リスク

この用語の意味

リスクとは、目的に影響し得る不確実性を意思決定の対象として整理したものである。実務では、影響を受ける目的、不確実な事象・状態と原因、起こり得る結果と可能性、対応、責任者、残余リスクを記録して監視する。下振れだけを扱う評価もあれば、機会と脅威の両方を扱う計画もあるため、採用する定義と尺度を先に固定する。評価方法は判断の文脈に合わせ、財務、プロジェクト、業務、安全、法務、情報セキュリティのリスクを根拠なく一つの尺度で比較しない。 評価結果には、対象期間、判断権限、受容基準、再評価の条件も残し、異なる部署や時点のスコアを同じ意味だとみなさない。

計算の考え方

リスクに普遍的な一つの計算式はない。一般には、定義した方法で可能性と結果を組み合わせる。確率と金額影響の根拠が十分な場合は期待値を使えるが、定性評価や順位尺度を正確な確率・金額として示してはならない。 可能性 | 前提と統制を踏まえ、不確実な事象が起きる確率または頻度の見積もり 結果 | 目的への影響の大きさ、時期、期間、影響を受ける関係者 リスク水準 | 定義済みの方法で可能性と結果を統合 | 対応や状況変化後に残余リスクを再評価

含めるもの / 含めないもの

一般概念としてのリスクを、分野固有の評価モデルや、すでに発生した課題と混同しない。 含める | 事業、財務、プロジェクト、業務、安全、法務、セキュリティの明示した目的に影響し得る不確実性 含めない | 重要な不確実性のない通常業務と、将来リスクではなく現在形の解決が必要な発生済み課題 記録する | 目的、範囲、原因、事象・状態、可能性、結果、前提、責任者、対応、指標、残余リスク

何が数字を動かすか

リスクは、目的、前提、外部環境、依存関係、曝露、統制、証拠の質と鮮度が変わると変動する。 市場、規制、技術、財務、業務、人の変化が可能性や結果を左右する。 依存関係の集中、弱い統制、限られた対応能力は曝露を高める。 結果は、対象の目的、関係者、発生時期、継続期間、回復可能性によって異なる。 対応は可能性や結果を変えられるが、前提の崩れ、副作用、統制失敗によって残余リスクが生じる。

• 市場、規制、技術、財務、業務、人の変化が可能性や結果を左右する。
• 依存関係の集中、弱い統制、限られた対応能力は曝露を高める。
• 結果は、対象の目的、関係者、発生時期、継続期間、回復可能性によって異なる。
• 対応は可能性や結果を変えられるが、前提の崩れ、副作用、統制失敗によって残余リスクが生じる。

こんな場面で役立つ

回避、低減、共有・移転、受容、または機会に関するリスクを意図的に取る判断を優先付ける。 曝露が課題になる前に、説明責任、判断権限、対応期限、エスカレーション条件を明確にする。 目的の価値、対応費用、運用制約、機会、残余リスクのトレードオフを明示し、受容できる範囲と再判断条件を決める。

• 回避、低減、共有・移転、受容、または機会に関するリスクを意図的に取る判断を優先付ける。
• 曝露が課題になる前に、説明責任、判断権限、対応期限、エスカレーション条件を明確にする。
• 目的の価値、対応費用、運用制約、機会、残余リスクのトレードオフを明示し、受容できる範囲と再判断条件を決める。

実務での使い方

• リスクは目的に結び付ける。判断の文脈がない漠然とした懸念は、まだ意思決定に使えるリスクではない。
• 分野と意思決定に合う方法・尺度を使い、評価時点、前提、証拠、推定の限界を記録する。
• 現実に起きた事象は課題やインシデントとして扱い、関連する将来の不確実性はリスクとして残り得る。
• リスク対応には責任者、選択した行動、受入条件、指標、見直し頻度が必要である。
• 状況、前提、統制、目的の変化を監視し、残余リスクを再評価する。

判断するときの注意点

ヒートマップ、単一スコア、過去に問題がないことから、根拠のない安心感を作らない。 採点前に尺度と評価範囲を定義し、異なる文脈を同じ単位のように比較しない。 前提、不確実性、証拠の質を記録し、データ不足を低リスクの証拠にしない。 現実に起きた事象は課題・インシデント対応へ移し、未解決、二次的、下流のリスクは消さない。

• 採点前に尺度と評価範囲を定義し、異なる文脈を同じ単位のように比較しない。
• 前提、不確実性、証拠の質を記録し、データ不足を低リスクの証拠にしない。
• 現実に起きた事象は課題・インシデント対応へ移し、未解決、二次的、下流のリスクは消さない。

一緒に見る指標

リスク台帳に加え、曝露、前提、対応の進捗、統制の実績を示す証拠を見る。 統制有効性 | 計画した保護策・対応が実装され、意図どおり動作するか 曝露指標 | 原因、事象、依存関係、影響対象の目的に結び付く先行シグナル 対応完了 | 選択したリスク対応が期限内に終わったか 課題と残余リスクのレビュー | 何が顕在化し、どの前提・統制が崩れ、何が残るか

具体例

ある企業が売上目標の達成に向けて製品発売を計画している。重要な供給会社の納品能力に不確実性があるため、チームは発売遅延の事象、原因、可能性の範囲、財務・顧客への結果、前提、責任者を記録する。第二の供給会社を確保し、エスカレーション日を設定する。元の供給会社が確定した節目を逃した時点で、その遅延は課題になる。一方、その後の納品と発売影響に関する不確実性は残余リスクとして残る。 チームは納期遵守率と第二供給会社の準備状況を先行指標として毎週確認し、発売日までに必要な在庫量を受入条件にする。対応後も売上目標への影響、追加費用、顧客への案内時期を見直し、根拠が変われば可能性と結果を再評価する。

似ている言葉との違い

リスク | 目的に対する不確実性の影響 | 評価、対応、監視、見直し 課題 | すでに存在し、現在形の解決が必要な状態・事象 | 解決し結果を追跡 前提 | 計画上、正しいものとして扱う命題 | 検証し、証拠が変われば見直す 統制 | リスクを変えるための対策 | 有効性を試験し変化を監視 情報セキュリティ・リスク | 脅威、脆弱性、資産、可能性、悪影響を扱う分野固有のリスク | セキュリティ評価方法を適用

よくある勘違い

• リスクは必ず確定した悪い出来事を意味する。リスクは不確実性を扱い、計画では脅威だけでなく機会も検討する。
• 高得点でも発生が確定したわけではなく、定義した方法、前提、証拠に基づく見積もりである。
• 統制があることや過去に問題がないことは、リスクの消滅を意味しない。状況変化、前提の崩れ、統制失敗、未観測の曝露が残余リスクになり得る。

よくある質問

参考・出典