もう先延ばしはできない

エンタープライズリスク管理をためらう企業に警鐘

S&PやMoody'sが企業の格付けの評価基準にERMを含める動きを見せている。これは、企業に対する「直ちにERMを実施すべきだ」というメッセージだ。

公開 2008年09月25日 08時00分

更新 2012年09月04日 18時39分

著者

Elisabeth Horwitt

[TechTarget]

印刷する Googleで優先するソースとして追加

　Standard & Poor's（S&P）は先ごろ、同社が格付けする企業の評価基準にエンタープライズリスク管理（ERM）を含める予定で、2009年4～6月期にはERMに基づく企業の採点を始めると発表した。この動きは、企業のビジネスリーダーと技術リーダーたちに強いメッセージ──「いつまでも先延ばしせずに、直ちにERMを実施すべきだ」というメッセージ──を送った。

　このような方針を打ち出したのはS&Pだけではない。投資家サービス企業のMoody's Investors Serviceは総合的なリスク管理評価手法を考案し、保険情報プロバイダーのA.M. BestはERMを格付けプロセスの一部として含める方針を明らかにした。

　ERMは、総合的なトップダウン方式でリスクを管理するための戦略、手続き、組織構造を定義するものだ。Gartnerの2008年4月のリポート「A Risk Hierarchy for Enterprise and IT Risk Managers」（エンタープライズ／ITリスクマネジャーにとってのリスク階層）によると、ERMの中心的な目的は、さまざまなビジネス部門およびIT部門が「事業運営リスク（システム障害、人為的要因、プロセスの不備、外的イベントなどに起因する損失リスク）に対するそれぞれの責任を理解すること」である。

　これに関連する目標として、ビジネス／IT分野における事業継続、情報セキュリティ、コンプライアンス、個人情報などに対する脅威が、ビジネスパフォーマンスならびに長期的目標と優先課題の遂行にどのような悪影響を及ぼす可能性があるかについて、各部門のリーダーが定期的に話し合う体制を確立することが挙げられる。

　企業のIT部門およびビジネス部門のリーダーたちは以前から、リスク管理に対しては分散型のアプローチよりも総合的なアプローチを採用する必要があると認識していた。2001年9月11日の同時多発テロや2005年8月に発生したハリケーン「カトリーナ」は、企業のITシステムへの深刻な被害が、重要なビジネスプロセスだけでなく、長期的な財務基盤および競争力にも悪影響を及ぼしかねないことを如実に示した。また、米連邦政府の取締当局や裁判所が、サーベンス・オクスリー法やHIPAA（米国における医療保険の相互運用性と説明責任に関する法令）などの情報セキュリティやデータ機密保護に関する法規制に違反した企業に対して何百万ドルもの罰金を科し始めたことも、企業にとって大きな警鐘となった。

　しかし現実には、多くの企業はこれまでERMの導入をためらってきた。2007年2月にリスクアドバイザー企業のMarshとRisk and Insurance Management Society（RIMS）が共同スポンサーとなって、米国企業の501人のリスクマネジャー、CEOやCIOといった幹部、リスク関連業務担当者を対象に行った調査によると、自社にERMを本格的に導入したと答えたのは回答者の12％だった。これは2006年の調査のときよりも4％多い。

　これはそれほど意外な結果ではない。孤立したサイロ型のプロセスからERMに移行するには、最初の段階で膨大な労力を必要とするのはいうまでもなく、企業文化を根本的に変更する必要もある。

　「ビジネス部門のマネジャーたちは、リスクとセキュリティにかかわる決定の責任を取るのを嫌がっている」と指摘するのは、Gartnerの調査担当副社長、ポール・プロクター氏だ。しかも、ITマネジャーおよびビジネスマネジャーの多くは、全社的な視点に立たず、自分の部門内部の脅威にフォーカスする傾向があるという。

　しかし少なくともビジネスマネジャーとITマネジャーは、時々互いに話し合いをするのに慣れている（例えば、サービスレベルについて話し合うなど）。これに対し、セキュリティやバックアップ用のシステムを導入、運用する現場スタッフが、これらのシステムによって守られたサービスを日常業務で利用しているビジネスマネジャーと話し合う機会はめったにない。またCIOをはじめとするIT幹部が、財務リスクや市場リスクに対処するリスク担当マネジャーと共同作業をする機会も皆無に近い。

　リスク管理という観点からいえば、問題は両者が狭い枠の中で物事を考えていることだ。Navigant Consultingの事業継続手法担当ディレクター、マイケル・キーティング氏は、「リスクマネジャーは元来、戦略的な思考をするよりも安全策を重視するものだ」と指摘する。「一方、IT幹部は一般に、技術を投入することによって脅威に対処しようとするだけで、事業の目的や優先課題を考慮に入れない」と同氏は付け加える。

　キーティング氏によると、このサイロ型アプローチの問題の1つは、個々の部門のスタッフがほかの部門で何をしているのか知らないために、それを利用できないことだという。「例えば、重要なアプリケーションが1時間以上停止することがないようにするために、IT部門が第2のデータセンターを構築することを決めたとする。これはその企業にとって、顧客に対する重要な訴求ポイントになる可能性もある。営業担当者は『当社では御社のビジネスのことを真剣に考えており、御社のニーズに常に応えられるようにするために、この投資を行ったのです』と顧客に言えるかもしれないのだ」と同氏は語る。

　たとえ格付け機関によって自社の信用度が格下げされるというリスクがないとしても、競争および財務上の観点から企業がERMを導入すべき理由はたくさんある。

　スイスの企業Birchtree Consultingの社長で、International Information Systems Security Certification Consortium（ISC2）の理事を務めるピーター・バーリック氏は、「ビジネスリスクに応じて投資の焦点を絞ることを可能にするようなガバナンスを持たずに、技術的なリスクにのみフォーカスしている企業が多い。これでは、リスクの軽減と防止のための投資が不十分になり、災害後のビジネスプロセスの復旧に時間がかかり過ぎる恐れがある。あるいは逆に、技術的リスクを重視するあまりに、ビジネス機会を逃す恐れもある」と指摘する。

　ERMで最も重要なのは、社内の部門間のコミュニケーションとコラボレーションだ。プロアクティブかつ総合的な方法でリスクを評価し、それに対処するというチャレンジに対して、各部門はそれぞれの優先課題だけでなく、専門的な経験やノウハウを持ち寄ることが大切だ。

　基礎がしっかりしたERM戦略は、長期的にビジネスにメリットをもたらす広範かつプロアクティブなソリューションに向けてビジネス部門とIT部門のリーダーが協力する機会を提供する。また、脅威を評価し、現実的なソリューションを策定する責任の所在──すなわち、自部門の業務が脅威にさらされているビジネスリーダーとITリーダーたち──も明確化される。

　Gartnerのプロクター氏は、この問題を反語的に表現している──「リスクとセキュリティに取り組むに当たっては、あなたは誰に決定をしてもらいたいだろうか？　ファイアウォールを管理する現場レベルの担当者だろうか？」

　2回にわたって掲載する本記事の後半では、ERM戦略を実行する上でのチャレンジとERM導入がもたらす効果について述べる。

印刷する

この記事の著者

Elisabeth Horwitt

エンタープライズリスク管理をためらう企業に警鐘

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

エンタープライズリスク管理をためらう企業に警鐘

この記事の著者

関連記事

エンタープライズリスク管理（ERM）のススメ

金融機関に求められるリスク管理の見直し

IDSシェアー、企業パフォーマンスとリスクの把握を支援するBPMツールの最新版

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓