株式会社renue
部下マネジメントAI
部下マネジメントAIで、この記事のテーマを実務に落とし込めます
renueが社内で運用しているシステムをサービス化したものです。何ができるか、どう動くかをサービスページでご覧ください。
ERM（Enterprise Risk Management：全社的リスクマネジメント）は、組織の目標や戦略に影響する不確実性を、部門をまたいで捉え、意思決定と実行に結び付ける取り組みです。リスク一覧の作成に加え、何を判断し、誰が対応し、どの変化を確認するかを定めます。本記事は2026年10月24日時点のCOSO・ISOの公開情報を確認し、枠組みの違いと実務で整える項目を整理しています。
ERMとは：経営の目標とリスクを結び、部門ごとの情報をつなぐ
新規事業、仕入先の変更、設備投資、クラウドやAIの利用など、企業の選択には期待する成果と不確実性があります。ERMでは、既に決めた計画に起こり得る問題だけでなく、別の選択肢を採用した場合に何が変わるかも考えます。経営と現場が同じ前提を共有し、事業の目標、必要な資源、許容する影響、対応の優先順位を確認するための取り組みです。
COSOのERM案内は、戦略の設定とパフォーマンスの両方にリスクを組み込む考え方を示しています。すべての不確実性を消すことや、リスク管理部門だけに判断を集めることを目標にせず、事業を進める各部門が情報と責任を持ち、経営が全体の関係を確認できるようにします。具体的な体制は、会社の規模、事業、適用される制度に応じて設計します。
個別の管理を土台に、同時発生や共通の原因を確認する
部門単位の管理でも、損失の防止や部門間の連携は行われます。「従来の管理は相互関係を一切見ない」といった二分法では捉えません。ERMでは、その情報を経営目標との関係でそろえ、複数部門にまたがる影響や、共通の仕入先・システムへの依存を確認します。一つの部署では小さな影響でも、同時に複数の業務へ及ぶと、全体として重要になる場合があります。
例えば一社の委託先に複数の業務を集める案では、費用や管理のしやすさとともに、停止時の影響、代替手段、切り替えの条件を比較します。部門ごとの費用削減だけで評価せず、全体の依存関係を確認するための検討例です。委託先の情報と対応を整理する場合は、サードパーティリスク管理の考え方にもつながります。
内部統制やBCPとの目的の違いを押さえる
COSOのERMと内部統制の枠組みは、関連し合いますが、それぞれに焦点があり、一方が他方を置き換えるものではありません。ERMに取り組んだことだけで、財務報告や法令等に関するすべての要件を満たしたとは判断しません。適用する制度と、具体的に確認する対象を対応させます。
BCPは、業務の中断時に重要な事業をどのように継続・復旧するかを具体化する計画です。ISO 22301の公開概要も、中断をもたらす事象への備えと回復を扱っています。ERMで確認した重要な依存関係や影響を、BCPの策定や訓練へつなげ、その結果をリスクの見直しに戻すように連携させます。
COSO ERMとISO 31000：対象・構成・版と認証の扱いを確認する
COSO ERM 2017の五要素を実務の確認へつなげる
COSOは2004年の枠組みを2017年に更新し、「Enterprise Risk Management—Integrating with Strategy and Performance」を公表しました。公式要約では五つの相互に関連する構成要素と二十の原則を示しています。下表の右列は本記事の実務上の確認例で、公式原則の全文訳や認証用チェックリストではありません。
| 構成要素の要旨 | 実務で確認する例 |
|---|---|
| ガバナンスと文化 | 監督と実行の担当、報告しやすい仕組み、必要な人材 |
| 戦略と目標の設定 | 選択肢ごとの影響、目標とリスクを取る方針の整合 |
| パフォーマンス | リスクの特定・評価・優先順位と対応、全体の関係 |
| レビューと改訂 | 前提の変化、対応の結果、見直す点 |
| 情報・伝達・報告 | 判断に必要な情報、報告先と更新時点 |
大規模な上場企業だけに限定された枠組みとは捉えず、組織の規模や事情に応じて使います。リスクアペタイトは、価値を生み出すためにどのようなリスクを取るかという方針として整理し、実際の判断基準や報告条件へつなぎます。すべてを一つの金額や点数で決める必要はなく、許容しない行為と、条件付きで進める業務を区別するなど、自社で運用できる形にします。
ISO 31000はガイドライン。公表済み規格と草案を分ける
ISOの公開ページは、ISO 31000:2018をリスク管理の原則・枠組み・プロセスを示すガイドラインとし、規模や業種によらず利用できると説明しています。組織のガバナンスや戦略、計画等へリスク管理を組み込む目的で参照し、COSOは経営、ISOは現場だけという固定的な役割分担にはしません。
確認日時点では、2018年版が公表済みで、2023年にレビュー・確認された旨が掲載されています。一方、次のISO/CD 31000は開発中の委員会草案です。開発中の版を既に公表された新規格として扱わず、改訂を参照するときは状態と対象版を確認します。
ISO 31000は組織の認証に使うための規格ではありません。また、COSOには個人向けのERM学習・試験と修了証のプログラムがありますが、その修了証と企業全体の管理体制の認証を混同しないようにします。人の研修、組織の管理、法令対応の証明は、それぞれ対象を確認する必要があります。
導入の進め方：目標・リスク台帳・判断者・見直し条件を決める
導入計画は、一律の月数や特定の役職を置けば完成すると決めず、対象業務と必要な判断から設計します。既存の会議、台帳、監査や事故の記録を確認し、重複した報告と不足している情報を整理します。新しい管理表を増やすだけでなく、その情報をどの意思決定で使うかを明らかにします。以下は本記事が提案する整理手順です。
- 経営目標、対象業務、比較する期間と前提を決めます。
- 目標に影響する事象と原因、影響先、部門間の依存を整理します。
- 評価する基準と不確実な点をそろえ、対応の優先順位を判断します。
- 対応する人、決める人、必要な資源、期限、残るリスクを記録します。
- 確認する指標と証拠、報告・再判断の条件を設け、変化と実施結果を見直します。
台帳は「何が心配か」に加え「次に何を判断するか」を残す
台帳には、目標、リスクの内容、原因と影響、対象業務、担当、評価根拠、対応策、期限、確認資料、最終更新日等を対応付けます。対策がなければどんな影響があるかと、現在の対策を踏まえて何が残るかを分けます。起こる可能性を判断できない事項は、根拠のない確率で埋めず、未確認の前提と追加で調べる担当を記録します。
重要度を色や点数で示す場合も、対象期間、影響の尺度、評価者の前提をそろえます。便宜的な段階評価を、厳密な発生確率や損失額と同一視しないようにします。同じ点数でも、人命、法令、事業停止、財務等の影響は内容が異なるため、点数の順だけで対応を決めない設計が必要です。
KRIと報告条件を、実際の行動に結び付ける
KRI（重要リスク指標）を置く場合は、数値の定義、取得元、更新周期、担当と、どの状態で誰へ報告するかを決めます。例えば重要な委託先について、継続の前提となる資料が期限までに更新されているか、代替手段の確認が済んでいるかを追う方法があります。これは運用例で、すべての会社に共通する必須指標ではありません。
対応済みという報告には、実施した日、対象、結果を確認できる記録を添えます。対策案を作成した状態、承認された状態、実施して確認が終わった状態を分けます。定例会だけでなく、業務や契約、システム、規制等の前提が変わった場合の再確認条件も決めると、以前の判断をそのまま使い続けることを防ぎやすくなります。
全社で把握したリスクを統制の実施や監査の評価へつなぐ際は、内部監査・内部統制のAI活用18用途とJ-SOX・全件分析の確認点も参照してください。業務側のモニタリングと内部監査、分析したデータの範囲と統制の有効性を分け、根拠・確認担当・承認を対応付けて検証する方法を整理しています。
AIとシステムは情報整理を支援する。判断と対応の責任を明確にする
ERMでAIを使う場合は、公開情報や社内記録の整理、関連資料の候補検索、差分の抽出、報告案の作成等、確認可能な作業から検討します。AIへの投資率や一般的な市場予測を、そのままERMで予測精度が実証された証拠にはしません。未知の事象を必ず予知できる、資料を入れれば規制への該当性が自動確定する、といった期待を置かず、用途ごとに品質と負担を評価します。
出典・日付・対象範囲と、担当者の確認を残す
規制や外部情報を扱う場合は、原文、発表日、施行・適用時期、対象国・法人・業務を確認します。AIが見つけた変更の候補と、自社への影響を確認した判断を分け、根拠の資料と確認者を残します。要約から抜けた条件や旧版の混在、存在しない出典も検証対象に含めます。閲覧できる情報の範囲と、外部へ送ってよい情報も事前に決めます。
業務システムを連携する場合は、通知、承認、更新、外部送信等の操作を分けます。誤った内容が自動で確定・配信されないように、権限、確認工程、例外時の担当を設けます。AIの利用や説明・責任を全体から整理する際は、デジタルトラストの実践や、AI・DXの投資判断と導入テーマも参照できます。
経営課題の整理と、台帳・承認の実装を分けて相談する
何を優先して取り組むか、経営と現場の目標をどう合わせるか、実行計画とKPIをどう置くかが課題なら、renueのコンサルティングへ相談できます。全社の法令適合や専門的なリスク判定を一律に保証するサービスとしてではなく、経営課題の整理と実行へつなぐ支援として検討します。
台帳の更新、証拠資料の照合、担当者への確認依頼、承認や既存システムとの連携に手作業が多い場合は、FDEによる業務実装支援が相談先になります。現在の資料、更新方法、権限、判断する担当を整理し、使えるデータと連携条件から範囲を決めます。実装の完了と、その仕組みを使ったリスクへの対応完了は分けて管理します。
サイバー領域の具体的な弱点確認が必要な場合は、脆弱性診断・侵入テストの目的と範囲を整理し、技術検証の結果をERMの担当者へ戻します。一度の診断やツール導入で全社のリスク管理が終わったとせず、残った課題と次の判断を継続して確認します。