企業を取り巻くリスクとは？ リスク管理体制構築のポイント

「リスク」と聞いて何を思い浮かべるでしょうか？ 国際紛争や自然災害、新型コロナウイルスのような感染症、日ごとに悪質・巧妙化するサイバー攻撃――。

企業の経営環境や経営方針によって、どのリスクを重視し、対策を講じるかはさまざまです。また、突発的にリスクが顕在化することもあり、その時々で対応も大きく変化します。不確実性の高まる時代、安定的な経営や事業継続のために、企業には臨機応変なリスク管理（マネジメント）が求められています。

そこで、このコンテンツでは、幅広いリスクの中から自社に影響のあるリスクを洗い出し、分析・評価し、対応策を講じるためのポイントを紹介します。

１．企業を取り巻く経営リスク

リスクは油断したときや、意識していなかった領域から生じたとき、被害が大きくなります。そのため、さまざまなリスクの存在を知ることが重要です。

まずは、企業を取り巻くリスクを網羅的に整理してみましょう。大きくは、次の4つに分けることができます。

・戦略リスク

経営に関わる戦略や、戦略の前提となる事業環境の変化に伴って発生するリスク

・財務リスク

保有する資産や負債の価値の変動などに伴って発生するリスク

・ハザードリスク

自然災害や事故・故障など、予測困難な外的要因に伴って発生するリスク

・オペレーショナルリスク

主に自らの瑕疵（かし）・怠慢などの内的要因に伴って発生するリスク

【企業を取り巻くさまざまなリスクの例】

（出所：日本情報マート作成）

２．リスクマネジメントの手順

1）リスクを分類する

まずは、幅広いリスクの中から、企業経営への影響が強く、対策が必要なリスクを絞り込む必要があります。

リスクの内容は事業によって異なります。また、同じ事業でも時期や外部環境の変化などによってもリスクの内容は違ってきます。

そのため、社内ディスカッションやアンケートなどを活用して、部門ごとに想定されるリスクを洗い出し、そのリスクが発生した場合の影響範囲や、発生頻度などで分類していきます。

リスクを分類するための視点としては、次のようなものがあります。

• 範囲：広域＝複数の企業に及ぶのか、集中＝自社のみにとどまるのか
• 期間：長期的か、短期的か
• 発生原因：自然原因か、人為的原因か
• 発生頻度：多いか、少ないか
• 発生状況：単発的か、複合的か

2）リスクを定量化する

リスクを分類したら、次に対応の優先度を決めるために、点数を付けます。リスクを定量化する方法はさまざまありますが、例えば、発生確率、被害規模、対策状況といった指標について「5点、3点、1点、0点」と点数を付ける方法があります。

（出所：日本情報マート作成）

ここでは、発生確率、被害規模、対策状況の3つの項目でそれぞれ5点を付けた場合、最大の15点となり、これが最も重視すべきリスクになります。

点数化した一覧表を示せば、従業員もどのリスクを重視すべきなのか考えやすくなります。

3）リスクへの対応方法を決める

続いては、洗い出したリスクごとに、どのような対応を行うかを決めていきます。

対応方法には、大きく分けて「リスクの低減」「リスクの保有」「リスクの回避」「リスクの移転」の4つがあります。

・リスクの低減

リスクの発生可能性を下げる、またはリスクが発生した場合の影響度合いを小さくする、または、それら両方の対策をとる。

・リスクの保有

リスクは認識するものの、特に対策をとらず、その状態を受け入れる。

・リスクの回避

リスクを生じさせる要因そのものを取り除く。

・リスクの移転

文字通り、リスクを自社外へ「移転」する。最も典型的な対策は、保険への加入。

例えば、次のように、リスクが発生する可能性の高さを縦軸、発生した場合の影響度の大きさを横軸として、それぞれどのような対応方法が適しているかを示したものがあります。

（出所：情報処理推進機構（IPA）「情報セキュリティマネジメントとPDCAサイクル｜リスクへの対応」をもとに作成）

この表にあるように、例えば、発生する可能性は高くないものの、発生した場合の影響度が大きいリスクについては、「リスク移転」、つまり保険への加入などを検討します。

保険を使って企業の身近なリスクに備える方法については、次のコンテンツで詳しく解説しています。ぜひご覧ください。
どれが必要？ 企業リスクに備える損害保険の選び方
企業の賠償リスク対策！ 賠償責任保険の種類と選び方

実際にどの対応方法を選ぶのかは、リスク対応の目的や自社の置かれた状況などを勘案し判断することになります。

３．リスクマネジメント体制を構築するためのポイント

リスク対応の優先順位や対応方法などを、全社的に周知し、機能させていくためには、企業のリスク管理体制をしっかり整えることが重要です。そのためのポイントを見ていきましょう。

1）経営トップが積極的に関与する

企業活動を続けていく上で、リスクを完全に無くすことはできません。まずは、経営トップがこのことを正しく理解し、自らが先頭に立ち社内のリスク管理体制の構築を進めることが重要です。

2）専任チームを作る

危機管理体制を維持していくために、専任のチームを作ります。

後述する危機管理マニュアルを定期的に見直したり、従業員に周知徹底したり、その体制を継承したりしていくためにも、経営に近い部署が任務に当たるか、専任部署を設置することが望まれます。

この担当者や担当部署は、企業全体を見渡した危機管理体制を構築し、日常的にはリスクの予防対策や従業員への教育訓練を実施し、緊急時には経営トップを補佐し、危機管理対策本部の中枢として活動することが求められます。

3）危機管理マニュアルを作成する

全社的に危機管理対応能力を高める危機管理マニュアルを作成します。BCP（Business Continuity Plan：事業継続計画）などがこれに当たります。

危機管理マニュアルは、企業を取り巻くリスクを従業員に認識させた上で、危機が発生した場合に、従業員がどのように対処すべきかを記載します。

危機管理マニュアルは、作成するだけで終わるのではなく、その内容を定期的に見直し、従業員に周知徹底し、危機管理マニュアル作成当初の姿勢や体制を継承する仕組みを作ることが重要です。

4）継続的な教育の実施

危機管理の知識と意識を高める継続的な「危機管理セミナー」を実施し、ちょっとした「判断ミス」「連絡ミス」「対応ミス」が結果的に大きなリスクを招いてしまうことを、従業員に自覚してもらいます。

この他、危機に対してどう判断し、どう行動すべきかをケースごとに具体的に習得させる「シミュレーショントレーニング」、経営陣のマスコミ対応力を高めるための「メディアトレーニング」などを定期的に実施するとよいでしょう。

5）定期的な見直しが重要

リスクの状況は定期的に把握することが求められます。特に、対策がなされていないリスクについては四半期ごとなど定期的に対策の進捗を確認し、必要な措置を講じます。

同時に、前回の見直しから今回の見直しまでの間に、顕在化したリスクがあるのかを確認するとよいでしょう。

４．リスクマネジメントに関する一問一答

1）そもそも「リスク」とは？

リスクとは、
将来のいつかのタイミングで発生するであろう、予測可能な好ましくない出来事
のことです。リスクは実にさまざまあるので、通常は「リスクが発生する可能性」と「リスクが発生した場合の影響度」の視点から、重点的に対策を講じるべきリスクを洗い出し特定するという手順を踏みます。

リスクは好ましいものではありませんが、一方で企業経営にリスクは付きものなので、リスクマネジメントを通じて「リスクに過敏にならず、適切に対応」することが大切です。

2）リスクマネジメントの具体的な進め方は？

企業規模などによってリスクマネジメントの進め方は異なります。少し古い資料になりますが、2016年版中小企業白書では、次のようにリスクマネジメントの進め方が示されています。

リスクマネジメントでは「リスクの発見及び特定」から始まるので、自社を取り巻く内外の状況に高くアンテナを張ってリスクへの感度を高めることが重要です。
中小企業庁「2016年版中小企業白書（第2部 中小企業の稼ぐ力『4　リスクマネジメントの必要性』）」

3）リスクをどのように評価するか？

リスクは定量的に評価したほうが分かりやすく、他との比較もしやすくなります。前述した通り、リスクは「リスクが発生する可能性」と「リスクが発生した場合の影響度」から評価します。この記事でも第2章の「2）リスクを定量化する」において、リスクを評価する際の考え方を示しているので参考にしてください。

どこまで細かく分類するかは企業の考え方次第ですが、次のようなイメージでリスクを評価すると分かりやすいです。

4）リスクはどの程度の期間で見直すべきか？

リスクは事業内容によって異なります。つまり、事業内容に密接に関わってくるリスクがあるのですが、一方で社内外の環境は常に変化しており、突如、顕在化するリスクもあります。そのため、これまでのリスクを再確認するだけではなく、そのときの状況に応じて、リスクを再検討することが大切です。

リスクマネジメントの体制が整っている企業では、年度初めに重点的に対応するリスクを特定し、四半期ごとに評価をして、必要に応じてリスクの見直しを行っています。

5）他社はどのようなリスクを想定しているか？

1.の調査資料はさまざまですが、単発ではなく定期的に行われている調査のほうが過去と比較できるので理想的です。例えば、
デロイトトーマツグループ「企業のリスクマネジメントおよびクライシスマネジメント実態調査」
などは定期的に調査されています（上記リンク先は2022年版）。

2.の有価証券報告書は、公表している先が上場企業に限られますが、そうした先から仕事を受注している場合、発注元の想定リスクを知ることは有意義です。リスクは有価証券報告書の「事業の状況」の項目で記載されています（「課題」などとして記載されていることもあります）。

この他、経営者同士のネットワークで互いが想定しているリスクについて情報交換することもできます。

以上

（執筆　日本情報マート）

生24-1468,法人開拓戦略室