「リスク管理部って、何をやってる部署なんですか」― 仕事を5つに分解してみた

「リスク管理部って、何をやってる部署なんですか」

経営企画にいると、事業部門の方からこう聞かれることがあります。そして正直なところ、私も最初はうまく答えられませんでした。「全社のリスクを管理している部署です」と言ってはみるものの、それは質問をそのまま言い換えているだけで、何の説明にもなっていません。

書店やウェブには「地政学リスクが高まっている」「不祥事をどう防ぐか」といった記事が大量にあります。しかしそこで語られるのはリスクの中身であって、その部門の担当者が日々何をしているかではありません。

今回は、リスク管理部門の仕事を5つに分解してみたいと思います。分解すると、この部門が抱えている構造的な問題も見えてきます。

① 集める仕事

各部門からリスク情報を回収し、整理し、集計して、決められた会議体に報告する仕事です。リスク調査票の様式作成、配布、督促、集計、リスクマップの作成、委員会・取締役会向け資料の作成——おそらく、外から一番見えやすいのがこの仕事だと思います。

食品メーカーの現場を想像してみます。

品質、調達、物流、海外拠点。それぞれの部門から調査票が返ってきます。項目は「原材料価格の高騰」「サプライヤーの供給停止」「異物混入」「為替変動」。発生可能性と影響度を5段階で記入する形式です。

ここで起きがちなのが、前年の回答をコピーして提出するという現象です。事業部門にとっては本業の合間の作業であり、真面目に書いても何かが変わった実感がなければ、翌年は前年踏襲になっていきます。回収率100%、集計も完璧、リスクマップも綺麗にできあがる。それでも、そこに新しい情報は一つも増えていない、ということが起こり得ます。

この状態でも「集める仕事」は完遂されています。だからこそ、厄介なのだと思います。

② 異議を唱える仕事

集めた情報を使って、事業部門の判断に割り込む仕事です。

調査票に「発生可能性：低」と書かれていても、それが本当に低いのかは別の話です。書いた本人が一番詳しいとは限りません。むしろ日常的に接しているからこそ慣れてしまい、リスクとして認識されなくなっている、ということもあります。ここで「本当にそうですか」と言えるかどうかが、この部門の存在意義に直結します。

難しいのはタイミングです。新規案件に対して早すぎれば「まだ何も決まっていないのに」と煙たがられ、遅すぎれば「今さら言われても投資判断は終わっている」と言われます。案件の進み方と社内の力関係を読んだ上での判断になります。

この仕事にはもう一つ、意外な側面があります。「リスク管理部にお願いします」を断ることも、この仕事のうちだという点です。事業部門から「リスクがあるのでそちらでお願いします」と持ち込まれたとき、引き取ってしまうと、そのリスクの所有者が変わってしまいます。リスクを負って処理するのは事業部門の仕事であり、それを肩代わりし始めると、事業部門のリスク管理能力はむしろ落ちていきます。

③ 翻訳する仕事

これは見えにくいのですが、実務上かなりの比重を占めます。

現場のリスクを、経営と投資家の言葉に変換する仕事です。「特定サプライヤーへの依存」という現場の事実を、「調達停止時の売上影響○億円」という経営の言葉に直し、さらに有価証券報告書の「事業等のリスク」という開示の言葉に直す。逆方向もあります。規制改正や開示基準の要求を、現場が実際に手を動かせる作業に翻訳して降ろす仕事です。

この翻訳の質が低いと、社内で奇妙なことが起きます。開示書類に書かれたリスクと、現場が実際に気にしているリスクが一致しなくなるのです。なお、有価証券報告書の「事業等のリスク」記載は、会社によって経理・IR・法務が主管し、リスク管理部門は情報提供に回ることも多いようです。

④ 配る仕事

リスク管理の「型」を、事業部門に持たせる仕事です。規程やマニュアルの整備、研修の実施、BCP訓練の企画・運営。3ラインモデルでいう「支援」の機能がここに当たります。

地味ですが、この仕事が痩せると②が効かなくなります。事業部門にリスクを見る型がないまま「本当にそうですか」と聞いても、答えようがないからです。異議を唱える前提として、相手に判断の材料と枠組みが渡っていることが必要になります。

⑤ 火を消す仕事

インシデントが起きたときの初動です。

何が起きたか分からない段階で、公表すべきか、まず調査か、監督官庁に一報を入れるかを判断する。情報が揃ってから動くのでは遅く、揃わないうちに動けば誤報になります。この時間帯の判断は、平時の手順書には書ききれない部分だと思います。

そして、この仕事の質は④で決まります。訓練していない組織は、初動で必ず手が止まります。

5つのうち、成果が形に残るのは2つだけ

こうして並べると、「リスク管理が形骸化する」という現象の正体が見えてくるように思います。

成果が提出物として残るのは、①集めると③翻訳するの2つだけです。①の成果はリスクマップ、③の成果は開示文書。どちらも手元に残り、誰の目にも見えます。

一方、②異議を唱えるがうまくいったとき、何が残るでしょうか。案件に条件が付いた、あるいは止まった。つまり何も起きなかったという事実だけです。④配るも同じで、訓練の成果は事故が起きなかったことでしか確認できません。⑤火を消すに至っては、うまく収めるほど「大したことはなかった」という評価になります。

うまくやるほど、成果が見えなくなる。 これは他部署にはない、この機能に固有の構造だと思います。営業の成果は売上として残り、経理の成果は決算書として残ります。リスク管理の中核部分だけが、成功すると何も残らないのです。

成果が見える仕事と見えない仕事が同じ人の手元にあれば、見える方に時間が寄ります。これはリスク管理部門の担当者が怠けているという話ではなく、評価と記録の構造の話だと考えられます。

結果として起きるのは、①と③で1年が埋まり、②と④が痩せ、④が痩せているせいで⑤で慌てる、という連鎖です。形骸化とは、この状態を指しているのではないでしょうか。

そしてもう一つ厄介なのは、②の実績が意識して記録しない限り消えることです。「今年のリスクアセスメントを経て、何件の案件が止まったか、あるいは条件が付いたか」——これに答えられる会社は、そう多くないかもしれません。答えられないということは、仮に②が機能していたとしても、それを示す手段がないということでもあります。

だからこそ、①の集計・資料作成をどれだけ自動化できるかが、実は②と④の量を決めることになります。AI活用がこの領域で意味を持つのは、コスト削減としてではなく、時間の再配分としてなのかもしれません。

3ラインモデルは何と言っているか

内部監査人協会（IIA）が2020年に改訂した「3ラインモデル」では、役割が次のように整理されています。

• 第1線（事業部門）：製品・サービスを提供し、それに伴うリスクを自ら管理する

• 第2線（リスク管理部門）：リスクに関する支援・検証・異議提唱を行い、第1線のリスク管理の妥当性をモニタリングして報告する

• 第3線（内部監査）：独立した立場から保証と助言を行い、ガバナンス機関に報告する

注目したいのは、第2線の定義に「異議提唱（challenge）」が明示されていることです。集めて報告することだけが役割ではなく、異議を唱えることが職務として定義されているわけです。

ここで、こういう反論があり得ます。「異議を唱えるのは内部監査（第3線）の仕事ではないか」と。

たしかに第3線も異議を唱えますが、両者はタイミングが違うのだと思います。内部監査は独立性を保つため、原則として事後に検証します。監査で指摘されたときには、意思決定はすでに終わっています。これに対して第2線は、事業部門と同じ経営管理者の下にいるからこそ、判断が終わる前に割り込める立場にあります。この「まだ間に合う時間帯に言えること」が、第2線の固有の価値ではないでしょうか。

ERMのリスクと、SSBJのリスクは何が違うか

ここ数年、リスク管理部門の周辺で起きている大きな変化が、サステナビリティ開示です。SSBJ（サステナビリティ基準委員会）基準は、時価総額に応じて2027年3月期から段階的に、東証プライム上場企業に開示が義務づけられる見通しとされています。

このとき現場で起きるのが、「うちにはもうERMのリスク一覧があるのに、なぜ別の一覧を作るのか」という混乱です。両者の傾向の違いを整理してみます。

• 目的：ERMは自社の目標達成を守るための内向きの管理。SSBJは投資家の意思決定に資する外向きの開示

• 重要性の判定基準：ERMは経営目標への影響で重要リスクを選ぶ。SSBJは投資家の意思決定への影響で選ぶ（シングルマテリアリティ／財務マテリアリティと呼ばれるアプローチ）

• 時間軸：ERMは主に次期予算・中期計画のレンジ。SSBJは短期・中期・長期を区分して開示させ、気候関連では数十年先が視野に入る

• リスクだけか、機会も含むか：ERMは基本的にリスク（マイナス）を扱う。SSBJはリスクと機会をセットで識別・開示させる

• 粒度と検証可能性：ERMのリスクマップは「発生可能性：中／影響度：大」という主観的な5段階評価で成立する。SSBJは財務的影響の説明を求め、将来的には保証の対象になる方向にある

ここから何が起きるか。同じ会社の中に、性格の違うリスク一覧が2つ並存します。 ERMで最重要の「来期の原材料価格高騰」はSSBJの気候開示では脇役になり、逆にERMのリスクマップに載らない30年後のリスクがSSBJでは主役になる、ということが起こり得ます。

そして見逃せないのが、SSBJ気候基準がERMへの統合状況そのものの開示を求めている点です。気候関連のリスク及び機会を識別・評価・優先順位付け・モニタリングするプロセスが、全体的なリスク管理プロセスに統合され用いられている程度、その統合方法と利用方法——これを説明することが求められています。

つまり、サステナ部門とリスク管理部門が別々に走っていると、それが開示で見えてしまう構造になっています。縦割りのまま作った2つのリスク一覧が有価証券報告書の中で食い違っていれば、投資家にも監査人にも目立ちます。これは③翻訳する仕事の難度が一段上がることを意味していると考えられます。

デリバティブ・資産運用のリスク管理は、どこにあるのか

もう一つ、この部門を分かりにくくしている事情があります。事業会社の中で、リスク管理は2つの別系統で走っているという点です。

系統A：定量リスク管理（財務部・資金部の管轄）
為替予約、通貨・金利スワップ、商品先物によるヘッジ、余資運用。ポジションを時価評価し、限度枠（リミット）に対する使用状況を日次〜週次で監視します。金融機関で発達したフロント（執行）／ミドル（リスク管理・評価）／バック（決済）の分離が、この領域の基本形です。特徴は、数字で測れて、限度を超えたら止まる仕組みがあることです。

系統B：定性リスク管理（リスク管理部門の管轄）
オペレーション、コンプライアンス、レピュテーション、地政学、サプライチェーン。リスクマップと5段階評価で、年次で回します。特徴は、数字で測りにくく、止める仕組みがないことです。

多くの事業会社で、この2つはつながっていません。リスク管理部門のリスクマップに「為替変動リスク」と書かれていても、それは財務部が日次で管理している実際の為替ポジションとは無関係の、年1回更新される定性評価だったりします。同じリスクを、2つの部署がまったく違う粒度で見ている状態です。

ここに、歴史のねじれがあります。

そもそも日本企業のリスク管理体制は、金融取引の巨額損失事件から生まれました。大和銀行ニューヨーク支店で行員による無断・簿外の証券取引により約11億ドルの損失が生じた事件をめぐり、2000年9月の大阪地裁判決は、取締役十数名に総額829億円の損害賠償責任を認めました。この判決は、取締役がリスク管理体制を構築する義務を「内部統制」という言葉で初めて明示的に認めたものとして、その後の実務に大きな影響を与えたとされています。その後、2002年の商法改正、2006年施行の会社法によって、内部統制システムの構築が義務づけられていきました。

つまり、リスク管理部門は金融取引のリスクから生まれた制度なのに、今の多くの事業会社では、その金融取引のリスクを担当していないということになります。定量で測れる領域は財務部に残り、リスク管理部門には定性の領域が集まった。この経緯を知っておくと、「なぜあの部署の仕事は数字にならないのか」という素朴な疑問に、少し説明がつくように思います。

会計士の視点で気になるのは、この2系統の断絶が開示に出る場面です。ヘッジ会計の有効性判定、デリバティブの時価評価、投資有価証券の減損——これらは経理部が担いますが、その前提となるポジションの管理は財務部にあり、全社のリスク認識はリスク管理部門にあります。3つが同じ絵を見ているかどうかは、確認してみる価値がありそうです。

結論：この部門は、何をする部署なのか

こうして5つに分解してみると、「リスク管理部門は何をやる部署なのか」という問いの答えは、リスクマップを作ることでも、委員会を運営することでもなく、組織の中で摩擦を引き受けることそのものではないかと思えてきます。

①集めると③翻訳するは、誰にも嫌がられず、しかも成果が形に残ります。②異議を唱えるは、必ず誰かに嫌がられ、うまくいっても何も残りません。この二重の非対称が放置される限り、どれだけ立派なリスクマップができても、経営判断は変わらないのかもしれません。

だとすれば、確認すべきことは一つに絞れそうです。この1年で、何件止まりましたか。

あなたの職場では、リスク管理の時間のうち、どれくらいが「集める仕事」で埋まっていますか？