特別寄稿　日本企業の“想定無い”リスクマネジメント（下）

ヒル・アンド・アソシエイツ・ジャパン株式会社代表取締役社長　石井弘之氏

ご都合主義な危機管理

前号では海外進出における日本企業のリスクマネジメントの問題点について、ヒル・アンド・アソシエイツ・ジャパン株式会社代表取締役社長の石井弘之氏に紹介いただいた。今号では、リスクマネジメントの手法について解説していただく。

中国において深刻な邦人死亡者数

１）変革するリスクと、ご都合主義のリスク想定

グローバリゼーションの進展に伴い、企業が海外での事業展開において直面しうるリスクが多様化、高度化、そして複雑化しているという認識に異論はないであろう。企業は、内需が停滞する中で、高い成長力を有する海外市場へ進出するが、前号でも書いた通り、成長性の高い新興国においては、その高い経済成長の潜在力を海外から進出してきた企業が通常の取り組みをもって確実に享受することは決して容易であるとは言えない。このような国々においては、医療上や治安上の課題はもちろんのことであるが、事業を取り巻く法制や規制が未整備であったり、その執行が極めて裁量的であったり、商業慣行やビジネス倫理の相違があったり等、対応を誤ると事業に対して少なからぬ損害をもたらすリスク要因は枚挙にいとまがない。そして、逆説的な表現になるが、これらのリスク要因を十分に認知しないままに、国内事業運営の延長線上で海外においても事業展開できるという自らにとって都合の良い想定だけで進めること自体が実は最大のリスクと言えるのである。

随分前のことになるが、在上海日本総領事と話をした際に、その総領事が管轄する上海市、浙江省並びに江蘇省での日本人の死亡者数が年間60人を超えているといって大いに懸念を示されていた。在留登録者に長期出張者を加えれば同地域の滞在日本人人口は10万人を超えるとは言え、年間60人の死亡は異常な数値である。死亡原因の多くは虚血性心疾患や脳血管障害等による突然死であったが、自殺も少なくなかった。どうしてこのような異常な事態が発生したのかということについて自分なりに解析してみたが、次のような仮説が成り立った。即ち、日本企業が中国に在勤者を派遣する際のプロセスに何らかしらの問題があるということ。例えば、中国は距離的にも近いし、漢字の国であるから多少勉強しておけば、日常生活においてそれほど困ることはないといった認識で、事業所立ち上げのためにエンジニアの人たちを派遣する。

一旦、事業所の立ち上げが済んでしまえば、そのエンジニアの人たちは工場長なり総経理なり理事長なりといった立場で今度は経営を担当することになる。ただし、これらの人たちは、得てして生粋のエンジニアで国内事業所の経営経験すらないということが多く、それでいて、本社からの業績に対する大きな期待を背負いながら中国での難しい事業経営にあたらなければならない。

ストレスを溜めるなというのは無理な相談である。年齢も年齢だけに既往症の１つや２つを持っていても不思議ではない。これらの既往症が適切に管理されない中で過度のストレスが蓄積し、突然死の引鉄が引かれることになったり、場合によっては鬱（うつ）症状を発症してしまうという仮説である。これもある意味で、自分に都合のよい解釈や想定のみで企業が海外進出のための人事配置をしたことの負の産物と言えるのではないだろうか。

企業のリスク管理の方法論

２）リスク管理方法論の一例

さて、高度化、多様化、複雑化する海外での事業リスクの中にあって日本企業が危機管理に対する当事者意識を持って経営にあたっていることは間違いないと思うが、「こちらに都合の悪いことは起こらない」とか、「多分大丈夫だろう」といった「想定無い」とまでは行かないにしても、甘い想定やご都合主義の想定に問題があるという仮説も成り立ちそうである。せっかく、意識を持ってリスク管理に取り組んでいても、突っ込み方が不十分であることが原因で成果が期待できないとなれば、費やす時間や資源がもったいないばかりである。

リスク管理も、管理という機能のはしくれである以上、それなりに確立された方法論は少なからず存在する。私見ではあるが、方法論というのは、複雑系に対して単純化されたモデルを適用してその複雑系の本質、実体を理解する機能を提供してくれると思う。従って、リスク管理の方法論自体も決して難解なものではなく、簡単に応用できて、なおかつ、ご都合主義的想定や思い込み的想定に陥ることを防止してくれる有効なガイダンスとして機能すると考えている。以下、弊社がコンサルティングにおいて使用するリスク管理方法論を一例として紹介する。

図１に示した概念図は企業のリスク管理が事業戦略企画（StrategicPlanning）を実現する活動であることを示している。そして、その活動の中心的機能として挙げられるのが、１）認知（Identify）２）解析・評価（Assess）（３）脅威の低減（Mitigation）、そして（４）対応（Respond）の４つである。

認知とは、即ち、リスクに係る事実、現実を正確に把握することであり、具体的には事業を取り巻くリスク要因について、現在は勿論、過去事例等も含めて広範にかつ深く洗い出しをする作業である。いわゆる情報収集というのはこの認知活動の一環としてとらえることができる。

事実や現実を認知することができたら、これを解析し評価しなければならない。この解析・評価の目的は、最終的に認識したリスクが現実の脅威となって顕在化した際、自らの事業にどのような影響や損害を及ぼし得るのかを可能な限りの広がりで想定することにある。そのためには、リスクが脅威となって顕在化する可能性はどれくらいあるのか、顕在化の引き金（Trigger）になる事象は何か、事業はそれぞれの個々の脅威あるいは複合した脅威に対してどこまで耐性があるのか、耐性を超える脅威にさらされた際に被る損害の規模はどれくらいなのか、といったことについて十分な検討を加えなければならない。

脅威の低減については、むしろ、損害の回避・極小化と表現した方がわかりやすいであろう。耐性を超える脅威が顕在化した場合に人や有形、無形の事業資産をいかに脅威から防衛するのかについて、その優先順位を明らかにしたうえで、防衛のために発動させるべき緊急組織体制や具体的なアクション・プランを策定し、文書化し、共有し、訓練を通じて有効性を検証し、検証結果に応じて必要な改訂を施す。いわゆる危機対応計画（Emergency Response Plan ; ERP）等の策定がこの領域に属するわけであるが、文書化と共有までは実行されるものの、出来上がった分厚い危機対応計画は今やドアストッパーの役割しか果たしていないというジョークが物語るように、有効性の検証やメンテナンスについては、少なからずの企業において取り組みに不十分な点が散見される。なお、経済的な損害を企業内で留保する（Retain）、あるいは保険をかける（Transfer）と言った活動もこの領域に属する。

そして、対応とは脅威が顕在化した時に危機対応計画等のあらかじめ設計された行動を起こすことによって損害や損失の低減を実行することである。平時における訓練、有効性の検証や必要な改訂作業を怠ると、この最も重要な領域において全く成果が出ないという事態に陥る。それでなくとも、実際の危機というのは想定したリスク・シナリオの要件どおりに起こるとは限らないわけで、臨機応変の意志決定と対応が求められる局面がしばしば発生する。このような局面で重要なことは、的確な意思決定を支援するための状況評価、つまり、刻々と変化する現実の脅威が危機対応計画の想定からどの程度乖離しているのか（ギャップ分析）に基づいての現実の状況評価が的確になされることと、これが意思決定者へ遅滞なく提供されるコミュニケーション・ラインが適正に稼働していることである。

３）企業における継続的リスク管理プロセスの一例

企業が行うリスク管理においては、防衛すべき事業資産、脅威の特性、事業資産の脅威に対する脆弱性、さらには事業を取り巻く環境要件等の変化によって管理すべきリスクも変質する。このような変質するリスクを常に最適な手法をもって組織的に管理してゆくためには、前述したリスク管理の概念を方法論化する必要がある。以下に示す手法は、継続的リスク管理プロセスといわれ、変質するリスクに対する管理及び対応策を常時最適な状態で装備維持するための方法論の一例である（図２）。

このワークフローは常時変化、変質するリスクを最適管理する目的から企業の危機管理計画がどのように策定され、評価検証され、決定され、そして運用されるべきかを示している。

計画と方針（Planning and Direction）においては、企業のビジョンや価値観そして事業計画といった上位概念に基づいたリスク管理方針が確認される。

分析と文章化（Analysis and Documentation）においては、以下述べる解析評価と対応策が検討され、その結果が危機管理計画として文書化される。

まず、最初に行われるのが事業資産に対する解析評価（Assess Assets）である。防衛すべき事業資産の特定、防衛の優先順位、資産価値、損害を受けた場合の代替の可能性等々につき検討を加える。次に、想定される脅威の洗い出し（Assess Threats）を行う。この作業は予見可能性の限界までという覚悟を持って実行されなければならない。その後、洗い出された脅威に対する事業資産の耐性及び脆弱性の解析と評価（Assess Vulnerabilities）が求められる。同じ脅威に対してであっても、ある事業資産は耐性が高いのに対し、別の事業資産は脆弱でるという事態は決して不思議ではない。このような解析をマトリックス等を利用して行うことになる。そして、その結果としてのリスク度合いの評価（Assess Risks）が行われ、このリスクへの対抗手段（Determine Countermeasure Options）が立案されることとなる。この対抗手段は費用対効果分析（Cost / Beneﬁt Analysis）によりその有効性や合理性が検証されなければならず、疑義があれば以上のAnalysis and Documentationのプロセス作業を再度実施することとなる。完了した作業は文書化され組織のしかるべき機関に上申されるとともに、そこにおいて検討が加えられ、組織的な意思決定がなされる。承認されれば実行に移されるし、否決されれば、再度のAnalysis and Documentationのプロセス作業により改善が加えられる。また、承認され実行に移された後も、このプロセス作業は継続的に実行され、リスクの変化や変質に応じた対抗手段が常に装備されている状態を維持しなければならない。

おわりに

最後に企業経営におけるリスク管理のポジショニングについて筆者の考えるところを述べさせて頂き、本稿の締めくくりとしたい。

まず、企業経営においてリスク管理は経営管理機能という位置付けにあるというのが衆目のおおむね一致するところであると思うが、筆者は企業経営においてリスク管理は企業の活動目的そのものとして理解されるべきであると考えている。企業の目的が何であるかについては、価値創造であるとか、株主利益の極大化であるとか、顧客創造であるとか、諸説乱立の観もあるが、いずれの目的もリスク管理活動を欠いて達成されることは無い。リスクを組織的に最適管理することは企業において自己目的化されるべきであると愚考する。

第２に、もし、リスク管理が企業の目的を構成するものであればリスク管理活動はプロフィット・センターとして理解され、そのポジションを与えられるべきである。現在、ほとんどの企業においてリスク管理はコスト・センターとしての位置付けになっており、言葉は悪いがその支出は少なければ少ないほど良しとされているのではないだろうか。リスク管理が企業の目的の一部をなし、それなくして企業目的の達成が不可能であるとすれば、本来、リスク管理は投資の対象としてとらえられるべき活動と考えている。

第３に、トップダウンによる強力かつ組織的なリスク管理実行の必要性である。

そして、最後にトップダウンによる強力なリスク管理を可能とする企業内リスク管理プロフェッショナルの育成である。率直に言って、リスク管理プロフェッショナルの計画的育成に取り組んでいる企業は大企業といえども決して多くは無いと思う。日本の企業は冒頭述べたように危機が顕在化して、事が起こったら、臨機応変の対応力をもってこれに対峙するといった傾向があることから、リスク管理担当者には必ずしもリスク管理と直接関係ない職種からであっても、対応力に優れた人材を抜擢するといった人事が結構行われているのではないかと思う。これはこれで、極めて賢明な選択肢ではあるが、このクロス・ボーダー経済の中で高度化、多様化、複雑化するリスクに対処してゆくためには、今後は、リスク管理を一つの科学的技法として定義し、方法論の学習は勿論、実務的な経験も、じっくりと時間をかけて積ませて、高度な専門家を育成するといった取り組みが求められるのではないかと思う次第である。

以上、筆者の限られた経験から垣間見た企業の海外におけるリスク管理の実情と課題、そしてその課題を解決するための１つのヒントとしてのリスク管理方法論の一例について述べた。私見に基づく記述が多分にあったかとは思うが、これは、筆者の勉強不足という不徳の致すところであり、この場をお借りしてお詫び申し上げる。