全社的リスク管理（ERM）の動向

1 トップダウンアプローチとは何か

本稿で言うトップダウンアプローチとは、組織目標や事業戦略・事業計画の達成に影響を与えるリスクを機動的に捉えるアプローチのことです。このアプローチでは、事業戦略・事業計画、ビジネスモデル・オペレーティングモデルの前提に関わる不確実性を事前に把握するような施策をとります。

環境が大きく変わらない状況では、すでに実行しているオペレーションを着実に遂行することが事業戦略・事業計画を確実に達成するために重要な要素となります。このような状況下では、各事業部門・事業部署の業務に係るリスクを分析することでリスク対応が可能となり、結果として会社全体のリスクの総和を測ることが可能となります。これがボトムアップアプローチです。

一方で、現在のように環境が大きく変わる状況においては、そもそもの事業戦略や経営資源配分が適時に調整されないと、事業遂行の着実性にかかわらずリスクが顕在することになります。そのため、環境変化に伴うリスク要因を特定し、そのリスクに対応するトップダウンのアプローチが必要になってきているのです。

トップダウンアプローチの価値は、環境変化への適時の対応をより着実なものとすることと読み替えることもできます。この手法は、金融機関や一部のエネルギー企業ではシナリオ分析として以前より用いられている手法ですが、他の業態においてもその活用が広がってきていると思われます。

本来はどちらのアプローチでもリスクの総和は同じになるはずですが、ボトムアップアプローチのほうが既存事業のオペレーションやコンプライアンスに関わるリスクがより多く特定される傾向が見られます。また、事業部門内に閉じたリスクが複数事業部門から挙げられ、全社への影響が統合的に把握されるケースもよく見られます。

一方で、トップダウンアプローチは、事業目標達成の前提に関わる不確実性を機動的に捕捉するアプローチであり、経営者（取締役会、CEOなど）が自ら管理監督すべきリスクに焦点を当てたものと言えます。図表1は、経営者の目線で見た一般的なERM実務の改善、さらなる活用余地をまとめたものでトップダウンアプローチの必要性に関連するものとなっています。

以降、トップダウンアプローチによるリスク管理の具体的な特徴を3つの視点で概説します。

図表1：経営者（取締役会、CEO等）の目線で見た既存のERMの改善ポイント

出典：PwC「Risk oversight and the board: navigating the evolving terrain」をもとに作成^※2

2 環境変化を捉えるリスク管理

トップダウンアプローチによるリスク管理の特徴の1つ目は、外部環境変化を捉えるリスク管理です。先述のように、トップダウンアプローチによるリスク管理においては外部環境変化による影響を捕捉することが重要となります。外部環境変化による事業運営への影響は近年特に大きくなっており、世界の経営者を対象に実施したPwCの「2022 Global Risk Survey」^※3においても、重要なリスクとして挙げられている上位5つのリスクは、「市場環境」「ビジネス・オペレーティングモデル」「サイバーセキュリティ」「外部環境変化」「地政学リスク」であり、多くは外部環境変化に関連しています（図表2）。またPwCが2022年8月に国内企業に対して実施したサーベイでも、約8割の企業が過去3年間で地政学リスクが上昇したと回答しています。

外部環境変化によるリスクの捕捉は、世の中のあらゆる環境変化を捉えるのではなく、あくまで事業戦略・事業計画、ビジネスモデル・オペレーティングモデルに影響を与える要因を捉えることとなります。

一般的な手法としては、シナリオ分析がよく使われます。シナリオ分析には外部環境要因を経済・金融市場環境に限定せず、PEST（Politics〔政治〕、Economy〔経済〕、Society〔社会〕、Technology〔技術〕）などのいくつかの要素に整理して、それらの動向について複数の軸で想定される世界を描くことになります。これは特定の将来を予測するものではなく、複数のシナリオにおいて、いずれが実現した場合でも必要な対応が取れるよう、影響評価と対応の十分性の検証をするためのものです。また、オプションを保持しておけば、そのようなシナリオがモニタリング時に実現した場合、早期に対応することが可能になります。これらの影響を評価する際には、自社にとってプラスの側面も存在する点に留意が必要です。

一部の業界では、シナリオから影響を評価する手法に加え、致命的な影響を与えるシナリオ（水準）を逆に導出するリバースストレスシナリオも活用されています。昨今の想定外の事象が生じる状況においては、事業戦略やビジネスモデルの弱点を特定するのに有用なアプローチと考えられます。

3 バリューチェーン、サプライチェーンでのリスク管理

トップダウンアプローチによるリスク管理の2つ目の特徴は、外部環境、内部環境要因にかかわらず、最終的なサービスの提供（価値提供）を確実に行うために、原材料の調達から販売までの一連の流れでリスクとその影響を捉える、というものがあります。End to Endという言い方をすることもありますが、端から端まで全体を流れで捉えるというものです。

End to Endでのリスク管理は、自社に限らず調達先を含むサードパーティ全体を含むものになります。近年は、外部機関との協働や依存の高まりを受け、サードパーティリスク管理（TPRM）として別途管理を強化する取り組みも多く見られます。サードパーティは直接の委託先や調達先に限らず、利用している外部サービス（クラウドサービス）や再委託先など、幅広く捉える必要があります。そういった先は必ずしも調達部門で一元的に管理されていないこともあるため、ボトルネックにならないように留意したほうがよいでしょう。

機能復旧に限定せず、重要な機能の冗長化など、ビジネスやサービスの提供を維持したり、提供方法を変革したりするためにレジリエンスの考え方が適用されることもよくあります。さらに、後述のように、最近は調達先を含めた人権対応や環境対応など、提供する機能に直接影響しない領域の非財務リスクも管理の範囲となってきています。

4 ステークホルダー視点でのリスク管理

3つ目は、ステークホルダー視点の拡張です。これはステークホルダー資本主義やESG推進の流れと同様のものであり、自社のリスクに限定するのではなく、広くステークホルダーに与える影響をリスク管理でも捉えるという取り組みです。なお、ステークホルダーには、顧客、株主・債権者、従業員、ビジネスパートナー（調達先、委託先等）、社会などが挙げられます。

現在は過渡期にあると言えますが、すでに一部の企業では、マテリアリティとの関連の整理、ステークホルダー視点でのリスクタクソノミーの再整理などの取り組みが始まっています。今後は、こうした取り組みがより意識されたものへと発展していくことが期待されます。

取り組みにあたっては、国・地域で進度や捉え方に大きな差があるもの、現時点で必ずしも法制度化されていないテーマ（典型的には人権や環境）についてのリスク対応に注意を払う必要があります。リスクの負担、リターンの配分の公正性や透明性にも留意する必要があります。こうしたリスクに求められる基準や価値観は、社会環境の変化に応じて変わってくるため、自社の方針をグループレベルで定め、定期的に見直しを行うとともに、必要に応じて開示（対話）することで、能動的なリスクマネジメントにつなげることができます。

5 PwCのERMフレームワーク

PwCはこれまでもCOSO ERMなど、ERMのフレームワークについて外部機関からの委託や協働で策定を行ってきました。さらに、それらのフレームワークとも整合したERMフレームワークについての成熟度モデルも策定しています。

図表3は9つの視点でERMを整理したものです。成熟度を5つの段階で表しており、ベストプラクティスとして定義しています。前述の3つの視点に加え、リスク管理の戦略との連携、リスク評価・モニタリング手法、リスクデータを含むインフラ整備など、ERMの重要となる要素について取りまとめています。

本稿で解説してきたものは、PwC JapanグループおよびPwCグローバルネットワークでの整合の状況や、短期・中長期でどの水準を目指すのかといった活用を企図したものであり、今後読者の皆様の組織においてERMの見直しをする際の参考としていただければ幸いです。

※1 COSO（The Committee of Sponsoring Organization of the Treadway Commission：米国トレッドウェイ委員会支援組織委員会）によるERM（Enterprise Risk Management：全社的リスクマネジメント）フレームワークの改訂版（2017年）

※2 PwC「Risk oversight and the board: navigating the evolving terrain」2022年
https://www.pwc.com/us/en/governance-insights-center/publications/assets/pwc-risk-oversight-and-the-board-navigating-the-evolving-terrain.pdf

※3 PwC「2022 Global Risk Survey」
https://www.pwc.com/us/en/services/consulting/cybersecurity-risk-regulatory/library/global-risk-survey.html

執筆者