かつて、リスク管理は、スプレッドシートやチェックリストを組織内のメールシステムで回覧する、時間がかかり、手間がかかり、各部門間で連携が取れていないプロセスでした。そのため、リスク管理が各部門ごとに個別に任され、部門間でリスクがどのように相互に影響し合うかが見過ごされがちだったのも無理はありません。リスク管理ツールの限界が、リスク管理の適用範囲を狭めていたのです。
リスク管理の情勢は変化し、今もなお変容を続けています。組織は、より多くのリスクに対処しつつ、同時に業務の回復力を高めようとしています。幸いなことに、リスクが進化するにつれて、リスク管理に用いられるツールも進化しています。新しいツールにより、モバイル端末からのリアルタイムな報告が可能になり、現場のステークホルダーと中央のリスク管理チームが連携できるようになりました。使いやすく自動化された可視化、予測、さらには機械学習ソフトウェアにより、将来のリスクを予測する際の「当て推量」が不要になりました。 定量化により、組織全体のさまざまな種類のリスクを直接比較することが可能になります。
こうした革新は、組織がさらなる混乱を予期している状況下で生まれています。2020年、当社は、過去1年間の混乱期において、リスク管理の取り組みにおいて単に生き残っただけでなく、好調な成果を上げたさまざまな主要組織の全階層の従業員を対象に調査を実施しました。回答者の4人に3人近くが、今後2年間で自組織のリスクプロファイルが拡大すると感じていると回答しました。リスク管理における現在のベストプラクティスについてさらに詳しく知りたい方は、当社のレポート『統合リスク管理の現状』をご覧ください。
古い問題を解決するための新しいリスク管理ツール
定性的なリスク評価に依存するリスク管理は、もはや時代遅れです。ヒートマップは、「最小限」や「壊滅的」といった言葉に単に色を割り当てるだけで、リスク軽減に向けたリソースの配分方法についての指針は一切提供しません。また、定性的な評価では、「壊滅的な事態」がもたらすコストや、その余波を回避するためにどのような措置を講じるべきか、そして、その「嵐」を乗り切って無事に切り抜ける方法についても、明らかにすることはできません。
定性的な評価には限界があり、特定の混乱がどれほどのコストをもたらすかを特定することが困難であったことから、より厳密な定量的な手法が開発されることになった。「最小限」の影響が「極めて深刻な」影響よりも望ましいことは容易に理解できるが、複数の小さな影響と1つの大きな影響とを比較する定性的な方法はない。
定量的リスク評価ツールを活用することで、リスク管理チームはまさにそのような分析を行うことが可能になります。数字という普遍的な言語を用いることで、同等の条件での比較や集計が可能になるからです。組織は、リスク評価・管理の新しいツールを活用し、リソースの配分方法について具体的な数値を示すことができるようになりました。
先見の明のある組織は未来を見据えている
統合リスク管理プラットフォームに将来的な発展を取り入れられるよう配慮している組織は、賢明な対応をとっていると言えます。レガシーシステムをデジタルツールへと移行させざるを得なかった組織なら誰でも知っているように、新しい手法を取り入れる作業には多大な摩擦が生じることがあります。
組織が将来のリスク管理手法や動向を取り入れる上で重要なのは、ステークホルダーに対し、統合リスク管理が継続的かつ絶えず進化するプロセスであることを理解してもらうことです。今日の課題に対処するには、コンプライアンスのために事後的にチェックリストを埋めるだけの対応から、組織全体での参画を必要とする先を見据えたリスク管理モデルへと、文化的な転換を図ることが求められています。明日の課題に対処するには、少なくともそれと同程度、あるいはそれ以上の関与が必要となるでしょう。
事業継続性は、かつてないほど重要になっている
パンデミックは、組織が急速な変化や突発的な混乱に迅速に適応できることがいかに重要であるかを浮き彫りにした。多くの従業員がリモートワークに移行したことでデジタルリスクの範囲が拡大し、重要なIT資産をオンライン化する必要が生じた。SARS-CoV-2ウイルスの感染拡大を抑制するための新たな規制が導入されたことで、規制遵守の確保に向けた取り組みは一層困難を極めた。サプライチェーンの混乱により、投入資源が制限されるとともに、実物商品やサービスの市場も停滞した。
世界経済を構成する密接なつながりの網と、隣接する組織間の強固な結びつきは、サードパーティリスクや事業中断への曝露を高めています。インターネットによって新しいベンダーやサービスプロバイダーを容易に見つけられるようになったことで、事業継続力を持つ組織は、信頼性が低かったり一貫性に欠けたりする組織に比べて優位に立つことになります。
統合リスク管理の勢いを維持する
統合リスク管理は「旅」であり、「目的地」ではありません。体系的なプログラムを整備している組織であっても、部門横断的なプロセスを通じてリスクと事業を結びつけ続ける必要があります。私たちは、大規模で全社を挙げて取り組む取り組みよりも、長期的に維持できる、小さく実現可能なステップを積み重ねていく方が、勢いを維持するのに適していることが分かっています。
統合リスク管理は、中核的な使命と同様に、組織の活動に深く根付いているべきです。何と言っても、業務の回復力を高め、業務中断の影響を軽減できることで、組織は提供するサービスを継続して提供することが可能になるからです。リスク管理が職場の意思決定や行動に深く組み込まれているとき、組織は自らの強みをより効果的に発揮することができるのです。
20年以上にわたる業界をリードする経験に加え、現在の顧客基盤やリスク管理コミュニティ全般の分析を通じて、当社はリスク管理の実態について深い知見を得ています。 各部門によってリスクプロファイルや運用要件が異なることを踏まえ、当社はさまざまな情報源からのリスク情報を統合する「Archer」という共通プラットフォームを構築しました。Archerは、ガバナンス、リスク、コンプライアンス（GRC）の統合、自動化、およびレポート作成のための中核となるプラットフォームです。このプラットフォームはカスタマイズや拡張が可能であり、組織のリスクプロファイルを管理するための標準機能（OOB）や特殊なユースケースに対応したソリューションを提供します。
こうした業界の知見を、当社の新しいレポート『統合リスク管理の現状』にまとめました。トップ企業がどのようにして事業継続力を確立してきたか、また将来的に変化し続けるリスクを軽減するためにどのような対策を講じることができるかについて、ぜひ今すぐレポートをご覧ください。
