「リスク管理」とは、予期しない事象と問題を、ビジネスへの影響に基づいて特定し、優先順位を付けるプロセスです。その後に、ビジネスの収益性、評判または成功に対して容認できない損害をもたらす可能性のある負の結果を軽減し、コントロールします。 これらの活動をサポートするために、ツール、プロセス、戦略が実装または開発されています。
現代は、大規模な有名組織でさえ、自社の将来について評価を見直している、きわめて不安定な時代です。 新型コロナウイルスの感染拡大とその世界市場への継続的な影響により、組織は、高まるリスクと、混乱が続く見通しの不確実な未来に対応する必要があります。
こうした脅威や不確実性の影響を管理するために、成功している組織では、リスク管理手法の最適化と強化に改めて注目し始めています。 これは、従来の戦略の焦点を、単なる「受身的な対応」から、潜在的なリスクに対する事前の先を見越した特定と備えに移すことを意味します。 リスク管理への適切なアプローチにより、あらゆる規模の組織が、特定のリスクの潜在的な負の影響だけでなく、そうしたリスクが発生する可能性も低減できます。
ある意味で、リスク管理は自動車の安全機能に似ています。 自動車のヘッドライトのように、組織は障害物や危険な状況を事前に確認できます。 リスク管理は自動車のブレーキやステアリングのように、好ましくない状況に遭遇する可能性のある進路を修正する機能を提供します。 さらに、シートベルトやエアバッグのように、避けられない状況に直面した場合に、特別な保護機能を提供します。
つまり、リスク管理の目的は、事業の「存続」を保証することです。 リスク管理は、あらゆる規模の組織にとってきわめて重要な関心事となっています。ここでは、その主要な要素のいくつかを詳しく見てみます。
効果的なリスク管理は、既存の大きな脅威に関わるだけでなく、従業員と顧客に対するより個人的なリスクにも対処します。 たとえば組織は、衛生安全の問題を、従業員に影響を与える前に特定できるようになります。 リスク管理を正しく採用すれば、あらゆる規模の組織の全従業員にとって安全な環境を確立できます。
リスク管理の 2 つの重要な目的は、起こりうる望ましくない事象を特定することと、ビジネスへの影響を最小限に抑えるためのプロセスと手順を確立することです。 リスクが確実に追跡、管理されていれば、チームは、予期しない混乱やその他の不意の事象による中断を心配することなく、重要な成果に集中できます。 またリスク管理により、プロジェクト内の課題領域が明確になるため、各チームは他の日常的な問題にとらわれずに、これらの課題に迅速に対処できるようになります。
リスク管理を正しく適用すると、組織は法的に不利な状況を回避できるようになります。 リスクを管理し、危険なシナリオに備え、あるいは防ぐことで、リスクにより発生しうる損害の責任を問われることなく、事業運営ができます。
リスク管理は、当て推量ではなく、データを集約して確率を調べ、将来起こりうる事象を正確に予測するものです。 そのため、きわめて信頼性の高い危機管理予算の策定が可能になります。
すべてが順調に進んでいると、オペレーションを支えている重要な要素をすべて忘れがちになります。 リスク管理では、オペレーショナルリスクを特定するためのアセスメントとコントロールテストを使用して、プロセスの一貫性を強制的に維持します。 これにより、リスクがビジネスの安定性に影響を与えたり、危機を引き起こしたりする前に、問題に対処し、計画を実行するための時間を確保できます。
リスクの発生時に対処、対応するために、組織が先を見越したモニタリングを実施していると、オペレーションの安定性が向上するだけでなく、生産性も向上し、最終的には収益が増加します。 効率的な組織は、将来を見越しているため、競合他社に先んじることができます。
「セキュリティ」を深く理解せずに、リスクについて詳細に検討することは困難です。 リスク管理は、セキュリティツールの間隙を付く可能性のあるセキュリティ脅威、あるいは、組織の備えができていない可能性のあるセキュリティ脅威の特定に役立ち、セキュリティ態勢の改善に向けた明確な道筋を提供します。
リスク管理の最終目標は、かなりシンプルです。ビジネスを導くために必要な情報とインサイトを意思決定者に提供することです。 リスク管理により、リーダーは、詳細なリスクデータにアクセスして、改善が必要な領域や非効率性を特定できるようになり、リスク情報に基づいたより適切な意思決定を行って、戦略を導き、ビジネスの安全性と収益性を上げることができます。
リスク管理では、リスクは、次のようにさまざまなタイプに分類されます。
- デジタルリスク
- ESG リスク
- ベンダー/サードパーティのリスク
- 品質リスク
- 事業継続性リスク
- 人的リスク
- 環境、健康、安全上のリスク
- 倫理とコンプライアンス上のリスク
- プライバシー/法的リスク
- 財務的リスク
- オペレーショナルリスク
- テクノロジーまたはサイバーリスク
リスク管理にアプローチする方法は組織により異なることがありますが、多くは共通のプロセスに従うことを選択します。 このリスク管理プロセスは、次の 5 つの基本的なステップで構成され、各ステップは第 1 防御ラインと第 2 防御ラインからなります。
第 1 防御ライン：既存のリスクをレビューし、ビジネス活動から生じる新たなリスクを特定するか、リスク事象を報告します。
第 2 防御ライン：リスクの独立したレビューを行い、第 1 防御ラインの活動とアウトプットを検証します。
第 1 防御ライン：リスクアセスメントを実行し、リスクインベントリをレビューします。
第 2 防御ライン：独立したリスクアセスメントを実行し、第 1 防御ラインの活動とアウトプットを検証します。
第 1 防御ライン：法律、規制、ポリシーに基づいてリスクと要件を管理します。
第 2 防御ライン：コントロールに対する期待を確立し、第 1 防御ラインのコントロールの有効性を独立して評価し、検証します。
第 1 防御ライン：コントロールが効果的に機能し、問題が迅速に改善されていることを確認します。
第 2 防御ライン：第 1 防御ラインの監視、自己保証、問題管理活動を監督します。 可能な場合はコントロールテストの自動化により、よりリアルな情報を得ることができます。
第 1 防御ライン：関連するすべてのステークホルダーに、タイムリーなエスカレーションと正確な情報を提供します。
第 2 防御ライン：組織全体の情報を集約して評価し、関連するステークホルダーにインサイトを提供します。
リスクの特定はリスク管理の本質的な側面です。 ただし潜在的な脅威が診断された場合、組織には、対応方法に関するいくつかの選択肢があります。 リスク管理の 4 つのアプローチは以下のとおりです。
リスク回避戦略は、リスク自体を完全には排除できないシナリオにおいて効果的な場合があります。 組織はリスクの排除ではなく回避を利用して、できるだけ多くのリスクをそらし、別の方向に向けることで、中断やその他の被害を経験する可能性を低減します。
リスク軽減では、現在のプロジェクトの特定の側面を調整し、プロジェクト自体の構成要素を変更するか、プロジェクトの範囲を変更します。 その目的は、リスク自体を軽減して、プロセスの潜在的な損失を減らすことです。
特定のリスクに関連する脅威は、リスク自体を複数の部門、プロジェクト参加者、またはサードパーティのベンダーに分散させて対処できる場合があります。
すべてのリスクが喫緊のものであるわけではありません。軽微なリスクの場合は、ビジネスオペレーションへの脅威が最小限のため、保持することができます。 多くの場合、特定の小さなリスクは保持する方が、その緩和や排除にリソースを使用するよりも適切で現実的です。
効果的なリスク管理は、現代のビジネスにおいて重要であるにもかかわらず、実施することが困難な場合があります。 以下のリスク管理の課題について検討してください。
リスク管理は、企業全体の一連の責務であるべきですが、多くの企業の組織は依然としてサイロ化されたままです。このため、企業全体のリスクの特定、アセスメント、対応の際に、関連するロールを明確に割り当てることが困難な場合があります。
多くの場合、レガシーシステムやその他の旧式のハードウェアやソフトウェアでは、新たに発生したリスクに効果的に対処できません。
手作業でのリスク対応は、時間がかかり、継続的に行われるため、人為的ミスが発生する可能性が高くなります。 自動化機能を備えていない組織は、継続的なリスクの監視と対応がきわめて困難であることに気づくでしょう。
組織は、新たな脅威に対して結束して迅速に対応する必要があるため、一貫性のある信頼できる情報をオペレーションに使用することが不可欠です。 信頼できるリアルタイムの情報源が皆無であれば、リスク管理の効果は大きく低下します。
リスク管理、継続性、ビジネスレジリエンスはすべて密接に関連しています。 最新の継続性機能を備えていなければ、リスクへの対応が困難になる可能性があります。
リスク管理技術は、その手法 (デジタルトランスフォーメーションやサイバー脅威など) にかかわらず進歩し続けていますが、同時に新たなリスクや潜在的脅威の数や巧妙さも増しています。 多くの組織は、変化する環境に対応し続けることが困難であると感じています。
脅威の数の増加に伴い、ESG (Environmental, Social and Governance) などの新しい基準や、機密データへの潜在的な損害や漏洩を軽減する必要性から、規制の数も増加しています。 こうした新しい規制を遵守し、重要な顧客データを保護する責任は、多くの負荷を抱え、人員不足であるリスクチームとコンプライアンスチームにあります。
これらの課題の多くはコストの増加につながります。 リスクが増大し続け、コンプライアンス基準がそれに合わせて進化するにつれて、基本的にすべての業界の組織は、リスク管理戦略の有効性を単に維持するために予算を増やさざるを得なくなっています。
組織が直面している潜在的リスクの数は増え続けていますが、ニーズを満たすために採用できる熟練した従業員の数は増えていません。 熟練したリスクチームとコンプライアンスチームがいなければ、ビジネスの安全性と収益性の維持は難しくなります。
リスク管理は、大規模で継続的な責務です。 効果的なリスク管理戦略を促進するために、組織は以下のベストプラクティスを考慮に入れる必要があります。
ポリシーのリストを調べて、どんな問題にも対処できるよう、適切なリスクが確実に記載されるようにします。 また、適切な承認を受けて、ポリシーを最新の状態に維持するためのプロセスを徹底します。 古いポリシーは、コンプライアンス違反や監査での指摘を引き起こす可能性があります。いずれもビジネスに重大なリスクをもたらします。 また、定期的にリスク登録を見直して、最新のものであることを確認する必要があります。
前述のとおり、リスク管理は、チーム、部門、レベルにまたがる共通の責務であり、効果的でオープンなコミュニケーションを促進する共通の言語と分類法があることが絶対に不可欠です。 組織のリスク管理手法では、内外のステークホルダーを関与させて、全員がリスクを十分に認識し、同じ方法でリスクを評価し、最新情報を把握し、リスクの特定、モニタリング、対応の際に重要なインサイトを提供できるようにする必要があります。
計画立案プロセスの一環として、組織のリスクしきい値を特定することが不可欠です。 これにより、事業の実行可能性を脅かさずに、競争力の維持に必要なリスクを取ることができます。 これは、組織の最高レベルで合意する必要があり、共通の言語と分類法の定義と密接に関係しています。
ビジネスはすべて特有なものであり、それぞれのビジネスが直面するリスクも同様です。 同様に、組織のリスク管理フレームワークは、そのリスクプロファイルに合わせる必要があります。 リスク管理手法と利用中のプロセスについて慎重に検討してください。 多くの場合、過去のリスク管理は最も効果的なリスク管理方法ではありません。どんなリスク管理ソリューションを使用していても、そのソリューションが構成可能であることと、単に他のビジネスで効果的だったという理由で「そのまま」使用されていないことを確認してください。 ツールで利用可能なプロセスの要変更箇所を特定することで、有効性を向上させ、十分に検証されニーズを満たし、オペレーション環境に合わせて、予測が困難な問題に動的に対応できます。
リスク管理は単独では機能しません。リスク管理は必ず、既存のガバナンス/計画立案プロセスと、多くのステークホルダーにわたり完全に統合する必要があります。 他部門の承諾を得て、戦略レベルとオペレーションレベルにリスク管理を組み込むことで、適切なリスク管理の考慮事項に早く頻繁に対処できます。
組織がリスクの増大に直面したときに、リスクにさらされるのはお金と時間だけではありません。ブランドイメージも同様に損なわれるため、全体的な損失の増大につながる可能性があります。 リスク管理は必ず、組織の評判に対する脅威にも対処する必要があります。 つまり、関連スタッフに危機管理のトレーニングを受けさせる必要があるということです。こうすることで、緊急事態が発生した場合に、重要な情報を顧客に迅速に伝達して、風評被害を軽減できます。
緊急のリスクに動的に対応できることは重要ですが、組織全体でできるだけリスク管理プロセスの一貫性を保つこともきわめて重要です。 これにより、一貫性と信頼性が向上し、脅威の軽減に必要なことを、関係者全員が正確に把握できるようになります。
包括的なリスク管理戦略の作成は、すべての組織の目標となるべきですが、実際には、不確実性やその他の制約が常に存在します。 これらの弱点に留意し、入手可能な情報に制限がある分野に特別な注意を払ってください。 組織は、リスク管理のギャップを明確に把握することで、入手可能な情報が増えるにつれてリスク管理手法を継続的に改善できます。
保険契約の文書と証書は、特定の種類のリスクに対する補償範囲の証拠です。 補償自体が失効した後にも長期間、この文書を正確にアーカイブし、取得しやすい状態に維持します。 多くの場合、損害を与える事象が発生してから、その事象による損失が顕在化するまでには、長い時間がかかります。 正確な保険文書を手元に保管することで、保険会社の責任を正確に管理できるようになります。
組織が競争力を維持するためには、常に何らかのリスクが伴います。 しかし、適切なリスク管理ソリューション、リソース、戦略があれば、そのリスクを効果的に管理できると同時に、不確実な未来に直面してもレジリエンスと継続性を確保できます。 IT 管理とワークフロー自動化のリーダーである ServiceNow は、この動向の先頭に立っています。
ServiceNow は、付加価値の高い、人にしか出来ない新しい仕事を創造します。 ServiceNow により、あらゆる規模の組織が、リスク管理、コンプライアンスアクティビティ、インテリジェントな自動化をデジタルビジネスプロセスにシームレスに組み込み、リスクの継続的な監視と優先順位付けができるようになります。 ServiceNow のリスクソリューションは、企業全体のデータの非効率的なプロセスやサイロ化を、自動化され統合された実行可能なリスクプログラムに変換できます。 リスクベースの意思決定を改善し、組織全体やベンダーとのパフォーマンスを向上させ、ビジネスへのリスクをリアルタイムに管理できます。 また、予算を無駄にすることなく、日常業務においてリスク情報に基づく意思決定が可能になります。
ServiceNow により、あらゆる規模の組織がリスク管理とコンプライアンスをデジタルエクスペリエンスとワークフローにシームレスに組み込めるため、従業員と組織の業務を改善できます。 受賞歴のある Now Platform 上に構築されたリスク管理は、完全な可視性とコントロールを提供します。 リスクと重要な情報の特定と管理、高リスク領域の監視、非準拠のコントロールの診断、重要なリスクの自己アセスメントの作成とスケジュール設定を、すべて一元的に実行できます。 また、高度なレポート作成と分析、組み込みのガイダンスと分類ライブラリ、高度な自動化ソリューションによって、予算を無駄にすることなく、リスクの評価と準備に必要なものをすべて得ることができます。
ServiceNow のリスク管理で、適切な準備がどこまでできるかを確認してください。