株式会社renue
AI導入・DXの悩みをプロに相談してみませんか？
AIやDXに関する悩みがありましたら、お気軽にrenueの無料相談をご利用ください。 renueのAI支援実績、コンサルティングの方針や進め方をご紹介します。
上場企業のCRO/リスク管理ERM部門のAI実装｜COSO ERM・ISO 31000・気候リスク・サードパーティリスク責任設計【2026年5月版】
本稿は、上場企業のリスク管理・ERM部門（CRO：Chief Risk Officer 配下、リスク管理本部・全社的リスクマネジメント室・コンプライアンス＆リスク部等）における生成AI/AIエージェント実装の論点を、COSO ERM 2017改訂版（戦略およびパフォーマンスとの統合）、ISO 31000:2018、改正コーポレートガバナンスコード、有価証券報告書「事業等のリスク」記載拡充の動向、TCFD/TNFDの気候・自然関連リスク、AI/サードパーティリスク管理（TPRM）の制度動向を踏まえて整理したものである。読者として想定するのは、CRO・リスク管理本部長・CCO・全社リスクマネジメント室長、ならびに取締役会・リスク管理委員会のメンバー、CDO/CIO配下でAIガバナンスとERMを統合設計するリーダーである。
リスク管理・ERM領域はAI活用余地が高い一方、3線ディフェンス上の「第2線（リスク管理部門の部門横断的管理）」としての独立性、リスクアペタイト超過時のエスカレーション、第三者リスクの可視化精度が崩れると、不祥事・重大インシデントの予兆を見逃すリスクが顕在化する。本稿は、業務マトリクス・5領域責任設計・3層ガバナンス観点・典型失敗パターンを順に提示する。
リスク管理・ERM領域を取り巻く2026年の制度・市場動向
リスク管理・ERM部門は2026年を境に、複数の制度・技術・市場圧力を同時に受けている。
第一に、COSO ERM 2017改訂版「全社的リスクマネジメント――戦略およびパフォーマンスとの統合」が、ERM領域のグローバル標準として定着した。ガバナンス・カルチャー、戦略・目標設定、パフォーマンス、レビュー・修正、情報・コミュニケーション・報告の5構成要素・20原則で構成され、戦略リスクの位置付けが大幅に強化されている。COSOは2018年にWBCSDと共同で「ESG関連リスクへのERM適用」ガイダンスを公表し、気候・社会・ガバナンスリスクをERMプロセスに統合する手法を提示した（COSO×WBCSD「ESG関連リスクへのERM適用」）。
第二に、ISO 31000:2018（リスクマネジメント―指針）が国際規格として継続的に更新され、原則・フレームワーク・プロセスの3層構造で日本企業にも広く採用されている。ISO 31000とCOSO ERMは競合ではなく補完関係であり、多くの上場企業はISO 31000をプロセス方法論、COSO ERMをガバナンス・戦略整合フレームとして併用する設計を採っている。
第三に、改正コーポレートガバナンスコード（東京証券取引所、2021年6月適用）の補充原則拡充により、取締役会によるグループリスク管理体制の構築および運用状況の監督責任が明示された。これに伴い、有価証券報告書「事業等のリスク」記載の拡充が各社で進み、定量化・優先度付け・対応策の具体性が要求されている。日本内部監査協会のERM資料集にもガバナンスとリスク管理の統合手法が継続的に整理されている（日本内部監査協会「ERM資料集」）。
第四に、サードパーティリスク管理（TPRM）の対象範囲が拡大している。直接の委託先・調達先だけでなく、利用しているクラウドサービス・SaaS、再委託先、委託先のさらに先（4th party）まで含めた可視化が求められる。生成AIサービスのサードパーティ依存（API事業者、基盤モデル事業者、ベクトルDB事業者等）も新たなTPRM対象として位置付けられる。
第五に、AI関連リスクが第二線リスク管理の主要対象として位置付けられた。AIガバナンス（AI事業者ガイドライン第1.2版、2026年3月31日、総務省・経済産業省）への対応、AIインベントリ管理、第三者AIツールのデューデリジェンス、モデルライフサイクル管理が新たな実務論点となっている（総務省・経済産業省「AI事業者ガイドライン第1.2版」）。中国でも上場企業質量提升の観点から、核心・保障・策略の三要素統合視点でのERM体系構築が議論されている（企業内部控制協会「构建企业风险管理体系提升上市公司质量」）。日本企業がグローバル展開する際は、各国制度差異に応じたリスクアペタイトの地域別調整が必要となる。
リスク管理・ERM部門の業務マトリクスと生成AI適用余地
リスク管理・ERM部門の業務を「定型度」「リスク認識精度影響度」の2軸で類型化すると、AI適用の優先順位が明確になる。リスク認識精度影響度とは、AI関与によって重大リスクの見落としや誤った優先順位付けが起きるリスクの大きさを指す。
| 業務 | 定型度 | リスク認識精度影響度 | AI適用度 | 責任レベル |
|---|---|---|---|---|
| 規制変更モニタリング・影響評価 | 高 | 中 | ◎ Co-pilot | L2 |
| 外部リスクデータ・ニュース監視 | 高 | 中 | ◎ Auto可 | L2 |
| サードパーティ評価質問票・採点 | 中 | 高 | ○ Recommend | L3 |
| リスクヒートマップ作成 | 中 | 高 | ○ Recommend | L3 |
| 事業等のリスク（有報）ドラフト | 中 | 高 | ○ Recommend | L3 |
| リスクアペタイト超過アラート | 低 | 極高 | △ Co-pilot限定 | L4 |
| 気候・自然リスクシナリオ分析 | 低 | 高 | ○ Recommend | L3 |
| 重大インシデント時の根本原因分析 | 低 | 極高 | △ Co-pilot限定 | L4 |
| 取締役会・リスク管理委員会レポート | 低 | 極高 | △ Co-pilot限定 | L4 |
| リスクカルチャー調査・分析 | 中 | 中 | ○ Recommend | L3 |
責任レベルL1（Auto）は人間レビュー任意、L2（Co-pilot）は人間が下書きを使って実務、L3（Recommend）は人間が候補から選択、L4（人間最終決裁）はAI出力を参考にするのみで意思決定の説明責任を人間が完全に保持する。リスクアペタイト超過アラート判断・重大インシデント時の根本原因分析・取締役会レポートはL4厳守で、AI判定をそのまま執行記録に残してはならない。
5領域責任設計フレーム（リスクベース）
renueでは、上場企業のリスク管理・ERM部門のAI実装を「①リスクユニバース・リスクアペタイト責任」「②サードパーティリスク管理（TPRM）責任」「③気候・自然・社会関連リスク責任」「④AI/モデルリスク・新興技術リスク責任」「⑤レピュテーション・危機管理責任」の5領域に分割し、各領域でAI関与レベルと意思決定責任者を明示する設計を推奨する。
領域①リスクユニバース・リスクアペタイト責任
リスクユニバース（自社が認識すべきリスクの全体像）の継続的更新、リスクアペタイト・ステートメント（経営陣がとるリスクの範囲）のモニタリングはCo-pilotとして高い効果を発揮する。AIによる外部環境変化の網羅的検知、事業ポートフォリオ変化に伴うリスクユニバースの更新提案は有用だが、リスクアペタイト超過時のアラート判断・経営陣エスカレーション判断はCRO・取締役会の責任である。
領域②サードパーティリスク管理（TPRM）責任
サードパーティ（委託先・SaaS・クラウド・再委託先・基盤モデル事業者等）の質問票回答スコアリング、財務健全性継続モニタリング、ニュース・規制違反検知はAIで効率化できる。しかし、サードパーティの取引継続・取引停止・条件改定の判断は、相手企業との関係性・代替可能性・経営インパクトを総合考慮する人間判断が必要となる。生成AI第三者ツールには「AI出力責任は委託元」の原則が適用されるため、契約条件・データ取扱い・モデル変更通知の3点セットを規程化する。
領域③気候・自然・社会関連リスク責任
TCFD（気候）・TNFD（自然）・人権リスクのシナリオ分析、定量化、開示ドラフトはCo-pilotとして高い効果を発揮する。一方、シナリオ前提（1.5℃／2℃／NetZero2050等）の選定、影響評価の保守性判断、開示の重要性判定はCRO・サステナビリティ責任者・財務責任者の合議による人間判断が必要となる。
領域④AI/モデルリスク・新興技術リスク責任
2026年以降のERMで最も急成長する領域である。AIインベントリ管理、モデルバージョン・データソース・再学習履歴の継続追跡、第三者AI監査、AIガバナンス基本規程との整合確認はAI支援に適する。しかし「AIインシデント発生時の停止判断」「重要業務へのAI採用可否判断」「規制対応の優先順位」は人間判断とする。
領域⑤レピュテーション・危機管理責任
SNS・ニュースの常時監視、ネガティブセンチメント検知、過去類似事例の学習に基づく予兆検知はAIで効率化できる。一方、危機広報・取締役会緊急招集・記者会見対応・株主対話の判断は、組織文化・ステークホルダー期待・法的責任を総合考慮する高度な人間判断が必要となる。
3層設計観点（上場企業特有のリスク管理・ERMガバナンス）
上場企業のリスク管理・ERM AI実装は「①取締役会・リスク管理委員会レベル」「②CRO・リスク管理本部レベル」「③現場リスクオーナー・第1線業務部門レベル」の3層で設計しないと、3線ディフェンス上の独立性・エスカレーション・カルチャー設計が崩れる。
第1層：取締役会・リスク管理委員会
(a) リスクアペタイト・ステートメント承認、(b) AIガバナンスへの取締役会関与方針、(c) 重大インシデント発生時のエスカレーションルール、(d) 第三者AIツール採用時の取締役会承認基準、(e) 開示すべき重要なリスクの特定、を年次および随時で決議する。改正コーポレートガバナンスコード対応の観点から、グループリスク管理体制の構築および運用状況の監督責任が取締役会の専属事項として整理される。
第2層：CRO・リスク管理本部
(a) 5領域別RACI設計、(b) AI出力の証拠保全標準、(c) リスクユニバース更新サイクル、(d) サードパーティ評価質問票標準（生成AI評価項目を含む）、(e) AIインベントリ管理規程、を規程化する。CROの役割は2026年以降「リスクコントローラー」から「AIガバナンス・アーキテクト」へとシフトしており、AIインベントリ・リスク分類・第三者DD・モデルライフサイクル管理が新たな核心業務となっている。
第3層：現場リスクオーナー・第1線業務部門
(a) AI出力をそのままリスク評価結果としない（必ず人間判断層を挟む）、(b) リスクアペタイト超過時のエスカレーションプロトコル、(c) 第三者AI利用時の事前申請ルート、(d) 異常検知時の第2線への通報方式、を運用標準として定める。第1線の「リスクオーナーシップ」を曖昧にしたままAI導入すると、第2線・第3線の負荷が爆発的に増加する。
リスク管理・ERM AI実装の落とし穴（典型失敗パターン）
renueがコンサルティングで観察した典型的な失敗パターンを共有する。いずれも、3線ディフェンス上の独立性・エスカレーション・カルチャー設計を軽視した事例である。
失敗パターン①：規制変更モニタリングAIの誤検知が頻発し、現場が「またか」とアラート無視。アラートの粒度・閾値設計を経営層と現場で握り直し、L3（Recommend）として「即時対応」「翌週レビュー」「監視継続のみ」の3層に再設計する必要があった。
失敗パターン②：サードパーティ評価をAIスコア任せにして、重要な定性リスクを見落とし。財務スコアと評価質問票回答だけで取引継続判断したサプライヤーが経営者交代後に重大コンプライアンス違反。定性ヒアリング・経営陣面談を含む人間判断レイヤーが必須。
失敗パターン③：気候シナリオ分析の前提をAI推奨のまま採用し、開示の保守性が議論不十分。後の有報訂正・株主総会での説明責任問題に発展。シナリオ前提選定はCFO・CRO・サステナビリティ責任者の合議で行う設計が必要。
失敗パターン④：第三者AIツールのモデル変更通知が無く、突然の出力品質劣化で業務障害。基盤モデル事業者がモデル更新を実施した結果、AIアシスタントの出力精度が突然劣化し、現場業務に支障。契約条件にモデル変更通知義務を明記する必要があった。
失敗パターン⑤：AIインベントリの管理が部門ごとにバラバラで、AIガバナンス監査時に全体像が把握できず。各部門が独自にChatGPT・Copilot・社内RAG等を導入した結果、CRO配下にAIインベントリが集約されておらず、AIインシデント時の対応が遅延。社内AIゲートウェイ＋AIインベントリの一元管理が必須。
AI化されにくいリスク管理・ERM領域（人間の判断が残る領域）
生成AIの能力が向上しても、以下の領域は人間（特にCRO・取締役・経営陣）の判断が中核であり続ける。
- リスクアペタイトの設定・見直し：経営戦略・株主期待・社会的責任を総合した経営判断。
- 重大インシデント発生時の取締役会緊急招集判断：法的責任・株価インパクト・社会的影響を総合考慮した高度な意思決定。
- レピュテーション危機時の対外コミュニケーション：ステークホルダー心理・組織文化・経営者の人物面を考慮した人間の対外発信。
- 新規事業のリスク評価と意思決定：定量データが乏しい新規領域での判断は経営陣の経験と直観が中核。
- リスクカルチャー醸成と組織変革：第1線業務部門のリスクオーナーシップ強化は人間の対人能力が必要。
まとめ：90日PoC設計のおすすめ
リスク管理・ERM部門のAI実装は、いきなりリスクアペタイト超過アラートや重大インシデント根本原因分析から始めるべきではない。第2線としての独立性とリスク認識精度を毀損しない領域から段階的に進める設計が望ましい。renueは以下の90日PoCを推奨する。
- Day 0-30：5領域RACI設計とリスクユニバース・AIインベントリ整備。規制変更モニタリング（L2）、外部リスクデータ監視（L2）から開始。AIインベントリ規程を整備し、社内利用AIを一元把握。
- Day 31-60：サードパーティ評価質問票へのAI Co-pilot導入。生成AI第三者ツール評価項目（データ取扱い、モデル変更通知、AI出力責任分界等）を質問票に組み込み、人間レビューレイヤー設計。
- Day 61-90：気候・自然・社会関連リスクシナリオ分析と取締役会レポートのCo-pilot限定導入。シナリオ前提選定の合議プロセス、開示重要性判定の人間決裁フロー、KPI測定。
このアプローチにより、第2線としての独立性・第1線リスクオーナーシップ・第3線監査独立性を毀損せず、本番運用への移行可否を90日で判断できる構造が作れる。
リスク管理・ERM部門の生成AI実装をrenueと設計しませんか
renueは、上場企業のリスク管理・ERM部門におけるAI実装の責任設計・90日PoC設計・本番運用移行の伴走を行っています。COSO ERM・ISO 31000・改正コーポレートガバナンスコード・TCFD/TNFD・AI事業者ガイドラインを踏まえた5領域責任設計を、御社のリスクユニバース・第三者依存構造に即して設計します。
関連記事
- 上場企業のCAE/内部監査部門のAI実装｜IIA改訂基準・リスクベース監査計画・不正検知・監査委員会レポーティングの責任設計【2026年5月版】
- 上場企業のサイバーセキュリティCSIRT/SOC部門のAI実装｜改正サイバーセキュリティ基本法・能動的サイバー防御・SOC自動化・サプライチェーンの責任設計【2026年5月版】
- 上場企業の経済安全保障対応AI実装｜特定重要物資・基幹インフラ・先端的重要技術・FEFTA・CBAM統合の責任設計【2026年5月版】