全社的リスクマネジメント（ERM）
ぜんしゃてきりすくまねじめんと ／ Enterprise Risk Management ／ ガバナンスと企業文化
全社的リスクマネジメントとは、事業、財務、法令遵守、災害、サイバーなど組織が直面するリスクを、部門ごとではなく全社の視点で洗い出し、評価し、対応する経営の仕組みです。
英語：Enterprise Risk Management（略称：ERM）
「全社的リスクマネジメント」の概要
全社的リスクマネジメント（ERM）は、会社が抱えるさまざまなリスクを、部門ごとではなく会社全体の視点でまとめて管理する仕組みです。
部門ごとにリスクを管理していると、部門をまたぐリスクや、経営全体への影響が見えにくくなります。ERMは、経営陣と取締役会がリスクを一覧で把握し、優先順位をつけて対応するための枠組みです。
要点
- 米国のCOSOが2004年に枠組みを公表し、2017年に戦略や業績と結びつける形に改訂しました。
- リスクを避けるだけでなく、取るべきリスクを判断し、戦略に生かすことも目的に含みます。
- コンプライアンス違反のリスクも全社のリスクの一つとして評価します。
主な進め方
- 全社のリスクを洗い出す
- 発生の可能性と影響の大きさで評価し、優先順位をつける
- リスクごとに、回避、低減、移転、受容などの対応を決める
- 対応の責任者を決め、状況を監視する
- 結果を経営会議や取締役会に報告し、見直す
部門ごとのリスク管理との違い
| 部門ごとのリスク管理 | 全社的リスクマネジメント | |
|---|---|---|
| 視点 | 各部門の業務のリスク | 全社の戦略と目標に影響するリスク |
| 判断の主体 | 部門の責任者 | 経営陣と取締役会 |
| リスク同士の関係 | 見えにくい | 部門をまたぐ影響を把握できる |
不祥事やインシデントとの関係
実際に起きたコンプライアンス違反やサイバーインシデントは、リスクの評価が適切だったかを確かめる材料になります。事案の記録をリスクの評価に反映させることで、全社のリスク管理が実態に近づきます。
実務のポイント
- コンプライアンス違反とインシデントの記録を、リスクの評価の見直しに使います。
- リスクごとに責任者を決め、取締役会に報告します。
- 年に一度など定期的に、リスクの一覧を更新します。
GuardPlanでできること
GuardPlanは、コンプライアンス問題が発生しても、安全に解決まで導く「AIコンプライアンス事務局」です。
GuardPlanは実際に起きたコンプライアンス違反やインシデントへの対応を案件として記録することを支援します。この記録はリスクの評価を見直す際の材料になります。リスクの一覧の管理は対象外です。
関連用語
参考資料
- COSO「Enterprise Risk Management — Integrating with Strategy and Performance」
- COSO「Internal Control — Integrated Framework」
執筆：GuardPlan編集部 最終更新日：2026年11月4日