また、最終的に最も大切になるのはコミュニケー ションです。リスクに関する情報のほとんどは、組織のいたるところに転がっています。リスクにどう対応するかの経営の意思も、実は経営の中でははっきりと 決まっていることが多いのです。ところが、こうした情報や意思決定が、組織のどこかに滞留していて、伝わるべき人に伝わっていない。コンサルティングをし ていると、そうした組織が実に多いことに驚きます。それはリスクマネジメントではなくて、組織論じゃないか？と言われそうですが、そうかもしれません。風通しをいかに良くするかもリスクマネジメントにおける大事な鍵なのです。

COSO-ERMでも、ISO31000でも、どの部門のどのよ うな仕事でも、リスクマネジメントが必要だと明示されています。一般的に企業のリスクマネジメントは、訴訟問題が起これば法務部が、情報漏洩が起これば情 報セキュリティ部門が担当するコーポレート部門や管理部門だけが行えばいいと思われがちですが、これは間違いです。あらゆる場所にリスクは存在します。そ のすべてに対策が打てないとしても、そうしたリスクがあることをトップと現場が、認識することが重要です。

Q6．リスクマネジメントは、危機発生後の体制、つまりクライシスマネジメントの体制とは若干違うように思います。ERMと危機管理を合わせたマネジメント体制が求められるのではないでしょうか。
前者を平時の管理体制、後者を有事の管理体制と捉えた意味でおっしゃっているのだと思いますが、当然、企業には両観点での活動が求められます。すなわち、企 業にはリスクの顕在化を未然に防ぐ予防策と、リスクが残念ながら顕在化してしまった際の対応策の両視点から考えることが必要だということです。なぜなら、 平時と有事ではそもそも前提が異なるからです。利用できる経営資源、得られる情報量、意思決定に求められるスピード……その全てが平時と有事とで異なるわ けですから、体制も異なって当たり前です。　

たとえば、東日本大震災の原発事故が良い例です。数年たった今でこそ、あの事故の状況がだい ぶ良く分かってきましたが、当時、各企業が入手できる情報は限られたものでした。しかも状況は刻一刻と変わる。そのような状況下で、工場を稼働すべきか、 社員を通常通り出社させるべきか、あるいは汚染の可能性を100％否定できない製品を出荷すべきか、もし出荷をするとして否定できないリスクを誰にどこま でどうやって伝えるのか……一部の企業はそのような経験をしたはずです。この時にもし、「関係者全員が集まるまで協議開始を待つ」「精緻なリスク分析がで きるようになるまで意思決定をしない」「状況が明らかになるまで不確定要素の高いリスクを関係会社に伝えない」など平時の感覚で対応していたとした ら……。それがふさわしくないことはお分かりいただけると思います。　

なお、厳密には、広義のERMに、危機管理も包含されています。そ の意味で危機管理に対してもISO31000やCOSO-ERMが適用できるのですが、それ自体、テーマが重いものであるし、ISO31000などでも詳 しく言及してはいないので、ISO22320のような危機管理の枠組みを示した規格などを参考されるといいでしょう。

Q7．ERMに取り組むためのアドバイスをお願いします。
基本的に現在のリスクマネジメントをベースにCOSO-ERMとISO31000を照らし合わせ、欠けている点を補う方向でいいと思いますが、やはりどの部 門でもリスクマネジメントが必須だという認識と先述したようにコミュニケーションが大事です。特に、「以心伝心」や「暗黙の了解」やに頼らないことが重要 です。　

非常に単純なことではありますが、今まで当たり前のこととして暗黙のうちに了解していたものを、明文化してみる、というのもコ ミュニケーションを円滑化させる1つの有効な手段です。たとえば、弊社では社内向けプロジェクトでも社外向けでも、プロジェクト開始時には必ずリスクを検 討し対応を文書化することを促しています。頭の中で漠然としていたリスクを、紙に書かせて明示化します。こんな些細なことでもチーム内のリスクマネジメン トに役に立ちます。　

「社長が何か言ってくるはずだ」「現場が何か言ってくるはずだ」「言わなくても、分かっているはずだ」「あちらが、 このリスクの責任部門だから自分には関係ないはずだ」「言わなくてもお客様は分かってくれるはずだ」というように、「……はずだ」といったコミュニケー ションの壁を取り除くこと、これが究極のリスクマネジメントだと思います。　

最後に、ERMは抽象的で範囲も広く効果を実感しづらいですが、本質を見失わないでください。本当の目的は企業の成長であり、その目的を阻害するリスクを取り除くのがERMです。課題を直視せず、ツールありきで は、本当のリスクから目をそらすための手段として利用されかねません。複雑なリスクマップもその分析だけで満足に陥る危険性もあります。最も大切なのは ERMを確実な付加価値の提供につなげていくことです。