多くの企業において、重大な損害を被るリスクを避けるためにリスクマネジメントの実施が求められています。リスク評価は、リスクマネジメント内で重要視されているプロセスのひとつです。本記事では、リスク評価の概要や目的、評価手順、リスクマネジメント実現に役立つソリューションなどを解説します。
リスク評価とは
リスク評価とは、リスクマネジメントにおける五つのプロセス内にあるリスクアセスメントの要素のひとつで、リスクを影響度や発生頻度といった観点から評価することです。リスクマネジメントは、企業が被るリスクを認識し対策を取る手法です。そのうちリスクアセスメントは、リスクの「特定」「分析」「評価」の3段階で構成されています。
リスクの定義：ISO 31000:2018
「ISO 31000：2018」は、ISO （国際標準化機構）が作成したリスクマネジメントの国際規格です。2009年に公表された「ISO 31000：2009」の改定版として、2018年に発表されました。「ISO 31000：2018」では、リスクを「effect of uncertainty on objectives」（日本語訳：目的に対する不確実性の影響）と定義しています。
リスクとは基本的に、組織やプロジェクト、製品などの目的に対して、期待とは違った結果になってしまうことを意味します。リスクマネジメントにより、リスクを回避するための管理が適切になされると、万が一の事態が生じた場合にも企業の損害軽減が可能です。
リスク評価を行う目的
リスク評価は、前段階の「分析」で得たデータを基に行う評価であり、発生しうるリスクに対して、優先的に対策すべきものの順位を決定するために実施します。この時、評価結果を活用して優先順位を設定する基準が「リスク基準」です。リスク基準を用いて優先度を決定すると、大きな損害を未然に防ぐ対策がとりやすくなります。
リスク評価の方法｜四つのステップ
リスク評価は、リスクの発見、特定、分析、評価の四つのステップで実施します。
1. リスクを発見する
リスク評価の最初の段階では、リスクの全体像を掴むために洗い出しを行います。重大な損害などは起きないと思える事柄が、実際には大きな損害につながるケースもあるため、想定されるあらゆるリスクを漏れなく書き出すことが大切です。
発見する手法には、以下のようなものがあります。
- リスク分析シートなどを使い、各部門で思いついた項目を書き出す方法
- ブレーンストーミングで案を出し合う方法
- 各部門にアンケートを実施し、気づいた内容を書き出してもらう方法
- 具体的なシナリオを作成して、原因から結果への過程をシミュレーションする方法など
一部の部門だけで洗い出しの作業をすると、抽出できるリスクが偏ってしまいかねません。そのため、洗い出し作業は全ての部門で行いましょう。
さらに、企業内部に限らず専門家に調査を依頼するなど、外部の視点も取り入れることで、漏れなくまとめられます。書き出したリスクは、一覧表を作ってまとめると確認の際に便利です。
2. リスクを特定する
さまざまなリスクの中から、自社に重大な損害が生じるリスクを特定します。作った一覧表をチェックして、それぞれのリスクで生じる損害の内容や大きさを確認していきましょう。重大な影響があるリスクを特定し、トラブルになりにくい、対応が不要なリスクは除外します。
企業を取り巻くさまざまなリスクに関しては、中小企業庁が公開する資料で、以下のような例が挙げられています。
- 地震や風水害、雷といった自然災害リスク
- 従業員の集団感染、食中毒
- 科学技術災害
- 企業内犯罪（暴力や窃盗、コンピュータ犯罪）など
参照元：企業を取り巻くリスク｜中小企業庁
また、損害保険会社やコンサルティング企業が行っている企業リスクに関する民間調査なども参考にしながら自社のリスクをチェックし、特定します。
3. リスクを分析する
特定したリスクの影響がどの程度重大かを算定するステップです。重大さは、「頻度（発生確率）」と「影響度（損害の大きさ）」の二つの要素から算定が可能です。リスクが起きる確率と、起こりうる損害を数値で表して分析を行います。
ただし、発生確率や損害の大きさが明確ではない定性的なリスクは定量化が難しく、扱いには注意しなければなりません。定性的リスクのケースでは、数値から影響度の算定ができないため、弁護士などの専門家の意見、統計結果などから影響度を算定することが大切です。
4. リスクを評価する
前段階で分析した内容やリスク基準との比較から、リスクの評価を行い、対策の優先度を決定します。各リスクの優先度を決める際にも、分析と同じく「頻度」「影響度」を用います。企業を取り巻く多数のリスクすべてに対策することは、リソースなどの問題から実質的に不可能です。そこで効率的に対策を講じるために、優先順位をつける必要性が生じます。
評価には、「頻度」「影響度」の数値から算出する「掛け算型」「足し算型」「分布図型」の3種類の手法が主にあります。「掛け算型」は「頻度×影響度」で、「足し算型」は「発生確率＋損害の大きさ」で算出する方法です。また、「分布図型」では、頻度と影響度からマトリクス上に各リスクを配置していきます。分布図上で確認でき、優先度が可視化されるため、頻度と影響度が高いほど優先度も高くなるとの判断が可能です。
リスク評価を行う上での注意点
リスク評価は、リスクマネジメントを行う際の重要なプロセスのひとつです。精度の高い明確な評価基準を定めていると、客観的で正確性の高い評価が可能になるため、的確な評価を行うには、上述したリスク基準の精度も高めることが大切です。書き出し漏れや分析の際のミスなどで優先度の高いリスクが除外されてしまうと、リスクマネジメントの実現が難しくなります。
リスク評価の際にどの評価手法が適しているかは、企業や組織によって異なります。リスク評価を行う場合、他社の事例を参考にするだけでなく、経営層の考えや実際に行った分析結果などをもとに、自社に合った評価手法を用いて実施しなければなりません。
また、リスク評価の内容を受けてリスクマネジメントの効率化を図る際には、優先度が絶対的なものとは限らない点にも注意が必要です。現場とも相談するなどして、臨機応変に判断しましょう。
SAP提供のGRCソリューションでリスクマネジメントの実現を
サイバーセキュリティのリスクマネジメントにおいて重要視されるのは、IDガバナンスの強化です。これまでのID管理は、IDやパスワードの基本的な管理を行う「IDM（Identity Management）」が主流でした。一方、現在では、IDの権限変更、ルールに沿ったID管理、定期的なID棚卸などを行い、IDMよりもさらに統制部分（ガバナンス）を強化するGRCソリューションが活用されています。
IDガバナンスの強化には、企業の機密データが保管されているシステムへのアクセスを管理するために、ID管理の統制が効果的です。
SAPが提供するGRCソリューションを活用すると、職務分掌ルールに従った権限管理、ユーザ払出、モニタリングを通じてガバナンスが強化され、リスクマネジメントの実現が可能になります。
まとめ
リスク評価は、リスクマネジメントプロセスのうち、リスクアセスメントに含まれる要素です。リスクの発生によって生じる損害を回避するには、リスク評価によって対応の優先度を判断することが大切です。GRCソリューションおよびIGAソリューションの導入によって、リスク回避につながるガバナンスの強化が実現します。
GRC構築・インプリメンテーション
