術の選択及び利用に対する指針を提供している。手

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

引は，一般的なリスク分析を実施するときに最も適用可能な技術がどれであるかを決定する場合に役立つ

かもしれない。

（B8） IEC 60812:1985，Analysis techniques for system reliability−Procedures for failure mode and effects

analysis（FEMA）

この規格は，故障モード影響解析（FMEA）及び故障モード影響・致命度解析（FMECA）をどのように

実行するかの手引を提供している。この資料は，安全性又は他の致命的リスク分析において重要である。

（B9） IEC 61025:1990，Fault Tree Analysis（FTA）

この規格は，故障木分析（FTA）をどのように実行するかの掘り下げた手引を提供している。この資料

は，安全性又は他の致命的リスク分析において重要である。

（B10） IEC 61508-1:1998，Functional safety of electrical/electronic/programmable electronic safety-related

systems−Part 1: General requirements

この規格は，安全性機能を実行するために使用される電気的及び／又は電子的及び／又はプログラマブ

ル電子構成要素（E/E/PESʼs）からなるシステムに対するすべての安全性ライフサイクルアクティビティへ

の包括的な（一般的な）取組み方を提供している。

（B11） IEC 61508-2:2000，Functional safety of electrical/electronic/programmable electronic safety-related

systems−Part 2: Requirements for electrical/electronic/programmable electronic safety-related systems

この規格は，IEC 61508-3に仕様化されているソフトウェアを利用した装置を除外して，IEC 61508-1に

従って開発された情報を絞り込む方法を仕様化している。

（B12） IEC 61508-3:1998，Functional safety of electrical/electronic/programmable electronic safety-related

systems−Part 3: Software Requirements

この規格は，安全性に関係するシステムの一環をなすソフトウェア，又はIEC 61508-1及びIEC 61508-2

の適用範囲内で安全性に関係するシステムを開発するときに使用されるソフトウェアに適用する。この規

格は，製品に関係するソフトウェアリスクを考察する場合に役立つ資料を提供している。

（B13） IEC 61508-4:1998，Functional safety of electrical/electronic/programmable electronic safety-related

systems−Part 4: Definitions and abbreviations

この規格は，IEC 61508において使用される用語の定義を提示している。

（B14） IEC 61508-5:1998，Functional safety of electrical/electronic/programmable electronic safety-related

systems−Part 5: Examples of methods for the determination of safety integrity levels

この規格は，安全性のインテグリティレベルを明確にすることを助けるための役に立つ事例を提供して

いる。インテグリティレベルの明確化は，リスク受容性又はリスク分析におけるしきい値レベルの決定を

手助けしている。

（B15） IEC 61508-6:2000，Functional safety of electrical/electronic/programmable electronic safety-related

systems−Part 6: Guidelines on the application of IEC 61508-2 and IEC 61508-3

この規格は，IEC 61508-2及びIEC 61508-3を使用するための手引を提示している。

（B16） IEC 61508-7:2000，Functional safety of electrical/electronic/programmable electronic safety-related

systems−Part 7: Overview of techniques and measures

この規格は，IEC 61508-2及びIEC 61508-3の実装に関連する，様々な安全技術及び測定法についての概

観を含んでいる。

（B17） IEC 61713:2000，Software dependability through the software life-cycle processes−Application guide

この規格は，信頼できるソフトウェア（例えば，要件に従って確実に実行するソフトウェア）を実現す

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

ることを支援するソフトウェアライフサイクルプロセス（SLCP）アクティビティを特定している。

（B18） IEC 62198:2001，Project risk management−Application guidelines

この規格は，システマチックで一貫性のある方法でリスクを管理するプロセスを提供している。プロジ

ェクトマネージャ，リスクマネージャ及び事業マネージャを含め，意思決定者を対象としている。

（B19） IEEE 100，The Authoritative Dictionary of the IEEE Standards Terms, Seventh Edition

（B20） IEEE Std 982.1-1988，IEEE Standard Dictionary of Measures to Produce Reliable Software

（B21） IEEE Std 982.2-1988，IEEE Guide for the Use of IEEE Standard Dictionary of Measures to Produce

Reliable Software

IEEE Std 982.1及びIEEE Std 982.2で規定された測定法は，リスク管理に適用できる。

（B22） IEEE Std 1012-1998，IEEE Standard for Software Verification and Validation Plans

この規格は，適切な検証アクティビティ及び妥当性確認アクティビティを決定するためのインテグリテ

ィレベルに使用する。基盤リスクモデルにおいて，これらのインテグリティレベルを決定することが妥当

である。

（B23） IEEE Std 1044-1993，IEEE Standard Classification for Software Anomalies

リスクについて考慮することは，例外的なものを分類するのに役に立つかもしれない。

（B24） IEEE Std 1058-1998，IEEE Standard for Software Project Management Plans-Content Map to IEEE/EIA

12207.1

この規格は，プロジェクトリスク要因を特定し，分析し，優先順位付けを行うためにリスク管理計画の

仕様書を要求している。同様に，緊急時対策計画，リスク監視及びリスク状態の修正のための手順を要求

している。

（B25） IEEE Std 1220-1998，IEEE Standard for the Application and Management of the Systems Engineering

Process

この規格は，システム技術プロセスを管理するためのアクティビティを提供している。リスク管理要求

事項は，始めから終わりまで完全なものとされている。

（B26） IEEE Std 1228-1994，IEEE Standard for Software Safety Plans

この規格は，安全性要件をもったシステムの一部であるソフトウェアの管理において役立つ資料を含ん

でいる。

（B27） IEEE Std 1490:2003，IEEE Guide Adoption of PMI Standard−A Guide to the Project Management Body

of Knowledge 2004

この規格の目的は，一般に受け入れられているPMBOK（プロジェクト管理の知識体系）の部分集合を

特定し，記載している。一般に受け入れられているということは，記載された知識及び実践がほとんど常

に大部分のプロジェクトに適用できるということ，及びこれらの価値及び有益さについて普遍的な合意が

あることを意味している。知識及び実践が，適切かどうかの判断せずにすべてのプロジェクトに一様に適

用するのが望ましいということを意味していない。PMBOKにリスク管理の箇条がある。

（B28） IEEE/EIA 12207.1-1997，IEEE/EIA Guide-Industry Implementation of International Standard ISO/IEC

12207:1995，Standard for Information Technology-Software Life Cycle Processes-Life Cycle Data

この規格は，IEEE/EIA 12207.0-1996のプロセスによって作り出されたデータを記録するための情報事項

を示している。

（B29） IEEE/EIA 12207.2-1997，IEEE/EIA Guide-Industry Implementation of International Standard ISO/IEC

12207:1995，Standard for Information Technology-Software Life Cycle Processes-Implementation Considerations

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

この規格は，IEEE/EIA 12207.0-1996の補助的な手引を提供している。

（B30） ISO 3534-1:1993，Statistics−Vocabulary and symbols−Part 1: Probability and general statistical terms

この規格は，確率及び一般統計学の用語を定義している。

（B31） ISO 9000:2000，Quality Management Systems−Fundamentals and Vocabulary

この規格は，品質管理システム規格のJIS Q 9000ファミリーで使用されている全般的な概念及び用語を

提供している。

（B32） JIS Q 10006:2004 品質マネジメントシステム−プロジェクトにおける品質マネジメントの指針

この規格は，プロジェクトにおいて品質管理の適用についての手引を提供している。“プロジェクト管理”

そのものを説明しているのではなく，プロジェクト管理プロセスにおける品質についての手引を説明して

いる。

注記対応国際規格：ISO 10006:2003，Quality management systems−Guidelines for quality

management in projects（IDT）

（B33） JIS T 14971:2003 医療機器−リスクマネジメントの医療機器への適用

この規格は，安全性要件をもつ医療機器システムに対するリスク管理の資料を含んでいる。

注記対応国際規格：ISO 14971:2000，Medical devices−Application of risk management to

medical devices（IDT）

（B34） JIS Z 8051:2004 安全側面−規格への導入指針

この規格は，規格の中に安全性の見地を含むことに対する指針を規格作成者に提供している。人，資産

若しくは環境，又はこれら（例えば，人だけ，人及び資産，人，資産及び環境）の一つ以上の組合せに関

係する安全性の見地に適用できる。

注記対応国際規格：ISO/IEC Guide 51:1999，Safety aspects−Guidelines for their inclusion in

standards（IDT）

（B35） ISO/IEC Guide 73:2002，Guide on Risk management−Vocabulary−Guidelines for use in standards

この規格で使用する専門用語は，ISOガイドに記載された用語に一致している。

注記対応標準報告書：TR Q 0008:2003，リスクマネジメント−用語−規格において使用するため

の指針（IDT）

（B36） ISO/IEC TR 19760:2004，Systems Engineering−A Guide for the Application of ISO/IEC 15288 System

Life Cycle Processes

この標準報告書は，JIS X 0170のリスク管理プロセスの実装に対して，表C.12リスク管理プロセスに手

引を提供している。さらに，プロセスに関連してリスク管理の使用についての幾つかの参考がある。

（B37） JIS X 0160:1996 ソフトウェアライフサイクルプロセス，JIS X 0160:1996/追補1:2007 ソフトウ

ェアライフサイクルプロセス−追補1

1996年版のこの規格は，ソフトウェア製品及びサービスのライフサイクルの17プロセスに対してアク

ティビティ及びタスクを規定した。この追補は，より多くのプロセスに対して目的及び成果についての文

を追加している。

注記対応国際規格：ISO/IEC 12207: 1995，Information technology−Software life cycle

processes, Amendment 1:2002及びAmendment 2:2004 (IDT)

（B38） JIS X 0134:1999 システム及びソフトウェアに課せられたリスク抑制の完全性水準

この規格は，インテグリティレベルに関する概念を定義している。すなわち，受忍限度内でシステムリ

スクを維持するために必要な事項の属性値の範囲の表示を定義している。この規格は，インテグリティレ

X 0162：2008 (ISO/IEC 16085：2006)

2019年7月1日の法改正により名称が変わりました。まえがきを除き，本規格中の「日本工業規格」を「日本産業規格」に読み替えてください。

ベル及びソフトウェアインテグリティ要件を決定するためのプロセスもまた定義しており，各プロセスに

要件を配置している。この規格の資料は，リスク分析におけるリスク受容性又はしきい値を定義すること

を支援できる。

注記対応国際規格：ISO/IEC 15026:1998，Information technology−System and software

integrity levels（IDT）

（B39） JIS X 0170:2004 システムライフサイクルプロセス

この規格は，品質，費用，日程又は技術的特性の変更をもたらすかもしれない不確かな事象の影響を低

減するためのリスク管理プロセスを指示している。

注記対応国際規格：ISO/IEC 15288:2002，Systems engineering−System life cycle processes

（IDT）

（B40） JIS X 0141:2004 ソフトウェア測定プロセス

この規格は，すべてのエンジニアリング規則及び管理規則に適用できる測定プロセスを定義している。

JIS X 0141に定義された測定プロセスは，リスクの特性化及び定量化を支援するため，ISO/IEC 16085に

定義されたリスク管理アクティビティ及びタスクとともに使用している。

注記対応国際規格：ISO/IEC 15939:2002，Software engineering−Software measurement

process（IDT）

（B41） JIS Q 2001:2001 リスクマネジメントシステム構築のための指針

このJISは，リスク管理システムの構築についての原則及び要素を提供している。これらの原則及び要

素は，どのような種類の組織にも，どのような種類のリスクにも適用できる。この規格は，認証基準とし

ての使用は考えていない。