企業リスク管理

ビジネスにおけるエンタープライズ リスク管理( ERM ) には、組織が目標達成に関連するリスクを管理し、機会を捉えるために使用する方法とプロセスが含まれます。ERM はリスク管理のフレームワークを提供します。これには通常、組織の目標 (脅威と機会) に関連する特定のイベントまたは状況の特定、影響の可能性と大きさの観点からの評価、対応戦略の決定、およびプロセスの監視が含まれます。企業はリスクと機会を特定し、積極的に対処することで、所有者、従業員、顧客、規制当局、および社会全体を含む利害関係者のために価値を保護し、創造します。

ERM は、内部統制、サーベンス・オクスリー法、データ保護、戦略計画の概念を統合した、企業管理に対するリスクベースのアプローチとも言えます。ERM は、複雑な組織が直面する幅広いリスクを理解し、適切に管理したいと考えるさまざまな利害関係者のニーズに対応するために進化しています。規制当局や債務格付け機関は、企業のリスク管理プロセスに対する監視を強化しています。

ジョンズ・ホプキンス大学のトーマス・スタントンによれば、企業リスク管理の目的は、官僚主義を増やすことではなく、本当に大きなリスクは何かという議論を促進することである。^[1]

重要な ERM フレームワークは数多くあり、それぞれが企業が直面する内部および外部環境におけるリスクと機会を特定、分析、対応、監視するためのアプローチを説明しています。経営陣は、特定および分析された特定のリスクに対して、次のような リスク対応戦略​​を選択します。

1. 回避：リスクを生じさせる活動から撤退する
2. 削減: リスクに関連する可能性または影響を軽減するための措置を講じる
3. 代替措置: リスクを最小限に抑えるための他の実行可能なステップを決定し検討する
4. 共有または保険：リスクの一部を移転または共有して、資金を調達する
5. 受け入れ: コストと利益の判断により、何も行動を起こさない

監視は通常、リスク対応戦略​​がどのように機能しているか、目標が達成されているかどうかを把握するために、分析レポートのレビューや関連する専門家との管理委員会の会議など、内部統制活動の一環として経営陣によって実行されます。

2003年、米国損害保険数理協会（CAS）は、ERMを「あらゆる業界の組織が、ステークホルダーに対する組織の短期的および長期的な価値を高める目的で、あらゆるソースからのリスクを評価、管理、活用、資金調達、監視する規律」と定義しました。 ^{[2] CASは、ERMを}リスクタイプとリスク管理プロセスの2つの次元にわたって進めるものと概念化しました。 ^[2]リスクタイプと例は次のとおりです。^[3]

危険リスク

責任不法行為、財産損害、自然災害

財務リスク

価格リスク、資産リスク、通貨リスク、流動性リスク

運用リスク

顧客満足度、製品の欠陥、誠実性、評判リスク、内部人材の引き抜き、知識流出

戦略リスク

競争、社会動向、資本の入手可能性

リスク管理プロセスには以下が含まれる: ^[4]

1. コンテキストの確立:これには、組織が内部、外部、およびリスク管理コンテキストで運営されている現在の状況を理解することが含まれます。
2. リスクの特定:これには、組織の目標達成に対する重大な脅威の文書化と、組織が競争上の優位性を得るために活用できる領域の表現が含まれます。
3. リスクの分析/定量化:これには、各重大なリスクの調整と、可能であれば結果の確率分布の作成が含まれます。
4. リスクの統合:これには、相関関係とポートフォリオ効果を反映したすべてのリスク分布の集約と、組織の主要なパフォーマンス指標への影響の観点からの結果の定式化が含まれます。
5. リスクの評価/優先順位付け:これには、各リスクが総合的なリスク プロファイルに与える影響の判断と、適切な優先順位付けが含まれます。
6. リスクの処理/活用:これには、さまざまなリスクを制御および活用するための戦略の開発が含まれます。
7. 監視とレビュー:これには、リスク環境とリスク管理戦略のパフォーマンスの継続的な測定と監視が含まれます。

2004年に発行されたCOSOの「エンタープライズリスクマネジメント統合フレームワーク」（新版COSO ERM 2017は記載されておらず、2004年版は古い）では、ERMを「…企業の取締役会、経営陣、その他の従業員によって実行され、戦略設定および企業全体に適用され、企業に影響を及ぼす可能性のある潜在的なイベントを特定し、リスクをリスク許容度内に管理して、企業の目標達成に関して合理的な保証を提供するように設計されたプロセス」と定義しています。^[5]

COSO ERM フレームワークには、8 つのコンポーネントと 4 つの目標カテゴリがあります。これは、1992 年に公開され、1994 年に修正された COSO内部統制統合フレームワークの拡張版です。8 つのコンポーネントは次のとおりです。

• 内部環境
• 目標設定
• イベントの識別
• リスクアセスメント
• リスク対応
• 管理活動
• 情報通信
• 監視

4 つの目標カテゴリ (強調表示された追加コンポーネント) は次のとおりです。

• 戦略- 組織の使命と一致し、それをサポートする高レベルの目標
• 運用- リソースの効果的かつ効率的な使用
• 財務報告- 業務報告と財務報告の信頼性
• コンプライアンス- 適用される法律および規制の遵守

ISO 31000は、2009年11月13日に発行され、2018年に更新されたリスクマネジメントの国際規格です。付随規格であるISO 31010 - リスク評価手法は、リスクマネジメント用語集ISOガイド73の更新版とともに、すぐに発行されました（2009年12月1日）。この規格では、価値の創造と保護という中心的な目的に基づいて8つの原則が定められています。^[6]

組織は本来、リスクを管理しており、特定のリスクを特定して管理するさまざまな既存の部門または機能 (「リスク機能」) を持っています。ただし、各リスク機能は、機能と他のリスク機能との連携方法が異なります。ERM の中心的な目標と課題は、この機能と連携を向上させるとともに、出力を統合して利害関係者にリスクの統一されたイメージを提供し、組織がリスクを効果的に管理する能力を向上させることです。

ERM プログラムに参加する可能性のある大企業の主なリスク管理機能には、通常、次のものが含まれます。

• 戦略計画 - 外部の脅威と競争機会を特定し、それらに対処するための戦略的取り組みを特定します。
• マーケティング - 対象顧客を理解し、製品/サービスが顧客の要件に適合していることを確認します。
• コンプライアンスと倫理 - 行動規範の遵守を監視し、不正行為の調査を指揮します
• 会計/財務コンプライアンス - 財務報告リスクを特定するサーベンス・オクスリー法第302条および404条の評価を指揮します。
• 法務部門 - 訴訟を管理し、組織に影響を及ぼす可能性のある新たな法的動向を分析します。
• 保険 - 組織に適切な保険が適用されるようにします
• 財務 - 商品価格や外国為替に関連するリスクを管理しながら、ビジネスニーズを満たすのに十分な現金を確保します。
• 運用品質保証 - 運用出力が許容範囲内であることを確認します
• 運用管理 - 日々の業務を確実に遂行し、関連する障害を解決できるよう努めます。
• 信用 - 顧客に提供される信用が顧客の支払い能力に適切であることを保証する
• 顧客サービス - 顧客からの苦情が迅速に処理され、根本的な原因が解決のために運営部門に報告されるようにします。
• 内部監査 - 上記の各リスク機能の有効性を評価し、改善を推奨します。
• 企業セキュリティ - 物理的および情報セキュリティの脅威によってもたらされるリスクを特定、評価、軽減します

さまざまなコンサルティング会社がERMプログラムの導入方法について提案を行っています。^[7] 一般的なトピックと課題は次のとおりです。^[8]

• ERM のエグゼクティブ スポンサーを特定します。
• 共通のリスク言語または用語集を確立する。
• 企業のリスク許容度（つまり、企業が取るリスクと取らないリスク）を説明する
• 「リスクインベントリ」でリスクを識別し、説明します。
• 機能内および機能間でリスクを優先順位付けするためのリスクランク付け方法論を実装します。
• リスク機能の特定の活動を調整するために、リスク委員会および/または最高リスク管理責任者(CRO) を設置します。
• 特定のリスクと対応に対する所有権を確立します。
• リスク管理の取り組みの費用対効果を実証する。
• リスクが適切に管理されるように行動計画を策定します。
• さまざまな利害関係者向けの統合レポートの開発。
• リスクを軽減するために実行されたアクションの結果を監視します。
• 内部監査人、コンサルティング チーム、その他の評価組織による効率的なリスク カバレッジを確保します。
• サードパーティおよびリモート従業員による安全な参加を可能にする技術的な ERM フレームワークを開発します。

内部監査人は、情報技術監査に加えて、組織のリスク管理プロセスを評価し、継続的な改善を推進する上で重要な役割を果たします。しかし、組織の独立性と客観的な判断力を維持するために、内部監査の専門基準では、内部監査部門は、企業のリスク管理の決定を下したり、リスク管理機能を管理したりする直接的な責任を負ってはならないと規定されています。^[9]

内部監査人は通常、企業の年次リスク評価を実施し、翌年の監査業務計画を作成します。この計画は実際にはさまざまな頻度で更新されます。これには通常、企業が実施するさまざまなリスク評価 (戦略計画、競合ベンチマーク、SOX 404 トップダウン リスク評価など) のレビュー、以前の監査の検討、さまざまな上級管理職との面談が含まれます。これは監査プロジェクトを特定するために設計されており、企業のリスクを直接特定、優先順位付け、管理するためのものではありません。

世界中の企業のリスク管理プロセスは、規制当局や民間からの監視が厳しくなっています。リスクはあらゆるビジネスに不可欠な要素です。リスクを適切に管理すれば、成長と機会が促進されます。経営幹部は、金融市場の混乱、合併、買収、再編、破壊的な技術の変化、地政学的不安定性、エネルギー価格の高騰など、直接制御できない部分的または完全にビジネス上のプレッシャーに悩まされています。

2002年のサーベンス・オクスリー法第404条は、米国の上場企業に内部統制評価において統制フレームワークを利用することを義務付けました。多くの企業が、リスク評価要素を含むCOSO 内部統制フレームワークを選択しました。さらに、 2007年に証券取引委員会（SEC）と公認会計士監査委員会が発行した新しいガイダンスでは、トップダウン型リスク評価に対する監視が強化され、不正リスク評価を実行するための具体的な要件が盛り込まれました。^[10] 不正リスク評価には通常、潜在的な（または経験した）不正のシナリオ、組織に関連するリスク、関連する統制、および結果として講じられた措置の特定が含まれます。

ニューヨーク証券取引所は、上場企業の監査委員会に対し、「リスク評価とリスク管理に関する方針を議論する」ことを義務付けている。関連する論評は次のように続けている。「企業のリスクへのエクスポージャーを評価し管理するのは CEO と上級管理職の仕事であるが、監査委員会は、リスクを処理するプロセスを統制するガイドラインと方針を議論しなければならない。監査委員会は、企業の主要な財務リスク エクスポージャーと、そのようなエクスポージャーを監視および管理するために経営陣が講じた措置について議論すべきである。監査委員会は、リスク評価と管理の唯一の責任機関である必要はないが、前述のように、リスク評価と管理を実施するプロセスを統制するガイドラインと方針を議論しなければならない。多くの企業、特に金融企業は、監査委員会以外のメカニズムを通じてリスクを管理および評価している。これらの企業が実施しているプロセスは、監査委員会によって一般的な方法でレビューされるべきであるが、監査委員会によって置き換えられる必要はない。」^[11]

債務格付け機関のスタンダード・アンド・プアーズ（S&P）は、企業評価プロセスにリスク管理に関する一連の質問を含める予定である。これは2007年に金融会社に導入される予定である。^[12] この調査結果は債務格付けで考慮される多くの要素の1つであり、貸付金や債券に対して貸し手が企業に請求する金利に相応の影響を及ぼしている。^[13] 2008年5月7日、S&Pは2009年から非金融会社の格付けにERM評価を含めることも発表し、^[14] 2008年第4四半期のレポートで最初のコメントを発表した。 ^[15]

国際金融公社パフォーマンス基準^[16]は、健康、安全、環境、社会のリスクと影響の管理に重点を置いています。民間セクター、政府、市民社会組織との2年間の交渉プロセスを経て、2012年1月1日に第3版が発行されました。この基準は、37か国の118を超える商業銀行のコンソーシアムである赤道原則銀行によって採用されています。

欧州連合の一般データ保護規則などのデータプライバシー規則では、氏名、電子メールアドレス、個人の財務情報などの個人データの適切な保護を維持できなかった場合、またはデータプライバシーが侵害された場合に影響を受ける個人に警告しなかった場合に、重大な罰則が課されることがますます想定されています。EU規則では、EU域外の組織を含むすべての組織が、EUに居住する個人の個人データを取り扱う場合は、 最高管理レベルに報告するデータ保護責任者を任命することを義務付けています^{[17] 。}

2003年、損害保険数理協会（CAS）のエンタープライズリスクマネジメント委員会は、ERMの概要を発表しました。^[18]この論文では、損害保険数理の観点からERMの進化、根拠、定義、フレームワークが示され、用語、概念的および技術的基礎、実際の実践と応用、ケーススタディも含まれていました。^[18]

CASは、ERMに関する具体的な目標を掲げており、その中には「損害保険分野におけるエンタープライズリスクマネジメント（ERM）に関する教育資料の国際的リーダーとなること」^[19]や、その点における損害保険アクチュアリーの研究、開発、トレーニングの支援などがある。^[20] CASは独自の資格認定を発行することを控えているが、その代わりに2007年にCAS理事会は、CASがグローバルERM認定を開発する取り組みに参加し、後日最終決定を下すべきであると決定した。^[21]

2007年、アクチュアリー協会は、成長を続けるエンタープライズリスクマネジメントの分野に対応して、公認エンタープライズリスクアナリスト（CERA）資格を開発しました。^[22]これは、1949年以来、SOAによって導入された最初の新しい専門資格です。 ^[23] CERAは、運用、投資、戦略、評判などのさまざまなリスクがどのように組み合わさって組織に影響を与えるかに焦点を当てて研究します。CERAは、保険、再保険、コンサルティング市場以外の環境で働いており、金融サービス、エネルギー、輸送、メディア、テクノロジー、製造、ヘルスケアなど、より広範な環境で働いています。^[23]

基本的な保険数理学、ERMの原則、専門職に関するコースを組み合わせたCERAカリキュラムを修了するには、約3～4年かかります。CERA資格を取得するには、候補者は5つの試験を受け、教育経験要件を満たし、オンラインコースを1つ修了し、専門職に関する対面コースを1つ受講する必要があります。^[23]

当初、すべてのCERAはアクチュアリー会の会員であったが^[24]、2009年にCERAの称号は、複数のアクチュアリー団体によって授与および規制される世界的な専門資格となった。^[25] 例えば、アクチュアリー会の公認エンタープライズリスクアクチュアリーなどである。

• Thomas Stanton (2017 年 2 月 18 日)。「エンタープライズ リスク管理」。YouTube。TEDxJHUDC。
• Airmic / Alarm / IRM (2010)「エンタープライズリスクマネジメント (ERM) と ISO 31000 の要件への構造化アプローチ」
• ホプキン、ポール「リスクマネジメントの基礎 第2版」コーガン・ページ（2012年）ISBN 978-0-7494-6539-1