最後にはじめに目下のコロナ情勢上、日本の各社では事業継続リスクをはじめ在宅ワークの広がりによるセキュリティリスク、オペレーションリスク、ソーシャルディスタンス要求下での従業員の健康リスク等新たに識別・対応すべきリスクが溢れている状況です。様々なリスクマネジメント活動に取り組む会社も、近年増えていますが、この機に自社のリスク管理態勢を見直すこともよいのではないでしょうか。活動の初期はともかく、段々とリスクマネジメント活動が形式化・陳腐化していくことに悩む方もおられると思います。ここでは下記のような活動をしている事業会社を念頭に、筆者が見聞きしたなかでリスクマネジメント部門が会社全体の活動を有効にするために、各階層に対して「仕掛け」る制度設計や活動のポイントを具体的な事例とともに紹介します。・「リスク管理規程」などのリスクマネジメントの基本的なルールが策定されている・「リスク管理部」などの全社的にリスク管理活動をサポートする部門がある・リスク管理部が提供するフォーマットをベースに、各現場部門が主導的にリスクの特定・分析・評価を行いリスク対応を行っている役割別のポイント経営者向け対応ポイント1経営者としての明確なコミットメントリスクマネジメントの国際規格としてISO31000があります。2009年に第1版が出ていますが2018年に9年ぶりに改定がされました。これを受けてJISQ31000が2019年に発効しています。これを受けた経産省のコメントを引用します。リスクマネジメントについて、あらゆる業態及びあらゆる規模の組織において、リスクに対する最適な対応を行うための指針を示すものであり、あらかじめ目的を設定し、これを達成するために、組織の意思を決定し、パフォーマンスを改善することで、組織における価値を創出し保護するための活動として規定しています。“経営者による経営目的に沿ったリスクマネジメント”を目指す指針としました。改正](平成31年1月21日)https://www.meti.go.jp/press/2018/01/20190121001/20190121001-4.pdfリスクマネジメントが組織のビジョン・ミッションの実現に寄与するものである以上、経営者がコミットメントと意思を示すことは不可欠です。リスクマネジメントの対象と目的は何か?どこまでやるのか?許容できるリスクと許容できないリスクは何か?こうした問いに対して指針を示すことができるのは経営者だけです。リスクマネジメントへの意思と決意を示されない限り、予算上の目標を負う各部門はリスク管理に積極的に動くことは難しいです。各部門間の利害衝突時に適切な判断をする指針がないことは混乱を生みます。2従業員に向けたメッセージ明確なコメットメントや意思を固めても、それを社内に浸透させるには経営者が自ら発信するメッセージが必要です。経営会議やリスク管理委員会で決定された対応方針が、一担当者が社内allメールで周知するのと、経営者自身が直接語り掛けるのはどちらが有効でしょうか。自身に置き換えると明確に後者であることが分かると思います。社内に広く伝達するうえでは、分かりやすい形で繰り返し語ることも必要です。・経営者自身が送信する全従業員向けのメール「うちの社員はしっかりと自分で考えて行動できる」と思い、特段のメッセージはいらないと考える方もいるでしょう。経営者自身の言葉・考えがあるか/ないかは、想像以上に絶大な影響があります。内部統制で最も重要なのは「統制環境」つまり組織風土や経営者姿勢であることを今一度思い出してください。マネジメント向け制度設計のポイント経営者が明確な方針とメッセージを発しただけでは有効性は保てません。エグゼクティブマネジメントが適格な対応を主導していく必要があります。各マネジメントの意識や性格に左右されないように、「仕組み」として実効性を担保することが重要です。3リスクマネジメント目標の設定ビジネス上のKPIに基づく期間目標をマネジメントは持ちますが、同様にリスクマネジメント上の目標も設定し、期間内に対応について評価する仕組みは有効な仕掛けの一つです。次のような表現での目標を持つことがあります。半期又は年次でこれら目標の達成度について、経営者及びリスクマネジメント部門と協議のうえ評価を受けます。これによりある種の健全なプレッシャーを付加するとともに、PDCAとしての適切な振り返りを行い、次の改善につなげることができます。4予算措置・リソースの確保リスク評価の結果、影響や発生可能性を低減することが必要になる等、リスク対応の計画を策定することがあります。した際、必ず予算の措置をとってもらうことが重要です。予算上の見積りがない活動は途中で骨抜きになってしまったり、ごく簡単な運用改善等で本質的なアップデートにならないケースも多々あります。翌年度の事業計画や予算策定の際、本格的なリスクアセスメントとは別にプレアセスメントを行い、重要なリスクやそれに関わる対応や概括的な費用感を見積り予算に計上するなどの措置が有効です。費用をそれほど伴わない運用改善が中心になる場合は、専任の人材等リソースの確保を行い、翌年度から走り出せる態勢を確保することが求められるでしょう。5適切な階層にあるリスクマネージャーの任命マネジメントは重要リスクへの対応をするための環境整備と指導をしますが、部門内で一連のプロジェクトを推進するには、適切な人員のアサインが必要です。した「リスク対応の推進責任者」を選定する際は、部長又はリーダー等のマネージャークラスの人員を選ぶことが実務上は重要です。リスク対応を推進するには、ビジネス活動と一定の調整が必要であったり、リスク許容度の判定等の難しい判断が必要になります。関係部門の役職者の多くを巻き込みながら進めるため、仮に優秀であっても若手社員などが責任者として進めることは「貫目」が足りずどうしても困難な面があります。少なくとも直接の責任者は一定の階層から識見・適正のある人材を選び、その補佐役として若手や中堅の優秀な社員をアサインするなどが良好なバランスでしょう。現場部門や社員に向けた制度設計のポイントリスクマネジメント活動の実際の担い手は、各事業部門等の現場組織とそこで働く社員です。現場が意欲的かつ楽しく活動してこそ、初めてリスクマネジメントは実効性を持つといえます。ここではリスクマネージャー以下一般社員向けの施策例を紹介します。6個人目標へのリスクマネジメント活動の取り込み現在人事評価制度に目標管理を組み込んでいる会社は非常に多いと思います。設定した目標に対して期末に振り返りを行い、達成度を評価するとともに、結果が昇格(昇給)や賞与の係数に反映される仕組みです。リスクマネージャーやその補佐役等部門内でのリスクマネジメント活動の中核となる人材は、先ほどのマネジメント層と同様に個人目標の中に、リスクマネジメント活動に関わる目標を設定することが望ましいです。これにより活動が単なる「ボランティア」から「業務・仕事」に変わり、より実効性を持つことが出来ます。大義名分があっても人間なので、いくら仕事でも、誰からも注目されなかったり評価されなければ、意欲を保持し続けることはできません。良好な活動への賞賛やインセンティブ、それが広く社内に知られる機会があることで、現場力を高める一助になります。具体的な施策例は下記があります。意識や技能の啓発を兼ねて例えば「リスクマネジメント強化月間」「リスクマネジメントウィーク」などのイベントを開催することもよいでしょう。したイベントの際、例えば下記のような施策があると社内の意識向上に寄与することができます。・リスクマネージャー等の現場部門によるプレゼンテーションまたこうしたイベントをセキュリティ管理部門やコンプライアンス部門など、他セカンドラインの部門と共同して開催すると、より効率的でかつ規模も大きく連携している様子も見えるのでよいでしょう。最後に今回は一般的な内部監査業務と離れ、リスクマネジメント部門を念頭にした取り組み事例をご紹介しました。いえ、規模がそれほど大きくない事業会社では、内部監査部門はこうしたリスク管理の構築系業務を担うこともあります。隣接する部門としてリスクマネジメント部門に助言する機会もあるでしょう。今回の記事がそうした際に、役に立てれば嬉しいです。※なおリスクマネジメントの仕事をするための参考書籍の記事も書いています。宜しければご参照ください。室長J-SOXバブル時に内部統制コンサルに。リスクマネジメント・セキュリティ業務に従事しています。コメントをキャンセルメールアドレスが公開されることはありません。*サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。