リスク管理

リスク管理とは、リスクの特定、評価、優先順位付けを行い、リスク発生の影響や発生確率を最小限に抑え、監視し、管理することです。^[1]

リスクは、国際市場の不確実性、政情不安、プロジェクト失敗の危険性（設計、開発、生産、ライフサイクルの維持のあらゆる段階で）、法的責任、信用リスク、事故、自然原因および災害、敵対者による意図的な攻撃、または根本原因が不確実または予測不可能な事象など、さまざまな原因（つまり、脅威）から発生する可能性があります。

イベントには2種類あり、ネガティブなイベントはリスク、ポジティブなイベントは機会として分類されます。リスク管理基準は、プロジェクトマネジメント協会、米国標準技術研究所、保険数理協会、国際標準化機構など、さまざまな機関によって策定されてきました。^{[2] [3] [4]方法、定義、目標は、リスク管理方法が}プロジェクト管理、セキュリティ、エンジニアリング、産業プロセス、金融ポートフォリオ、保険数理評価、公衆衛生と安全のいずれの文脈にあるかによって大きく異なります。特定のリスク管理基準は、リスクに関して目に見える改善がない一方で、推定と決定に対する信頼性は高まると批判されてきました。^[1]

脅威（マイナスの結果をもたらす不確実性）を管理する戦略には、通常、脅威を回避すること、脅威のマイナスの影響や可能性を減らすこと、脅威の全部または一部を別の当事者に移転すること、さらには特定の脅威の潜在的または実際の結果の一部またはすべてを保持することなどが含まれます。これらの戦略の反対は、機会（利益をもたらす不確実な将来の状態）に対応するために使用できます。

リスクマネージャー^[5]は、専門的な役割として、 「組織の包括的な保険およびリスク管理プログラムを監督し、組織の評判、安全、セキュリティ、または財務上の成功を妨げる可能性のあるリスクを評価および特定」し、マイナスの（財務上の）結果を最小化および/または緩和するための計画を策定します。リスクアナリスト^[6]は 、組織のリスク管理アプローチの技術面をサポートします。リスクデータが収集および評価されると、アナリストは調査結果をマネージャーと共有し、マネージャーはそれらの洞察を使用して可能な解決策を決定します。最高リスク管理責任者、内部監査、および財務リスク管理§コーポレートファイナンスも参照してください。

リスク管理は、1920 年代から科学文献や経営文献に登場しています。1950 年代には正式な科学となり、タイトルに「リスク管理」を含む記事や書籍が図書館検索にも表示されるようになりました。^[7]当初、研究のほとんどは金融と保険に関連していました。

リスク管理で使用される用語を明確にする一般的な規格の1つは、ISOガイド31073：2022「リスク管理 - 用語」です。^[2]

理想的なリスク管理では、損失 (または影響) が最も大きく、発生確率が最も高いリスクを最初に処理するという優先順位付けプロセスに従います。発生確率が低く、損失が少ないリスクは降順で処理されます。実際には、全体的なリスクを評価するプロセスは困難な場合があり、発生確率は高いが損失が少ないリスクと、損失は大きいが発生確率が低いリスクの間で軽減するために使用されるリソースのバランスをとることが、しばしば誤って処理されることがあります。

無形リスク管理は、発生確率が 100% であるにもかかわらず、識別能力の欠如のために組織によって無視されている新しいタイプのリスクを特定します。たとえば、状況に不十分な知識が適用されると、知識リスクが顕在化します。関係リスクは、効果のないコラボレーションが発生すると発生します。プロセス エンゲージメント リスクは、効果のない運用手順が適用されると問題になる場合があります。これらのリスクは、知識労働者の生産性を直接低下させ、費用対効果、収益性、サービス、品質、評判、ブランド価値、収益の質を低下させます。無形リスク管理により、リスク管理は、生産性を低下させるリスクを特定して削減することで、即時の価値を生み出すことができます。

機会費用は、リスク管理者にとって特有の課題です。リスク管理にリソースを投入するタイミングと、そのリソースを他の用途に使用するタイミングを判断するのは難しい場合があります。繰り返しますが、理想的なリスク管理では、支出 (または人材やその他のリソース) を最小限に抑え、リスクの悪影響も最小限に抑えます。

リスクとは、目標の達成に悪影響を与えるイベントが発生する可能性と定義されます。したがって、不確実性はリスクの重要な側面です。トレッドウェイ委員会組織委員会のエンタープライズ リスク管理 (COSO ERM) などのシステムは、管理者がリスク要因を軽減するのに役立ちます。各企業には異なる内部統制コンポーネントがあり、結果も異なります。たとえば、ERM コンポーネントのフレームワークには、内部環境、目標設定、イベント識別、リスク評価、リスク対応、管理活動、情報とコミュニケーション、および監視が含まれます。

機会は、1990 年代に学術研究や経営書に初めて登場しました。1987 年の最初の PMBoKプロジェクト管理知識体系の草案では、機会についてはまったく触れられていません。

現代のプロジェクトマネジメント学派は機会の重要性を認識しています。機会は1990年代からプロジェクトマネジメントの文献（PMBoKなど）に取り上げられており、2000年代にはプロジェクトリスクマネジメントの重要な部分となり、^[8]「機会管理」というタイトルの記事も図書館検索で表示されるようになりました。このように、機会管理はリスクマネジメントの重要な部分となりました。

現代のリスク管理理論は、プラスとマイナスを問わず、あらゆる種類の外部イベントを扱います。プラスのリスクは機会と呼ばれます。リスクと同様に、機会にも、活用、共有、強化、無視といった特定の軽減戦略があります。

実際には、リスクは「通常はネガティブ」であると考えられています。リスク関連の研究と実践では、機会よりも脅威に重点が置かれています。これは、ターゲット固定などのネガティブな現象につながる可能性があります^[9]

ほとんどの場合、これらの方法は、多かれ少なかれ次の順序で実行される次の要素で構成されます。

1. 脅威を特定する
2. 特定の脅威に対する重要な資産の脆弱性を評価する
3. リスク（特定の資産に対する特定の種類の攻撃の予想される可能性と結果）を判断する
4. リスクを軽減する方法を特定する
5. リスク低減対策を優先する

プロジェクト管理知識体系(PMBoK)で定義されているリスク管理知識領域は、次のプロセスで構成されます。

1. リスク管理計画– リスク管理活動の実施方法を定義します。
2. リスクの特定- 個々のプロジェクトのリスクとその原因を特定します。
3. 定性リスク分析を実行します。確率と影響度を評価して、個々のプロジェクト リスクに優先順位を付けます。
4. 定量的リスク分析（影響の数値分析）を実行します。
5. リスク対応を計画する- オプションを開発し、戦略とアクションを選択します。
6. リスク対応の実施- 合意されたリスク対応計画を実施する。PMBoK第4版では、このプロセスは監視と制御プロセスのアクティビティとして含まれていましたが、後にPMBoK第6版で別のプロセスとして分離されました。^[10]
7. リスクの監視- 実装の監視。このプロセスは、以前の PMBoK 第 4 版では監視と制御と呼ばれていましたが、これには「リスク対応の実装」プロセスも含まれていました。

国際標準化機構（ISO）は、リスク管理に関して以下の原則を特定している。^[3]

• 価値を創造する– リスクを軽減するために費やすリソースは、何もしないことによる結果よりも少なくすべきである
• 組織プロセスの不可欠な部分となる
• 意思決定プロセスに参加する
• 不確実性と仮定を明確に扱う
• 体系的かつ構造化されたプロセスを使用する
• 入手可能な最良の情報を活用する
• 柔軟に対応
• 人的要因を考慮する
• 透明性と包括性を保つ
• 動的で反復的であり、変化に敏感であること
• 継続的な改善と強化が可能であること
• 継続的な再評価

ブノワ・マンデルブロは「軽度」リスクと「高度」リスクを区別し、この2種類のリスクに対するリスク評価と管理は根本的に異なる必要があると主張した。^[11]軽度リスクは正規分布またはほぼ正規分布に従い、平均回帰と大数の法則に従うため、比較的予測しやすい。高度リスクはパレート分布やべき乗分布などの裾が厚い分布に従い、裾回帰（平均または分散が無限大で、大数の法則が無効または効果がない）に従うため、予測が困難または不可能である。リスク評価と管理でよくある誤りは、リスクの高度さを過小評価することであり、実際には高度であるリスクを軽度であると想定してしまうことである。マンデルブロによれば、リスク評価と管理を有効かつ信頼できるものにするには、このような誤りを避けなければならない。

ISO 31000規格「リスク管理 - ガイドライン」によれば、リスク管理のプロセスは次のようないくつかのステップで構成されています。^[3]

これには以下が含まれます:

1. コンテキスト（組織の環境）を観察する
   • リスク管理の社会的範囲
   • 利害関係者のアイデンティティと目的
   • リスクを評価する基礎、制約。
2. 活動の枠組みと特定のための議題を定義する
3. プロセスに伴うリスクの分析を開発する
4. 利用可能な技術的、人的、組織的資源を活用したリスクの軽減または解決

コンテキストを確立した後、リスク管理プロセスの次のステップは、潜在的なリスクを特定することです。リスクとは、引き起こされると問題や利益を引き起こすイベントのことです。したがって、リスクの特定は、問題の原因と競合他社の問題 (利益) から、または問題の結果から始めることができます。

• リスク源分析^[12] – リスク源は、リスク管理の対象となるシステムの内部または外部に存在する可能性がある（リスクは、その定義上、管理できない意思決定の要因を扱うため、管理ではなく軽減を使用する）。

リスク源の例としては、プロジェクトの利害関係者、会社の従業員、空港上の天候などが挙げられます。

• 問題分析^[要出典] – リスクは特定された脅威に関連しています。たとえば、金銭の損失の脅威、機密情報の悪用の脅威、人為的ミス、事故、死傷者の脅威などです。脅威はさまざまな組織に存在する可能性がありますが、最も重要なのは株主、顧客、政府などの立法機関です。

原因または問題のいずれかがわかっている場合、原因が引き起こす可能性のあるイベントや問題につながる可能性のあるイベントを調査できます。たとえば、プロジェクト中に関係者が撤退すると、プロジェクトの資金が危険にさらされる可能性があります。また、閉鎖されたネットワーク内であっても、従業員が機密情報を盗む可能性があります。離陸中の航空機に雷が落ちて、搭乗者全員が即死する可能性があります。

リスクを特定するために選択される方法は、文化、業界の慣行、コンプライアンスによって異なります。特定方法は、テンプレート、またはソース、問題、またはイベントを特定するためのテンプレートの開発によって形成されます。一般的なリスク特定方法は次のとおりです。

• 目標に基づくリスクの特定^[要出典] – 組織およびプロジェクト チームには目標があります。目標の達成を妨げる可能性のあるイベントはすべてリスクとして特定されます。
• シナリオベースのリスク特定 –シナリオ分析では、さまざまなシナリオが作成されます。シナリオは、目的を達成するための代替手段であったり、市場や戦闘などにおける力の相互作用の分析であったりします。望ましくないシナリオ代替案を引き起こすイベントはすべてリスクとして特定されます。未来学者が使用する方法論については、未来研究を参照してください。
• 分類に基づくリスク識別 – 分類に基づくリスク識別における分類は、考えられるリスク源の分類です。分類とベストプラクティスの知識に基づいて、アンケートが作成されます。質問に対する回答からリスクが明らかになります。^[13]
• 共通リスクチェック^[14] – いくつかの業界では、既知のリスクのリストが利用可能であり、リスト内の各リスクは特定の状況に適用できるかどうかをチェックすることができます。^[15]
• リスクチャート作成^[16] – この方法は、リスクにさらされているリソース、それらのリソースに対する脅威、リスクを増加または減少させる可能性のある変更要因、および回避したい結果をリスト化することで、上記のアプローチを組み合わせたものです。これらの見出しの下にマトリックスを作成すると、さまざまなアプローチが可能になります。リソースから始めて、それらがさらされている脅威とそれぞれの結果を検討することができます。または、脅威から始めて、どのリソースに影響を与えるかを調べることもできます。または、結果から始めて、それらをもたらすためにどのような脅威とリソースの組み合わせが関係するかを判断することもできます。

リスクが特定されたら、その影響の潜在的深刻度（通常は損害や損失などのマイナスの影響）と発生確率を評価する必要があります。これらの量は、失われた建物の価値の場合は簡単に測定できますが、発生確率が不明なまれなイベントの場合は確実に知ることが不可能です。したがって、評価プロセスでは、リスク管理計画の実施を適切に優先順位付けするために、十分な情報に基づいた決定を下すことが重要です。

短期的にはプラスの改善であっても、長期的にはマイナスの影響を及ぼす可能性があります。「ターンパイク」の例を見てみましょう。高速道路は、より多くの交通量を可能にするために拡幅されます。交通容量が増えると、改善された交通容量の周辺地域での開発が促進されます。時間の経過とともに、利用可能な容量を満たすために交通量が増加します。そのため、ターンパイクは、終わりのないサイクルで拡張する必要があります。拡張された容量 (任意の機能を実行するために) がすぐに需要の増加によって満たされるエンジニアリングの例は他にも多数あります。拡張にはコストがかかるため、予測と管理がなければ、結果として生じる成長は持続不可能になる可能性があります。

リスク評価の根本的な難しさは、発生率の判定です。過去のあらゆる種類の事件に関する統計情報は入手できず、特に大惨事の場合は頻度が低いため、統計情報が乏しいからです。さらに、無形資産の場合、結果 (影響) の重大性を評価することは非常に難しいことがよくあります。資産評価も対処が必要な別の問題です。したがって、最も知識のある意見と入手可能な統計が主な情報源です。それでも、リスク評価では、組織の上級管理職が主要なリスクを理解しやすく、リスク管理の決定を会社全体の目標内で優先できるような情報を提供する必要があります。したがって、リスクを定量化する理論や試みはいくつかあります。さまざまなリスクの公式がありますが、おそらく最も広く受け入れられているリスク定量化の公式は、「発生率 (または確率) にイベントの影響を掛けたものがリスクの大きさに等しい」です。^{[あいまい]}

リスク軽減策は通常、次の主要なリスク オプションの 1 つ以上に従って策定されます。

1. 最初から適切なリスク管理と封じ込め対策を組み込んだ新しいビジネス プロセスを設計します。
2. 進行中のプロセスでビジネス運営の通常の特徴として受け入れられているリスクを定期的に再評価し、軽減策を変更します。
3. リスクを外部機関（保険会社など）に移管する
4. リスクを完全に回避する（例えば、特定の高リスク事業分野を閉鎖するなど）

その後の研究^[17]では、リスク管理の経済的利益は使用される計算式にあまり依存せず、リスク評価の頻度と実行方法に大きく依存することが示されています。

ビジネスでは、リスク評価の結果を財務、市場、またはスケジュールの観点から提示できることが不可欠です。Robert Courtney Jr. (IBM、1970) は、リスクを財務の観点から提示するための公式を提案しました。Courtney の公式は、米国政府機関の公式リスク分析方法として採用されました。この公式は、ALE (年間損失期待値) の計算を提案し、予想される損失値をセキュリティ管理の実装コストと比較します (費用便益分析)。

リスクが特定され評価されると、リスクを管理するためのすべての手法は、次の4つの主要なカテゴリの1つ以上に分類されます。^[18]

• 回避（排除する、撤退する、関与しない）
• 削減（最適化 – 緩和）
• 共有（転送 - アウトソーシングまたは保険）
• 保持（承認と予算）

これらのリスク管理戦略を理想的に使用することは不可能かもしれません。戦略の中には、リスク管理の決定を下す組織や個人にとって受け入れられないトレードオフを伴うものもあります。米国国防総省 (リンクを参照) の別の情報源であるDefense Acquisition Universityでは、これらのカテゴリを ACAT (回避、管理、受け入れ、または移転) と呼んでいます。この ACAT の頭字語の使用は、リスク管理が意思決定と計画において重要な位置を占める、米国国防産業の調達で使用される別の ACAT (Acquisition Category) を彷彿とさせます。

リスクと同様に、機会にも、活用、共有、強化、無視といった特定の緩和戦略があります。

これには、リスクをもたらす可能性のある活動を行わないことも含まれます。法的責任を回避するために不動産や事業の購入を拒否することはその一例です。ハイジャックを恐れて飛行機に乗るのを避けること。回避はすべてのリスクに対する答えのように思えるかもしれませんが、リスクを回避することは、リスクを受け入れる（保持する）ことで得られる可能性のある潜在的な利益を失うことも意味します。損失のリスクを回避するために事業に参入しないことは、利益を得る可能性も回避します。病院でのリスク規制の強化により、リスクの高い状態の治療を避け、リスクの低い患者を優先するようになりました。^[19]

リスク軽減または「最適化」には、損失の重大性または損失が発生する可能性を軽減することが含まれます。たとえば、スプリンクラーは火災による損失のリスクを軽減するために消火するように設計されています。この方法は、水害による損失が大きくなる可能性があるため、適切ではない可能性があります。ハロン消火システムはそのリスクを軽減する可能性がありますが、戦略としてはコストが高すぎる可能性があります。

リスクはプラスにもマイナスにもなり得ることを認識し、リスクを最適化するということは、マイナスのリスクと業務や活動の利益、そしてリスクの軽減と適用される努力のバランスを見つけることを意味します。健康、安全、環境（HSE）管理基準を効果的に適用することで、組織は許容可能なレベルの残留リスクを達成できます。^[20]

現代のソフトウェア開発方法論では、段階的にソフトウェアを開発して提供することでリスクを軽減しています。初期の方法論では、開発の最終段階でのみソフトウェアが提供されていたため、初期の段階で問題が発生すると、コストのかかるやり直しが必要になり、プロジェクト全体が危険にさらされることも多々ありました。反復的に開発することで、ソフトウェア プロジェクトでは、無駄になる労力を 1 回の反復に限定できます。

アウトソーシングは、アウトソーサーがリスク管理やリスク軽減の能力を高く示すことができる場合、リスク共有戦略の一例となり得る。^[21]たとえば、企業はソフトウェア開発、ハードグッズの製造、顧客サポートのニーズのみを別の企業にアウトソーシングし、ビジネス管理自体は行う。このようにして、企業は製造プロセス、開発チームの管理、センターの物理的な場所の確保についてあまり心配することなく、ビジネス開発に集中することができる。また、コントロールを組み込むこともリスク軽減の選択肢となり得る。製品の使用中に結果が発生する前に望ましくないイベントの原因を検出するコントロール、またはチームが回避できる望ましくない障害の根本原因を検出するコントロール。コントロールは、管理または意思決定プロセスに焦点を当てる場合があります。これらすべてが、リスクに関するより適切な意思決定に役立つ可能性があります。^[22]

簡単に言えば、「リスクから生じる損失の負担または利益の利益、およびリスクを軽減するための対策を他の当事者と共有すること」です。

「リスク移転」という用語は、リスク共有の代わりに使用されることが多く、保険やアウトソーシングを通じてリスクを第三者に移転できるという誤った考えに基づいています。実際には、保険会社または請負業者が破産したり、裁判になったりした場合、元のリスクは依然として第一当事者に戻る可能性があります。そのため、実務家や学者の用語では、保険契約の購入は「リスクの移転」と表現されることがよくあります。ただし、技術的に言えば、契約の購入者は一般に「移転」された損失に対する法的責任を負います。つまり、保険はより正確には事後補償メカニズムと表現できます。たとえば、人身傷害保険では、自動車事故のリスクが保険会社に移転されるわけではありません。リスクは依然として保険契約者、つまり事故に遭った人にあります。保険契約では、保険契約者が関与する事故 (イベント) が発生した場合、保険契約者に損害に応じた補償が支払われる可能性があると規定しているだけです。

リスク管理の方法には複数のカテゴリがあります。リスク保持プールは技術的にはグループのリスクを保持しますが、グループ全体にリスクを分散するには、グループの個々のメンバー間での移転が必要です。これは従来の保険とは異なり、グループのメンバー間で事前に保険料をやり取りするのではなく、損失をグループのすべてのメンバーに評価します。

リスク保有とは、インシデントが発生したときに、リスクから生じる損失または利益を受け入れることです。真の自己保険はこのカテゴリに該当します。リスク保有は、リスクに対する保険費用が長期的には被る損失の合計よりも大きくなる小さなリスクに対して実行可能な戦略です。回避または移転されないすべてのリスクは、デフォルトで保有されます。これには、保険をかけられないか保険料が実現不可能なほど大規模または壊滅的なリスクが含まれます。戦争がその一例です。ほとんどの財産とリスクは戦争に対して保険をかけられていないため、戦争に起因する損失は被保険者が保有します。また、保険金額を超える潜在的損失 (リスク) の金額はすべて保有リスクです。これは、非常に大きな損失の可能性が低い場合、またはより大きな補償額に対する保険費用が組織の目標の達成を著しく妨げるほど大きい場合にも受け入れられる可能性があります。

各リスクを軽減するために適切な制御または対策を選択します。リスク軽減は適切なレベルの管理者によって承認される必要があります。たとえば、組織のイメージに関するリスクはトップマネジメントの決定によって行われる必要がありますが、コンピュータ ウイルスのリスクについては IT 管理者が決定権を持ちます。

リスク管理計画では、リスクを管理するための適切かつ効果的なセキュリティ管理策を提案する必要があります。たとえば、コンピュータウイルスの高リスクは、ウイルス対策ソフトウェアを入手して実装することで軽減できます。優れたリスク管理計画には、管理策の実施スケジュールと、それらの行動の責任者が含まれている必要があります。リスク管理計画には、脅威評価、脆弱性評価、影響評価、リスク軽減戦略の策定という4つの基本的なステップがあります。^[23]

ISO/IEC 27001によれば、リスク評価フェーズの完了直後の段階は、リスク処理計画の作成で構成され、特定された各リスクをどのように処理するかについての決定を文書化する必要があります。リスクの軽減は多くの場合、セキュリティ制御の選択を意味し、これは適用性ステートメントに文書化される必要があります。適用性ステートメントには、標準からどの特定の制御目標と制御が選択されたか、およびその理由が特定されます。

実施は、リスクの影響を軽減するための計画されたすべての方法に従います。保険会社に移管すると決定されたリスクに対して保険契約を購入し、組織の目標を犠牲にすることなく回避できるすべてのリスクを回避し、その他のリスクを軽減し、残りを保持します。

初期のリスク管理計画が完璧なものになることは決してありません。実践、経験、実際の損失結果により、計画の変更が必要となり、直面しているリスクに対処する際に異なる決定を下すための情報が得られます。

リスク分析結果と管理計画は定期的に更新する必要があります。これには主に 2 つの理由があります。

1. 以前に選択したセキュリティ管理がまだ適用可能で効果的であるかどうかを評価する
2. ビジネス環境におけるリスク レベルの変化の可能性を評価します。たとえば、情報リスクは急速に変化するビジネス環境の良い例です。

エンタープライズリスクマネジメント（ERM）では、リスクを、問題となっている企業に悪影響を及ぼす可能性のあるイベントや状況と定義しています。その影響は、企業の存在そのもの、リソース（人材と資本）、製品とサービス、顧客、および社会、市場、環境への外部的な影響に及ぶ可能性があります。ここではさまざまな定義されたフレームワークがあり、起こりうるすべてのリスクに対して、その起こりうる結果に対処するための計画を事前に策定できます（リスクが負債になった場合の不測の事態に備えるため）。したがって、管理者は、企業が直面している内部環境と外部環境の両方を分析および監視し、一般的なビジネスリスクと、企業が戦略目標を達成することへの影響に対処します。したがって、ERMは、運用リスク管理、財務リスク管理など、さまざまな他の分野と重複していますが、戦略的かつ長期的な焦点によって区別されます。^[24] ERMシステムは通常、評判の保護に焦点を当てており、包括的なリスク管理戦略におけるその重要な役割を認識しています。^[25]

金融に適用されるリスク管理は、企業のバランスシート、銀行の信用エクスポージャー、またはファンドマネージャーのポートフォリオ価値に関する市場リスクと信用リスク（およびオペレーショナルリスク）を測定、監視、および制御するための技術と実践に 関係します。概要については、「金融 § リスク管理」を参照してください。

• 銀行業務における従来の指標は、リスク値(VaR) です。これは、信用リスクや市場イベントの悪化により発生する可能性のある損失です。銀行はこうしたリスクをヘッジしようとし、ネットポジションでリスク資本を保有します。バーゼル IIIフレームワークは、オペレーショナルリスクを含む、並行した規制資本要件を規定しています 。
• ファンドマネージャーは、その任務と ベンチマークに基づいて、ファンドの価値を守るためにさまざまな戦略を採用しています。
• 非金融企業は、企業リスク管理と重複する、より一般的なビジネスリスク、つまりキャッシュフローや収益性に悪影響を与え、その結果としてビジネス価値の損失や株価の下落につながる可能性のあるイベントや出来事に焦点を当てています。

「契約上のリスク管理」という概念は、契約の展開におけるリスク管理技術の使用、つまり契約締結を通じて受け入れたリスクの管理を強調しています。ノルウェーの学者ペトリ・ケスキタロは、「契約上のリスク管理」を「契約計画とガバナンスを使用してビジネス活動に関連するリスクを管理する、実用的かつ積極的かつ体系的な契約方法」と定義しています。^[26] 2010年に発表されたサミュエル・グリーンガードの記事では、リスクに対処するための戦略を持つことの重要性を強調する2つの米国の訴訟事例が言及されています。^[27]

• UDC対CH2Mヒル事件は、弁護義務の受諾を含む補償条項に署名した専門アドバイザーのリスクを扱っており、それにより、第三者からの請求の対象となるクライアントを弁護するための訴訟費用を負担する可能性がある。^[28]
• ウィット対ラゴースカントリークラブ事件は、責任制限条項の有効性を扱った事件であり、特定の管轄区域では無効と判断される可能性がある。^[29]

グリーンガードは、リスクを可能な限り軽減するために、業界標準の契約文言を可能な限り使用し、長年にわたって使用され、裁判所の解釈が確立されている条項に頼ることを推奨しています。^[27]

税関リスク管理は、国際貿易の文脈で発生し、安全と治安に関係するリスクに関係しており、違法薬物や偽造品が国境を越えるリスクや、積荷とその内容物が誤って申告されるリスクなどがある。^[30]欧州連合は、連合全体と加盟国全体に適用される税関リスク管理フレームワーク（CRMF）を採用しており、その目的は、税関管理保護の共通レベルを確立すること、安全な税関管理の目的と合法的な貿易の促進との間のバランスをとることなどである。^[31]欧州委員会が2012年から2013年に税関リスク管理政策を見直すきっかけとなった2つの出来事は、2001年の9月11日の同時多発テロと、2010年の大西洋横断航空機爆弾計画であり、イエメンから米国に送られる荷物を巻き込んだ事件で、委員会はこれを「2010年10月（イエメン）事件」と呼んでいる。^[32]

ESRMは、リスク管理手法を通じてセキュリティ活動を企業の使命とビジネス目標に結び付けるセキュリティプログラム管理アプローチです。ESRMにおけるセキュリティリーダーの役割は、資産がリスクにさらされているビジネスリーダーと協力して、企業資産への損害のリスクを管理することです。ESRMには、特定されたリスクの現実的な影響についてビジネスリーダーを教育し、それらの影響を軽減するための潜在的な戦略を提示し、ビジネスが選択したオプションをビジネスリスク許容度の許容レベルに沿って実行することが含まれます^[33]

医療機器の場合、リスク管理とは、人への危害や財産や環境への損害に関連するリスクを特定、評価、緩和するプロセスです。リスク管理は、医療機器の設計と開発、製造プロセス、現場での経験の評価に不可欠な部分であり、あらゆる種類の医療機器に適用できます。その適用の証拠は、米国 FDAなどのほとんどの規制機関によって要求されています。医療機器のリスク管理は、国際標準化機構 (ISO) の製品安全規格であるISO 14971:2019、医療機器 - 医療機器へのリスク管理の適用で説明されています。この規格は、管理責任、リスク分析と評価、リスク管理、ライフサイクルリスク管理のプロセスフレームワークと関連要件を提供します。規格の適用に関するガイダンスは、ISO/TR 24971:2020 で入手できます。

リスク管理規格の欧州版は、2009 年と 2012 年に更新され、2007 年の医療機器指令 (MDD) および能動埋め込み型医療機器指令 (AIMDD) の改訂、および体外医療機器指令 (IVDD) を参照しています。EN 14971:2012 の要件は、ISO 14971:2007 とほぼ同じです。違いには、新しい MDD、AIMDD、および IVDD を参照する 3 つの「(参考)」Z 付録が含まれます。これらの付録は、リスクを可能な限り低減するという要件や、医療機器のラベルではなく設計によってリスクを軽減するという要件 (つまり、ラベルを使用してリスクを軽減することはできなくなりました) を含むコンテンツの逸脱を示しています。

医療機器業界で採用されている一般的なリスク分析および評価手法には、ハザード分析、フォールトツリー分析(FTA)、故障モード影響分析(FMEA)、ハザードおよび操作性調査 ( HAZOP )、およびリスク管理が実施され、有効であることを確認するためのリスク追跡分析 (製品要件、設計仕様、検証および妥当性確認結果などに対して特定されたリスクの追跡) などがあります。FTA 分析にはダイアグラム作成ソフトウェアが必要です。FMEA 分析はスプレッドシートプログラムを使用して実行できます。統合された医療機器リスク管理ソリューションもあります。

FDA は、ドラフトガイダンスを通じて、医療機器の安全性保証分析のための「安全性保証ケース」という別の方法を導入しました。安全性保証ケースは、科学者やエンジニアに適したシステムについての構造化された議論の推論であり、一連の証拠によって裏付けられ、システムが特定の環境における特定のアプリケーションに対して安全であるという説得力があり、理解しやすく、有効なケースを提供します。このガイダンスでは、安全性が重要なデバイス (例: 輸液デバイス) の安全性保証ケースが、市販前承認申請 (例: 510(k)) の一部として期待されています。2013 年、FDA は、医療機器メーカーがサイバーセキュリティ リスク分析情報を提出することを期待する別のドラフトガイダンスを導入しました。

プロジェクトリスク管理は、買収のさまざまな段階で考慮する必要があります。プロジェクトの開始時には、技術開発の進歩や競合他社のプロジェクトによってもたらされる脅威により、リスクまたは脅威の評価とそれに続く代替案の評価が発生する可能性があります（代替案の分析を参照）。決定が下され、プロジェクトが開始されると、より一般的なプロジェクト管理アプリケーションを使用できます。^{[34] [35] [36]}

• 特定のプロジェクトでリスクを管理する方法を計画します。計画には、リスク管理のタスク、責任、活動、予算を含める必要があります。
• リスク担当者を任命します。リスク担当者は、プロジェクト マネージャー以外のチーム メンバーで、プロジェクトの潜在的な問題を予測する責任があります。リスク担当者の典型的な特徴は、健全な懐疑心です。
• ライブ プロジェクト リスク データベースを維持します。各リスクには、開始日、タイトル、簡単な説明、確率、および重要度の属性が必要です。オプションで、リスクの解決を担当する担当者と、リスクを解決する期限を指定することもできます。
• 匿名のリスク報告チャネルを作成します。各チーム メンバーは、プロジェクトで予測されるリスクを報告できる必要があります。
• 軽減対象として選択されたリスクに対する軽減計画を準備します。軽減計画の目的は、この特定のリスクをどのように処理するか、つまり、リスクを回避するため、またはリスクが負債になった場合にその影響を最小限に抑えるために、何を、いつ、誰が、どのように行うかを説明することです。
• 計画されたリスクと直面したリスク、軽減活動の有効性、およびリスク管理に費やされた労力をまとめます。

メガプロジェクト（「主要プログラム」と呼ばれることもある）は、通常、1つのプロジェクトあたり10億ドル以上の費用がかかる大規模な投資プロジェクトです。メガプロジェクトには、主要な橋、トンネル、高速道路、鉄道、空港、港、発電所、ダム、廃水プロジェクト、沿岸洪水防止計画、石油および天然ガス採掘プロジェクト、公共の建物、情報技術システム、航空宇宙プロジェクト、防衛システムが含まれます。メガプロジェクトは、財務、安全性、社会および環境への影響の点で特にリスクが高いことが示されています。したがって、リスク管理はメガプロジェクトに特に関連しており、そのようなリスク管理のための特別な方法と特別な教育が開発されています。^[37]

洪水や地震などの自然災害に関するリスクを評価することは重要です。自然災害リスク評価の結果は、将来の修理費用、事業中断損失やその他のダウンタイム、環境への影響、保険費用、リスク削減の提案費用を検討する際に役立ちます。^{[38] [39]}仙台防災枠組は、2015年の国際協定であり、自然災害に対応して災害リスク削減の目標とターゲットを設定しています。 ^[40]ダボスでは、総合的なリスク管理を扱う 国際災害・リスク会議が定期的に開催されています。

自然災害やその他の気候事象のリスクとリスク管理を評価するために、土地変化科学の重要な要素である地理空間モデリングなど、いくつかのツールを使用できます。このモデリングには、人々の地理的分布を理解するとともに、自然災害が発生する可能性を計算する能力が必要です。

荒野や遠隔地の自然地域における人や財産へのリスク管理は、野外レクリエーションへの参加の増加と損失に対する社会的寛容度の低下とともに発展してきました。商業的な荒野体験を提供する組織は、 ANSI /NASBLA 101-2017（ボート）、^[41] UIAA 152（アイスクライミングツール）、^[42]および欧州規格13089：2015 + A1：2015（登山用具）^{[43 ]などのトレーニングと装備に関する国内および国際コンセンサス標準に準拠できるようになりました。 [44]}体験教育協会は、荒野アドベンチャープログラムの認定を行っています。^[45]荒野リスク管理会議はベストプラクティスへのアクセスを提供し、専門組織は荒野リスク管理のコンサルティングとトレーニングを提供しています。^[46]

ニュージーランド山岳安全協議会が発行した「アウトドアの安全 - アウトドアリーダーのためのリスク管理^」[47]というテキストは、ニュージーランドの観点から荒野リスク管理の見解を示しており、国のアウトドア安全法の価値を認識し、荒野リスク管理における判断と意思決定プロセスの役割にかなりの注意を払っています。

リスク評価の一般的なモデルの一つは、The Backpacker's Field Manualの著者であるリック・カーティスが開発したリスク評価と安全管理（RASM）モデルです。^[48] RASMモデルの式は、リスク = 事故の確率 × 結果の重大性です。RASMモデルは、マイナスのリスク（損失の可能性）とプラスのリスク（成長の可能性）を比較検討します。

IT リスクは情報技術に関連するリスクです。これは比較的新しい用語ですが、情報セキュリティはIT とそれがサポートする現実世界のプロセスに関連する多数のリスクの 1 つの側面にすぎないという認識が高まっているためです。「サイバーセキュリティは技術の進歩と密接に結びついています。サイバーセキュリティが遅れるのは、ブラック マーケットなどのインセンティブが進化し、新しいエクスプロイトが発見されるまでの時間だけです。技術の進歩に終わりはないので、サイバーセキュリティにも同じことが期待できます。」^[49]

ISACAのリスク ITフレームワークは、IT リスクをエンタープライズ リスク管理に結び付けます。注意義務リスク分析 (DoCRA) は、リスクとその安全策を評価し、それらのリスクによって影響を受ける可能性のあるすべての関係者の利益を考慮します。^[50] Verizon のデータ漏洩調査レポート (DBIR) では、組織が Veris コミュニティ データベース (VCDB) を活用してリスクを見積もる方法について説明しています。CIS RAM 内の HALOCK 方法論と VCDB のデータを使用することで、専門家は業界に対する脅威の可能性を判断できます。

ITリスク管理には「インシデント処理」、つまり侵入、サイバー窃盗、サービス拒否、火災、洪水、その他のセキュリティ関連のイベントに対処するための行動計画が含まれます。SANS Instituteによると、それは準備、識別、封じ込め、根絶、回復、教訓の6つのステップのプロセスです。^[51]

運用リスク管理 (ORM)とは、不適切なまたは機能不全の内部プロセスおよびシステム、人的要因、または外部イベントから生じる損失のリスクを含む運用リスクを監視することです。運用の性質上、ORM は通常「継続的な」プロセスであり、継続的なリスク評価、リスクの意思決定、およびリスク管理の実装が含まれます。

沖合石油・ガス産業では、多くの国で運用リスク管理がセーフティケース制度によって規制されています。危険の特定とリスク評価のツールと手法は国際規格 ISO 17776:2000 に記載されており、IADC (国際掘削請負業者協会) などの組織はISO 規格に基づいた健康、安全、環境(HSE) ケース開発のガイドラインを発行しています。さらに、政府の規制当局は、リスク管理の一環として、セーフティケース提出時に危険なイベントを図式化することをしばしば求めています。これらはボウタイ図として知られています(リスク評価におけるネットワーク理論を参照)。この手法は、鉱業、航空、健康、防衛、工業、金融の分野の組織や規制当局でも使用されています。

品質リスク管理の原則とツールは、医薬品品質システムのさまざまな側面にますます適用されています。これらの側面には、医薬品原料、医薬品製品、生物由来製品およびバイオテクノロジー製品のライフサイクル全体にわたる開発、製造、流通、検査、提出/レビュープロセスが含まれます（医薬品製品、生物由来製品およびバイオテクノロジー製品における原材料、溶媒、賦形剤、包装および表示材料の使用を含む）。リスク管理は、医薬品およびクリーンルーム製造環境に関連する微生物汚染の評価にも適用されます。^[52]

サプライ チェーン リスク管理 (SCRM) は、通常のビジネス、ひいては収益性を阻害する可能性のあるシナリオやインシデントが発生した場合に、サプライチェーンの継続性を維持することを目的としています。サプライ チェーンのリスクは、予測不可能な自然現象 (津波やパンデミックなど) から偽造品まで、日常的なものから例外的なものまで多岐にわたり、品質、セキュリティ、回復力、製品の完全性にまで及びます。これらのリスクの軽減には、ロジスティクスやサイバー セキュリティ、財務や運用の領域など、 ビジネスのさまざまな要素が関係する可能性があります。

• 国防総省防衛調達プログラムのリスク、問題、機会管理ガイド 2017 年 7 月 4 日にWayback Machineにアーカイブ(2017)
• 国防総省防衛調達プログラムリスク管理ガイド (2014)
• ウィキメディア・コモンズのリスク管理に関連するメディア