世界はますます相互につながり合い、組織はかつてないほど他企業のリスクや恩恵の影響を受けやすくなっています。物理的な供給ネットワーク、デジタル通信、統合されたビジネスシステムによって、リスクの様相は一変しました。パンデミックは、現代の組織がいかに複雑であるか、そして危機に対応するためには部門や専門分野を超えた緊密な連携が必要であることを、私たち全員に改めて認識させました。
業務のレジリエンスは、もはや、まれに発生する特定の地域やIT関連の障害の際にのみ活用される事後対応型の復旧計画を策定するBC/DR（事業継続および災害復旧）機能のみから成るものではあり得ない。特定の地域に限定された災害復旧プロセスを定めた組織の事業継続計画は、グローバルな障害には対応できない可能性がある。さらに、インフラや物理的資産が常に相互につながっている現代において、IT上の問題は単なる組織のコンピュータネットワークの問題にとどまらない。
パンデミックを契機として、リスク管理に対する包括的かつ完全に統合された視点の必要性が浮き彫りになった。管理されていないリスクが組織にもたらす影響は甚大であり、リスクが拡大し続ける中、経営幹部や取締役会メンバーがリスク管理の取り組みにますます深く関与するようになっている。また、リスク管理を日常業務に組み込み始めた組織もますます増えている。
リスクは多くの分野で劇的に変化しているため、部門ごとの縦割り構造や手作業によるプロセスでは、ステークホルダーに完全な情報を迅速に提供することが困難になっています。最も成功しているポイントソリューションでさえ、情報がさまざまな場所に保存され、各部門によって異なる方法で利用されるため、この課題をさらに深刻化させるだけです。まさにこれが、お客様が単一のプラットフォーム上でリスクの多面的な側面を管理することに大きな価値を見出している理由であり、実際、当社の顧客のほぼ80％がArcher上で複数のリスク領域を管理しています。
統合リスク管理の実践とプロセスを完全に導入し、その運用体制を確立している組織であっても、自組織の直接的な管理の及ばない第三者リスクに対処せざるを得ない場合があります。社外のベンダーやサプライヤーを適切に管理することが、いかにして事業継続力を高め、実際に成長を促進するかについて詳しく知りたい方は 、当社の最新レポート『統合リスク管理の現状』をダウンロードしてください。
サプライチェーンの混乱へのさらなる影響
グローバル経済の相互連携が進むにつれ、従来の領域を超えたリスクにさらされる組織が増えています。たとえ組織が、業務を中断させる可能性のある無数の不測の事態に対して事業継続（BC）および災害復旧（DR）計画を策定し、適切に分類できたとしても、新たなリスクを認識し、迅速に災害復旧体制へ移行するためには、リスク管理を組織の枠組みに深く組み込むことが依然として不可欠です。
地域的および世界的な混乱は、かつてはめったに起こらない出来事でしたが、今では日常茶飯事となっています。ますます多くの組織でリスクプロファイルが拡大する中、リスクを継続的に管理できることは、業務のあらゆるレベルにおいて不可欠なものとなっています。したがって、リスク管理は、業務の規模と範囲において中心的な役割を担うようになりました。
多くの組織において、リスクの予測、認識、管理が、業務のあらゆるレベルで不可欠な要素となっていることがわかりました。Archerを導入している組織との取り組みを通じて、私たちは、過去1年間の課題に各組織がどのように対応してきたかを把握しています。 2020年のRSAデジタルリスク調査の回答者の60％以上が、自社の統合リスク管理プログラムは「ある程度」または「かなり」充実していると回答しました。これに対し、組織内に統合リスク管理プログラムや手順が一切整備されていないと回答したのはわずか7％にとどまっており、リスク管理が今日の組織において優先事項であることは明らかです。
地球規模の変化とオペレーショナル・リスク
気候変動により、かつては「一生に一度あるかないか」とされていた現象が、日常的な出来事となってしまいました。一部の地域では、100年に一度の洪水がほぼ毎年発生すると予測されています（1）。2021年の夏、北米の太平洋岸北西部では、気候が穏やかでほとんどの人がエアコンを持っていないほどだったにもかかわらず、気温が華氏120度を超えました。以前は考えられなかったような気象上の混乱が今では日常茶飯事となり、管理しきれない混乱を引き起こしています。 産業拠点を洗い流す壊滅的な洪水、送電線や道路を溶かす熱波、ガス管を凍結させる氷の嵐は、いずれもサプライチェーンを大混乱に陥れる力を持っています。たとえ複数のベンダーを活用して業務の回復力を確保している組織であっても、世界的な大災害の際にすべてのベンダーが同時に機能停止に陥れば、どうすることもできません。
国家が関与する高度なサイバー戦争により、ますます多くの組織が混乱に見舞われています。2020年に発生したSolarWinds攻撃（2）は、ロシアのハッカーが18,000を超える組織のネットワークを侵害した事例の一つにすぎません。 このケースでは、標的は米国政府のネットワークであったようだが、攻撃にはSolarWinds Orionプラットフォームの全ユーザー向けのソフトウェア更新サーバーへのハッキングが含まれていたため、多くの非政府系ネットワークも侵害された。
COVID-19のパンデミック初期、N95マスクの不足は、相互に密接につながった国際的なビジネス環境が抱えるリスクを浮き彫りにした。ウイルスの拡散を抑制できる予防策に関する情報が乏しい中、N95マスクは感染の拡大を抑えるのに有効であることが明らかになった。マスクの在庫をほぼ枯渇させるほどの買い占め現象に加え、マスクの製造に使用される医療用木材パルプがカナダで生産されていたため、国境封鎖が事態をさらに悪化させた（3）。 業務目標の達成を対面でのやり取りに依存していた組織は、業務を停止するか、従業員を危険にさらしながら業務を継続するか、あるいはますます不足するマスクを法外な価格で調達するかの選択を迫られた。業務、コンプライアンス、財務上のリスクについて迅速に比較・判断を行うための枠組みが確立されていなかった組織は、大きな打撃を受けた。
組織は、以前の世代であれば「あり得ない」と見なされたであろうリスクに対して、日常的に計画を立て、対処していかなければなりません。そのため、レジリエンス、監査、コンプライアンス、IT、オペレーショナル・リスクといった組織の各領域間で連携を図りながら、リスク管理を行うことを推奨します。特定の事態が孤立して発生し、単独で対処すればよいと想定するのではなく、現代の組織は、複数の混乱が同時に発生し得ることを間もなく認識するようになるでしょう。
「業務の回復力」こそが最大の原動力である
組織には、日常業務で見られるリスクと、それらの事象が事業戦略に及ぼす影響とを結びつけることで、リスク領域を包括的に捉えることをお勧めします。2020年のRSAデジタルリスク調査では、回答者の5人に1人が、今後2年間で「事業レジリエンス」と「エンタープライズ・リスク管理」のアプローチの整合性を優先すると回答しました。プロセスや手順に依存して業務レジリエンスを実現しようとする組織文化だけでは不十分です。 グローバルリスクは、内部リスクやベンダーリスクに対して有効なプロセスと同じもので必ずしも管理できるとは限りません。当社のレポート『統合リスク管理の現状』では、組織の枠を超えたグローバルリスクに対応するだけでなく、リスクを実際に自社の強みに変える方法について解説しています。
(1) https://www.nature.com/articles/s41467-019-11755-z
(2) https://www.businessinsider.com/solarwinds-hack-explained-government-agencies-cyber-security-2020-12
(3) https://www.theglobeandmail.com/canada/article-vancouver-island-pulp-mill-supplies-materials-for-medical-protective/
