J.3 計画

リスクを「特定・分析・評価」する手順を決めて実施し、少なくとも年1回と必要に応じて見直します。判断の基準には、本人の権利利益の侵害、指針や法令の事項、漏えい・改ざんなどを入れ、誰がやっても同じように判断できるようにします。事業ごとに取り扱いの流れを見て、対策が足りない場面のリスクを洗い出し、責任者（リスク所有者）を決めます。手順は内部規程に文書化します。
たとえば、「紙の名簿を持ち出して紛失する」「メールを誤送信する」「ノートパソコンを盗まれる」など、場面ごとに危険を考えます。それぞれに「起きやすさ」と「起きたときの影響」の点数をつけて、優先順位を決める方法が、よく使われています。

出典：JIPDEC「プライバシーマークにおける個人情報保護マネジメントシステム構築・運用指針【JIS Q 15001:2023準拠 v1.0】」（PDF）のJ.3.1.3を、わかりやすく言い換えて紹介しています。正確な内容は出典でご確認ください。