「リスクマネジメントの疑問」シリーズ 第3回　リスクマネジメントは誰の仕事？

 

リスクマネジメントは誰が行うものでしょうか。「責任者」という観点では経営層（取締役やチーフ・リスク・オフィサー（CRO））です。また、「専門家」という観点ではリスク管理部門（リスクマネジメント委員会やリスク管理部など）になります。あるいは、「現場」という観点で各事業部や各管理部門とも言えます。その意味で、リスクマネジメントは全員で行うものと言えるでしょう。
しかし、実際に話を聞いてみると「まずは現場の当事者で対応するのがスジ」とか「リスク管理部があるのだから彼らの仕事でしょ」など、誰が何をするのかについて実は社内に共通認識がないケースが少なくありません。そこで「誰かが見ていると思っていたのに実は誰も見ていなかった」ということが起きないよう、リスクマネジメントにおける社内体制のあり方について改めて考えてみます。
 

■リスクマネジメントにおけるサイロ・エフェクト

昨年、『サイロ・エフェクト－高度専門化社会の罠』（ジリアン・テット）という本が話題になりました。「サイロ」とは飼料を貯める貯蔵庫のことです。サイロ・エフェクトは、この窓のないサイロのように閉じ込められた思考の中で、それが世界のすべてであるかのように思い込んでしまい、しばしば大きな間違いをしてしまうことを表現しています。
これをリスクマネジメントに当てはめてみると、「専門組織任せ」と「部門間のお見合い」という2つの典型的なサイロ・エフェクトが存在します。このサイロ・エフェクトの存在を意識した上で、リスクマネジメント体制を考えることが重要です。それぞれについて、解説いたします。
 
①「専門組織任せ」のサイロ・エフェクト

近年、多くの企業で設置されるようになってきたのがリスクマネジメントを専門とする社内組織です。代表的なのは、本社の管理部門への「リスク管理部」の設置や、CROをトップに据えた「リスク管理委員会」を設置するパターンです。その他、コンプライアンスやコーポレートガバナンスを管理する組織がリスクマネジメントを兼務する場合もあります。
一般的にこうした組織は、全社共通のルールづくりやプロセスを管理する事務局として、リスクマネジメントを正しくかつ効果的に行う基盤を整え、推進する役割を担います。
しかし、この点が全社員に周知されておらず、「リスクに関する仕事は専門組織の役割」と誤解されているケースが見られます。また、そこまで意識していなくても、無意識に彼らがやってくれるはずだと安心してしまい、現場でリスクを見逃す危険性が高まっていることがあります。
 
②「部門間のお見合い」のサイロ・エフェクト

次に、各事業部や各管理部門におけるリスクマネジメントを考えてみましょう。現場として、リスクに接する当事者であるこれらの部門では、通常、営業部門なら営業関連のリスク（与信リスク、信用リスクなど）といったように、各部門の職制に合わせて管理するリスクの範囲が決められていることが多いです。
しかし、当然ながらリスクの範囲と部門の職制が必ずしも一致しているとは言い切れません。例えば、顧客からの信用低下リスクに対応するには、窓口を担う営業部門の備えだけでは不十分です。広報部門による顧客への情報発信や製造部門による製品品質や製造・出荷体制まで含めないと、信用低下を招く本質的なリスクをカバーしたとは言えません。
このように、安易に部門単位で担当するリスクを分けてしまうと、担当にならなかった広報・製造部門には見えたはずのリスクを放置するという「部門間のお見合い」が起きてしまいます。
 

■サイロに陥らないための社内体制の考え方

では、こうしたサイロ・エフェクトの罠を理解した上で、リスクマネジメントを効果的に行うには具体的にどのような社内体制を採ればいいのでしょうか。もちろん、組織構造やリスク特性が異なるため、すべての企業に当てはまる体制図というものは存在しません。
そこで、①「縦の組織構造」（責任者から現場担当者のレポートライン）と②「横の組織構造」（部門間の役割分担と連携）に分けて、自社に合った社内体制を検討するときのポイントをご紹介します。

①縦の組織構造：責任者から現場担当者までのレポートライン

まず、業務報告や意思決定を行うためのレポートラインである「縦の組織構造」を考えてみましょう。リスクマネジメントにおいて求められるレポートライン機能は、大きく4つに分かれます。それぞれの機能を誰が担うべきかを明確化することで、「誰かがやっているだろう」を防ぐことにつながります。
 
1.リーダー： 社内外にリスクマネジメントを徹底する意思を発信する
2.意思決定者： 基本方針を策定し、対応の優先順位や是正措置を判断する
3.サポーター： 共通のルールづくりやプロセス管理、情報共有等を行う
4.実行部隊： リスクの抽出、評価、対策実施のPDCAを行う
 
Aの「リーダー」は、CEO・COOあるいは別途CROを置くことが多いです。「まさか起きないだろう」と感じるリスクや、5～10年の変化を見ないと実感できないリスクは、放っておくと管理意識が低下しやすいため、注意を常に喚起し続ける旗振り役に相応しい人物を選ぶことが重要です。
Bの「意思決定者」は、経営会議あるいは別途リスクマネジメント委員会を設置します。
各部門から上がってきたリスクを部門横断的、かつ客観的に判断することが求められるため、企業風土によっては利害が相反する部門長同士の集まりとは異なるメンバーによる組織体が望ましいこともあります。
Cの「サポーター」は、コンプライアンス部などの管理部門あるいは別途リスク管理部を置くのが一般的です。しかし、前述のように何事もサポーター（専門組織）任せになってしまわないよう、サポーターは各部門から選任する場合もあります。これにより、リスクマネジメントのルールに現場の問題意識が反映されるとともに、現場がすべきことをフィードバックすることも期待できます。
Dの「実行部隊」は、各事業部・リスク管理部以外の管理部門（IT、財務、法務、人事等）が担います。
 
②横の組織構造：部門間の役割分担と連携

次に、部門間の役割分担と連携に関する「横の組織構造」を考えてみましょう。「横の組織構造」では、職制に沿った部門単位で考えるだけでなく、リスク管理の観点で、より適した単位がないかを考えることが重要です。職制以外のリスク管理単位には様々ありますが、ここでは代表的な事例として2つをご紹介します。
 
1.影響単位：リスクが発生した場合の影響が及ぶ関連部門で横断チームをつくる
2.地域単位：実際にリスク対応に動く地域で横断チームをつくる
 
Aの「影響単位」では、前述した「顧客からの信用低下リスク」のように、単純に職制に従って営業部門の担当にするのではなく、顧客から見て信用に影響する関連部門（広報部門や製造部門）を含めて部門横断チームを組成します。信用低下リスク以外にも、業務の非効率解消や人材採用・離職抑制、情報漏洩の防止など、部門をまたがるリスクは多数存在します。
このとき注意しなければならいのは、部門横断でテンポラリーにチームを組成するため、放っておくと各部門の本業が優先され、リスクマネジメント活動が停滞する可能性があります。部門横断チームの議題（扱うテーマ）、会議体、成果物等を定義し、業務として行われるようルール化することが重要です。
Bの「地域単位」では、実際にリスク対応に動く単位となる地域をベースに部門横断のチームを組成します。この単位は、グローバルに事業展開する企業が地域の特性に応じたリスクマネジメントをするために採用する場合が多いのですが、物理的に距離の近いメンバーが部門を超えて協働する環境をつくりやすいという意味で、国内の支社・支店にも応用できる単位です。
 

■まとめ

リスクマネジメントは全員で行うものではありますが、誰が何をするのかを明確にしないと、リスクが見えなくなるサイロに陥ってしまう危険性があります。
本記事でご紹介した「縦の組織構造」（責任者から現場担当者までのレポートライン）と「横の組織構造」（部門間の役割分担と連携）の2つの視点から、社内体制に曖昧さがないか見直してみてはいかがでしょうか。