リスクマネジメント

1. リスクとは何か？

そもそも、リスクとはどういうことを意味するのでしょうか。リスクの意味をひもとくと、「将来に対する不確かさと、そのことが及ぼす影響のこと」という記述が一般的となっています。ただ日本では、リスクという言葉はマイナスのイメージとして捉えられ、「危険性」という意味に解釈されることが多いようです。

しかし海外では、リスクは必ずしもマイナスのイメージで語られていません。例えば、アメリカの経済学者フランク・ナイトは、「リスクとは、不確定なことについて確率的に計測できるもと」と定義しています。つまり、リスクとは不確定な要素ではあるけれど、事前に測定できるものなのです。事前に測定できる「リスク」と、事前に測定できない「不確実なこと」を明確に分けて対応することが重要です。ところが日本では、この部分が曖昧に扱われているため、リスクをマイナスなもの（事前に測定できない不確実なこと）として、ネガティブに捉える傾向があるのです。

ポイントは、リスクは「事前に測定できる好ましくないこと」を意味するものと捉えた上で、マイナスとなる事態を引き起こさないために、前もってどのような対策を講じていくかという点にあります。そこで、リスクマネジメントの考え方が重要となるのです。

2. リスクマネジメントの定義・求める内容

リスクマネジメントとは、「事前に測定できる好ましくないリスク」を想定し、いかに実効性のある対応をしていくか、そのプロセス全体を指します。近年は経営を取り巻く環境の変化が激しく、リスクとなる要因が多様化かつ複雑化しています。その結果、リスクが想定される特定の部署が単独で対応することが困難になっています。そこで、リスクマネジメントの実効性を高めるため、リスクに対して全社的な視点に立ち、最適な方法で管理を行い、リスクを回避していくこと。また、適切な対応を実践していくことによって企業価値を高めていくリスクマネジメントのあり方が、今まさに求められています。

ビジネス社会では、事業を継続して行うことが企業としての大前提です。事業継続は、企業の社会的責任と言えるでしょう。この大前提を脅かすものが、リスクなのです。実際、企業はかつてないほど多くのリスクに取り囲まれています。製品の事故、顧客からの苦情、偽装問題、情報漏えい、コンプライアンス違反、自然災害など、リスクとなる要因を挙げるときりがありません。また、原材料や石油価格の高騰、環境問題など新たな社会規制、事業のグローバル化やM&Aなど、経営を取り巻く環境は不確実性が非常に高くなっており（※）、企業が直面するリスクは一段と巨大化、かつ多様化しています。

事業内容や従業員規模にかかわらず、リスクマネジメントが後手に回った結果、消滅していった企業は少なくありません。また、リスクマネジメントを怠った経営者が、巨額の賠償を命じられるケースも増えています。経営者の「過去からの業界慣行に従った」「今までと同じ判断を下した」といった言い訳は、もはや通用しません。厳しい判決が下されるのも、経営者には会社法の下、企業が直面するリスクに対する管理や内部統制の構築を行う義務があるからです。当然、これらを怠った場合の代償は大きく、投資家や顧客、取引先、金融機関、地域社会、従業員など、影響が及ぶ範囲は多岐に渡ります。つまり現代社会では、リスクをしっかりと管理できない会社は、生き残ることが難しいと言えます。このように企業におけるリスクマネジメントは、避けることのできない重要な経営課題であることが分かります。

【参考】

※昨今では、「Volatility（変動）、Uncertainty（不確実）、Complexity（複雑）、Ambiguity（曖昧）」の頭文字をつなげて「VUCA（ブーカ）」と呼ばれます。「VUCA」についてはこちら

3. リスクマネジメント導入のフレームワーク

では、どのようにリスクマネジメントを進めていけばいいのでしょうか。そのフレームワークと全体像、実施に当たってのポイントを紹介します。

リスクと目標の設定

まず、考えるべきことは、自社が何をリスク（管理する対象）として捉え、どのように管理していくかを決めること。これがリスクマネジメントを実施する時の起点となります。ポイントは、以下の4点です。

【参考】

業務上のリスクについて社会保険労務士などの専門家に意見を仰ぎたい場合は、『日本の人事部』の運営する『人事のQ&A』の利用をおすすめします。

PDCAサイクルの実施

全体の方向性が定まったら、リスクマネジメントを実践するためのフレームワークを構築します。リスクマネジメントも企業におけるマネジメント活動の一つであることに変わりはありません。他のプロジェクトと同様に、PDCA（Plan-Do-Check-Action）のサイクルに基づいて行うことが、実効性を高めます。以下、PDCAの回し方のポイントを記します。

リスクへの体制

リスクマネジメントを円滑に進めていくために、全社的な体制を整えていく必要があります。一般的には、経営者をトップに置き、その下にリスクマネジメント担当責任者（CRO：チーフ・リスクマネジメント・オフィサー）、リスクマネジメント委員会、リスク管理部署（リスクマネジャー）などを置く全社的な統括体制と、現場である各部門の管理体制の「2層階層」で対応していくケースが多いようです。

【参考】

CROについてはこちら

関係者への働きかけ

リスクマネジメントを実施する体制において、その機能を維持し続けるために、以下のような関係者への教育（研修）、情報共有の仕組みや管理規定・マニュアルの整備などを行うことが大切です。

注意点

これまでのリスクマネジメントのあり方を見ると、コンプライアンスは法務部、情報セキュリティ関連は情報システム部が対応するといったように、各部門の業務の責任範囲の下、「部分最適」にリスク対策が行われていました。しかし、部分最適が進むことによって、リスクに対する統括責任者が事業部の責任者なのか、経営トップなのか、それともリスク担当役員なのか、不明確になります。その結果、効果的なリーダーシップが発揮されず、リスク対応が滞ってしまうことがあります。さらに、部門ごとにリスク対策を行った結果、複数の部署で重複した活動や似たような対応をしてしまうこともあります。このように部分最適ではリスクの一元管理が難しくなるので、留意しなくてはなりません。

部分最適に見られる問題点を解決し、リスクマネジメントの実効性を高める観点から、これからのリスクマネジメントは「全体最適」であることが不可欠です。そのためには、全社的な視点に立って全社のリスクを俯瞰（ふかん）し、マネジメントできる統括責任者を決めておく必要があります。その下で、リスクマネジメントが適切に行われなければなりません。全体最適型のリスクマネジメントであれば、各部門がどのようなリスクを抱え、どのような対策を行っているか、一元管理することができます。同じような対策が必要なら、同時に行うなど効率化もできるようになります。

【参考】

リスクマネジメントの実務についてもっと知りたい方はこちら↓
「リスクマネジメント」の時代～その具体的対処法【後編】

4. リスクマネジメントの事例紹介

ここでは近年、よく見受けられるリスクマネジメントに関する幾つかの事例（パターン）を紹介します。

(1)製品の品質管理体制

食品メーカーなどで見られるケースです。食品を扱うメーカーにとって、品質管理は企業存続の生命線となります。ある事例を元に、具体的にどのようなリスク対応を行っているのか、そのポイントを記します。

(2)情報漏えい対策

近年はIT技術の発展により、情報を簡単かつ大量に集めやすくなりました（※）が、同時に流出事故も起こりやすくなっています。個人情報保護法（※）が施行されたこともあり、企業の個人情報漏えいに対する危機意識は非常に高まっていますが、依然として情報漏えいは後を絶たず、社会問題化しています。最近の傾向を見ると、電子媒体関連では一定のリスク対策が行われているのに対して、紙媒体での漏えいについてはリスク対策が進んでいないことが分かります。ここでは、紙媒体の情報漏えい対策の事例を紹介します。

【参考】

※昨今では「ビッグデータ」と呼ばれ注目されています。解説はこちら

※個人情報保護法の注意点についてはこちら

(3)グループ・リスクマネジメント対策

日本企業の多くは、企業グループを形成してビジネスを展開しています。そのため、リスクマネジメントにおいても、子会社を含めた企業グループ全体での推進（グループ・リスクマネジメント）を検討することが求められます。しかし現状を見ると、一部の先進的企業を除き、グループ・リスクマネジメントへの取り組みは十分とは言えません。特に、多角化やM&Aを活発に行う企業グループでは、親会社の専門領域以外の事業を行う子会社が存在します。しかし、子会社のリスクをほとんど把握していないケースも見られます。また、海外の子会社に対して、リスク管理の対象から外しているケースもあります。このような企業では、グループ・リスクマネジメントが大きな経営課題となっています。ここでは親会社が、PDCAサイクルのステップの下、グループ・リスクマネジメントを導入した事例を紹介します。

親会社と子会社の責任と所在が曖昧では、実効性のあるグループ・リスクマネジメントは期待できません。実行主体が親会社なのか子会社なのか、それに伴い不祥事が発生した場合の親会社と子会社の責任はそれぞれどのように問われるのか。また、責任に見合った権限として何を付与するのかなどを、事前に明確にする必要があります。

5. 実効性のあるリスクマネジメントを行うために

実際に事故や事件が起きてしまった場合、その被害・ダメージを最小限にとどめるため、どのように対応すればいいのでしょうか。以下、外してはならない基本的な事項を記します。

リスクマネジメント対応において、経営トップの果たす役割は非常に大きいと言えます。経営トップには、リスクを防止する観点から、社内に向けてコンプライアンス（法令遵守）の重要性を、幾度となく発信することが求められます。組織では経営トップの意向を受けて、従業員は行動を起こすからです。特に、リスクマネジメントの場合、事件や事故が起きた時のダメージが非常に大きいため、より経営トップの発言と行動が重要視されます。

しかし、事業規模を問わず、そういったことを行わない経営トップを見かけることがあります。肝心の経営トップのメッセージや行動がなくては、従業員にコンプライアンスを求めても、主体的な行動を促すことはできません。むしろ、現場では負担が大きくなり、モチベーションが下がってしまいます。このような状態では、全社的にリスクマネジメントを進めていくことは難しいでしょう。だからこそ、経営トップは自らのメッセージがリスクを防止するという意識を強く持ち、言葉を発し、行動を示すことが重要なのです。

リスクマネジメントの旗振り役として、人事部に期待される役割は大きくなっています。例えば、リスクが発生する前に、従業員の意識や行動面に何かしらの兆候が認められることがありますが、日頃から従業員の勤務態度や生活習慣などに変化がないかどうか、現場の管理職などの協力を仰いで観察していくことが求められます。さらに、人事部が情報を救い上げる仕組みとして、「社内相談制度」などを設けるのも効果的です。従業員が気軽に相談できるような雰囲気を作っていくことにより、事前のリスクの兆候を把握し、対応することが可能になります。

問題の解決に当たって関係者から事情聴取を行うことがありますが、その際は個人情報やプライバシーに対する配慮が不可欠です。また、事実を客観的に把握するため、書類などの物的資料を重視し、じっくりと話を聴くこと、丁寧に事実確認をすることが人事部には求められます。

今後は、これまで以上にコンプライアンスが重要視されるようになることは間違いありません。その際、リスクマネジメントに求められるのは、賢くリスクテイクを行い、リスクを効果的に管理する組織体制を構築し、運用していくこと。このような観点で「リスクインテリジェンス」に富んだ企業が、これからの時代の生き残りの条件となるでしょう。リスクインテリジェンスにおいてカギを握るのは、「リスクガバナンスの構築」「リスクインフラの管理」「リスクオーナーシップの発揮」といった領域での実効性のある対応です。以下、その際に基軸となる「原則」を記します。

(1)リスクガバナンスの構築

リスクマネジメントを進めていく上で、最も重要な位置付けを占めるのがリスクガバナンス、すなわち経営判断を司る「取締役会の機能強化」です。リスクガバナンスは、取締役会が主導する領域。そこで、取締役会が戦略的な意思決定やリスク管理体制のモニタリングなどを適切に実行するためには、以下の四つの原則が求められます。

(2)リスクインフラの管理

リスクインフラとは、リスクマネジメントが機能するために不可欠な設備・施策・ITシステムを指します。リスクインフラの管理は、経営者が主導する領域と言えます。経営者が効果的なリスク管理プログラムを設計し、適切に実施、維持していくためには、以下の三つの原則が求められます。

(3)リスクオーナーシップの発揮

リスクオーナーシップとは、リスク対策の実行主体（当事者）のこと。リスクマネジメントにおいて、リスクが発生しないように策を講じる（発生後の対応を行う）のは各部門に他なりません。このようにリスクオーナーシップは、事業部門やスタッフ部門など各部門が主導する領域なのです。各部門が特定のリスクの認識、評価、監視、報告などを適切に実行するために、以下の二つの原則が求められます。