全社的リスク管理（ERM）の形骸化を防ぐ10の視点と改善のポイント

リスク管理の目的・方針

1．リスク管理の目的・方針は明確か

リスク管理を推進するための大前提として、「何のためにリスク管理を行うのか」について、全社的に整理されているかが、最初の確認ポイントとなります。

全社的にリスク管理活動を推進するためには、リスク管理の目的や方針について会社全体が共通の認識を持ち、同じ方向を向いて取り組むことが重要です。その際、単に「目前の事故や損失を避けるため」といったものにするのではなく、「経営目標の達成」「企業価値の向上」「持続的成長の実現」といった観点からも、リスク管理の目的・方針を定めることを推奨します。

また、整理したリスク管理の目的・方針については、規程などに記載するだけでなく、経営トップがメッセージを発信し、会社全体に周知・徹底することも重要です。目的・方針の組織への浸透状況もあわせて確認するとよいでしょう。

2．リスク管理を推進する体制・役割・責任は明確か

リスク管理活動を推進するためには、リスク管理活動に関わる組織や役割などの体制の整理が不可欠です。整理すべき体制は多岐にわたり、確認ポイントとしては以下です。

3．リスク管理について組織の理解を促す機会があるか

体制を形式的に整備しただけでは、実際の取り組みはうまくいかないケースがほとんどです。
リスク管理活動を実効性のあるものにするためには、会社全体でリスク管理を重視する文化を醸成することが欠かせません。そして文化醸成のためには、リスク管理に関する理解と実践を繰り返していくことが必要であるため、まずは研修・教育の機会を設定し、リスク管理に関する理解を促進できているかが、確認ポイントとなります。

また、経営層、部長・ライン長層、一般社員層のそれぞれでリスク管理上理解すべき事項や求められる役割は異なります。そのため、研修・教育の内容は画一的なものではなく、階層や目的に応じたものにすべく、研修・教育プログラムを作成し、それに沿って実行していくことも重要です。

4．リスク管理体制の評価・改善が行われているか

リスク管理活動がマンネリ化する一つの要因として、リスク管理体制の見直し・改善が十分に行われていないことが挙げられます。リスク管理体制は、社外環境の変化や社内状況の変化、リスク管理活動の振り返り結果などを踏まえ、時代にあった形へ見直していく必要があります。リスク管理体制を評価・改善する方法としては、例えば次のようなものがあります。

• 会議体の審議事項に含め、定期的に体制の見直しについて審議する機会を設ける
• 内部監査部門や社外取締役等に、リスク管理体制を評価する役割を与える

このような、体制を継続的に評価・改善する仕組みが構築されているかが、確認ポイントとなります。

また、自社内だけでリスク管理体制を見直し・改善するのが困難な場合は、外部の専門家（リスク管理コンサルタント等）に評価・分析してもらうのも一案です。

リスクの洗い出し・評価

5．自社にとってのリスクを捉えられているか

リスクアセスメントを実施する際にはまず、自社の業務フローや製品・サービスの内容、関連するステークホルダーや法令などの観点から、自社を取り巻くリスクを網羅的に洗い出すことが求められます。

近年ではサイバーリスクやAI活用に伴うリスク、気候変動に伴うリスクなど、新たなテーマへの対応も必要になっています。そのため、過去の事例のみを基に洗い出しを行うのではなく、外部環境変化や社内の状況を踏まえ、自社にとって想定されるリスクを洗い出すことが求められます。新しいリスクを追加する方法としては、次のようなものがあります。

• リスク管理に関する外部レポート等から情報を収集する
• 他社の開示情報を参考にする
• 経営層や現業部門の認識を把握し反映する

このような方法により、自社のリスクを網羅的に洗い出せているかが、確認ポイントとなります。

6．どのようにリスクを評価するか

多くの企業でリスクの評価・分析自体は実施されている一方で、「作業負荷の割に成果が乏しい」「何のために実施しているのか分かりにくい」といった課題を抱えているケースも少なくありません。このような課題を改善するため、リスクの分析・評価について、以下のような観点で確認することが重要です。

7．重要リスクの特定プロセスは妥当か

リスクの分析・評価を行った後は、その結果を踏まえて、重要リスク（会社全体で、経営レベルで管理すべきリスク）を特定しますが、その際、何をもって「重要」と判断するのか、その基準や考え方が整理されているかが、確認ポイントとなります。

重要リスク特定時に考慮すべき情報と重要性判断の基準の例は以下のとおりです。

リスク対策の推進

8．重要リスクの対応策をどのように整備・推進するのか

重要リスクを特定した後は、それぞれのリスクに対して、必要な対応策を具体化し、組織的に推進していく必要があります。重要リスクの対応策を実効性のあるものとするためには、対応策の検討から決定・推進に至るまでの流れを明確にしておく必要があります。

その際の確認ポイントとして、以下のような点が挙げられます。

• 対応策の検討主体や検討プロセスが整理されているか
• 対応策の整理において、目標や期限が明確になっているか
• 対応策の妥当性を審議する仕組みがあるか
• 対応策を推進する上での責任者や担当組織は明確か　等

9．重要リスクの対応策をどのようにモニタリングするのか

重要リスクへの対応策は、策定して展開すれば終わりではなく、その後の進捗や有効性を継続的に確認していくことが重要です。実際、多くの企業では、リスクの洗い出しや対応策の整理・計画化までは実施していても、その後の対応状況のモニタリングが十分に行われておらず、対策の遅れや形骸化に気づいていないケースがあります。

リスク管理活動の実効性を高めるために、対応策の実施状況を定期的に把握し、必要に応じて見直しや追加対応につなげる仕組みがあるかが、確認ポイントとなります。

外部への情報開示

10．リスクの情報開示が適切か

昨今では、内閣府令の要請などにより、上場企業では、リスク管理に関する外部への説明責任が年々高まっています。有価証券報告書や統合報告書などを通じて開示することになりますが、その際、投資家が求めているのは単なるリスクの列挙ではなく、次のような情報です。

• そのリスクがなぜ重要なのか
• 重要なリスクをどのように管理しているのか
• 重要なリスクに経営がどう関与しているのか

そのため、一連のリスク管理活動の内容とその結果を、IR部門と連携し、開示資料に反映できているかも、重要な確認ポイントとなります。

おわりに

企業を取り巻くリスク環境は大きく変化しています。こうした環境変化の中、リスク管理活動の見直し・改善が行われない場合、その活動は実効性の低い「形だけの」活動になってしまいます。

「自社のリスク管理は本当に機能しているのか」という問いに答えるためにも、一連のリスク管理活動の現状を確認・評価し、課題を可視化してみてはいかがでしょうか。

上場企業他社比で
貴社のリスク管理レベルを可視化します

MS＆ADインターリスク総研では「リスク管理体制の課題分析支援」のサービスをご提供しています。ISO31000 / COSO-ERMに準拠した独自フレームと、上場企業の取組データをもとに、貴社のリスク管理体制を客観的に分析します。

公開情報、社内資料、事務局ヒアリングを踏まえて、現状の課題と改善の方向性を明確化。次に何を整えるべきかまで整理し、リスク管理高度化の第一歩を支援します。

• サービスの詳細を見てみる