【補足資料②】

Q&A: オペレーショナル・リスクの高度化を巡る論点整理

Ｑ&Ａ ：高度化を巡る論点
Ｑ１．
 顕現化したリスク事象のデータ・ベース登録基準や潜在的なリスクに関するシナリオの作成基準は、どのように決めたらよいのか。
A１．
 内部データとシナリオの組み合わせにより、「経営が重要と考えるリスク」を漏れなく、識別・評価することができるように基準を決めればよい。

2

「重要なリスク」を漏れなく、識別・評価できているケース

シナリオ

大内部データ

影響度

③

②

①

④

③

②：経営が重要と考えるリスク事象

小⑤④③：経営が許容するリスク事象

低発生可能性 高3

リスクの識別と目的の確認

目的の設定

リスクの識別リスクの評価

モニタリング

リスクの削減/コントロール

「リスク」とは、目的の達成に影響を与える事象発生の可能性であると定義し、リスクマネジメント・プロセスの起点を「目的の設定」とする考え方もある。

「重要なリスク」とは何かに迷ったら、「目的」は何かを確認するのが有効。
⇒ 何のためにリスク管理をしているのか、に立ち返って考える。
4

Ｑ&Ａ ：高度化を巡る論点
Ｑ２．
 顕現化したリスク事象のデータ・ベース登録基準には、どんなものがあるか。
A２．
 以下のような基準を採用している先が多い。
（例）リスク事象のデータ・ベース登録基準
 一定金額以上の損失が発生した事件・事故
 一定時間以内に是正できなかった事件・事故、事務ミス、顧客トラブル
 対外的な悪影響が生じた事件・事故、事務ミス、顧客トラブル
 重要なリスク事象の例示など

5

Ｑ&Ａ ：高度化を巡る論点
Ｑ３．
 データ・ベースの登録件数では、金融機関により、どの程度の差があるものか
A３．
 登録対象を、一定金額以上の実損が発生した事件・事故に限定し、事務ミスなどは含めないケースであれば、月間登録件数は数件程度に止まる。
 一方で、事務ミス、顧客トラブル等も、可能な限り含めて登録対象としているケースであれば、月間登録件数は数百件程度に膨らむ（一部の先では、月間千件を上回る規模の登録がある
地域金融機関も存在）。
6

Ｑ&Ａ ：高度化を巡る論点
Ｑ４．
 データ・ベースの登録件数が少ないのは問題か。
A４．
 登録対象を一定金額以上の実損が発生した事件・事故に限定している金融機関では、登録件数は少ない。
 こうした金融機関では、多額のロス発生など、経営を揺るがす大きなリスクの所在を確認して、適切なコントロールが導入され、有効に機能しているかどうかを検証したい、と考えていることが多い。
 そのような目的に照らせば、登録件数は少なくても、そのことが直ちに問題とはいえない。
7

一定以上の影響度を持つリスク事象だけをデータ・ベース化

シナリオ

大

内部データ

影響度

③

②

①

④③

②

顕現化したリスク事象で一定以上の影響度を持つもの（太枠内）だけを内部データとして登録：経営が重要と考えるリスク事象
小⑤④③：経営が許容するリスク事象

低発生可能性 高8

Ｑ&Ａ ：高度化を巡る論点
Ｑ５．
 データ・ベースの登録件数を多くしても、影響度の小さなリスクばかりで意味がないのではないか。
A５．
 事務ミス、顧客トラブルを含め、可能な限り多くのリスク事象を登録している金融機関では、残余リスクの大きさだけではなく、統制リスクにも関心を持っている先が多い。
 こうした先では、リスクが顕現化したときの影響の大きさに拘らず、統制の脆弱なプロセスを見付けて、その改善を図りたい、という意向を持っていたり、あるいは、決められた統制活動を徹底し、些細な事務ミスをなくすことが、大きな事故等を防ぐことにも繋がると考える傾向がある。
9

統制リスクが大きく、一定以上の頻度で顕現化するリスク事象をデータ・ベース化

シナリオ

大

内部データ

影響度

③②

①

④③②

一定以上の頻度で顕現化したリスク事象（太枠内）は、統制リスクが大きいと考えて内部データとして登録：経営が重要と考えるリスク事象
小⑤④③：経営が許容するリスク事象

低発生可能性 高

10

Ｑ&Ａ ：高度化を巡る論点
Ｑ６
 潜在的なリスクに関して、ＣＳＡで評価するシナリオの数は、どの程度、金融機関によって異なるものか。
A６．
 本格的にＣＳＡを導入した先では、数百～数千本（メガバンクでは、数万本）のシナリオのリスク評価を実施している。
 試行的にＣＳＡを導入した先では、数十～数百本のシナリオのリスク評価を実施している。

11

Ｑ&Ａ ：高度化を巡る論点
Ｑ７．
 シナリオの作成本数が少ないと問題か。多ければ多いほど良いのかA７．
 シナリオの作成本数が､他の金融機関と比較して少ない場合でも、経営が重要と考えるリスクが含まれていれば問題ない。
 反対に、シナリオの作成本数が、多ければ多いほど良いということもない。作業効率を考慮することも重要である。
 また、ＣＳＡは､定期的に、あるいは、随時、更新していくことが重要である。潜在的なリスクを識別・評価するプロセスを繰り返す中で、経営が重要と考えるリスクを捉えていけばよい。
12

Ｑ&Ａ ：高度化を巡る論点
Ｑ８．
 ＣＳＡは、すべての金融機関が行うべきか。
A８．
 重大な事件・事故が他の金融機関で起きたとき、自らの業務プロセスを改めて自己点検して、同じことが起きないか確認してきた金融機関は少なくない。
 ＣＳＡは､こうしたセルフチェックを体系化したものと考えられる。
ＣＳＡが導入され、定着することにより、組織内でＰＤＣＡサイクルが構築される。
 ＣＳＡを導入するかどうかは経営判断であるが、経営陣はガバナンスの確立を求められている点に留意する必要がある。
13

Ｑ&Ａ ：高度化を巡る論点
Ｑ９．
 ＣＳＡの実施には相応の負担が掛かる。ただ、評価の結果は現場では、はじめから分かっていることが多く、あまり役に立たないとの不満が生じている。どうしたらよいか。
A９．
 ＣＳＡは、現行の組織体制、業務プロセスに問題がないことを確認する（問題があれば是正する）ことにより、経営の目的達成を合理的に保証するアシュアランス機能を持つ。
 ＣＳＡの実施部署には、経営のガバナンスの一環として行う重要な作業であることを十分に理解してもらうように、研修等を通じて働き掛ける必要がある。
 なお、ＣＳＡの２巡目以降は、組織・体制、業務プロセスに変化がない限り、通常、作業負担は小さくなる。
14

Ｑ&Ａ ：高度化を巡る論点
Ｑ１０．
 モニタリングの体制が整わないため、データ・ベースへの登録やシナリオの作成を思い切って増やすことができない。どうしたらよいか。
A１０．
 データ・ベースへの登録、シナリオの作成について、対象範囲を限定してはじめ、モニタリング体制を整えながら、対象範囲を拡大していく方法もある。
 特に、シナリオの作成は、テーマ別（内部不正、ＡＭＬ、ＢＣＰ、他行事例など）、業務別（預金貸出、投信販売、市場業務、新規業務など）に、徐々に対象範囲を拡大していくのも一案。
15

モニタリング体制の整備と対象リスクの拡大
シナリオ
③②

①

④③②

⑤④③

低発生可能性

高シナリオ

影響度

（暫定）

小

大

③②

①④③②

⑤④③

低発生可能性高小・ 内部データ登録基準の拡大
・ シナリオ作成基準の拡大
・ モニタリング体制の整備：経営が重要と考えるリスク事象

内部データ

影響度

大

内部データ：経営が許容するリスク事象
16

（参考文献）
日本銀行金融高度化センター 碓井茂樹
金融高度化セミナー資料「オペレーショナル・リスク管理の高度化のポイント」（2010年3月）「Q&Aオペレーショナル・リスク管理の高度化を巡る論点整理」（2010年3月）

17