昨今、 パンデミックや国際紛争など、これまでだれも予想できなかった事態が発生し 社会的に大きな影響を及ぼすことも実体験しています。このような状況において、企業経営にとって重要になるのが「リスクマネジメント」です。本記事ではリスクマネジメントとはなにか、具体的な対応を解説します。
リスクマネジメントとはなにか
ビジネスにおける「リスク」は、国際標準化機構（ISO）によると、「目的に対する不確実性の影響（Effect of uncertainty on objectives）」という定義が定められています。
リスクマネジメントとは、企業や組織の経営、運営に影響を及ぼすリスクに対して、あらかじめ適切な予防策や対策を施すことで、経営などが被る影響を最小限に抑えるための経営手法です。
マネジメントの対象となるリスクは、自然災害やパンデミックなどの自然的要素、政策変更や為替変動などの政治経済要素、技術革新や競合参入などの市場的要素、サーバーテロや情報漏洩などの情報管理要素、ハラスメントや知的財産権侵害などの社内統制的要素などさまざまな領域におよびます。
リスクマネジメントの目的
企業がリスクマネジメントをおこなう主な目的は、問題が発生した場合でも事業が存続できるようにすることです。
昨今、政治や経済などの社会情勢は年々複雑化しており、予測が困難になってきています。さらに自然災害やサイバー攻撃などリスク要因も多様化しています。このように予測困難で経営などに大きな影響を及ぼす恐れのあるリスク発生の確率が増加しているためリスクを起こさない、もしくはリスクの影響を最小限に抑えるマネジメントがますます重要視されてきています。
リスクマネジメントの類語と違い
危機管理（クライシスマネジメント）
リスクマネジメントと似た言葉で「クライシスマネジメント」というものがあります。両者の違いは、リスクマネジメントが「想定されるリスクを洗い出したうえで、その影響を最小限に留めるための手法」を意味するのに対して、クライシスマネジメントは「発生した危機（クライシス）に対してどのように対応するのか」の事後対処の方法を指します。
リスクアセスメント
リスクマネジメントには複数のプロセスがあります。リスクアセスメントはそのプロセスの内のひとつで、初期段階で対象企業におけるリスクの特定やリスクの分析・評価を実施することです。
リスクマネジメントでは、リスクアセスメントで得られた情報を元にして、対応やモニタリング、そしてレビューなどの対策を講じていくことになります。
リスクマネジメントの種類は大きく分けて2つ
前述のとおりリスクにはさまざまな種類のものが存在しますが、それらのリスクを「純粋リスク」と「投機的リスク」の2つに分類するのが一般的です。
純粋リスク
自然災害や事故、犯罪など、偶発的な事故や人為的ミスなどが原因となって発生する、純粋に損失のみをもたらすリスクが純粋リスクです。
具体的には、財産の毀損や消失、それらの補填等のための費用の増加、事業縮小等による収益の減少、従業員等に対する人的被害、損害賠償責任などの発生が考えられます。損失のみをもたらす恐れがありますので、いかにその発生を抑制し、発生後にその影響を最小限にするかが純粋リスク対応のポイントになります。
投機的リスク
政治や経済の情勢・動向など環境変化によってもたらされるリスクを投機的リスクと呼びます。投機的リスクは対象企業にとってプラスに働く場合とマイナスに働く場合があります。
政情不安や政策変更、法改正などの政治的要因や、為替、景気、金利の変動などの経済的要因、また消費者嗜好の変化や競合の参入・撤退などの市場的要因などが挙げられます。投機的リスクのマネジメントでは、発生したリスクが自社にどのような影響を及ぼすのかの判断と、悪影響をいかに抑えるかがポイントになります。
リスクマネジメントの手法
ビジネス環境が急速に変化しているなかで、企業の持続的な成長を図るためには、効果的にリスクマネジメントをおこなうことが欠かせません。しかし、どのように進めればいいのか分からない方も多いのではないでしょうか？
リスクマネジメントのガイドライン
リスクマネジメントをおこなうための指針のひとつとして、ISO31000という国際標準規格が発行されました。ISO31000はどのレベル・規模の組織であっても適用可能な「リスクマネジメントの考え方」を示していると言えます。
企業における適切なリスクの管理と対策を実施するために、ISO31000の内容を把握する必要があると考えられます。
リスクマネジメントのプロセス
リスクマネジメントは、リスクの「特定」「分析・評価」「対応・対策」「モニタリング・改善」の大きく4つのプロセスからなっています。
1.リスクの特定をする
リスクマネジメントでまずおこなわなければならないがリスクの特定です。このプロセスでは、発生が予想されるあらゆるリスクを洗い出します。ポイントは、想定される影響の大小にかかわらずすべて抽出すること。ここでヌケモレが発生すると精度の高いリスクマネジメントができなくなります。
リスク特定の際には、関係者を集めてじっくりとブレーンストーミングを実施して、予測されるあらゆるリスクを列挙します。些細なことでもよいので、ヌケモレなくリスクを洗い出すのが重要です。また、他社の事例やリスクマネジメントの専門家による調査資料なども参考にします。
2.リスクの分析・評価をする
想定されるリスクすべてに対応するのは困難で、あまり合理的とは言えません。そのため対応策を検討する前に、それらのリスクに対して発生頻度と影響度合いの2軸でマッピングすることで、各リスクを分析します。
発生頻度と影響度のいずれか（または両方）が高いものが優先度の高いリスクと考えられますが、必ずしもそうとは限りません。一般的には優先度が低いと判断されるものであっても、自社の今の状況を考慮すると、早急に取り組まなければならないものもあるはずです。最終的には1件ずつ確認してその優先度を判断する必要があります。また、想定されるリスクを定量的に評価できないものもなかには存在します。そのような定性的なリスクの影響度に関しては、専門家に評価してもらうのが良いでしょう。
3.リスクに対応・対策する
リスクの対応・対策方法には、その内容や影響の種類、大きさなどによってさまざまな選択肢があります。大まかに分けて「リスクコントロール」と「リスクファイナンス」という考え方があります。
リスクコントロールとは
リスクコントロールは、リスクが発生した場合の影響をできるだけ小さく留めようとする対応方法です。具体的には、リスクを伴う行動を中止することでリスクの発生を抑える「回避」、事前対策によってリスクが発生した場合の損失を防ぐ「損失防止」、リスク発生時の影響範囲の拡大を抑える「損失削減」、そしてリスクが発生する可能性のある箇所を複数に分散しておく「分離・分散」があります。
リスクファイナンスとは
リスクコントロールは、発生した「事象」に着目し、損失をできるだけ抑えるためにそれにどのように対応するかという考え方でした。一方リスクファイナンスは、リスク発生によって被った「経済的損失」をどのように補填するかという考え方です。保険などによって第三者から補填を受ける「移転」や、リスクの発生をあらかじめ予想して自社で積立金などを準備しておく「保有」があります。
4.対応のモニタリング・改善をする
リスク対応・対策後は、その状況をモニタリングし、その結果や効果などを評価します。効果的だった対策に関してその要因を検証すると共に、実施した対策などの不備や不足部分、改善点などを検討します。
このような事後検証によって、リスク対応・対策の精度を向上させていくことがリスクマネジメントにとって重要です。また、検証結果を参考にして、再度最初のプロセスのリスク特定による洗い出しに戻り、分析、評価などのその後のプロセスを再び繰り返し実施することでPDCAを継続的に回していきます。
これがリスクマネジメントプロセス全体をより有効に機能させていくことにつながっていきます。
リスクマネジメントはすべての企業で取り組むべきもの
リスクマネジメントは以下のような視点で、各企業で重視すべき点に留意しながら取り組むべきだと考えられます。
情報セキュリティ対策
大規模なサイバー攻撃や日々更新される新たな攻撃手口、新種ウイルスの発見など、情報セキュリティ関連のリスクは企業にとって警戒しなければなりません。情報セキュリティ対策にはウイルス対策ソフトや社内ネットワークへのアクセス監視などのシステム的な対策に加えて、自社従業員に対するセキュリティポリシーの周知徹底が重要になります。どれだけ堅固なセキュリティシステムや体制を構築しても、従業員の不注意や意識の低さによってセキュリティポリシーが遵守されなければ、その機能を果たすことができません。労働安全衛生の方針検討
労働安全衛生法によって、製造業だけではなくさまざまな業種において、労働者の安全と健康を確保することが義務付けられています。各事業者は管理責任者を選出したうえで、その役割や責任、権限などを決める必要があります。さらに、管理者に対してその役割を果たすために必要な研修・教育を実施することも必要になります。それ以外に、事業者は自社の安全衛生目標を従業員に周知したうえで、その目標を達成するために適切な安全衛生計画を策定することも重要です。重要機密情報への対策
企業内には従業員情報をはじめとする多くの個人情報や、事業に関わる多くの重要機密情報などが蓄積されています。これらの情報の消失は重大な経営危機を招く恐れがあります。多くの企業では、ウイルス感染や災害、サイバー攻撃による重要な機密情報の消失などの対策としてデータのバックアップを取得していると思います。しかし、大規模なサイバー攻撃や広域災害などが発生した場合に、バックアップ自体も被害を受ける恐れがあるので、複数のバックアップを取得しておくことが必要です。BCP対策
大規模なリスクが発生した場合に、いかに自社の事業を継続させるかの具体的な手順を示したBCP（事業継続計画）は、総合的なリスク対策としても有効です。従業員や取引先の被害状況や施設・設備などの安全を確認したうえで、状況によってどの業務を継続させ、どの業務を一時休止するのか、安全性と事業の両面から判断することが重要なポイントです。また、事業継続する際の判断基準や具体的な手順も定めておく必要があります。さらに、社内外の意見を聞きながら定期・不定期でBCPの内容を更新していくことも重要でしょう。
デジタルリスクを意識したマネジメントを
さまざまな種類のリスクが存在するなかで、昨今特に注意しなければならないのが「デジタルリスク」と呼ばれるものです。デジタルリスクとは、インターネットの利用および普及によって発生するようになったリスクのこと。近年特に企業がSNSを顧客接点として積極的に活用するようになりましたが、不適切な投稿が原因でいわゆる炎上騒ぎになったり、従業員のITリテラシーやセキュリティ意識の低さ、無理なデジタルトランスフォーメーション（DX）推進が脅威を増やしてしまうこともあります。
デジタルリスクによって社会的信用の失墜や金銭的な損害、事業縮小など、事業へ悪影響を及ぼす恐れがあるため、それらを適切にマネジメントする必要があります。また、従業員に対してITリテラシーやセキュリティ教育を実施するのも有効です。
企業におけるデジタル化については、以下の記事をご参照ください。
リスクマネジメントを適切におこなうためにワークフローの見直しを
リスクマネジメントとは、企業が抱えるさまざまなリスクに対し、あらかじめ適切な予防策や対策を施すことです。しかし、せっかく予防策を計画しても、それらが適切に実行されなければ意味がありません。確実に実行するためには業務をデジタル化し、承認プロセスをワークフローシステムでおこなうことが有効です。
ドリーム・アーツが提供する「SmartDB」は、非常に柔軟なワークフロー機能とWebデータベース機能を持ち合わせた大企業向け業務デジタル化クラウドです。細やかな業務アプリ設計が可能なため、業務の実態に則したワークフローを構築いただけます。
「SmartDB」で業務をワークフロー化した場合、次のようなメリットがあります。
- 文書の閲覧・編集権限は特定の部門や役職、個人名単位で設定できるため、入力できる情報や見えてはいけない情報を細やかにコントロールできる。
- 会社公式の文書など重要性が高い情報に対し、確実なチェックフローを構築できる。
- これまでは紙でしか運用できなかったような複雑なフローにも対応できるため、全社のペーパーレス化を進められる。
- 取引先担当者とのやりとりも「SmartDB」上でおこなえるため、メールの宛先ミスなどの誤った情報開示を防げる。
関連資料
3分でわかる「SmartDB」
大企業における業務デジタル化の課題と、その解決策として「SmartDB」で、どのように業務デジタル化を実現できるのかをご紹介する資料を公開しました。ぜひご覧ください。
詳細・お申し込みはこちら
まとめ
企業経営にさまざまな影響を及ぼすリスクマネジメントは、近年ますます重要視されてきています。リスクマネジメントは、「リスクの特定」から始まり、「分析・評価」、「対応・対策」、そして「対応のモニタリング・改善」の4つのプロセスを経ることで効果的に実施できます。また、情報セキュリティや労働安全衛生、災害対策計画、重要機密情報、BCP対策などの視点で取り組むことも重要です。昨今のインターネットの普及によってデジタルリスクには特に注意を払う必要が生じてきています。
この記事の執筆者：加藤（マーケティング本部）
2017年に新卒でドリーム・アーツに入社。営業部門やインサイドセールスチームでの業務を経て、現在はマーケティング部門にてコンテンツの作成に従事。
物理的な声の大きさだけが取り柄だと思っていますが、文章という形でみなさんに楽しんでいただける情報をお届けできるよう頑張ります！
