事業を運営するあらゆる組織にとって、リスクは付いて回るものです。時代や状況によりリスクの要因などは変化していきますが、リスクマネジメントを行い備えておくことが大切なのはこれまでと同じです。

近年、社会のデジタル化が進み、各種のデータの取り扱いがしやすいよう基盤が整えられてきました。データの集約により、ビッグデータとして解析などを行い、新たな知見を得るデータサイエンスも広く浸透し、データの重要性はますます高まっています。一方で、データが重要になればなるほど、データを保有していることは大きなリスクとなっていきます。情報の流出・漏洩が発生した場合には、業務に著しく影響を与え、外部の信頼を失うことまでが想定されるためです。

本記事では、あらためてリスクとリスクマネジメントについて確認し、リスクマネジメントの手順や失敗事例なども合わせて詳しくご紹介します。

リスクマネジメントとは

リスクマネジメントの必要性、重要性について確認するにあたり、リスクとリスクマネジメントの概要について確認しておきましょう。

リスクマネジメントの概要・目的

リスクマネジメントについて考える前に、まずリスクについて確認します。「リスク」は、場合により定義が異なります。

引用：日本学術会議「リスクの本質を考える」

事業経営においてのリスクを考えた場合には、不確実なモノゴトがリスクにあたります。

• 自然災害による事業継続への影響
• 経営者や従業員の疾病、死亡などによるリソースの減少
• 景気、為替、金利などの影響
• 消費者動向の変化

など

これらのリスクに対し、発生した場合にも事業を継続できるように備えておくことが必要となります。事前にリスクを予測し、リスクの回避や低減、または危険性を認識して行動する（リスクテイク）ことがリスクマネジメントです。

リスクマネジメントの考え方

前項で記述した通り、リスクとは不確実なものです。この不確実性を管理することがリスクマネジメントといえます。

不確実とはいえ、どのくらいの頻度で発生するか、その影響はどの程度かは、ある程度想定することが可能です。そこで、「発生頻度×影響度」が高いものから優先的に対処を行うことが一般的です。

リスクアセスメントなどの類語との違い

リスクマネジメントはリスクの洗い出し、評価、防止策の立案、実施、リスクが発生した場合の対処など、リスクに対する一連のプロセスを指します。

リスクアセスメントは、リスクの特定と分析・評価を行うことで、先にあげたリスクマネジメントのリスクの洗い出しと評価にあたります。リスクアセスメントはリスクマネジメントのプロセスの一部です。

リスクヘッジはこのリスクに対するプロセスのうち、リスクの防止策の立案、実施を指す言葉です。リスクヘッジもリスクマネジメントの一部にあたります。

リスクの種類

事業経営に関するリスクは大きく分類すると「純粋リスク」「投機的リスク」の二つに分けることができます。リスクにより対処などが異なるため、把握しておきたいポイントです。

純粋リスク

自然災害などの偶発的事故や人為的なミスなどにより起こるリスクは純粋リスクと呼ばれます。純粋リスクの発生では、事業者は被害のみを被るためマイナスリスクとも呼びます。

さらに細分化すると、下記が挙げられます。

• 財産リスク
• 費用・利益リスク
• 人的リスク
• 賠償責任リスク

※リスクの分類については、更に詳細に分割することもあります。

投機的リスク

投機的リスクは、損失が出る可能性もあるが、利益を生む可能性もある事象を指します。政治や経済、消費者の変化などが投機的リスクにあたります。利益につながることもあるため、ビジネスリスクとも呼ばれます。

より詳細には、下記が挙げられます。

• 経済的情勢変動リスク
• 政治的情勢変動リスク
• 法的規制の変更に関するリスク
• 技術的情勢変動リスク

※リスクの分類については、更に詳細に分割することもあります。

リスクマネジメントのプロセス

リスクマネジメントのプロセスは予防・軽減、移転、容認の4つが基本とされてきました。現在では拡充されていますが、まずは基本の4つのプロセスについて紹介します。

予防（回避）

リスクに対して事前に手立てを行い、リスクの発生率を下げることが「予防（回避）」です。

例えば、業務用のパソコンを携帯して利用する場合、紛失や盗難により情報の漏洩・流出が起こることが考えられます。そこで、パソコンの記憶領域に暗号化を行っておくことで、紛失や盗難にあっても情報流出を回避することができます。これがリスクの予防にあたります。

軽減（低減）

リスクに対して事前に手立てを行い、リスクの被害を抑えることが「軽減（低減）」です。

例えば、火災発生に対してスプリンクラーを設置することで火災の規模が大きくなることを防ぐことは、リスクの軽減といえます。

移転

リスクが発生した場合の影響を他者に移すことが「移転」です。

例えば、火事に備えて火災保険に入ることは、リスクを保険会社に移転させているといえます。

容認（受容）

リスクについて検討した結果、発生率が非常に低いあるいは影響が非常に小さいと判断し、対策を取らずにリスクを受け入れることが「容認（受容）」です。リスクについて検討して許容範囲内であることを確認することが重要です。

リスクマネジメントの必要性

事業経営におけるリスクは常に変化しており、新たなリスクに対応し続けることが重要です。

デロイトトーマツによる「企業のリスクマネジメントおよびクライシスマネジメント実態調査 2022年版」によると、日本国内の企業が「優先的に着手する必要があると思われるリスク」に挙げたリスクは下記でした。

• 1位：異常気象、大規模な自然災害
• 2位：人材流失、人材獲得の困難による人材不足
• 3位：サイバー攻撃・ウイルス感染等による情報漏えい 

2位、3位のリスクは前年度の調査では11位、10位であり、たった一年でも重要性の高いリスクが変化していることが見て取れます。いずれも、事業継続に大きな影響を及ぼすリスクであり、企業はリスクマネジメントの必要性を認識して、リスクに注視していることが分かります。

リスクマネジメントの失敗事例

リスクマネジメントに失敗した場合、どの様な問題や影響が起こるのでしょうか。代表的な事例について紹介します。

大手不動産企業の建築基準法違反に関する事例

2018年に大きなニュースとなった事例として、不動産のサブリースを行う事業者が建てた建物に建築基準法違反が見つかり、合計約430億円にも上る損害が計上されました。そもそもの設計ミスと建築基準法の改正への対処ができていなかったことが原因とされていますが、法改正をリスクとして管理できていればここまで大きな被害にはならなかったとも言えます。また、金銭的な損失に加えて、社会的な信頼にも大きな影響が出た事例です。

老舗和菓子店における賞味期限の改ざんに関する事例

2007年、老舗和菓子店に関して賞味期限を偽装しているという情報が農林水産省に寄せられました。立ち入り検査により、製造年月日の改ざんが行われていることが判明し、営業禁止命令が出される事態となり、4カ月の営業が停止しています。悪意ある虚偽の管理が行われていたことに対し、企業としてリスクマネジメントが行われていなかったと農林水産省の資料では結論付けられています。

ダークウェブアイを用いた情報漏洩リスクの確認手順

近年、事業経営上で大きなリスクとなっているのが、情報漏洩・流出のリスクです。情報資産の重要性は高まり、その中には個人情報や機密情報も含まれています。これらが漏洩・流出した場合には、その事実確認や被害範囲の確認、拡大の防止、再発防止策、情報の流出に関する損害賠償、さらには顧客の信頼失墜など多くの影響が出ることが予測されます。

しかし、情報漏洩が起きているかどうかはどのように調べればよいのでしょうか。このリスクに対して状況を確認する手段となるのが、情報漏洩監視ツールの活用です。

情報漏洩監視ツール「ダークウェブアイ」は、自社に関する情報が漏洩・流出していないか、ダークウェブをモニタリングし通知してくれるツールです。即時に発見し対応することで被害の拡大を抑えるために役立ちます。確認に向けては、最初にセットアップを行い、以降はツールによる通知に対応するという手順です。

まとめ

事業を経営するにあたって不確実であるリスクは付き物であり、リスクマネジメントは経営者の責任の一つといえます。リスクマネジメントのプロセスや対応法を学び、効果的に対応することが必要です。
これらのリスクについては、政治や経済、技術向上などにより状況が目まぐるしく変化しています。特に、近年では企業の持つ情報資産における重要性が高まり、それに比してサイバー攻撃は増加、多様化しており、情報の流出や漏洩は大きなリスクです。

情報の漏洩・流出リスクに対するマネジメントの一環となるのが、情報漏洩監視ツールの活用です。情報流出に対し素早く対応して、被害の拡大を食い止める軽減の役割を果たします。SMSデータテックの提供する「ダークウェブアイ」などの利用を検討してみてください。下記のボタンよりお気軽にご相談ください。