リスクマネジメントとリスクマップについて

地球規模での自然災害、パンデミックやデジタル化によるサイバー攻撃等、予測不能で、しかも連鎖的なリスクが増え続けています。また、全てのリスクを保険でヘッジする事は出来ません。想定されるリスクが許容出来るかあるいは、何らかの対策が必要か検討しなければなりません。

リスクという言葉には、危険を表す意味以外に、「予想通りにいかない可能性」という意味もあります。思わぬ事態や避けられない危機的状況に関して、その影響を最小限に抑える対策・軽減させるような工夫も「リスクヘッジ」です。

それには、組織全体でリスクを把握し、俯瞰的に整理することが必要となります。

《先先行不透明な時代のリスク保有＝リスクをとる時代へ》

「VUCA（ブーカ）の時代」というワードがあります。Volatility（変動性）、Uncertainty（不確実性）、Complexity（複雑性）、Ambiguity（曖昧性）の頭文字を取った言葉で、社会環境が複雑化し、将来予測が困難な時代を意味する言葉です。VUCAの時代となり、リスクマネジメントの考え方も変化しました。時代の変化を事前に予測できないため、環境の変化に迅速に対応すること非常に重要となります。

そんな時代のリスク対策は「検討する」「明日やる」では通用しません。

リスクが発生した際、誰が意思決定を下すのかを明確にしてスピーディーに決定できる体制が必要です。CRO（最高リスク管理責任者）の専任を検討。

「リスクマネジメント」は「危機管理」とも言われますが、危機の発生する前と発生後の対策も合わせて必要となります。

企業活動では、自然災害やコンピュータネットワーク経由の外部攻撃などによる不確実性への「備え」と「対策」が必須です。自社の業務を取り巻く環境とそのリスクを全社横断的に洗い出し、優先順位を決め、対策を実施することが重要です。

その対策順位の判断をする為に「リスクマップ」という手法があります。リスクを発生可能性と影響度の観点から可視化し、複雑なリスク状況を把握することで、どの領域へ経営資源を優先的に投入し対策すべきかを明確にします。

法人が直面する多様なリスクを「影響度（インパクト）」と「発生可能性」の2軸で評価し、マトリクス上に可視化したものです。経営層への報告や、リスク対策の優先順位付けの判断材料となります。運用面では、定期的なリスク管理や社内ポータルによる共有を通じて最新状態を維持します。

★ 縦軸：影響度（インパクト）

リスクが顕在化した際の損害の大きさを表します。一般的には「大・中・小」や「致命的・重大・中程度・軽微」といった段階で区分します。

★ 横軸：発生可能性（頻度と確率）

リスクが起こり得る可能性を表し、「発生頻度」や「発生確率」で表現します。評価のブレを防ぐため、「高（年1回以上）」「中（3～5年に1回）」「低（10年に1回以下）」のように、具体的な時間軸を設け、組織全体で評価基準を統一します。

★ リスクアセスメント（リスクの特定・分析・評価）

重要度を視覚的に強調するため色分けします。一般的には、A（赤）＝高リスク（直ちに対策）／B（黄）＝中リスク（計画的対策・監視）／C（緑）とD（青）＝低リスク（受容・許容範囲内・予防監視）の４段階が用いられます。

この色分けの基準は文書化し、経営層から現場まで共通認識にします。

《※クライシスマネジメントの際の対応》

「既存のマニュアルでは対応できない重大事故に備える」行動のことです。リスクマネジメントより重大な事象、例えばテロや大地震等の自然災害など、想定を凌駕する事案が発生した場合、その影響を回避し、被害を極小化するためにさまざまな対策を事前に講じる必要があります。

• リスクの発生可能性と事業影響度の評価
• リスク対応策の策定（リスクの高い順に対策）
• BCP（事業継続計画）の策定や見直し
• 新規事業のリスク評価
• 経営層への報告/監査対応（内部・システム監査・外部監査法人）

• 役員として「CRO（Chief Risk Officer）」を選任
• 組織全体での共有と教育（コンプライアンス、サイバー攻撃、SNS炎上）
• 定期的な見直しと更新（モニタリング）

※常に最新の状態を保つことで、形骸化を防ぎ、経営の意思決定に役立つツールとして機能し続けます。

従来、リスクに対応する方法には「回避・低減・移転・保有」の4つがあるとされていました。

従来の手法に対して、新しい国際規格ではリスクへの対処法が拡充され、従来の対応法との対比は以下のようにまとめることができます。

《従来のリスク対応と「ISO31000：2009」による拡充リスク対応》

• 回避 ⇒ 新手法の回避： リスクが生じる活動を開始または継続させないという決定することで回避。
• 低減 ⇒ 新手法の適正化： 起こりやすさを変える。結果を変える。もっとも注目すべき点は、リスクは必ずしも低減されるのではなく、リスクはとるもの、または増加させるものとしても認識されていることでしょう。また、リスク適正化。

＜国際基準拡充新リスク対応の基本的プロセス＞

1. ステークホルダーとのコミュニケーションおよび協議
2. 組織の状況の確定
3. リスクアセスメント（リスク特定・リスク分析・リスク評価）
4. リスク対応
5. モニタリングおよびレビュー

注目すべきはリスクマネジメントプロセスのすべての段階で、ステークホルダーとのコミュニケーションおよび協議をおこなうべきとしています。ステークホルダーとの対話と情報共有なくして、企業によるリスクマネジメントは不可能だと考えているわけです。

すべてのプロセスでステークホルダーとの対話と情報共有を欠かさず、適正にリスクを評価し、プロセスに沿って管理する自社の実情に合ったリスクマネジメントを心がけることを求められています。