最初に、約5年間にわたってERMを実施しているSoutherncoの例を紹介しよう。投資家が所有する大手電力会社のSoutherncoでERMディレクターを務めるトッド・パーキンス氏は「顧客に奉仕する一方で規制当局と投資家の要求に応えるという当社の戦略においては、低いリスクプロファイルを維持することがで不可欠だ」と語る。

　4つの州で事業を展開するSoutherncoにとって、「カトリーナ」のような巨大ハリケーンに頻繁に襲われることも重大なリスク要因となっている。「暴風雨などの災害に対する復旧プロセスは何十年も前から用意されており、非常に洗練されたものとなっている。われわれのERMプログラムは基本的に、このような手法を当社のほかの部門にまで広げることを目指した取り組みだ」とパーキンス氏は説明する。

　どういった暴風雨復旧手法がSoutherncoのERM戦略に適用されたのかとの問いに対し、パーキンス氏は「最も重要なことは、適切な組織構造を構築し、責任を明確化し、リスクを保有しているのが誰かを全員が理解することだ」と答えた。

　パーキンス氏はROI（投資収益率）の数字を示さなかったが、「事業リスクが危機的な状況になる前に、それを特定して対策を講じる上でERMが重要な役割を果たした」と強調した。例えば、ハリケーン「カトリーナ」の際には、Southerncoはダウンしたシステムの影響を最小限に抑えることができたという。「どのシステムを最初に復旧する必要があり、どの業務を優先すべきかということが、明確に分かっていたからだ」と同氏は話す。

　さらにパーキンス氏は「ERMプロセスを実施することにより、経営幹部がフォーカスすべき広範な戦略問題と財務問題が明らかになる」と指摘する。

　Southerncoでは、ERM戦略をマーケティングツールとしても活用しており、投資家、取り締まり当局、大口顧客に対して「当社は非常に安全であり、リスクプロファイルが非常に低い」ことを示す証拠としてERM戦略を提示している。

　Southerncoの各業務部門および子会社のマネジャーたちは1年間を通じて、それぞれの部門における最大のリスクを特定し、（可能であれば）それを数値化する。そしてこの情報はERMグループに送られる。同グループには、IT、財務および各業務部門の上級マネジャーも含まれている。パーキンス氏によると、同グループは「親レベル」でデータの分析と優先順位付けを行い、将来的には「ビジネス部門の責任者ならびに取締役会が監督とガバナンスのために利用する総合的な企業リスクプロファイル」を開発する予定だという。

　Navigant Consultingで事業継続管理手法を担当するディレクター、マイケル・キーティング氏によると、ERM戦略を成功させるには、異なるグループ間の相互関係が不可欠だという。例えば、特定のシステムの障害による影響を評価する場合、財務マネジャーは収益機会の喪失に注目するだろうし、監査人は情報漏えいを心配し、ビジネスマネジャーは生産性の低下に注目するだろう。個々のリスクがそれぞれ中程度と評価されたとしても、「それらを総合して考えれば、全体としてのリスクははるかに高くなる」とキーティング氏は指摘する。

アクションアイテム

　キーティング氏によると、ERM戦略を策定するに当たり、ビジネス部門とIT部門の責任者は、「どこを目指すのか、そしてそこに到達する上での障害は何か」を示した3年ないし5年計画を作成する必要があるという。次に、それが技術的なリスク、市場に関係したリスクあるいは財務的なリスクなのかに応じて、これらの障害を分類する。「各カテゴリーのすべての項目をまとめて対処することによって、費用の節約などの付随的メリットが得られるケースも多い」と同氏は話す。

　責任を明確にするだけでは不十分だ。それを適用しなければならない。「当社の顧客の中には、データ保持と事業継続に関するポリシーを策定したものの、誰もそれを守らなかったという企業もある。ペナルティーが設定されていなかったからだ」とキーティング氏は話す。

　スイスに本社を置くBirchtree Consultingのピーター・バーリッチ氏は「数値上のリスク評価を重視し過ぎるのは良くない」とアドバイスする。「ほとんどのリスク計算は非常に低い発生率と高い影響度に基づいており、これは統計的に極めて不確実性が高いものになる。セキュリティ投資の優先順位を決める方がはるかに重要だ」

　「適切な主要実績指標を選び出すことも忘れないように」とバーリッチ氏は続ける。「例えば、インシデント数の目標を設定すれば、インシデントが報告されなくなるのは明らかだ。インシデントがなくなるわけではない」

　ITスタッフにとってリスク担当マネジャーや社内監査人は敵ではなく、潜在的な協力者だと感じられるようにすべきだ。「IT担当者の悪口を言うことでお金をもらう」社外監査人とは違い、社内監査人は「耳にしたことを何から何まで報告する必要はない」とキーティング氏は話す。「それに加え、社内監査人は影響力も持っている」と同氏は語る。「解決すべきIT問題があり、追加予算が必要だと彼らが言えば、取締役会も耳を傾けるはずだ」

　もちろん、そういった有意義な対話を実現するのが難しいこともある。「ITマネジャーの中には、ビジネスリスクの用語を知らなかったり、リスク管理担当者とどのように話せばいいのか分からない人も多い。一方、多くのリスク担当マネジャーは、ITに対して気後れしている」とキーティング氏は指摘する。

　しかし高いレベルのオープン性と信頼関係こそが、効果的なリスク管理を導入し、それを活用できるようなERM戦略の実現に向けた重要な第一歩なのだ。「ITマネジャーはリスク管理オフィスに気楽に電話し、“これこれのリスクが見つかった。それをカバーできる保険商品はないだろうか”とか、“こういった投資をした結果、この部分が非常に強くなったので、顧客や投資家にそのことを宣伝する必要がある”と言えるようでなければならない」（同氏）