ERM（エンタープライズリスクマネジメント）とは？COSO枠組みで学ぶ全社的リスク管理

ERMとは

ERM（Enterprise Risk Management）とは、個別の部署やプロジェクト単位ではなく、組織全体の視点でリスクを統合的に管理する枠組みです。日本語では「全社的リスクマネジメント」と訳されます。

従来のリスク管理はサイロ化しやすい傾向がありました。財務リスクは経理部、コンプライアンスリスクは法務部、ITリスクは情報システム部といった具合に、各部門が個別にリスクを管理していたのです。この断片的なアプローチでは、部門間にまたがるリスクや、リスク同士の相互作用を見落としがちです。

ERMはこの課題を解決するために、全社横断的な視点でリスクを識別・評価・対応し、経営戦略と一体化させるアプローチを採ります。世界的に最も広く採用されている枠組みが、COSO（トレッドウェイ委員会支援組織委員会）が2017年に改訂した「Enterprise Risk Management - Integrating with Strategy and Performance」です。

構成要素

COSO ERMフレームワークは5つの構成要素と20の原則で構成されています。

ガバナンスと文化

ERMの土台となる要素です。取締役会がリスク監視の責任を担い、経営層がリスク管理の方針を設定します。組織全体にリスクを意識する文化を醸成し、必要な人材を確保・育成することが求められます。リスクに対する組織の「姿勢」を決定づける要素といえます。

戦略と目標設定

経営戦略の策定プロセスにリスクの視点を組み込む段階です。「リスクアペタイト」と呼ばれるリスク許容度を定義し、戦略の選択肢を評価する際の判断基準とします。事業目標の設定においても、目標達成を脅かすリスクと、目標達成を促進する機会の両面を考慮します。

パフォーマンス

設定した戦略と目標を実行する過程でリスクを管理する段階です。リスクを識別し、その影響度と発生可能性を評価します。評価結果に基づいてリスク対応策（回避・低減・移転・受容）を選択し、リスクのポートフォリオ全体を俯瞰して管理します。

レビューと修正

リスク管理の有効性を継続的に評価し、改善する段階です。事業環境の変化や新たなリスクの出現に応じて、リスク評価や対応策を見直します。重大な変更があった場合は、ERMの枠組み自体を修正することも含まれます。

情報・伝達・報告

他の4つの要素すべてを支える横断的な要素です。リスクに関する情報を組織内外で適切に収集・共有し、意思決定者に必要な情報が適時に届く仕組みを整備します。

実践的な使い方

ステップ1: リスクアペタイトを定義する

まず経営層と取締役会が、組織として「どの程度のリスクを受け入れるか」を明示的に定義します。リスクアペタイトは財務指標（営業利益の変動許容幅など）と非財務指標（レピュテーション毀損の許容範囲など）の両面で設定します。この基準がなければ、リスク対応の判断が属人的になり、一貫性が保てません。

ステップ2: リスクの統合的な評価を実施する

全社的なリスクアセスメントを実施し、戦略リスク、財務リスク、業務リスク、コンプライアンスリスク、外部環境リスクなどを網羅的に洗い出します。各リスクの影響度と発生可能性を評価し、リスクマップ上にプロットします。リスク間の相関関係にも注目し、複合リスクのシナリオを検討します。

ステップ3: 戦略的意思決定にリスク情報を統合する

リスク評価の結果を経営会議や戦略策定プロセスに組み込みます。新規投資やM&Aの判断、事業ポートフォリオの見直し、経営計画の策定において、リスクの視点を意思決定の標準プロセスに統合します。リスクレポートは定期的に取締役会に報告し、ガバナンスを強化します。

活用場面

ERMはコーポレートガバナンスの強化が求められる場面で重要な役割を果たします。上場企業では内部統制報告制度への対応の一環として、ERMの導入が進んでいます。

M&Aの意思決定においても、対象企業のリスクプロファイルを自社のリスクアペタイトと照合するためにERMの枠組みが活用されます。統合後のリスク管理体制の設計にも有効です。

新規事業や海外展開など、不確実性の高い経営判断においては、リスクの定量的な評価と許容範囲の明確化が意思決定の質を向上させます。

注意点

ERMを形式的なコンプライアンス対応として導入すると、膨大なリスク台帳を作成するだけで実効性を伴わない「チェックリスト型」の運用に陥りがちです。リスク管理を経営戦略と切り離さないことが最も重要な成功要因です。

リスクの定量化に過度に依存することも危険です。定量化が困難なリスク（レピュテーションリスク、地政学リスクなど）を軽視すると、盲点が生まれます。定性的な評価と定量的な評価を組み合わせるアプローチが現実的です。

また、ERMは全社横断的な取り組みであるため、経営トップのコミットメントなしには機能しません。リスク管理部門だけの活動にとどめず、各事業部門のリスクオーナーシップを明確にすることが不可欠です。

まとめ

ERMは、リスクを経営戦略と一体的に管理することで、不確実性の高い環境における意思決定の質を向上させる枠組みです。COSOフレームワークの5つの構成要素を軸に、リスクアペタイトの定義から統合的なリスク評価、戦略への組み込みまでを体系的に実施します。形式的なリスク台帳の整備ではなく、経営判断にリスク情報を実質的に統合することがERMの本質です。

参考資料

COSO ERM Framework - COSO公式サイト（ERMフレームワークの公式解説）
COSO Enterprise Risk Management Framework - PwC（COSO ERMの実務適用ガイド）
COSO ERM Framework: Key Components and Implementation Guide - Sprinto（ERMの構成要素と導入手順の解説）