コトラ（広報チーム） 
リスクアペタイトフレームワーク（RAF）とは、企業が経営目標を達成するために、どのようなリスクをどの程度まで取るのかを定め、日々の意思決定に反映する仕組みです。リスクを避けるだけでなく、成長のために必要なリスクを見極めて取る点に特徴があります。
新規事業、設備投資、海外展開、デジタル化などには、不確実性が伴います。RAFを活用すると、経営層と現場が同じ判断基準を持ち、収益機会と損失の可能性を比較しながら一貫した判断を行いやすくなります。
リスクアペタイトフレームワーク（RAF）の概要
RAFが示す「取るリスク」と「避けるリスク」
リスクアペタイトとは、組織が目標達成のために進んで受け入れる意思があるリスクの種類と量を示す考え方です。英語のappetiteには「食欲」という意味があり、リスクを単に避ける対象ではなく、事業成長のために選択する対象として捉えます。
たとえば、成長市場への参入や新技術の研究開発では、一定の投資損失や計画未達の可能性を受け入れる必要があります。一方で、人命に関わる事故、重大な法令違反、顧客情報の重大な漏えいなどは、原則として受け入れないという方針を置くことが考えられます。
このように、RAFはリスクを一律に減らすための仕組みではありません。積極的に取るリスク、管理しながら取るリスク、避けるリスクを明確に分けるための経営管理の枠組みです。
経営戦略とリスク管理を結び付ける仕組み
RAFでは、経営戦略、収益計画、資本や資金の余力、リスク管理を一体で考えます。従来のリスク管理では、すでに保有しているリスクを測定し、損失を抑えることに重点が置かれがちでした。
一方、RAFは「今後、どの事業で、どの程度のリスクを取るのか」を前もって議論します。経営戦略に必要なリスクテイクを定め、その範囲に収まっているかを継続して確認するため、未来志向の管理につながります。
経営計画とリスク管理が別々に動くと、利益を追求する部門とリスクを抑える部門の判断が対立しやすくなります。RAFは、収益とリスクを共通の基準で話し合うための共通言語として機能します。
金融機関を中心に広がった背景
RAFは、2008年の世界金融危機を契機に、金融機関のガバナンスを強化する考え方として広がりました。金融危機では、過去のデータで把握できる既知のリスクへの対応だけでは、急激な市場変化や複数のリスクが連鎖する事態に十分対応できないことが課題となりました。
金融機関では、信用リスク、市場リスク、流動性リスクなどを数値で把握しやすいため、RAFの考え方が発展してきました。2013年には金融安定理事会が、実効的なRAFに関する原則を公表しています。
日本でも金融機関で導入が進み、地域金融機関においても、持続可能な収益性と将来にわたる健全性を確保するための経営管理の枠組みとして注目されてきました。
不確実性が高い事業環境で求められる理由
原材料価格や為替の変動、地政学的な緊張、供給網の混乱、サイバー攻撃、法規制の変化など、企業を取り巻く環境は複雑化しています。すべてのリスクをなくすことは現実的ではなく、対策に過度な資源を投入すれば成長投資の機会を失う可能性もあります。
そこで重要になるのが、自社にとって守るべきものと、成長のために許容する不確実性を明らかにすることです。RAFを整備すると、環境が変わった際にも、何を優先して判断すべきかを組織で共有できます。
特に、事業のデジタル化やAI活用を進める企業では、利便性や成長機会と、情報漏えい、説明責任、システム停止などのリスクを同時に考える必要があります。RAFは、こうした新しい経営課題にも活用できます。
リスクアペタイト・リスク許容度・リスクキャパシティの違い
リスクアペタイトは経営として受け入れるリスクの水準
リスクアペタイトは、戦略目標の達成に向け、組織としてどのリスクをどの程度取りたいかという経営の意思です。全社的な方向性を示すものであり、事業戦略と結び付いています。
たとえば、新規事業では一定の失敗を許容して挑戦する一方、品質や安全に関する重大な問題は許容しない、といった方針がリスクアペタイトにあたります。必ずしも数値だけで表す必要はなく、判断原則や禁止事項として示すことも可能です。
リスク許容度は目標からの許容できるぶれ幅
リスク許容度は、目標や計画からどの程度のぶれまで許容できるかを示す考え方です。リスクトレランスとも呼ばれ、リスクアペタイトを現場で運用するために、より具体的な水準へ落とし込む際に使われます。
たとえば、重要システムの停止時間、製品不良率、予算超過額、納期遅延率などについて、通常時の管理水準と、対応が必要になる上限を定めます。許容度を超えた場合は、担当部門だけで処理せず、上位の管理者や経営層へ報告するルールを設けます。
なお、リスクアペタイトとリスク許容度の使い分けには、組織や基準によって差があります。実務では、リスクアペタイトを経営の基本方針、リスク許容度を個別目標に対する許容範囲として整理すると理解しやすくなります。
リスクキャパシティは企業が耐えられる最大限の損失
リスクキャパシティは、企業が事業継続や財務の健全性を損なわずに耐えられる最大限のリスク量です。自己資本、資金繰り、収益力、保険、代替調達手段などを踏まえて考えます。
たとえば、大きな損失が発生しても債務超過や資金不足に陥らず、必要な事業を継続できる限界がリスクキャパシティです。金融機関では自己資本比率や流動性が重要な判断材料になりますが、一般企業でも手元資金、借入余力、固定費、顧客への供給責任などから検討できます。
リスクアペタイトは、リスクキャパシティを超えて設定してはいけません。最大限耐えられる水準までリスクを取るのではなく、十分な余力を残して経営することが基本です。
三つの考え方を経営判断で使い分ける方法
三つの概念は、次のように整理できます。
- リスクキャパシティは、企業が最大でどこまで耐えられるかという限界です。
- リスクアペタイトは、戦略のためにどのリスクをどこまで取りたいかという経営の意思です。
- リスク許容度は、個別の目標や業務でどの程度のぶれまで許すかという運用上の基準です。
たとえば設備投資を検討する場合、まず財務面や事業継続面から最大損失に耐えられる範囲を確認します。次に、成長戦略に照らして投資リスクをどこまで積極的に取るかを決めます。その上で、投資額、回収期間、採算悪化時の撤退条件などを具体的な許容度として定めます。
RAFを構成する主要な要素
経営理念と事業戦略に基づくリスク方針
RAFは、経営理念、企業の目的、事業戦略から始まります。どの市場で価値を提供し、どのような強みで成長するのかが不明確なままでは、取るべきリスクも決められません。
たとえば、品質や安全を競争力の源泉とする企業では、重大な品質問題や安全事故へのリスクアペタイトは低くなります。一方で、研究開発や新製品開発については、一定の投資リスクを取る方針が考えられます。
方針を定める際は、株主、顧客、従業員、取引先、地域社会、規制当局などの期待も確認します。自社の収益だけでなく、ステークホルダーへの影響を踏まえることで、実効性のある方針になります。
管理対象となる主なリスクの洗い出し
次に、自社が直面するリスクを事業特性に応じて洗い出します。一般的には、次のような区分が用いられます。
- 戦略リスク
- 財務リスク
- 信用リスク
- 市場リスク
- 流動性リスク
- 供給網や生産に関するリスク
- 品質・安全に関するリスク
- 法令遵守や不正に関するリスク
- 情報セキュリティやサイバーリスク
- 人材や労務に関するリスク
- 評判に関するリスク
- 自然災害や気候変動に関するリスク
洗い出しでは、経営層だけでなく、営業、製造、購買、財務、情報システム、人事、法務などの現場部門から情報を集めることが重要です。現場が把握している変化の兆候を取り込むことで、机上の整理に終わらないリスク一覧になります。
リスクアペタイトステートメントの役割
リスクアペタイトステートメントは、リスクアペタイトを文章や指標で明文化したものです。経営がどのリスクを積極的に取るのか、どのリスクを抑制するのか、どのリスクを原則として受け入れないのかを示します。
たとえば、サイバーセキュリティでは、外部サービスやデジタル技術の活用による事業成長は追求する一方、重要業務の長期停止や顧客情報の重大な漏えいにつながるリスクは受け入れない、と整理できます。
重要なのは、抽象的な宣言で終わらせないことです。現場が判断に使えるよう、対象となるリスク、判断の優先順位、報告が必要になる条件を明確にします。
リスク指標（KRI）と管理上の基準値
KRIは、重要リスク指標のことで、リスクが高まっている兆候を早期に把握するための指標です。売上や利益などの成果指標とは異なり、将来の損失や問題の発生可能性を捉えるために用います。
たとえば、サイバーリスクでは重大な脆弱性の未対応件数、重要システムの障害件数、訓練の実施率などが候補になります。供給網のリスクでは、特定の供給先への依存度、納入遅延件数、代替調達先の確保状況などが考えられます。
KRIには、通常時の管理水準、注意が必要な警戒水準、経営対応が必要な限界水準を設定します。ただし、すべてのリスクを数値化する必要はありません。企業文化、法令遵守、評判などは、定性的な評価や確認項目を組み合わせて管理します。
取締役会・経営層・現場の役割分担
RAFを機能させるには、役割分担を明確にする必要があります。取締役会は、経営戦略と整合するリスクアペタイトを承認し、運用状況を監督します。必要に応じてリスク委員会を設け、重要なリスクや方針の見直しを議論します。
経営層は、全社方針を事業計画や資源配分に反映し、リスクアペタイトを超える状況が起きた場合に対応を決定します。リスク管理部門は、指標の設計、モニタリング、報告、部門間の調整を担います。
現場部門は、自らの事業や業務に伴うリスクを把握し、定められた範囲で判断と対応を行います。内部監査部門は、こうした仕組みが適切に機能しているかを独立した立場で確認します。
RAFの導入を進める基本手順
経営目標と重要なリスクを整理する
導入の第一歩は、中期経営計画や事業戦略を確認し、達成したい目標を明確にすることです。その上で、目標の実現を妨げるリスクだけでなく、目標を実現するために取る必要があるリスクも整理します。
この段階では、経営層への聞き取りが有効です。新規市場への進出、投資、技術開発、人材採用、デジタル化などについて、経営として何を優先し、何を守るのかを言語化します。
同時に、財務状況、事業構造、規制、顧客との約束、過去の事故や不祥事、外部環境の変化を確認します。これにより、理想論だけではない実態に合ったRAFを設計できます。
リスクごとの許容水準と上限を設定する
洗い出したリスクごとに、積極的に取る、一定範囲で受け入れる、最小化する、原則として受け入れない、といった基本姿勢を定めます。必要に応じて、損失額、比率、件数、時間などの上限も設定します。
数値を設定しやすい財務リスクや運用リスクでは、具体的な上限値を設けやすい一方、戦略リスクや評判リスクでは、定性的な判断原則が重要になります。すべてを無理に数値化するのではなく、リスクの性質に応じた表現を選びます。
上限値は、現場に過度な負担をかけない水準であると同時に、経営にとって意味のある水準でなければなりません。過去実績だけを基準にせず、将来の事業計画や厳しい状況を想定して検討します。
指標・警戒水準・対応ルールを決める
方針を決めた後は、管理に使う指標を定めます。各指標について、誰が測定するのか、どの頻度で確認するのか、どこへ報告するのかを明確にします。
また、警戒水準を超えた場合の対応を事前に決めておくことが重要です。数値の悪化を把握しても、対応が曖昧であればRAFは機能しません。
- 注意水準では、原因分析と担当部門での改善計画を求めます。
- 警戒水準では、経営層への報告と追加対策を行います。
- 限界水準では、投資や取引の停止、資源配分の見直し、危機対応の開始などを検討します。
対応は一律ではありません。指標の一時的な変動なのか、構造的な問題なのかを見極め、経営判断につなげることが必要です。
経営計画と予算、人事評価に組み込む
RAFは、リスク管理部門だけが運用するものではありません。経営計画、予算編成、投資審査、商品開発、取引先選定、人材配置などの意思決定に組み込むことで、実効性が高まります。
たとえば、新規事業の計画を審査する際には、期待収益だけでなく、最大損失、資金需要、重要な前提条件、撤退基準、既存事業への影響を確認します。投資案件がリスクアペタイトに沿っているかを判断材料に加えます。
人事評価でも、短期的な売上だけを重視すると、過度なリスクテイクを招く可能性があります。収益とリスク管理の両方を評価する仕組みを検討することが重要です。
定期的な見直しと改善を行う
RAFは、一度策定すれば終わりではありません。少なくとも年に一度は、戦略、財務状況、外部環境、リスクの発生状況を踏まえて見直します。大きな投資、組織再編、事業撤退、重大事故、市場急変などがあった場合は、臨時の見直しも必要です。
見直しでは、設定した指標が実際に有効だったか、警戒水準が適切だったか、現場に方針が伝わっているかを確認します。超過事案が起きた際の対応結果も検証し、基準や手順を改善します。
RAFを運用して経営判断に生かす方法
KRIでリスクの兆候を早期に把握する
KRIは、問題が顕在化した後ではなく、悪化の兆候を早期に捉えるために使います。重要なのは、経営判断につながる指標を選ぶことです。
たとえば、売上減少が起きてから確認するのではなく、主要顧客の解約率、見積失注率、納期遅延、苦情件数などを確認すれば、事業リスクの変化を早く把握できる場合があります。
指標は多すぎると管理が形骸化します。経営層が定期的に確認すべき指標と、現場で日常的に管理すべき指標を分け、重要なものに絞ることが必要です。
警戒水準を超えた場合の報告と対応を定める
RAFの実効性は、基準を超えたときの行動で決まります。報告先や報告期限が不明確だと、問題が現場にとどまり、対応が遅れるおそれがあります。
報告では、単に数値を伝えるのではなく、超過の原因、想定される影響、現在の対応、追加対応の選択肢、経営判断が必要な事項を整理します。これにより、経営会議で迅速に判断しやすくなります。
また、報告したことで現場が不利益を受ける風土では、早期報告は進みません。問題を隠すのではなく、早く共有して対処することを評価する組織文化も重要です。
ストレステストで想定外の影響を確認する
ストレステストは、厳しい状況が起きた場合に、財務、資金繰り、供給能力、業務継続などがどの程度の影響を受けるかを検証する方法です。金融機関では、景気後退や市場変動などを想定した検証が行われます。
一般企業でも、売上の急減、原材料価格の急騰、主要供給先の停止、為替の大幅変動、サイバー攻撃による操業停止などのシナリオを用いて検討できます。
重要なのは、予測を的中させることではありません。厳しい事態になったときに、どの指標が先に悪化するのか、どの程度の余力があるのか、どの時点で経営対応が必要になるのかを把握することです。
リスクと収益性を比較して投資判断に生かす
RAFでは、投資案件を収益性だけで判断しません。期待される利益に対し、どのような損失があり得るか、リスクが顕在化した場合に企業全体へどのような影響があるかを比較します。
たとえば、新規事業では、初期投資額、収益化までの期間、撤退時の損失、技術や人材の確保可能性、既存顧客への影響、法規制の変化などを検討します。こうした要素を踏まえて、取るべきリスクかどうかを判断します。
リスクがあるから投資を見送るのではなく、リスクを抑える方法、段階的に投資する方法、外部パートナーと分担する方法も含めて検討することが重要です。
経営会議で継続的に検証する
RAFを経営に生かすには、経営会議や取締役会で定期的に議論する必要があります。年に一度の方針確認だけでは、環境変化に対応できません。
経営会議では、重要KRIの推移、リスクアペタイトとの乖離、主要な投資案件、ストレステストの結果、重大な事故や苦情、改善策の進捗などを確認します。リスクと収益を別々に扱わず、同じ議題の中で検討することがポイントです。
業種・場面別に見るRAFの活用例
金融機関における健全性と収益性の両立
金融機関では、融資や投資によって収益を得る一方、信用リスク、市場リスク、流動性リスクなどを抱えます。そのため、どの顧客層や地域、商品でどの程度のリスクを取るかを、資本や資金の余力と合わせて管理する必要があります。
RAFでは、健全性を守るために過度なリスクテイクを抑えるだけでなく、持続可能な収益を確保するために、どの分野でリスクを取るのかを明確にします。リスクと収益、資本、流動性を一体で管理する点が重要です。
金融機関では、事業部門がリスクを把握・管理し、リスク管理部門が監視とけん制を行い、内部監査部門が独立して検証する三線の考え方が用いられます。役割の独立性と連携を両立させることが求められます。
製造業における供給網・為替変動への対応
製造業では、原材料の調達、生産拠点、物流、販売先が複数の国や地域にまたがることがあります。供給先の停止、輸送の混乱、原材料価格の上昇、為替変動などは、収益性や生産計画に大きく影響します。
RAFを活用する場合、特定の供給先や地域への依存度をどこまで許容するか、価格変動をどの程度まで吸収するか、代替調達先をどこまで確保するかなどを方針化します。
為替や原材料価格については、損失許容額や取引量の上限を設定しやすい一方、供給網の強さや品質への影響は定性的な判断も必要です。数値と現場評価を組み合わせることで、実態に合った管理ができます。
新規事業や設備投資における投資判断
新規事業や大型設備投資は、将来の成長に必要である一方、投資回収が進まない、需要が想定を下回る、技術が陳腐化するなどの不確実性があります。RAFは、投資の可否を判断する際の基準として活用できます。
たとえば、成長分野への投資は積極的に行う一方、一定額を超える損失が見込まれる場合には再審査する、段階ごとに成果を確認して次の投資を決める、といったルールを置きます。
撤退基準を事前に定めることも重要です。投資を始めた後に撤退判断を先延ばしにすると、損失が拡大する可能性があります。RAFに基づき、何をもって継続、縮小、撤退を判断するかを明確にします。
サイバー攻撃や情報漏えいへの備え
サイバーリスクは、どの企業にも関係する経営課題です。クラウドサービス、外部委託、生成AI、リモートワークなどを活用するほど、利便性や生産性が高まる一方で、情報漏えい、不正利用、システム停止の可能性も増えます。
RAFでは、デジタル活用をどこまで進めるかという攻めの方針と、守るべき情報や業務をどこまで厳格に保護するかという守りの方針を同時に定めます。たとえば、機密情報の不用意な外部入力、重要業務で人の確認を介さない自動判断、重大な個人情報漏えいなどは許容しない、と整理できます。
KRIとしては、重大な脆弱性の未対応件数、重要システムの停止時間、訓練実施率、委託先の評価状況などを設定できます。インシデント発生時の報告、復旧、顧客対応、再発防止までの流れを事前に決めておくことも重要です。
導入時に陥りやすい課題と定着のポイント
RAFの導入では、抽象的な方針だけを作り、現場の判断や経営会議に使われないことが課題になりがちです。「適切にリスクを管理する」といった表現だけでは、現場は具体的に行動できません。
また、数値化にこだわりすぎることも注意が必要です。戦略、人材、評判、企業文化など、数値だけでは捉えにくいリスクもあります。定性的な方針と定量的な指標を組み合わせることが重要です。
定着させるためには、次の点を押さえます。
- 経営層が策定と運用に継続して関与します。
- 事業戦略、予算、投資審査、人事評価と結び付けます。
- 現場が理解できる言葉で方針と判断基準を示します。
- 指標を絞り込み、超過時の報告と対応を明確にします。
- 重大な環境変化や事故の後には、方針と運用を見直します。
RAFは、リスクを理由に挑戦を止めるための仕組みではありません。企業が守るべき価値を守りながら、成長のために必要なリスクを適切に取るための経営基盤です。自社の戦略や事業特性に合わせて設計し、継続的に改善することで、意思決定の質を高められます。
