しかし現実には、多くの企業はこれまでERMの導入をためらってきた。2007年2月にリスクアドバイザー企業のMarshとRisk and Insurance Management Society（RIMS）が共同スポンサーとなって、米国企業の501人のリスクマネジャー、CEOやCIOといった幹部、リスク関連業務担当者を対象に行った調査によると、自社にERMを本格的に導入したと答えたのは回答者の12％だった。これは2006年の調査のときよりも4％多い。

　これはそれほど意外な結果ではない。孤立したサイロ型のプロセスからERMに移行するには、最初の段階で膨大な労力を必要とするのはいうまでもなく、企業文化を根本的に変更する必要もある。

　「ビジネス部門のマネジャーたちは、リスクとセキュリティにかかわる決定の責任を取るのを嫌がっている」と指摘するのは、Gartnerの調査担当副社長、ポール・プロクター氏だ。しかも、ITマネジャーおよびビジネスマネジャーの多くは、全社的な視点に立たず、自分の部門内部の脅威にフォーカスする傾向があるという。

　しかし少なくともビジネスマネジャーとITマネジャーは、時々互いに話し合いをするのに慣れている（例えば、サービスレベルについて話し合うなど）。これに対し、セキュリティやバックアップ用のシステムを導入、運用する現場スタッフが、これらのシステムによって守られたサービスを日常業務で利用しているビジネスマネジャーと話し合う機会はめったにない。またCIOをはじめとするIT幹部が、財務リスクや市場リスクに対処するリスク担当マネジャーと共同作業をする機会も皆無に近い。

　リスク管理という観点からいえば、問題は両者が狭い枠の中で物事を考えていることだ。Navigant Consultingの事業継続手法担当ディレクター、マイケル・キーティング氏は、「リスクマネジャーは元来、戦略的な思考をするよりも安全策を重視するものだ」と指摘する。「一方、IT幹部は一般に、技術を投入することによって脅威に対処しようとするだけで、事業の目的や優先課題を考慮に入れない」と同氏は付け加える。

　キーティング氏によると、このサイロ型アプローチの問題の1つは、個々の部門のスタッフがほかの部門で何をしているのか知らないために、それを利用できないことだという。「例えば、重要なアプリケーションが1時間以上停止することがないようにするために、IT部門が第2のデータセンターを構築することを決めたとする。これはその企業にとって、顧客に対する重要な訴求ポイントになる可能性もある。営業担当者は『当社では御社のビジネスのことを真剣に考えており、御社のニーズに常に応えられるようにするために、この投資を行ったのです』と顧客に言えるかもしれないのだ」と同氏は語る。

　たとえ格付け機関によって自社の信用度が格下げされるというリスクがないとしても、競争および財務上の観点から企業がERMを導入すべき理由はたくさんある。

　スイスの企業Birchtree Consultingの社長で、International Information Systems Security Certification Consortium（ISC2）の理事を務めるピーター・バーリック氏は、「ビジネスリスクに応じて投資の焦点を絞ることを可能にするようなガバナンスを持たずに、技術的なリスクにのみフォーカスしている企業が多い。これでは、リスクの軽減と防止のための投資が不十分になり、災害後のビジネスプロセスの復旧に時間がかかり過ぎる恐れがある。あるいは逆に、技術的リスクを重視するあまりに、ビジネス機会を逃す恐れもある」と指摘する。

　ERMで最も重要なのは、社内の部門間のコミュニケーションとコラボレーションだ。プロアクティブかつ総合的な方法でリスクを評価し、それに対処するというチャレンジに対して、各部門はそれぞれの優先課題だけでなく、専門的な経験やノウハウを持ち寄ることが大切だ。

　基礎がしっかりしたERM戦略は、長期的にビジネスにメリットをもたらす広範かつプロアクティブなソリューションに向けてビジネス部門とIT部門のリーダーが協力する機会を提供する。また、脅威を評価し、現実的なソリューションを策定する責任の所在──すなわち、自部門の業務が脅威にさらされているビジネスリーダーとITリーダーたち──も明確化される。

　Gartnerのプロクター氏は、この問題を反語的に表現している──「リスクとセキュリティに取り組むに当たっては、あなたは誰に決定をしてもらいたいだろうか？　ファイアウォールを管理する現場レベルの担当者だろうか？」

　2回にわたって掲載する本記事の後半では、ERM戦略を実行する上でのチャレンジとERM導入がもたらす効果について述べる。