リスクマネジメントの地図 ── 日本企業の出発点は「規程その他の体制」

リスクマネジメントは、4つの区画でできています。①何を守るか ②どう見つけるか ③誰がやるか ④どう学ぶか。日本企業の多くは②と③に厚く、①が薄い。これは担当者の力量というより、出発点になっている条文の順番から来ていると考えています。

この地図の使い方

この4区画は、私が考えたものではありません。 国際的な枠組みに共通する構造を、実務で使う粒度に均したものです。

区画に分けるのは、自社がどこに偏っているかを見るためです。全部を等しく強くする必要はありません。偏りが分かれば、次にどこへ資源を振り向けるかを決められます。

① 何を守るか ── 目的とリスク選好

最初の区画は、何を守るために管理するのかを決める場所です。

COSO(トレッドウェイ委員会組織委員会)が2017年に改訂した全社的リスクマネジメント(ERM)の枠組みは、正式名称を『Enterprise Risk Management — Integrating with Strategy and Performance』といいます。副題に「戦略と業績への統合」と入っている点が改訂の要点です。

COSO自身は、ERMをこう定義しています。

読みにくい一文ですが、実務の急所が三つ入っています。文化・能力・実務。規程でも委員会でもありません。そして「戦略設定およびその実行と統合された」。2004年版は内部統制の延長線でリスクを扱っていました。2017年版では戦略を選ぶ段階からリスクを見る構造へ組み替えられています。

ISO 31000:2018(リスクマネジメント―指針)も同じ方向を向いています。この規格の第3.1項は、リスクをこう定義しています。

短い一文ですが、実務に効く順番が入っています。目的が先にあって、リスクは後から定義される。そのうえ、影響は「好ましいもの」でもありうると書いてあります。リスクという語を、悪いことの同義語として使わない立場です。

つまりこの区画は、リスク管理の技術の話ではありません。経営が何を目的としたかの話です。目的が曖昧なままリスクを洗い出すと、洗い出しの網は必ず大きくなります。何が重要か決められないので、全部を拾うしかなくなるからです。

この区画にあたる既存の記事:

• 攻めの日本と、宣言の英国 ─ ガバナンスコード改訂は「国の病」を写す ── 2026年7月に確定したコーポレートガバナンス・コード改訂で、リスク管理が「守り」から「攻め」の側へ動きました。目的とリスクの関係が、コードの水準で書き換わっています。

② どう見つけるか ── 識別・分析・評価

第二の区画は、リスクを見つけて、大きさを測り、優先順位をつける工程です。

ISO 31000:2018 は第6.4項「リスクアセスメント」を、6.4.2 リスク特定(Risk identification)、6.4.3 リスク分析(Risk analysis)、6.4.4 リスク評価(Risk evaluation)の三つに分けています。三つを分ける理由は、「見つける」と「測る」と「順位をつける」が別の作業で、混ぜると必ずどれかが省略されるからです。日本企業のリスクアセスメントで最も省略されやすいのは、最初の特定です。既にリストにあるものを毎年評価し直す作業になりがちで、リストに無いものは翌年もリストに載りません。

もう一つ、この区画には固有の弱点があります。上に上がる過程で情報が丸くなることです。現場で見えていた危うさは、集計され、分類され、色で塗られるうちに角が取れます。

この区画にあたる既存の記事:

• その報告は正確で、そして安心させすぎる ── 集計が真実を消す

• 小さすぎて報告されない失敗が、いちばん高くつくものですよね

• 穴は、今日も動いている ── 監査に通った工場で不正が起きる、本当の理由

③ 誰がやるか ── 役割と独立性

第三の区画は、誰がどの役割を担うかです。

ここで最も広く使われているのが、内部監査人協会(IIA)のThree Lines Model です。事業部門・管理部門・内部監査の三層で役割を分ける考え方で、日本では「3線ディフェンス」の名で定着しました。

このモデルは2026年7月に改訂されています。新文書のタイトルは『Statement of Position: Three Lines Model — Assurance and Advice in Support of Effective Governance』。ただし、決定的な断絶が起きたのは2026年ではなく2020年でした。2013年の文書が「防御(defense)」の語で守りの隊列を描いていたのに対し、2020年版は「defense」を外し、監視でなく支援を前面に出す構造へ組み替えています。

日本語圏では、このモデルが設計図として扱われてきました。三つの箱に部署を当てはめれば体制ができる、という読み方です。原典はそう名乗っていません。

この区画にあたる既存の記事:

• 3線ディフェンスモデルが改訂された ─ 原典は、自らを「設計図」と呼んでいなかった

• 日本は、それを「設計図」として輸入した ── 3線ディフェンスと「体制」の話

• 東大が「三線防御」を導入した理由—リスクガバナンス改革の読み解きと落とし穴

• 第3線が隠す側に回るとき

④ どう学ぶか ── モニタリングと改善

第四の区画は、起きたことから学ぶ工程です。

ISO 31000:2018 は、モニタリング及びレビューを第6.6項に定めていますが、その位置づけを次のように書いています。

対象は結果に限られません。設計と実施も、見直しの対象です。事故が起きたときに手順の遵守だけを点検して終わる調査は、この規格が求める範囲の一部しか見ていないことになります。

実務でこの区画が最も痩せます。理由ははっきりしていて、学習は成果として計上されないからです。事故を防いだ人の功績は数字になりません。一方、片づけた件数は数字になります。だから片づけが優先され、なぜ起きたかは後回しになります。

この区画にあたる既存の記事:

• 効率よく片づけるほど、組織は同じ問題を繰り返す

日本の足場 ── 条文にはどう書いてあるか

ここまでは国際的な枠組みの話です。日本企業がリスクマネジメントを始めるときの法的な足場は、別にあります。

会社法362条4項6号は、取締役会が取締役に委任できない事項として、次を挙げます。

条文が言う「法務省令で定める体制」の中身は、会社法施行規則100条1項にあります。5つの号のうち、リスクマネジメントに直接あたるのは2号です。

この一行が、日本企業のリスク管理の出発点です。「損失の危険の管理に関する規程その他の体制」。

なお5号は、親会社と子会社から成る企業集団の体制を求めています。海外子会社管理が会社法の要求に接続するのはここです。この話は別のレーンで扱います。

「規程その他の体制」がスタート地点にあることによる根深い問題

条文の語順に注目してください。「規程その他の体制」です。規程が先に来て、その他の体制が後に続きます。

この語順が実務に与えた影響は小さくないと考えています。

似たことが辞書にもあります。辞書は一つの語に複数の語義を並べます。その順番を決めるのは、編纂の方針です。使う側は、たいてい第一義から覚えます。第二義以下は「その他」として畳まれる。順番は情報の並べ方にすぎないはずなのに、受け取る側の受け止め方をそのまま決めてしまいます。

語順の相続です。条文が例示を先に挙げた。その語順を、実務がそのまま手順として受け継いだ。

日本企業のリスク管理は、たいてい規程の整備から始まります。リスク管理規程を作り、委員会を設け、年次のアセスメントを回す。これは法の求めに素直に応えた形です。会社法は「規程」を最初に名指しているのですから、そこから始めるのは間違っていません。

一方、ISO 31000 は規程から始まりません。目的から始まります。 何を達成したい組織なのかを先に定め、その達成を揺らすものをリスクと呼ぶ。順序が逆です。

同じ「リスクマネジメント」という言葉で、この二つが同時に走っています。目的から入る枠組みを、規程から入る土壌に移植してきたのが、日本のリスクマネジメントの三十年だったと考えています。

そして、規程から始めた組織には固有の癖がつきます。規程に書いていないリスクが見えにくくなるという癖です。規程は前回の事故から作られるので、次の事故は規程の外で起きます。規程を厚くしても、この癖は消えません。厚くするほど、規程の内側を見る時間が増えるからです。

私はこれを条文の順番に忠実だった結果だと思っています。忠実さの副作用は、忠実さを責めても直りません。手順を足すしかない。規程を書く前に、目的を決める工程を一段足すことです。

相続しているのは、支援する側も同じです。私がリスク管理の状況を見るとき、最初に開くのは規程です。目次があり、条文があり、改定履歴がある。読めば全体が分かった気になります。目的のほうは、規程の第1条に一行だけ書いてあって、たいてい読み飛ばします。

この先、書いていくこと

地図を描くと、空白が見えます。今の時点で薄いのは次のあたりです。

• リスク選好(リスクアペタイト)の実装。①の区画。枠組みは語りますが、日本企業でどう書き下ろすかの具体が足りません。

• リスクアセスメントの手順。②の区画。特定・分析・評価をどう分けて回すか。

• リスクマネジメントと内部統制報告制度(J-SOX)の関係。制度の話と経営の話が接続していません。

• リスク情報の経路設計。誰から誰へ、どの粒度で上げるか。③と②の境目です。

埋まった記事は、この地図に足していきます。

この連載について

この連載は、基盤整備を進めつつ、一緒に考えませんかで書いた問題意識から始まっています。リスクマネジメント、コンプライアンス、クライシスマネジメント、グローバルガバナンス、海外子会社管理。生成AIで何が変わるかを交えつつ、書き切るまで続けます。

一本ずつは読み切りですが、並べると地図になるように書いています。私の考えや経験をもとに書くので、足りないところも間違っているところもあると思います。読みながら違和感があったら、教えてください。一緒に作りながら直していきたいと思っています。

お知らせ

記事は、メール・音声・動画でも届けています。

☀️ ニュースレター『コンプライアンスの地図』(統制や規程を「どこまで作るか」で迷ったときの判断材料。実際に起きた事案の分岐点を、平日毎朝3分で):

🎧 ポッドキャスト『BookSide』(中央経済社の編集者と、実務の話を):

▶️ YouTube「コンプライアンスの地図」(記事の音声版):

出典

• 会社法(平成十七年法律第八十六号)362条4項6号 ── e-Gov法令検索の法令データより引用 https://laws.e-gov.go.jp/law/417AC0000000086

• 会社法施行規則(平成十八年法務省令第十二号)100条1項(業務の適正を確保するための体制)1号〜5号 ── 同上 https://laws.e-gov.go.jp/law/418M60000010012

• ISO 31000:2018 Risk management — Guidelines(国際標準化機構、2018年)── 引用は 3.1(risk の定義および Note 1 to entry) と 6.6(モニタリング及びレビューの目的)。プロセスの区分は 6.4.2 / 6.4.3 / 6.4.4、原則は 箇条4。日本語訳は筆者によるものです。

• COSO『Enterprise Risk Management — Integrating with Strategy and Performance』(トレッドウェイ委員会組織委員会、2017年)── 2004年版からの改訂点(戦略・業績との統合)。本文のERMの定義は、COSOが同枠組みの定義として掲げているものを、COSO『Compliance Risk Management: Applying the COSO ERM Framework』(2020年)の該当箇所から引用しました(2017年版本体でなく、COSOの後続刊行物を出所としています)。日本語訳は筆者によるものです。

• IIA『Statement of Position: Three Lines Model — Assurance and Advice in Support of Effective Governance』(内部監査人協会、2026年7月)、および同『The IIA's Three Lines Model: An Update of the Three Lines of Defense』(2020年)、『The Three Lines of Defense in Effective Risk Management and Control』(2013年)── 三版の異同は既公開記事(3線ディフェンスモデルが改訂された)で原文照合済み。