DXを実現するためのデジタルリスクマネジメントの要諦
DX 時代のリスクマネジメント

トランスフォーメーション

Copyright 2021 Ridgelinez Limited

Table of Contents
はじめに

3

Chapter 01

企業を取り巻くリスク環境と DXプログラムの関係

4

デジタル化によるリスク環境の変化 ………………………………………………………………………… 4

DXの進捗度合いと DRM 注 1 の関係 ………………………………………………………………………… 6

Chapter 02

DX 企業が目指すべきDRMとその現状

7

DX企業で目指すべきDRM …………………………………………………………………………………… 7
DX プログラムとリスク認識の現状 …………………………………………………………………………… 8

Chapter 03

DRM の実現を妨げる課題 - アンケート結果からの考察 -10

企業における DRM の実態 …………………………………………………………………………………… 10

DRM を妨げる課題の認識 …………………………………………………………………………………… 13
リスク認識と部門協調による DRM ………………………………………………………………………… 14

Chapter 04

DX を成功に導くリスクマネジメントの構築に向けて

16

従来型リスクマネジメントからの転換 ……………………………………………………………………… 16

DX で注力すべきリスクマネジメントのテーマ …………………………………………………………… 19

注 1. DRM: デジタルリスクマネジメント

2

Copyright 2021 Ridgelinez Limitedはじめに
このレポートは、「DX 施策におけるリスクマネジメントの取り組み状況」

に関する調査結果の考察を通して、Ridgelinez が考えるデジタルリスク

マネジメント（以下 DRM）のあるべき姿を提言するものです。本調査の考察は、売上高 1,000 億円以上の企業で、DX 推進におけるリスクマネジ

メントに関与している課長職以上の方 950 名を対象にしています。

今 回、 企 業 の DX プログラム に お け るリスクマ ネ ジメントの 実 施 状 況 や課題についてアンケートを行い、DRM の実態を把握すると共に、DRM の成熟度による違いを考察しました。調査結果に基づく分類からは、DRM の成熟度の高い企業は全体の 15％にとどまり、成熟度の低い企業が 74％という結果となりました。DRM の成熟度が高い企業ほど DX プログラムの進捗が順調となる傾向があり、DX プログラムの進捗と DRM の成熟度には相関関係がみられました。

今回の調査結果から、約 4 割の企業が「DRM を後回しにすると DX が停滞しかねない」と認識しており、今後 DRM の体制構築は必須と考えていることがうかがえます。DX が浸透することにより、テクノロジーリスクとビジネスリスクが混在し、対応すべきリスクは多岐にわたります。今後

DX をさらに推進するためには、全社的かつ横断的な DRM を整備し、DXの信頼性を確保することが肝要です。

3

Copyright 2021 Ridgelinez Limited

Chapter 01

企業を取り巻くリスク環境とDXプログラムの関係
デジタル化によるリスク環境の変化
DX への取り組みが待ったなしとなる中、リスクマネジメンも考える必要が出てきています。デジタル社会、データ駆動

キュリティインシデントを例に見てみると、2019 年度の原営にとっても重要なテーマとなっていることは明らかです。

トへの取り組みの難しさが明らかになってきています。セ型社会において、データの安全・安心・品質の確保は企業経
また、デジタル化の流れにおいて、パブリッククラウドの活因究明に関する費用や改善策の導入、損害賠償等事後対応を用も前提となっており、英国や米国ではすでに政府調達にお含めた被害総額（年平均）は約 1 億 5,000 万円というデー

いてクラウドファーストを掲げたうえで、クラウドサービス

タもあります。

注2の認証制度を導入するなど、パブリッククラウドの採用は世

近年では、データ保護リスク、事業継続リスク、倫理リス

界的な潮流になりつつあります。日本でも 2018 年に「政ク、クラウドリスクなど多岐にわたるインシデントが頻発しています。一方で、GDPR

な

府情報システムにおけるクラウドサービスの利用に係る基本などのルール策定が進んでおり、日本国内でも追随する動き

用するとともに安全性評価の仕組みを検討し、「政府情報シ

注3

や NIST SP800-171

注4

方針」において、“クラウド・バイ・デフォルト原則” を採どデジタル関連の国際的なレギュレーションやガイドライン

ステムのためのセキュリティ評価制度（ISMAP）」の運用がとなっています。

デジタル化によるリスク環境の最も重要な変化は、企業とし開始されています。

て守る経営資源が “システム” に加えて、“データ” まで拡

これらクラウドサービスに係る認証制度や安全性評価の議論がることにあります。

は、一方でクラウド活用における新たなリスクを示唆してい個人情報のデジタル化や IoT、AI の利用拡大により、デーます。SoE（System of Engagement）などでは現場部

タの爆発的な増加に加えて、データ自体の価値が高まること

門主導でパブリッククラウドを導入するケースが増えていまで、それらデータの機密性や完全性、可用性が毀損されるこ

すが、これらのケースでは、IT 部門がクラウドリスク対応とによるビジネスへの影響は著しく大きなものとなっています。また、IoT や AI により生成されるデータに関しては、
本当に信用できるのか？という “真正性” のリスクについて4に関与できないために設定ミスが解消されず、脆弱性として残り続けるリスクが散見されています。

Copyright 2021 Ridgelinez Limited

もう 1 つ、DX 推進においては、“つながるリスク” に留ネス機会を拡大するための必須要件ですが、同時にリスクやサプライヤーと構築するデジタルエコシステムに伴うもキュリティ対策により、デジタルエコシステムのセキュリ意する必要があります。
つながるリスクは、
外部プレーヤーを増大させる施策でもあるため、十分なリスク評価とセのと、IoT の活用によるサイバー空間とフィジカル空間のティの “桶の高さ” を揃えることが重要です。

デジタルエコシステムの形成では、パブリッククラウドや

注 2. 出所 : トレンドマイクロ 法人組織のセキュリティ動向調査 2020 年版

融合に伴うものの２つがあります。

https://www.trendmicro.com/ja_jp/about/press-release/2020/pr-20201002-01.html
注 3. General Data Protection Regulation: EU 一般データ保護規則。
EU で 2018 年より施行されている個人情報（データ）の保護に関すオープン API の活用により、パートナーやサプライヤー、
顧客とつながることで新たなビジネスモデルの構築やバ
リューチェーンの再構築が可能となります。

る規 則。 行政罰規定があり、違反行為に対しては、高額の制裁金が課されるリスクがある。
注 4. 米国国立標準技術研究所（NIST: National Institute of Standards
and Technology）が発行するセキュリティガイドライン。
このガイドラインでは、機密性の高い重要情報の保護に必要となる
セキュリティ要件がまとめられている。米国国防総省の調達規則（DFARS: Defense Federal Acquisition Regulation
Supplement）では、「CUI （Controlled Unclassified
Information）」と呼ばれる管理すべき重要情報を取り扱うサプライヤーに対し、当該ガイドラインへの準拠が 2017 年より義務化されている。

しかし、デジタルエコシステムの連携先にセキュリティレ
ベルが低いプレーヤーが存在することで、そこをターゲッ
トに攻撃され、他のプレーヤーにまで被害が波及することになります。DX において外部連携は不可欠であり、ビジ海外におけるデジタルリスクのインシデント発生事例
データ保護リスク
不適切な情報の取り扱いによる情報流出（豪州軍需関連企業の事例）兵器に関する重要情報が、ハッキングによって同社のサプライ
ヤーから窃取。防衛産業の多層化、グローバル化が進む中で、防衛製造大手ではサイバー
セキュリティ対策が進められる一方で、中小規模のサードパーティに潜むリスクが露呈。

事業継続リスク・サプライチェーンリスク
生産システムのウイルス
感染（欧州金属生産会社の事例）生産ラインに IT システムを導入したが、フィッシングメール
によってシステムがウイルスに感染。40 カ国の事業所に次々と感染が拡大したため、社内
ネットワークを遮断し、全コンピュータを停止。その結果、手動操業できない一部の工場で生産が停止し、数十億円規模の金銭的損失が発生。

倫理リスク
AI データの偏りによる人権侵害（米国ネット通販会社の事例）人事部門の負荷軽減や応募者と企業とのミスマッチの減少を目的に人材採用 AI を導入。しかし、機械学習させるためのデータに偏りがあり、「女性」という言葉が履歴書に記載されていると応募者の評価が下がってしまう結果となり、男女の人権問題に発展しかねない事態となった。公平性を欠いた男女差別につながると判断し同サービスの活用を終了。

クラウドリスク
脆弱性による不正アクセス （小売会社の事例）自社の小売サービスと連携させたオンラインカード決済のためのクラウ
ドサービスを開始。既存ビジネスとのシナジー効果を期待し、CX（顧客体験）の向上を図った。しかし、脆弱性による多数の不正アクセス・不正使用がリリース開始とともに相次ぎ発覚し、最終的にはオンライン決済サービスから撤退。

レギュレーション・ガイドライン違反リスク
新たなガイドラインに違反（英国航空会社の事例）不完全なセキュリティ対策が原因で、氏名や住所、カード決済や予約内容含む約 50 万人の顧客データが流出。欧州一般データ保護規則（GDPR）の違反として、同社に対し、日本円にして約 2,500 億円超ものペナルティが科された。

5

Copyright 2021 Ridgelinez Limited

【図表 2】DRM マチュリティレベル別 DX 進捗状況

サイバー空間とフィジカル空間の融合では、現場から収集したデータをサイバー空間で分析、フィードバックするこ

計画を前倒し

計画どおり

High

21

56

Low

6

39

0

20

とで、フィジカル空間における現場作業の高度化が可能となります。

しかし、IoT が導入される工場系や制御系のネットワーク

は、これまでクローズドなネットワークとして運用されてきたため、オープンな環境に耐えられる構造になっていません。つまり、
オープンなネットワークとつながることで、それまで露呈していなかった脆弱性が狙われることになります。さらに情報システムの停止とは異なり、サイバー攻
撃により設備の稼働そのものが停止するなど、影響はフィ計画より遅延

22 1
52

40

停止

60

4
80

100 %

ジカル空間にまで及び、場合によっては重要産業や重要イ

さらに、DRM の成熟度別に DX プログラムの進捗状況を

安全を脅かすことにもなりかねません。

業ほど計画どおりに進んでおり、成熟度が Low の企業でDXの進捗度合いとDRM の関係

らの結果から DX の進捗と DRM の成熟度には一定の相DRM に対する取り組みは進んでいないことがうかがえま

今回、Ridgelinez では、DX を通じて変革を遂げるにはの現状や課題、経営インパクトに対する理解について考察

みると、DX プログラムは、DRM の成熟度が High の企

ンフラのオペレーションまでもが停止し、国民生活の安心

は、遅れや停滞が目立つ傾向が明らかになりました。これ

関関係があることが推察できます。一方で、国内企業のす。

以降、調査結果をもとに DX プログラムにおける DRM

していきます。

DX におけるリスクマネジメント（デジタルリスクマネジ
メント、以下 DRM）を実践することが最重要課題の 1 つであるという仮説に基づき、DX 推進経験者を対象とした

インターネットモニターリサーチを実施しました。本調
査では、DX 推進経験がある方に、自社の DX への取り組

み状況と DX 推進時のリスクマネジメントについて尋ね、

DX プログラムにおけるリスクマネジメント（DRM）の成熟度別に傾向を分析しました。

成熟度については、リスク評価、対応策の検討・優先順
位付け、ロードマップ策定、施策実行とモニタリングのプロセスの実施状況に基づいて 3 段階（High, Middle,

Low）に分類し、結果 High と評価できる企業はわずか15% にとどまりました。一方で、74% の企業は Low に分類される結果となりました。

【図表 1】DRM マチュリティレベル

High 15%
Middle 11%

Low

74%

6

Copyright 2021 Ridgelinez Limited

Chapter 02

DX 企業が目指すべきDRMとその現状
DX企業で目指すべきDRM
DXで対応するべき４つのリスク
DX プログラムで対応が必要となるリスクは、DX の特性から大きく４つに分類することができます。

データ保護リスクビジネスモデル変革リスク

パブリッククラウドや API 技術などの活用による企DX によるビジネスモデル変革では、従来の延長線上

タが脅威に晒される機会が増えるため、デジタルエコ

するため、新しいルールやセキュリティリスクを特定・にないビジネス環境や時には業界を超えた環境に進出

業内・企業間のデータ流通が今後加速することで、デー評価したうえで、リスクコントロールの実装やモニタシステム全体でセキュリティやプライバシーのリスク

リングを行うことが不可欠です。

への対応が必要になります。

新技術適用リスク

プロセス変革リスク

AI や IoT、5G などの新技術適用の際は、新たな脆RPA や AI 等のデジタルレイバー注 5 導入による自動弱性や未知の脅威に晒されるだけでなく、リスク発現化などでは、デジタルレイバーに適切に指示されなリスク評価を実施するだけでなく、レジリエンス向上

ク、不正アクセスなど、従来システムと同様に IT 全によるビジネスインパクトも計り知れないため、必ずいリスクや関連システムの変更が連携されないリス

への取り組みも重要です。

般統制による対応が求められます。

注 5. デジタルレイバー：仮想知的労働者。人の代わりに知的労働を行うソフトウェア全般を指す。

7

Copyright 2021 Ridgelinez Limited

DX のリスクマネジメントプロセス
このリスク分類に基づきデジタルリスクを抽出・整理した

具体的には、DX プログラムごとに①業種や施策内容に応とっての必須課題です。

DX 推進部門が自ら行い、②リスクへの対応策の検討と優じた観点で DX プログラムに係るリスクの特定と評価を上で、リスクマネジメントを運用することが DX 企業に先順位を付けたうえで、③各対応策のオーナーのアサイン、① DX プログラムのリスク評価

アクションアイテムの棚卸、スケジュールへの落とし込み② 対応策の検討・優先順位付け

ロードマップ策定後は、④プログラムを実行し、⑤モニタなどのロードマップ策定を実施します。

リングによりプログラムの実行状況や課題などを把握します。

③ ロードマップ策定

このようなプロセスを運用することにより、DX プログラ

ムの初期段階でリスク認識をしたうえで、リスクコント④ プログラム実行

ロールを日常的に行うとともに、有事に備えてレジリエンスを高めていくことが可能になります。

⑤ モニタリングDX プログラムとリスク認識の現状
前述の目指すべき DRM の仮説検証として今回のリサーチ結果から DX プログラムとリスク認識の現状をみていきます。

DX プログラムへの取り組み状況
DX プログラムの進捗状況はいずれも「構想・計画段階」のものが多いことがわかります。「5. 経営データ可視化によるスピー

ド経営・的確な意思決定」、「6. 業務プロセスの改革・再設計」、「7. 業務処理の効率化・省力化」など、従来の延長線上にある取り組みについては、比較的に “実行段階” 以降が多いようです。
【図表 3】DX 施策への取組み状況

8

11

構想段階

計画策定段階PoC 段階実行段階

完了 / 運用段階

1. 新規事業の創出

30.9

2. ビジネスモデルの改革

26.0

3. 顧客接点の改革

22.3

23.5

22.5

23.1

8.5

4. 既存の商品・サービスの高度化や提供価値向上

21.7

25.2

21.5

23.9

7.7

5. 経営データ可視化によるスピード経営・的確な

23.2

27.2

19.7

20.5

9.3

6. 業務プロセスの改革・再設計

23.8

25.7

18.1

7. 業務処理の効率化・省力化

21.4

意思決定

0

8

40

12.5

25.3
60

6.1

10.6

21.8

17.8

23.0
20

17.2

19.9

30.9

5.5

14.3

20.6

28.6

80

100%

Copyright 2021 Ridgelinez Limited

【図表 4】施策毎の活用テクノロジー

次に DX 施策別に活用されているテクノロジーの傾向を見てみると、クラウドやビッグデータ、AI、IoT などが各クラウド施策で幅広く活用されていることがわかります。5G やデジタルツイン、ブロックチェーンなどは現状の活用状

注6

35.3

ビックデータ況は進んでないものの、今後は活用拡大を見込んでおく必要があるでしょう。

注 6. デジタルツイン：フィジカル空間（現実世界）の情報をリアルタイ
ムに収集しデジタル空間に送信して、フィジカル空間と同じ環境をデジタル空間に再現する技術。双子（ツイン）のように連動させることで高度なシミュレーション等を行うことが可能。

20.9

30.9

AI（人工知能）

27.4

IoT

25.2

オートメーション

22.6

5G

8.1

VR、AR

7.0

デジタルツイン

5.7

ブロックチェーン

5.4
0

20

40%

DX プログラムにおいて重視するリスク
このような DX プログラムの取り組み状況の中で、最もりました。一方で、レギュレーションリスクや倫理リスク、

スクといったテクノロジー関連のリスクであることがわか関連のリスクについては、認識が低い傾向もわかりました。

事業継続リスク、サプライチェーンリスクなどのビジネス重視されているリスクは、データ保護リスクやクラウドリ【図表 5】DX プログラム毎に最も重視するリスク
クラウド
リスク

データ保護 プライバシー レギュレー
リスク
リスク
ション・ガ
イドライン
違反リスク

倫理リスク

生産性低下
リスク

ビジネス
変革リスク

スク
事業継続
リスク

サプライ
チェーン
リスク

1.新規事業の創出

20.1

22.2

11.1

6.3

3.4

4.5

13.5

9.2

2.6

2.ビジネスモデルの改革

13.6

19.5

14.4

8.5

2.8

6.6

19.5

6.6

2.8

3.顧客接点の改革

10.8

23.6

26.5

7.0

5.0

5.8

8.7

5.0

2.0

4.既存の商品・サービスの

11.5

18.9

12.7

7.4

4.4

12.1

13.3

8.6

4.1

5.経営データ可視化によるスピード経営・的確な意思決定

10.8

23.6

12.4

8.0

6.0

9.2

12.8

8.0

2.8

6.業務プロセスの改革・再設計

6.2

18.6

8.1

9.1

4.1

21.5

11.9

7.6

4.1

7.業務処理の効率化・省力化

7.3

19.7

6.7

8.1

2.0

23.6

14.9

6.5

2.2

高度化や提供価値向上

D X プログラムが多くの企業で構想・計画段階にあることに加えて、DX 関 連リスクが多岐にわ た る こ と か ら、DX 初期 の PoC で 直 面 す る リ ス ク や 机 上 で 想 定 で き る よ う な リ ス ク については、認識されていますが、DX 本格期に直面すると想定されるようなコンプライアンス

リスクや、ビジネスリスクに対する認識が十分でないということが、これらのデータから推察
できます。

9

Copyright 2021 Ridgelinez Limited

Chapter 03

DRM の実現を妨げる課題- アンケート結果からの考察 企業における DRM の実態
全社レベルでの取り組み状況
Q9「Q9. DX 施策 におけるリスク対策に関して、全社レベルでどのような取り組みがありますか？」という設問
では、以下のような回答結果となりました。

【図表 6】全社レベルでの取組み状況

46

50
％

37

DRM に関して、「全社横断のタスク

経営計画に盛り込まれている等、全社レベルでの対策方針がある

34
22 22

フォース・プロジェクトチームが組成されている」（46％）、「全社レベルで全社横断のタスクフォース・
プロジェクトチームが組成されているの対策方針がある」（37％）など、あ全社的にリスク対策用のIT予算が組まれているリスク対策を全社レベルでモニタリングしている
特定の部門で対応している

0

％

全体

れの設問でも 50％を切る結果からは、DRM の取り組みを今後の重点課題と考えるべきだということが言えるで

63

しょう。

59
49

48
39

30

また、 成 熟 度 が High の 企 業 で は、

44

42
39

20

「全社レベルでの対策方針がある」

31
21 23

23
11

0

る状況とみることもできますが、いず
多くの企業で経営も関与する全社的なマチュリティ別
70

る程度経営レベルでの対応が進んでい

High

（63％）
、
「全社レベルでモニタリング
している」（30％）が相対的に高くなっており、持続的な DRM の実践においてこの 2 つの取り組みは重要であMiddleLow
10

ると言えます。

Copyright 2021 Ridgelinez Limited

実践方法の整備状況
Q10

次に「Q.10 DX 施策におけるリスクマネジメントの実践方法（ルール）、ステップについて、社内での整備状況として最も近いものを 1 つお答えください」という設問では、以下のような回答結果となりました。

【図表 7】実践方法の整備状況

マチュリティ別

DX施策におけるリスクマネジメントの実践方法（ルール、ステップ）が整備されている

High

86

Middle

76

Low

39

DX施策におけるリスクマネジメントの実践方法（ルール、ステップ）が整備されていない
わからない

50 %

全体

0

20

38
40

12

60

80

100 %

0

7 7

19

46
20

5

7

40

60

80

100%

成 熟 度 別で 見 てみると High と Middle は 80% 程 度 が実践方法については全体の半数から「整備されている」という回答が得られましたが、成熟度別では差が出る結果と「整備している」という回答でしたが、Low に至ってはなりました。

39％にとどまる回答となりました。全体の 4 割弱においてDRM の根幹とも言える実践方法が整備されていない実態を示しており、多くの企業が DX 推進に必要な要件を未だ満たせていないことを示しています。

Q13

さらに「Q13. DX 施策のリスクマネジメントにおける各プロセスの実施状況として、最も近いものを 1 つお

答えください。
」という設問では、以下の回答結果となりました。

【図表 8】DRM プロセス実施状況
よく実施されている

多少実施されているあまり実施されていない

全く実施されていない（n=950）DX 施策のリスク評価

25

47

24

4

対応策の検討・優先順位付け

24

49

23

4

ロードマップ策定

26

45

24

5

施策実行

21

47

モニタリング

19

42

0

27

5

31

20

40

60

7
80

100%

「よく実施されている」の回答は、リスク評価からモニタリングまで、いずれも 30％に満たず、70％の企業で DRM プロ
セスが運用されていない状況も確認することができました。

11

Copyright 2021 Ridgelinez Limited

DRM 体制
最後に「Q.11 DX 施策におけるリスクマネジメントの責任者の在籍状況について、最も近いものを 1 つお答

Q11

えください」という設問では、以下のような回答結果となりました。

【図表 9】DRM 責任者の有無
専任での責任者がいる

マチュリティ別不在で、獲得する予定もない

他業務と兼務での責任者がいるわからない

不在だが、獲得しようと
している

79%
35

全体

0

44
20

40

67

Middle

55

37

Low

25

48

13

60

80

10 4 7
60

80

0

23
1

27

20

40

1 4
3

4

9

100%

成熟度別では、専任責任者の配置状況は、High 67 ％、100%

Middle 55 ％、Low 25 ％という結果であり、やはり成熟後が高い企業ほど、専任の責任者を配置している状況が35％で専任の責任者を配置し、44％が兼務の責任者を配わかります。

置しているという結果となり、（専任・兼任あわせて）約

このように、【図表 7】実践方法の整備状況（50％）と責80％の企業で責任者を配置している実態を確認すること

任者配置の状況（79 ％）より、DRM の取り組みは責任ができました。

【図表 10】リスク分類別

High

者の配置から着手している状況がうかがえます。

対策に関与している部門
経営企画、事業部門（製造、 リスク・コンプ 情報システム、 総務、
情報セキュリティ 経理・財務、DX企画・推進、 調達、営業等）、 ライアンス、
商品・サービス開発、 監査、法務
事業企画
人事
マーケティング

その他、
わからない

クラウドリスク

546

422

265

573

182

98

データ保護リスク

556

376

322

620

244

87

プライバシーリスク

485

346

401

522

331

86

レギュレーション・
ガイドライン違反リスク

486

343

465

366

209

109

倫理リスク

453

330

490

296

306

105

生産性低下リスク

567

555

146

276

181

102

ビジネス変革リスク

741

497

164

238

186

104

事業継続リスク

718

470

189

252

189

102

サプライチェーンリスク

521

541

166

265

160

132

また、リスク分類別に対策に関与している部門を見てみる

その他では、データ保護リスク、プライバシーリスク、ク

企画部門（経営企画、DX 企画・推進、事業企画）はいず

ステム・情報セキュリティ部門の関与が高く、生産性低下

ラウドリスクなどのテクノロジー関連のリスクは、情報シと、リスクによって関与する部門の傾向は異なりますが、

リスク、事業継続リスク、サプライチェーンリスクなどのれのリスクにおいても関与率が高い結果となりました。

12

Copyright 2021 Ridgelinez Limited

ビジネスリスクについては、事業部門の関与が高いほか、
コンプライアンス系のリスクについては、リスク・コンプ
ライアンス部門などの関与が高い傾向が見てとれます。

DX はデジタルテクノロジーの活用が前提となるものの、

ビジネスモデルの変革では新たなレギュレーションやコン
プライアンスへの対応が必要となり、ビジネスプロセスの変革は内部統制の見直しが必要となるなど、複数部門にまたがる幅広いリスクへの対応が求められることがアンケー
ト結果から検証されました。

DRM を妨げる課題の認識
Q14「Q14. DX 施策におけるリスクマネジメント（デジタルリスクマネジメント）を妨げる課題として、以下の各項目はどの程度当てはまりますか？」という設問については以下のような回答結果となりました。

主に、「リソースの確保」（52 ％）、「設計・マネジメント

一方で、「とてもあてはまる」という回答は、すべての設など、リソース全般や人材の不足に関するものが上位に挙

課題認識が十分にされていないのではないか、という懸念ができる人材」（51％）
「関係者を巻き込める人材」、（51％）

問において 10％前後にとどまっている状況は、全体的にがっています。

【図表 11】課題認識が浮かび上がります。

全体
とてもあてはまる

あてはまる

あまりあてはまらない

あてはまらない(n＝950)
リスクがトップマネジメントに理解されていない

11

35

36

18

DRMによって創出される経営インパクト（=経営/事業戦略への貢献）が経営層に理解されていない

10

38

35

17

組織横断でDRMを推進する部門・責任者がいない

931

部門に含まれており、部外の観点が十分に考慮されていない

9

35

39

17

ビジネス部門とデジタルリスク関連部門の関りが薄く、適時での情報連携が行われていない

9

38

37

16

DX以前のリスク管理範囲・重点が更新されていない

9

36

38

17

DRMを設計・マネジメントできる人材がいない

10

41

34

14

11

40

35

14

人材を採用・育成する予算が獲得できていない

9

38

37

16

DRMの実行に必要なリソースを確保できていない

11

39

21

DRMの機能がセキュリティ部門等特定のDRMを実行するために必要な関係者の巻き込みをできる
人材がいないDRMを設計・マネジメントできる

0
13

20

14

34

41
40

60

80

100 %

Copyright 2021 Ridgelinez Limited

「とてもあてはまる」の回答状況を、下図グラフのとお

これは、DX への取り組みがまだ本格的でない中、DRM

ら 25％に分布している状況に対して、
Low の企業では 5％と考えられます。

を妨げる課題も未だ顕在化していないことを示唆している

り、成熟度別に見てみると、High の企業が概ね 20 ％かから 10 ％に分布しています。この High の企業と Lowの企業の差からは、課題認識そのものにも差があることが推察されます。

【図表 12】課題認識

マチュリティ別High

25

MiddleLow（グラフ数値は「とてもあてはまる」）
%

20
15
10
を 設 計 ・ マ ネ ジ メ ン トで き る 人 材 がDRMいないの 機 能が セ キ ュ リ テ ィ 部 門 等 特 定 のDRM部門に含まれており︑部外の観点が十分に考慮されていないを推進する部門・責任者がDRM

以前のリスク管理範囲・重点が更新
DX
されていない組織横断でいないによって創出される経営インパクトがDRM
経営層に理解されていないを 設 計 ・ マ ネ ジ メ ン トで き る 人 材 をDRM採用・育成する予算が獲得できていない

CASE
STUDY

ビジネス部門とデジタルリスク関連部門の関りが薄く︑適時での情報連携が行われていないを実行するために必要な関係者のDRM
巻き込みをできる人材がいないの実行に必要なリソースを確保できてDRMいない

リスクがトップマネジメントに理解されていない

5

リスク認識と部門協調による DRM
課題認識不足によるリスク顕在化の懸念
今回のアンケートからは、成熟度が High の企業群がよりクリアに課題認識をしている一方で、成熟度 Low の企業群には課題自体を未だ認識していない企業が多数潜在することが推察されます。

14

Copyright 2021 Ridgelinez Limited

海外における失敗プロジェクトの損失事例
海外では実際にリスク認識の甘さや規制対応への理解不足に加えサードパーティーの管理や選定ミスにより、多大な損失につながる事例も発生しています。

CASE01
移行リスクに対する認識の甘さ

オンラインプラットフォーム移行の失敗により
8 万人以上の顧客流出• エディンバラに拠点を置く Trustee Savings Bank（以下 TSB）は、2014 年に旧ロイズ TSB 銀行から分離し、2015 年にスペインのサバデル銀行が買収。
• 2018 年に従来のプラットフォームからサバデル銀行が開発した新しいプラットフォームに 500 万件の顧客口座とデータを移行したが、大規模なシステム障害が発生。
• 数週間にわたりオンラインバンキング・サービスが利用できなくなったほか、その後も数か月にわたり一時的な問題が発生するなど、TSB の信頼が大きく損なわれた。
• 移行プロセスには、13 億件以上の顧客データの移行が含まれていたが、段階的なアップグレードを選択せず、十分な事前テストも行われなかった。

• この障害によるコストは約 3 億 6,600 万ポンド（約 5 億ドル）で、約 8 万人の顧客が他方へ流出。

• ロイズ TSB 銀行時代から TSB を率いてきた CEO も、この事案の責任をとって後に退任するに至っている。

CASE02規制対応への準備不足

他国事業展開におけるシステム更新でパートナーを選定ミス、
9 億ドル以上の損失• ロンドンに拠点を置く電力・ガス供給会社である、National Grid Company は米国北東部に事業進出。

• 2010 年に米国拠点でレガシーの会計管理システムから SAP への更新を決定。
• 当初パートナーとして A 社を選定していたが、後に X 社と Y 社へ変更し、Y 社がシステ
ムインテグレーターを担った。

• プロジェクトは当初から遅延等の問題に直面し、構築されたシステムには欠陥が散見され、従業員への給与支払い間違いやサプライチェーン機能の欠陥により取引プロセスに多大な影響を与えたほか、財務報告の遅れまで引き起こした。

• 損失は 9 億 4,510 万ドルに上ったが、Y 社との訴訟で得た和解金は 7,500 万ドル。Y 社
は欧州での経験では豊富であったが、米国が規制するユーティリティ企業に SAP を実装した経験は事実上なかったことが原因とされた。

• 一方で、National Grid 側のプロジェクトに対する準備不足も原因であると、2014 年の National Grid 監査報告書では記載される結果となった。

本格的な DX プログラムの開始に備えて関係部門の協調による DRM の備えをするべき
この２つのケースに限らず、DX プログラムにおけるリスクマネジメントの欠落は、ビジネスに直接的な影響を多大に及ぼす可能性が想定されます。さらにアンケート結果からも明らかなとおり、DX
プログラムに係るリスクは、従来の IT リスクやセキュリティリスクから拡大、複雑化しており、これらリスクを管理するためには、関係部門が協調的に取り組む必要があります。

本格的な DX プログラムが増えてくる前に、経営層も関与する形で全社横断的な DRM の体制、プロセスの整備と運用に着手するべきではないでしょうか。
15

Copyright 2021 Ridgelinez Limited

Chapter 04

DXの信頼性を確保するためのガバナンスモデル

DXを成功に導くリスクマネジメントの構築に向けて

従来型リスクマネジメントからの転換
DRM で扱うリスクは多岐にわたるだけでなく、新しいルーの取り組み、さらにはリスクテイクにおける残存リスクをそのため、従来のルールベースアプローチから、リスクベー

リスクマネジメントへの転換が求められます。

ルや新しい技術など、未知のリスクへの対応も必要となる。
スアプローチによるリスク評価の適切な実施とリスク低減へ認識したレジリエンス向上といった DX に適した新しい攻めの経営にインパクトを与えるDRM
Q15

今回のアンケートでは、「Q15.DX 施策におけるリスクマネジメントを実践することで、どのような副次的な経営インパクトがあると考えますか？」という設問も行い、以下のような回答結果が得られました。

【図表 11】副次的経営インパクトの認知

0%

20%

40%

60%

同業他社との差別化による顧客の開拓、囲い込み、価格交渉力向上

48

経営方針と整合した効率的な投資による全体最適による投資効率向上

40

レギュレーション・コンプライアンス対応が要求される顧客の信頼獲得

37

市場への説明責任遂行による株価・企業格付け向上

36

従業員のデジタルリスクリテラシー向上によるDX推進に向けた基盤・土壌の醸成

35

わからない

8

40％前後でリスクマネジメントが攻めの経営にもインパク

よる全体最適による投資効率向上」、「レギュレーション・

トをもたらすと認知されていることがうかがえます。上位３

コンプライアンス対応が要求される顧客の信頼獲得」とつを挙げると「同業他社との差別化による顧客の開拓、囲いなっており、DRM が競争力向上、信頼獲得にポジティブ

込み、価格交渉力向上」、「経営方針と整合した効果的投資にな効果をもたらすと認知されているようです。

16

Copyright 2021 Ridgelinez Limited

また、成熟度別に見てみると、レギュレーション・コン

ス対応の重要性の理解はまだ進んでいないようです。

プライアンス対応に関しては、High の企業と Middle/
Low の企業で認知度に開きがあり、Middle と low においては DX におけるレギュレーション・コンプライアン

一部に温度差があるものの、全体的には DRM を後回しにすると、むしろ DX が停滞しかねないという理解は徐々に浸透してきていると推察されます。

【図表 12】副次的経営インパクトの認知（マチュリティ別）
レギュレーション・コンプライアンス対応が要求される顧客の信頼獲得

High
MiddleLow

60%
40

従業員のデジタルリスクリテラシー向上によるDX推進に向けた基盤・土壌の醸成

同業他社との差別化による顧客の開拓、囲い込み、価格交渉力向上

200

経営方針と整合した効率的な投資による全体最適による投資効率向上

市場への説明責任遂行による株価・企業格付け向上

DXを成功に導くリスクマネジメントの構築
最後に DX を成功に導くリスクマネジメントについて解説

デジタルリスクカタログの整備します。

DRM の実装では、仕組みの構築だけでなく、経営層を理解・関与させることで、
各種 DX プログラムの期待効果やスピードの確保を DRM の目的として設定することが肝要です。
DX を成功に導く DRM の要件としては右記の 5 項目が挙DRMを有効に機能させるための
3線ディフェンスを採り入れたガバナンス構築

げられます。

DXプログラムごとにDRMを運用する

デジタルリスクカタログは、DX 推進によりビジネスに影プロセスの整備

響を与えるリスク要因をリスクカタログとして整備したものです。これを整備しておくことで、DX プログラムごと

DXプログラムごとに1線側にデジタルリスクオフィサー（DRO）を設置に想定リスクを網羅的に洗い出すことが可能になります。

冒頭に記載したとおり、DX の特性の観点から大きく４つの分類でデジタルリスクカタログを整備することも 1 つのDROのレポートラインは
CDO（チーフデジタルオフィサー）

方法です。

デジタルリスクカタログの例
データ保護リスク• 重要データ保護• プライバシー
データ保護

ビジネスモデル
変革リスク

新技術適用リスク• クラウドリスク• APIセキュリティ• IoTセキュリティ• AIリスク• コンプライアンス
リスク• デジタルサプライ
チェーンリスク

17

プロセス
変革リスク

• 不正・誤謬リスク• デジタルレイバー
リスク• 生産性低下リスク• 事業継続リスク

Copyright 2021 Ridgelinez Limited

このようにリスクガバナンスとして 3 線ディフェンスを

デジタルリスクカタログをインプットに、各 DX プログ

取り入れ、2 線でデジタルリスクカタログの整備を含む

ラムに関与するデジタルリスクオフィサー（以下 DRO）

DRM の枠組み策定やモニタリングを（特にレギュレー

が、施策のリスク評価、対応策の検討、ロードマップの策

ション対応では必須）を行うことで、DX の信頼性を確保

定、施策実行などを主導します。

し、ステークホルダーへの説明責任を果たすことにもつな

その際、DRO が関与する１線（DX 推進部門）側の取りがります。

組みを、2 線（リスク管理部門）側がレビュー、モニタリ

ングします。さらに内部監査部門が最終的な監査を行う 3線としての役割を果たし、ガバナンスをより強固にするという体制です。

顧客・監督官庁

外部監査・認証

取締役会

CEO
CDO

レ ギュレーション・ ガイドライン

自社

説明・報告

CRO/CISO

レポート

DRO

DX 推進部門（1線）

リスク管理部門

内部監査部門（ 2 線）

（3 線）

管理

ビジネス
パートナー

施策ごとに
1線 DX
DRM を運用

2線

関連部門が協調して２線を形成

実際の DRM プロセスの運用では、DX プロセスの進捗に挑むからこそ、評価の段階で一定のリスクテイクは必要なすが、基本的には 1 線の DX 推進部門がリスクオーナー感覚が必要となります。

ます。

て対応するビジネスレジリエンスが求められます。

て、DX の推進にブレーキがかかるのではないかという懸線の他部門と協調しながら 1 線をサポートできる人材の合わせて、1 線・2 線で役割分担して進めることになりまものと考え、ある程度許容しながら施策を進めるバランス

として、2 線の支援を受けて DRM を実践することとなりそのためにも、リスクが顕在化した際に、速やかに検知しここで生じるのが二重、三重のリスクマネジメントによっ

また、２線側では、幅広いリスクに対する知見を有し、２念です。しかし、DX プログラムにおけるリスクとの向き確保も今後の課題です。

合い方は、既存のビジネスとは異なります。未知の領域にDXプロセス

DRM プロセス

PoC / 開発

探索、テーマ設定・企画

2線

DRMの
枠組み策定

1線

DXプログラムのDXプログラム
ごとに運用

リスク評価

18

レビュー

モニタ
リング

対応策検討・
ロードマップ策定

プログラム
実行

Copyright 2021 Ridgelinez Limited

DX で注力すべきリスクマネジメントのテーマ
DX ジャーニーを踏まえたリスク認識
DX プログラムのフェーズ（DX ジャーニー）の進展度合いよって、対応するリスクテーマも異なるため、自らの立ち位置、DX プログラムの特性を踏まえたリスク認識が必要となります。

Digital

新技術

DXジャーニー② 新技術適用③ デジタル変革

クラウドリスク、APIセキュ
リティ、IoTセキュリティ、
AIリスクなど

ビジネスモデル変革リスク、
プロセス変革リスク① つながるリスク

パブリッククラウドなどを活用して企業内・企業間のデータ流通が加速し、データ保護リスクが高まります② 新技術適用リスク
AI や IoT、5G 導 入 に よ り 個 別 テ

クノロジーの脆弱性や未知の脅威に晒されます① データ流通加速
既存技術

従来の ITリスク、
セキュリティリスク

重要データ保護リスク、
プライバシーリスクなど③ デジタル変革リスク
本格的な DX の推進により、①と②の複合的なリスクに晒されます

従来型IT活用

データ活用型変革X(transformation)

DX で注力すべきリスクマネジメント
前述のように DX ジャーニーの進展度合いに応じたリス

ブリッククラウド上でシステム構築を行う際の脆弱性へのクコントロール、危機対応の活動を組織として実装するこを現業部門とセキュリティ部門、さらには内部監査部門な

ク認識、リスクテーマを捉えたうえで、リスク識別、リス

対応から連携先のリスク評価まで、幅広いリスクへの対応とが、DX 時代におけるリスク管理部門の役割です。

どが協調しながら DX プログラムの信頼性を確保します。

例えば、GDPR や NIST SP800-171 といったデジタル関連の規制やルール整備への対応としての “デジタルコン

また、デジタルレイバー導入による自動化などが進むと、システム部門が協調することが求められますし、パブリッ

要となるため、IT 全般統制をはじめとする “DX 内部統制”

プライアンス” では、情報セキュリティ部門や法務部門、手動とは異なる不正リスクや誤謬リスクなどへの対応が必

ククラウドや API などを活用しながら外部システムと連の見直しや高度化を現業部門、IT 部門、内部監査部門が携する場合には、“DX サイバーセキュリティ” としてパリスクテーマ

協調して取り組みます。

DXで必要となるリスクマネジメントの要件
リスク識別

リスクコントロール
デジタルコンプライアンス

a. デジタル関連規制・
外的
要因
リスク

内的
要因
リスク

ルールに伴うリスク

b. サイバー攻撃/脆弱性に伴うリスク

危機対応

データ保護、プライバシー保護など

DXサイバーセキュリティ

リスク抽出
・評価

セキュリティ・バイ・デザイン、
脆弱性テスト、監視など

c. ビジネスモデル/プロセス

ビジネス
レジリエンスDX内部統制変革に伴うリスク19

Copyright 2021 Ridgelinez Limited

Ridgelinez は、デジタルリスクガバナンスの体制づくりや、デ ジタルコンプライアンス、サイバーセキュリティ対策、

ビジネスレジリエンスなど、企業の DRM を包括的に支援する
コンサルティングを提供しています。

このような デジタルリスクマネジメントの取り組みは、DX 同様に未知の取り組み、チャレンジングな取り組みでもあります。DX にブレーキをかけるものとしてではなく、DX プログラムを加速させ、信頼性を担保する取り組みとして社会に浸透させてまいります。

20

Copyright 2021 Ridgelinez Limited

参考文献
1.

BBCNEWS, “TSB: How it all went so wrong for the bank” ,, 27 April
2018
https://www.bbc.com/news/business-43923561

2.

Guardian, “TSB lacked common sense in run-up to IT meltdown,says report” ,19,November,2019https://www.theguardian.com/business/2019/nov/19/tsb-itmeltdown-report-computer-failure-accounts

3.

INDEOENDENT,” TSB IT meltdown cost bank £330m and 80,000
customers” ,1,February,2019https://www.independent.co.uk/news/business/news/tsb-it-failurecost-compensation-customers-switch-current-account-a8757821.
html

4.

BUSINESS INSIDER, “A Troubled Project To Replace Oracle
With SAP Software Could Cost A New York Gas Utility Nearly $1
Billion” ,7,October,2014
https://www.businessinsider.in/enterprise/a-troubled-project-toreplace-oracle-with-sap-software-could-cost-a-new-york-gas-utilitynearly-1-billion/articleshow/44552010.cms

5.

COMPUTERWPRLD, “Cost of troubled SAP project will skyrocket tonearly $1 billion, audit says” ,3,October,2014
https://www.computerworld.com/article/2691661/cost-oftroubled-sap-project-will-skyrocket-to-nearly-1-billion-audit-says.
html

6.

TheRegister,” Wipro hands $75m to National Grid US after botched
SAP upgrade” ,8,August,2018https://www.theregister.com/2018/08/06/botched_sap_
implementation_national_grid_wipro_settlement_75m/

免責事項
1.

本資料は一般的な情報提供のみを目的としており、専門のアドバイザーによるコンサルティングに代わるものとして使用することはできません。

2.

当社は、本資料の記載項目及び内容につき、正確性、完全性、信頼性その他
一切の表明・保証をするものではありません。

3.

本資料の記載項目及び内容は、当社の自由裁量により、撤回、変更、追加がなされうるものであり、当社はこれに拘束されず、一切責任を負いません。

Contact
Ridgelinez Limited
Risk Management〒 100-6922 東京都千代田区丸の内 2-6-1
丸の内パークビルディング 22F

03-5962-9391
contact-rm@ridgelinez.com
www.ridgelinez.com
Copyright 2021 Ridgelinez Limited