要約

  • RIPE NCCの新しい企業リスク登録簿は、組織全体の高影響リスクをトップダウンで把握する。
  • 理事会は一部対策の予算依存に言及したが、草案議事録はリスク名、責任者、金額、期限、指標を示していない。

分析

9月14〜15日のRIPE NCC理事会で、新しい企業リスク登録簿が初めて公に説明された。情報セキュリティ責任者のEleonora Petridouは、RIPE NCC全体で重要なリスクを捉えるものだと述べた。草案議事録によれば、リスクは従来のボトムアップ型とは異なり、組織全体を見渡すトップダウン分析から導かれた。変わったのは全体像を組み立てる起点であり、各チームのリスク管理が終わったという意味ではない。

議論は対処へ移った。Petridouは組織レベルの管理と現場の対策を説明し、Hans Petter Holen事務局長は既存の計画を紹介した。理事からは一部対策が適切な予算水準に左右されるとの指摘があり、Holenも支出と成果を確認すべきだと述べた。記録が示すのは予算依存で、資金不足ではない。対象リスク、金額、担当、期限、進捗指標は公表されていない。同じ報告は政府・規制当局との対話を増やす必要にも触れた。2025年の確定議事録はチーム単位の年次レビューを記録しており、新しい全社的視点が既存プロセスを廃止したとは言えない。

続く9月23日の理事会は、2027年活動計画・予算案の公表を承認した。議事録には、収入見込み4,250万ユーロ、費用4,420万ユーロ、予算上の全体赤字110万ユーロが記されている。IT基盤投資の判断幅は500万〜1,000万ユーロで、500万ユーロの案ではレジリエンスが低くなるという説明もあった。議事録はこれらの金額や投資を、リスク登録簿の特定項目に結び付けていない。したがって予算の背景情報ではあるが、特定の対策が資金を得た、または得られなかった証拠ではない。

出典