#22　リスク対応の5つの選択肢

内部監査入門（事件でわかる、内部監査の考え方）｜第22回／章「リスク」｜読了 約4分

リスクには、どう対応するのか

内部監査は、ダメ出しをする仕事ではありません。皆さんの日々の業務を、リスクという言葉で見直し、その妥当性を独立に評価する仕事なんですね。

リスクがあると分かったら、どう対応すればいいのか。

ここからは、その答えを学んでいきます。リスクには、どんな対応の選択肢があるのか。

一緒に見ていきましょう。

受容

突然ですが、明日の天気予報が、雨だとします。皆さんなら、どうしますか。

たとえば、こんな選択がありますよね。在宅勤務に切り替える。

傘を持っていく。誰かに送迎を頼む。

あるいは、濡れてもいい服で出かける。雨の日の、4つの選択です。

実はこの雨の日の4つの選択が、そのままリスク対応の基本になるんです。

今回は、まず4つの基本対応を学び、その上で、機会を取りにいく「活用」まで整理します。

雨の日の選択を、ビジネスに置き換えてみましょう。

1つ目は、回避です。これは、リスクを生む活動そのものを、しないという選択なんですね。

雨なら、外出をやめる。2つ目は、軽減です。

活動は続けるけれど、起きる確率や影響を、小さくする選択ですね。雨なら、傘を持っていく。

ビジネスに置き換えると、こうなります。回避なら、危険が大きすぎる海外市場には、そもそも進出しない。

あるいは、すでに入っているなら、撤退する。軽減なら、サイバー攻撃に備えて、セキュリティに投資する。

リスクをゼロにするのではなく、受け止められる大きさまで下げる、という考え方です。

3つ目は、移転です。リスクの影響を、自社だけで抱え込まない選択なんですね。

ビジネスでの典型例は、保険です。事故が起きる可能性そのものは、残ります。

でも、金銭的な影響の一部を、保険会社に引き受けてもらう。

雨の比喩でいえば、誰かに送迎を頼んで、運んでもらう側に預けるイメージですね。リスクの一部を、他者に引き受けてもらう。

これが移転です。

4つ目は、受容です。コストと効果を考えて、あえて許容する選択ですね。

雨なら、少し濡れてもいい服で出かける。小さなリスクに、いちいち対策を打っていると、対策のコストのほうが大きくなることがありますよね。

だから、わかった上で、受け入れる。これが受容なんです。

戦略と一体で、見る

ここまでが、4つの基本対応です。ところが、実はもう一つ、5つ目の選択肢があるんですね。

それが、活用です。

リスクを避けるのではなく、積極的に取りにいく。不確実性の中にある「機会」を、最大化する判断なんです。

リスクの良い側、つまりアップサイドを、自分から取りにいく対応ですね。回避でも、軽減でも、受容でもない。

機会のほうへ、踏み込んでいく。これが、5つ目の活用です。

これで、リスク対応は5つ、そろいました。回避、軽減、移転、受容、そして活用。

回避、軽減、移転は、リスクの悪い側を抑えたり分担したりする対応。受容は、対応を追加せず、わかった上で引き受ける判断です。

最後の活用だけは、良い側を取りにいく対応なんですね。

ここで、専門的な枠組みを一つ紹介しておきます。

この5つを、世界共通で整理しているのが、COSOという団体が2017年に公表した、ERMフレームワークです。

ERMは、エンタープライズ・リスク・マネジメント。日本語では、企業リスクマネジメントですね。

このCOSOのERMは、会社全体のリスクを、バラバラにではなく、一つの地図の上で見ていく考え方です。

そして、その地図を、会社の戦略や目標と結びつけて考える。それが、COSOのERMの核なんですね。

いまは、リスクへの対応には5つの型がある、と押さえてください。

受容も活用も、経営判断

ここで、もう二つ、覚えてほしい言葉があります。

一つ目は、リスク選好、英語ではRisk Appetiteです。

これは、「うちの会社は、目的の達成に向けて、どこまでのリスクを取ってよいのか」という、組織としての種類と量のことなんですね。

リスク選好は、我慢できる上限であると同時に、どこまで攻めてよいか、という幅でもあります。

新しい市場に挑戦する会社と、安定した既存事業を守る会社では、取ってよいリスクの幅が、違いますよね。車の運転でいえば、どこまでアクセルを踏むのか。

その目安を決めるのが、リスク選好です。

二つ目は、残余リスク、英語ではResidual Riskです。これは、対策を打った後にも、なお残るリスクのことなんですね。

雨の日に傘を持っていっても、靴が少し濡れるかもしれない。セキュリティに投資しても、サイバー攻撃の可能性が、完全に消えるわけではない。

この「まだ残っている部分」が、残余リスクです。

どれだけ手を打っても、リスクはゼロにはならないんですね。だからこそ、その残ったリスクが、受け入れられる範囲かどうかを、会社は判断することになります。

範囲を超えているなら、対応を見直すことも、必要になるんです。

ここが、リスク管理の大事な感覚です。全てのリスクを回避しようとすると、会社は何もできなくなってしまいます。

だから、受容も、活用も、なりゆきでそうなるのではなく、経営が、わかった上で選ぶ。立派な経営判断なんです。

ぜひ覚えておいてください。

次の回へ

守るだけが、リスク対応ではありません。受け入れるのも攻めるのも、選んだと言えるかどうかなんですね。

では、5つの選択肢を知っていれば、正しく選べるのか。次の回では、ある会社の決断から考えます。

明日から、対策を出す前に、これはどの型かと問い直せます。