プライバシーマーク 11-4 規程 c) 個人情報に関するリスクの認識、分析及び対策の手順に関する規程

把握した個人情報に関するリスクを認識し、分析し、対策を立てる手順を規格では要求しています。

具体的には
リスクの認識、分析及び対策を確実に実施できる手順を明確に決める。

• 個人情報のリスクをライフサイクル毎に洗い出す。
• リスクの分析をする。
• 分析に基づき対策を立てる。
• 残存リスクを把握する。

業務の流れを明らかにし、取り扱いの局面でのリスクを具体的に認識する事。
対策や残存リスクを分析表等の帳票に反映させ、運用している事。
リスクと対策に関連性がある事。
適正な扱いからの分析対策を行う事。
コンプライアンス違反もリスクとして認識する事。
リスク対策について代表者の承認を得る手順を決める。
対策を規定化（ルール化）している事。
具体的な時期を決めて、定期又は随時の見直しを行う手順を明確にしている事。
決めた手順に従って実施ている事。

これらの事を規程に盛り込みます。

リスクの洗い出し等の具体的な手法については、

• プライバシーマーク　08-1　個人情報のリスクの認識　分析及び対策　リスクの認識
• プライバシーマーク　08-2　個人情報のリスクの認識　分析及び対策　リスク対策
• プライバシーマーク　08-3　取り得る最良の措置とは
• プライバシーマーク　08-4　リスクの変動に対する定期的な見直しを行うために明文化する。
• プライバシーマーク　08-5　残存リスクの把握と管理
• プライバシーマーク　08-6　規程への関連付けとリスク対策の周知

こちらで述べておりますので参考にしてください。