コトラ（広報チーム） 
ERMの意味と目的
ERMが指す全社的リスク管理
ERMとは、Enterprise Risk Managementの略で、日本語では全社的リスク管理や全社的リスクマネジメントと訳されます。組織が直面するさまざまなリスクを部門ごとに別々に管理するのではなく、経営陣、管理部門、事業部門、現場が連携し、組織全体で把握・評価・対応する仕組みです。
ERMの目的は、単に事故や不祥事を減らすことではありません。経営目標や事業計画の達成を妨げる要因を早めに把握し、適切な対応を取れる状態をつくることにあります。経営戦略、財務、法令順守、情報セキュリティ、品質、災害、人材、取引先など、幅広い領域を対象にします。
ERMで管理するリスクの種類
ERMでは、特定の部署だけでは把握しにくい横断的なリスクも含めて管理します。主な対象には、次のようなものがあります。
- 経営戦略に関するリスク
- 財務や資金繰りに関するリスク
- 法令違反や不正に関するリスク
- サイバー攻撃や情報漏えいに関するリスク
- 製品・サービスの品質に関するリスク
- 災害、感染症、事故など事業継続に関するリスク
- 原材料や物流、委託先など供給網に関するリスク
- 人材の採用、育成、離職、労務に関するリスク
- 環境、人権、地域社会などに関するリスク
リスクは、企業に悪影響を与える事象だけを意味するものではありません。不確実性によって生じる好機も、経営上は重要な検討対象です。たとえば、新規事業への投資や海外展開には失敗の可能性がある一方で、大きな成長機会もあります。ERMでは、損失を避けるだけでなく、取るべきリスクを見極める視点も重視します。
経営目標とリスク管理を結び付ける考え方
ERMでは、最初に経営目標や重要な事業方針を明確にします。そのうえで、目標達成に影響する不確実な要因を洗い出し、対応の優先順位を決めます。
たとえば、海外市場の拡大を目標に掲げる場合、為替変動、現地法規制、調達先への依存、情報管理、現地人材の確保などが重要な論点になります。リスクを目標と結び付けて考えることで、単なるチェック作業ではなく、経営判断に役立つ情報として活用できます。
組織としてどの程度までのリスクを受け入れるかを定めることも重要です。これをリスク選好と呼びます。無制限にリスクを避ければ成長機会を失う可能性があり、反対に過大なリスクを取れば経営基盤を損なうおそれがあります。自社の財務力、事業特性、社会的責任を踏まえ、許容範囲を定めることが求められます。
ERMが必要とされる背景
事業環境の変化とリスクの複雑化
市場、技術、法制度、消費者行動、国際情勢などの変化が速まるなか、企業を取り巻くリスクは複雑になっています。特に、複数の部門や取引先、海外拠点にまたがる問題は、一部門だけの管理では全体像をつかみにくい傾向があります。
たとえば、新しい技術の導入は業務効率化や競争力向上につながる一方、情報管理の不備、システム障害、法令対応の遅れといった課題を生む場合があります。ERMは、こうした変化を経営課題として捉え、部門横断で対応を検討するために必要です。
サイバー攻撃や情報漏えいへの備え
サイバー攻撃や情報漏えいは、IT部門だけの問題ではありません。被害が起きると、業務停止、顧客情報の流出、取引先への影響、信用低下、対応費用の増加など、経営全体に影響が広がる可能性があります。
対策では、システムの安全性を高めるだけでなく、重要な情報の管理方法、権限設定、委託先の管理、従業員教育、事故発生時の連絡体制まで含めて整える必要があります。ERMの枠組みで扱うことで、情報セキュリティ対策を経営目標や事業継続の観点から判断しやすくなります。
災害・感染症・供給網の混乱への対応
地震、風水害、感染症、物流の停止、原材料不足などは、事業を継続するうえで大きな影響を及ぼします。自社拠点が被害を受けていなくても、調達先や委託先、物流網が止まれば、製品やサービスを提供できなくなることがあります。
そのため、ERMでは自社だけでなく、調達から生産、販売、顧客への提供までの流れを広く確認することが重要です。重要な業務や取引先を特定し、代替手段、在庫、複数の調達先、緊急時の意思決定方法を検討することで、変化への対応力を高められます。
コンプライアンス違反と信用低下の防止
法令違反、不正会計、品質不正、ハラスメント、個人情報の不適切な取り扱いなどは、企業の信用を大きく損なうおそれがあります。問題が表面化した後では、取引停止、行政処分、訴訟、採用への悪影響など、長期にわたる影響が生じる場合があります。
ERMでは、法令順守を独立した管理課題として扱うだけでなく、経営戦略や組織風土、人材管理、内部統制との関係も含めて考えます。問題を隠さず報告できる風土や、経営陣がリスク情報を受け取って判断する仕組みを整えることが重要です。
企業価値の向上につながるリスク管理
適切なリスク管理は、損失を防ぐためだけの活動ではありません。経営資源を重要な課題に配分し、変化に早く対応し、事業機会を適切に捉えることにもつながります。
ERMを通じて重要なリスクを可視化できれば、投資判断、新規事業、事業撤退、取引先の選定、事業継続の計画などで、より根拠のある意思決定を行いやすくなります。結果として、持続的な成長や企業価値の向上を支える基盤になります。
ERMと従来のリスク管理の違い
部門ごとの管理と全社を横断した管理の違い
従来のリスク管理では、法務、人事、経理、情報システム、品質管理などが、それぞれの担当領域でリスクに対応する形が一般的です。この方法は専門的な対策を進めやすい一方、部門間で情報が分断されるおそれがあります。
ERMでは、各部門が持つリスク情報を集約し、全社として優先すべき課題を判断します。たとえば、情報漏えいの問題は、IT部門だけでなく、営業、人事、法務、広報、経営企画などにも関係します。全社的に管理することで、リスク同士のつながりや、対応の重複・漏れを把握しやすくなります。
個別リスクへの対応と経営判断への活用の違い
従来のリスク管理は、発生した問題への対処や、法令順守の確認に重点が置かれやすい傾向があります。一方、ERMでは、経営目標の達成に影響する重要なリスクを見極め、戦略や投資の判断に活用します。
たとえば、新市場への参入を検討する際には、売上見込みだけでなく、競争環境、規制、供給体制、人材、資金、情報管理などを総合的に評価します。ERMは、経営判断の前提となる不確実性を整理するための仕組みです。
損失の回避だけでなく機会も捉える視点
リスク管理という言葉から、損失や失敗を避ける活動をイメージする人は少なくありません。しかし、事業を成長させるためには、一定のリスクを取る判断も必要です。
ERMでは、危険を避けることだけを目的にせず、期待できる成果と想定される損失を比較しながら判断します。重要なのは、リスクをゼロにすることではなく、自社の目標や体力に見合った水準でリスクを管理することです。
トップダウンと現場起点を組み合わせる進め方
ERMでは、経営陣が重要な経営課題やリスクの方向性を示すトップダウンの視点と、現場が日常業務で把握している兆候や課題を集めるボトムアップの視点の両方が必要です。
経営陣だけで進めると、現場の実態を見落とす可能性があります。一方で、現場からの報告だけでは、既存業務に関する細かな問題に偏り、事業戦略や外部環境の大きな変化を捉えにくくなります。両者を組み合わせることで、実効性のあるリスク管理につながります。
ERMを支える体制と役割
経営陣と取締役会が担うリスク管理の方針決定
ERMを機能させるには、経営陣がリスク管理を経営課題として位置付ける必要があります。経営陣は、経営目標、許容するリスクの範囲、重要な管理対象、報告方法などの基本方針を示します。
取締役会は、経営陣によるリスク管理が適切に行われているかを監督する役割を担います。重要なリスクや大きな環境変化について定期的に報告を受け、必要に応じて対応方針や資源配分を確認することが求められます。
リスク管理部門と各部門の役割分担
リスク管理部門や事務局は、ERM全体の運営を支える役割を担います。具体的には、方針や評価基準の整備、リスク情報の集約、会議体の運営、経営陣への報告、教育や周知などを行います。
一方、各部門は、自らの業務に関するリスクを把握し、対応策を実行する責任を持ちます。リスク管理部門だけがすべてを管理するのではなく、現場が主体的に取り組み、全社の事務局が支援・調整する形が基本です。
現場からリスク情報を集める仕組み
リスクは現場で最初に兆候が現れることが多いため、現場から情報を集める仕組みが欠かせません。定期的なリスク調査、部門長への聞き取り、事故や苦情の報告、内部通報、顧客からの意見、監査結果などを活用します。
ただし、報告項目が多すぎると現場の負担が増え、形だけの回答になりかねません。経営目標との関係が深い項目に絞り、簡潔に報告できる様式を用意することが重要です。
内部統制・内部監査との関係
内部統制は、業務の適正性、法令順守、財務報告の信頼性、資産の保全などを確保するための仕組みです。ERMは、内部統制を含む幅広いリスクを対象とし、経営戦略や事業目標との関係も扱います。
内部監査は、独立した立場から、リスク管理や内部統制が有効に機能しているかを確認・評価する役割を担います。内部監査はリスク対応の実行者ではなく、仕組みの妥当性や運用状況を検証し、改善につながる助言を行います。
リスクを共有する社内コミュニケーション
ERMでは、リスクに関する情報が必要な人へ適時に伝わることが重要です。経営方針、重要なリスク、対応状況、発生した事故から得た教訓などを、役職や部門に応じて共有します。
また、悪い情報ほど早く報告できる組織風土をつくることが欠かせません。報告した人を責めるだけでは、問題が隠されるおそれがあります。事実確認と再発防止を重視し、早期の相談や報告を評価する姿勢が求められます。
ERMの導入から運用までの基本手順
経営目標と管理対象を明確にする
最初に、組織として達成したい目標と、ERMで扱う範囲を明確にします。全てのリスクを同じ深さで管理しようとすると、運用が複雑になり、重要な課題に集中できなくなります。
中期経営計画、事業計画、重要な投資、新規事業、事業継続などを踏まえ、特に影響が大きい領域から対象を定めることが有効です。導入初期は、重要な経営課題に絞って始め、運用の定着に合わせて範囲を広げる方法が現実的です。
リスクを洗い出して分類する
次に、目標達成を妨げる、または影響を与える可能性がある事象を洗い出します。過去の事故、不祥事、監査結果、顧客からの苦情、外部環境の変化、現場への聞き取りなどを活用します。
洗い出したリスクは、戦略、財務、法令順守、業務、情報、人材、災害などの分類に整理します。ただし、分類そのものが目的ではありません。複数の部門に関わるリスクや、原因と結果が連鎖するリスクを把握することが重要です。
発生可能性と影響度から優先順位を付ける
全てのリスクに同じ資源を配分することはできません。そのため、発生する可能性と、発生した場合の影響度を基準に評価し、優先順位を決めます。
影響度は、金銭的な損失だけでなく、顧客への影響、法令違反、信用低下、業務停止、人命や安全への影響なども考慮します。評価基準を全社である程度統一することで、部門ごとの判断のばらつきを抑えられます。
回避・低減・移転・受容の対応方針を決める
リスクへの対応には、一般に次の4つの考え方があります。
- 回避：リスクの原因となる事業や行為をやめる
- 低減：発生可能性や影響度を下げる
- 移転：保険、契約、外部委託などにより影響を分散する
- 受容：対策費用と影響を比較し、一定のリスクを受け入れる
どの方法を選ぶかは、リスクの大きさだけでなく、事業上の必要性、対策に必要な費用、実行可能性、残るリスクの程度を踏まえて判断します。対応方針を決めた後は、担当者、期限、必要な資源、確認方法を明確にします。
定期的な見直しと改善を続ける
リスクの内容や重要度は、事業環境の変化によって変わります。一度作成したリスク一覧をそのまま使い続けるのではなく、定期的に見直すことが必要です。
新規事業、組織変更、海外展開、法改正、大規模な事故、サイバー攻撃の増加などがあった場合は、臨時の見直しも必要になります。対応策の実施状況と効果を確認し、必要に応じて評価基準、体制、手順を改善します。
ERMの導入で起こりやすい課題と対策
目的が共有されず形だけの運用になる課題
ERMの導入目的が伝わらないまま、リスク一覧の作成や定期報告だけを求めると、現場では事務作業として受け止められます。その結果、毎年同じ内容を提出するだけの形骸化した運用になりやすくなります。
対策として、ERMが経営目標の達成や現場課題の解決にどう役立つのかを明確に伝えることが重要です。経営陣がリスク情報を実際の意思決定に活用し、その結果を共有することで、取り組みの意義を理解しやすくなります。
特定のリスクに偏る課題
コンプライアンスや財務報告、情報セキュリティなど、管理しやすい特定分野だけに重点が置かれる場合があります。これらは重要ですが、戦略、事業モデル、供給網、人材などのリスクを見落とすと、全社的な管理にはなりません。
経営目標から逆算して、何が達成を妨げるかを考えることが有効です。部門別のリスク収集だけでなく、経営陣による議論、外部環境の分析、複数の将来シナリオの検討も組み合わせます。
リスクの評価基準が部門ごとに異なる課題
同じ事象でも、部門ごとに影響度や発生可能性の評価が異なることがあります。評価の基準が統一されていないと、全社としての優先順位を比較できません。
影響度については、売上や費用だけでなく、信用、法令、安全、顧客影響、業務停止などの観点を定義します。発生可能性についても、頻度や発生条件を目安として示します。厳密さを求めすぎず、議論に使える共通の尺度をつくることが重要です。
現場の負担が増えて情報が集まらない課題
多くの項目を細かく報告させると、現場の負担が大きくなります。特に、既存の監査、品質管理、情報セキュリティ、事業継続計画などと重複した調査を行うと、協力を得にくくなります。
既存の会議、報告書、事故記録、監査結果などを活用し、必要な情報をできるだけ一元化することが有効です。また、リスク情報を提出した後にどのような判断や改善につながったかを現場へ返すことで、報告への納得感を高められます。
自社の規模や事業に合った仕組みにするポイント
ERMに決まった一つの完成形はありません。大規模な組織では、グループ会社や海外拠点を含めた報告体制が必要になる場合があります。一方で、少人数の組織が複雑な会議体や詳細な文書を整備すると、負担が先行する可能性があります。
重要なのは、自社の経営目標、事業の複雑さ、リスクの特性、利用できる人員や予算に合わせることです。まずは重要な経営課題を対象に、簡潔な評価と定期的な対話から始める方法も有効です。
ERMの理解に役立つ代表的な考え方
COSO ERMの概要
COSO ERMは、企業のリスク管理に関する代表的なフレームワークです。2004年に初版が公表され、2017年には戦略と業績との結び付きを強調する形で改訂されました。
2017年版では、ERMを次の5つの要素で整理しています。
- ガバナンスと文化
- 戦略と目標設定
- パフォーマンス
- 見直しと改訂
- 情報・伝達・報告
COSO ERMの特徴は、リスク管理を経営戦略や目標設定と結び付けている点です。取締役会の監督、経営陣の関与、組織風土、リスク情報の報告などを重視し、リスク管理を経営の中に組み込む考え方を示しています。
ISO 31000の概要
ISO 31000は、リスクマネジメントに関する国際的な指針です。2018年版では、リスク管理を価値の創出と保護につなげる考え方が示されています。業種や組織規模を問わず活用できるよう、柔軟性のある内容になっています。
ISO 31000は、原則、枠組み、プロセスの3つで構成されています。原則では、リスク管理を組織の活動や意思決定に組み込み、自社の状況に合わせ、継続的に改善することなどを重視しています。
また、リスクを特定し、分析し、評価し、対応するプロセスに加え、関係者との対話、記録、監視、見直しの必要性も示しています。特定の認証取得を目的とする規格ではなく、自社に合ったリスク管理を設計するための指針として活用できます。
自社に合う考え方を選ぶ際の確認事項
COSO ERMとISO 31000は、どちらか一方だけを選ばなければならないものではありません。両者とも、リスク管理を意思決定に組み込み、状況の変化に応じて見直すことを重視しています。
選定や活用を検討する際は、次の点を確認するとよいでしょう。
- 自社が達成したい経営目標は何か
- 特に重要なリスクは何か
- 取締役会や経営陣による監督をどのように行うか
- 既存の内部統制、内部監査、情報セキュリティ、品質管理とどう連携するか
- 現場が無理なく運用できる仕組みか
- 定期的な見直しと改善を行える体制か
ERMは、フレームワークを導入すること自体が目的ではありません。自社の目標達成に必要なリスクを見極め、適切な判断と行動につなげる仕組みとして、継続的に育てていくことが重要です。
