「ＣＯＳＯ全社的リスクマネジメント
内部監査での活用方法

事例の解説篇」の～２０の原則の内部監査での８１の視点・着眼点と確認事項～

一般社団法人 日本内部監査協会
ＣＩＡフォーラム No.ａ３ ＥＲＭ研究会（第１１期）
２０２２年９月１５日「ＣＩＡフォーラム」は、ＣＩＡ資格保持者の研鑽及び相互交流を目的に活動する、一般社団法人日本内部監査協会の組織上の研究会の一つです。各Ｃ
ＩＡフォーラム研究会は、担当の座長が責任をもって自主的に運営し、研究期間、目標成果を設定し、研究成果を発信しています。
本報告書は、本研究会（CIA フォーラムａ３ ＥＲＭ研究会）が、その活動成果として取りまとめたものです。本報告書に記載された事例は、すべて本研究会メンバーが会合・合宿等で合議して作成したものであり、研究会メンバーが所属する個別企業の事例ではありません。報告書に記載された意見・
コメント・その他の記載も同様に、すべて本研究会としての見解であり、メンバー、およびメンバーが属する組織の見解ではありません。また、協会の見解を代表するものではありません。

1目
１．はじめに次·································································································

４（１）「ＣＯＳＯ全社的リスクマネジメント 事例の解説篇」の特徴 ····························································（２）本報告書の目的と特徴 ·······························································································（３）使用上の注意 ·········································································································（４）研究会メンバー ·······································································································（５）本研究会の活動の経緯 ·······························································································

４
４
５
６
７

２．本報告書の全体像（「視点・着眼点と確認事項」一覧）
３．本報告書で参考にした事例と原則との関係·························································· ９··································································· １３

４．ＣＯＳＯ全社的リスクマネジメントの 20 の原則に沿った内部監査での８１の視点・着眼点と確認事項·············

１６（構成要素１ ガバナンスとカルチャー）
原則１ 取締役会によるリスク監視を行う··········································································· １６
原則２ 業務構造を確立する ························································································· １８
原則３ 望ましいカルチャーを定義づける··········································································· １９
原則４ コアバリューに対するコミットメントを表明する ································································ ２３
原則５ 有能な人材を惹きつけ、育成し、保持する ······································································· ２４（構成要素２ 戦略と目標設定）
原則６ 事業環境を分析する ························································································· ２６
原則７ リスク選好を定義する ······················································································· ２７
原則８ 代替戦略を評価する ························································································· ２８
原則９ 事業目標を組み立てる ······················································································· ３５（構成要素３ パフォーマンス）
原則１０ リスクを識別する ························································································· ３６
原則１１ リスクの重大度を評価する ················································································· ３８
原則１２ リスクの優先順位づけをする ··············································································· ３９
原則１３ リスク対応を実施する ····················································································· ４０
原則１４ ポートフォリオの視点を策定する ··········································································· ４１2

（構成要素４ レビューと修正）
原則１５ 重大な変化を評価する ····················································································· ４２
原則１６ リスクとパフォーマンスをレビューする ····································································· ４４
原則１７ 全社的リスクマネジメントの改善を追求する ·································································· ４５（構成要素５ 情報、伝達および報告）
原則１８ 情報とテクノロジーを有効活用する ········································································· ４６
原則１９ リスク情報を伝達する ····················································································· ４７
原則２０ リスク、カルチャーおよびパフォーマンスについて報告する ···················································· ４８

５．参考資料：全社的リスクマネジメントと内部統制とのおおよその関係
参考文献··········································· ４９································································································· ５１3１．はじめに（１）「ＣＯＳＯ全社的リスクマネジメント

事例の解説篇」の特徴

・周知のとおり、ＣＯＳＯ（トレッドウェイ委員会支援組織委員会）は、2004年９月公表の『全社的リスクマネジメント─統合的フレームワーク』を13年ぶりに改訂して、2017年９月（報告書の日付は同年６月）に『全社的リスクマネジメント ─ 戦略およびパフォーマンスとの統合』（新フレームワーク）を公表し、戦略およびパフォーマンスに影響を及ぼし得るリスクを管理するための最新のアプローチを提示しました。
・新フレームワークは、事業体の種類、規模、業界、および地域を問わず、あらゆる事業体に適用可能な普遍性を持つものとして作られたため、その性格上抽象度が高いものになっています。そのため、新フレームワークを補完するものとして、その具体的なイメージを把握でき、それをどのように実務に適用すればよいかの理解に役立つ事例集の公表が期待されていました。そこでＣＯＳＯは、フレームワークで提示されている20の原則を組（注）
織が日々の実務に適用する方法を説明するための「事例の解説篇」
を2018年６月（報告書の日付は同年1月）に公表し、同年12月には日本内部監査協会が邦訳を公表しました。
・本書では、業種も規模も異なる９つの事業体が直面する固有のリスクに対応するため、①新フレームワークの20の原則をどのように適用したかという「原則の適用方法」と、②全社的リスクマネジメントが事業にどのように組み込まれているかという「全社的リスクマネジメントの事業への組み込まれ方」が、個別・具体的な事例に即して詳細に説明されています。
・事例を通して、全社的リスクマネジメントが目指す価値向上を実現するためにそれぞれの原則を、組織の規模、活動範囲、および事業環境に基づいて、具体的な戦略、リスクおよび機会を考慮して適用させる具体的な方法が実に多様な視点から説明されています。個別の組織の全社的リスクマネ
ジメントについての事例ですが、事例の背景にある原則の機能を読み取ることにより、原則が持つ機能を、事例を通して理解できます。また、原則を実務に適用するための具体的なイメージがつかめ、原則を自社にどのように調整して適用すれればよいかについての知見を得ることができます。
（注）「ＣＯＳＯ全社的リスクマネジメント 戦略およびパフォーマンスとの統合 事例の解説篇」（Enterprise Risk Management Integrating with Strategy and Performance Compendium of Examples）（２）本報告書の目的と特徴
本報告書の目的は、「事例の解説篇」から我が国企業での内部監査で活用できる視点・着眼点と質問事項を読み取り、整理して提示することです。
そのため、20 の原則ごとに、合計 81 の視点・着眼点と確認事項を例示しました。
事例の解説篇は、前記の通り原則を実務に適用する方法を、個別・具体的な事例に即して実に多様な視点から詳細に説明しているため、内容が大変豊富です。また、米国の様々な組織体（教育機関、政府、非営利団体、および医療機関など）の事例を取り上げており一部、我が国企業での実務とは異なる内容も含まれているため、我が国企業での内部監査の実務に直接活用しにくい面があります。そのため、本報告書では 20 の原則を我が国における内部監査の実務で活用するという観点から作成しました。また、監査対象部門が内部統制を含めた全社的リスクマネジメントを評価し、改善提言するという内部監査の実務に活用できるように努めました。
なお、視点・着眼点と確認事項の中には、リスク監視、望ましいカルチャー、およびリスク選好の定義付けなど、取締役会に責任がある事項が含まれていることから、取締役の職務執行を監査する監査役監査にも活用でき、さらに監査役と内部監査部門とのコミュニケーションや連携の推進にも活用できる内容となっています。

4

（３）使用上の注意①本報告書は、事例の解説篇で示された９つの事例について、全社的リスクマネジメントの観点から内部監査の実務に資する視点や知見・ノウハウの提供を試みたものであり、事例の解説篇それ自体の解説を目的としたものではありません。
②紹介した視点・着眼点と確認事項はあくまでも一例であり、それ以外にも多くのものがあることにご留意願います。
③本報告書に記載したものを全て使用する必要はなく、自社で活用できるものから活用し、自社の現在の全社的リスクマネジメントの状況を出発点として、高度化していくことが大切です。
④本報告書の記載内容に関する責任は、すべて本研究会にあることにご留意願います。

5（４）研究会メンバー
No.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

（ＣＩＡフォーラムａ３

氏名吉野 太郎 （座 長）
野口 正文 （副座長）
新藤 和政（座長補佐・Web 会議担当）

藤枝 繁
坂井 香苗
紀谷 倫有
宮内 隆行
真柳 元
丹羽 珠希
有村 祥一
伊藤 裕美子
宇田 文顕
大島 誠
石井 学
和田 有弘
青木 博史
佐藤 伸吾
小林 竹幸
桐山 勝
村上 裕子
野々山 一郎
板東 理枝
野元 道子
田中 恵太
神山 典子
小関 清久
岡田 芳明
五十嵐 英知加藤 彰子

ＥＲＭ研究会（第 11 期）

会社名等（2022 年 8 月１日時点）
所属・役職

前東京ガス（株）
損害保険ジャパン（株）

監査役室・主査

ファナック（株)内部監査部長

個人会員
日本電気（株)個人会員
住友化学（株）
個人会員（株）三井住友フィナンシャルグループ
アジア太平洋トレードセンター（株）
ＮＥＣネッツエスアイ（株）
シナネンホールディングス（株）（株）アイ・アール・エス
Supership ホールディングス（株）
出光興産（株）（株）三菱 UFJ フィナンシャルグループのむら産業（株）
第一生命保険（株）（株）クレハ
明治安田生命相互会社
東芝ライフスタイル（株）(株)ゆうちょ銀行
日本郵船（株)
農林水産省
合同会社オズ
個人会員
三菱地所（株)東京海上ホールディングス（株)（株)ラック

経営監査部・監査第二グループ・シニア監査プロフェッショナル

内部統制・監査部・主席部員
監査部・上席考査役
監査役
経営監査部・担当課長
I T 戦略部・チーム長
常勤監査役（独立社外）
内部統制推進室
内部監査室
監査部・上席調査役
内部監査室・室長
内部監査部・ラインマネジャー
常勤社外監査役
監査部・上席内部監査役
経営統括部 監査担当 グループ長
地域共創推進部
内部監査室 監査企画チーム・課長代理
大臣官房検査・監察部調整・監察課・指導企画係長
代表社員
内部監査室・理事
内部監査部・部長兼企画グループリーダー
総務・法務部 リスクマネジメント室長

6

（５）本研究会の活動の経緯
本研究会は 2004 年 4 月から活動を開始し、11 期 18 年にわたり、全社的リスクマネジメント（ＥＲＭ）を内部監査に活用する手法を研究し、内部監査の質的向上に微力ながらも貢献していきたいとの思いで活動を続けてきました。その間の研究成果とその概要は以下のとおりです。
活動期間
研究成果（報告書）
概要
第１期
ＥＲＭについて理解を促進するためのＦＡＱ。
2004 年 4 月
ＥＲＭのよくある質問集（ＦＡＱ）～2005 年 2 月
第２期
ＥＲＭの８つの構成要素が有効に機能しているかど
使えるＥＲＭ（全社的リスクマネジメント）導入チェックポイント集
2005 年 4 月
うかのチェックポイントと、その具体的な事例。
～ 一目でわかるＥＲＭと内部統制の基本的要素の具体例 ～～2006 年 3 月
第３期
ＥＲＭ実施体制構築の要件と、その具体的事例、お2006 年 4 月
ＥＲＭ実施体制を構築するために必要な１０の要件
よび中小企業であっても行うべきＥＲＭの最低要～2007 年 4 月
件。
法対応の内部統制から価値創造のＥＲＭ（全社的リスクマネジメント） 内部統制法制化への対応で得られた成果のＥＲＭ実
第４期
へ
施体制構築への活用。
2007 年 5 月～ 会社法と金融商品取引法対応の内部統制を活かしたＥＲＭづくり～2008 年 7 月への提言 ～
第５期Ａ分科会
ＥＲＭ的な視点を取り入れた内部監査の手法
内部監査にＥＲＭ的な視点を取り入れ、内部監査の2008 年 10 月
～ ＥＲＭの視点を活用して、企業目標の達成に寄与し付加価値を提供 質を高め、企業目標の達成に寄与するための手法･ノ～2010 年 1 月する内部監査を行うためのノウハウ ～ウハウ。
第５期Ｂ分科会
格付会社のＥＲＭ確認項目を用いた事業会社向けＥＲＭチェックリスト 格付会社が公表している情報を参考に我が国の一般
2008 年 10 月
～ 事業会社の目線に立った格付会社のＥＲＭ確認項目の読替と解説 事業会社を対象としたＥＲＭの取組状況を確認する～2010 年 1 月～
ための項目についての解説。
第６期「ＣＯＳＯ内部統制モニタリングガイダンス」の手「ＣＯＳＯ 内部統制モニタリングガイダンス」に基づいた2010 年 4 月
法や考え方を反映させたＥＲＭのモニタリング事例
ＥＲＭモニタリング事例集～2012 年 6 月
集。
「リスク選好・リスク許容度」、「主要リスク指標」、
全社的リスクマネジメント（ＥＲＭ）を活用した内部監査手法の研究
第７期「戦略的優位性を確保するＥＲＭ」に関するＣＯＳ～「リスク選好・リスク許容度」、「主要リスク指標」、「戦略的優位性を2012 年 8 月
Ｏの３つのレポートから、それらの業種別の具体的確保するＥＲＭ」についての業種別事例とリスクベース内部監査へ～2014 年 10 月
事例、および内部監査における確認事項と内部監査の活用事例～の実務で役立つ視点をまとめたもの。
第８期
改訂版ＣＯＳＯ内部統制フレームワークの内部監査での活用事例
17 の原則ごとに「具体的視点」を例示し、「内部監2015 年 2 月～改訂版 COSO の 17 の原則の観点から見た内部監査において留意すべ 査において留意すべき問題事例」と「改善提言のた7

～2015 年 11 月
第９期
2016 年 2 月～2016 年 11 月

き問題事例と改善提言のための確認事項～
リスク評価手法の内部監査での活用事例～内部監査での活用方法・改善提言のための確認事項～

第１０期
改訂版ＣＯＳＯ・全社的リスクマネジメントの内部監査での活用方法
2017 年 4 月～全社的リスクマネジメントの 20 の原則に沿った内部監査での 73 の～2019 年 11 月
「質問・確認事項」と「課題・改善提言」および 61 の「具体例」～
第１１期（当期） 「ＣＯＳＯ全社的リスクマネジメント 事例の解説篇」の内部監査での2020 年 1 月
活用方法～2022 年 9 月～２０の原則の内部監査での 81 の視点・着眼点と確認事項～

めの確認事項／改善提言」を説明。
リスク評価の具体的なノウハウ、問題のある事例、および良好な事例について、「具体的事例」を紹介すると共に、「内部監査での活用方法・確認事項・改善提言」を紹介。
20 の原則ごとに、全社的リスクマネジメントに対する内部監査で質問・確認すべき事項を例示し、課題とその改善提言を紹介。
事例の解説篇から全社的リスクマネジメントに対する内部監査での視点・着眼点と質問事項を読み取り
20 の原則ごとに紹介。

（注）上記報告書はすべて、一般社団法人日本内部監査協会のホームページ上で公開されています。
・第１期～８期報告書：「研究・活動」→「ＣＩＡフォーラム」→「活動実績」（右上）→「過去の活動実績」（最下段）→研究会 No.15（第１期～第 8 期）
＊https://www.iiajapan.com/leg/kenkyu/forum/report_past.html
・第９期～１０期報告書：「研究・活動」→「ＣＩＡフォーラム」→「活動実績」（右上）→ａ３（第 9 期、第 10 期）＊https://www.iiajapan.com/leg/kenkyu/forum/report.html

8

２．本報告書の全体像（「視点・着眼点と確認事項」一覧）※合計８１項目
構成要素

原 則
原則１
取締役会によるリスク監視を行う＊参考にした事例⇒１ 高等教育機関におけるガバ
ナンス
原則２
業務構造を確立する

当研究会で考察した視点・着眼点と確認事項①リスク情報の報告体制②リスクマネジメントのモニタリングに必要な情報③モニタリングの指標やツール④報告責任と報告経路⑤業務の仕組みやシステムが変化した場合の報告経路①リスクの識別・評価、リスク対応策の評価・見直し②経営者への報告＊参考にした事例 ⇒同上

構成要素１
ガバナンスとカル
チャー原則３望ましいカルチャーを定義づける（15 項目）＊参考にした事例⇒２ 政府機関におけるカルチャー
３ 金融機関におけるカルチャー（１）ミッション・ビジョン・コアバリュー
①定 義
②見直し
③社内への浸透④浸透状況の確認⑤評価・報酬制度
（２）行動規範①望ましい行動の明確な定義②見直し③社内への浸透④浸透状況の確認⑤評価・報酬制度
（３）カルチャー①定 義②リスクを認識、指摘・議論できるカルチャー③互いを認め、尊重し合うカルチャー④日々の業務処理を過度に重視（４）ブランド①実務の運営方針との整合性

9

原則４
コアバリューに対するコミットメ
ントを表明する＊参考にした事例 ⇒同上

原則６
事業環境を分析する①評価・報酬制度や人材育成制度の設計②長期的で持続可能なパフォーマンスを促す評価・報酬体系③必要な能力④研修⑤全社的リスクマネジメントを行うことの意義や役割の理解⑥知識・スキルの習得⑦スキルの継続的な確保⑧人事ローテーション・配置
⑨採用促進
⑩退職抑制
①事業環境のカテゴリーごとの分析②前提や将来予測の根拠の変化に応じた戦略の見直し＊参考にした事例⇒４ エネルギー会社における戦略と目標設定⇒５ 非営利団体における戦略と
目標設定
原則７
リスク選好を定義する①取締役会での承認・文書化・経営者による周知（手続き面）②ミッション・ビジョン・コアバリューとの整合（内容面）

原則５
有能な人材を惹きつけ、育成し、保持する＊参考にした事例 ⇒同上

構成要素２
戦略と目標設定①コアバリューの文書化と浸透・定着②コアバリューと望ましい行動③各階層の役割と責任④リスク管理責任者⑤個人の業務上の責任＊参考にした事例 ⇒同上
原則８代替戦略を評価する①ミッション・ビジョン・コアバリューとの結びつき②リスクの全体像に及ぼす影響の理解③リスクの全体像の継続的モニタリング④リスクの全体像（リスクプロファイル）の事例＊参考にした事例 ⇒同上

10

原則９
事業目標を組み立てる①目標とリスクの全社レベルから部門レベルへの落とし込み②階層に対応した戦略、目標の設定＊参考にした事例 ⇒同上
原則１０
リスクを識別する＊参考にした事例⇒６ 消費財メーカーにおけるパフォーマンス７ テクノロジー会社におけるパフォーマンス
原則１１
リスクの重大度を評価する

構成要素３
パフォーマンス①部門別の目標設定とリスクの特定②前提条件を明確にする③環境変化に応じてリスクを識別する④目的に合った情報を効率的に収集するツールを使用する⑤適時に情報を収集・伝達する⑥環境変化のスピードに即した頻度でリスクを識別する⑦部門内のリスクマネジメント統括者の設置①リスクの評価基準を設定する②製品サイクルの節目ごとにリスク評価を実施する③評価対象の事業と整合した評価基準を用いる④環境変化のスピードに即したリスク評価の頻度＊参考にした事例 ⇒同上
原則１２リスクの優先順位づけをする①全社目標の達成に与える影響度を基準とする②優先順位づけの基準・根拠・用いた情報を確認する＊参考にした事例 ⇒同上
原則１３
リスク対応を実施する①リスクの優先順位づけ・リスク対応のコスト・パフォーマンスを比較検討する②パフォーマンス指標に基づいてリスク対応を実施する＊参考にした事例 ⇒同上
原則１４
ポートフォリオの視点を策定する①複数部門で関係のあるリスクを全社レベルで集約する②各部門でのリスクの識別・評価の結果を集約して全社レベルのリスクを把握する＊参考にした事例 ⇒同上
構成要素４
レビューと修正

原則１５
重大な変化を評価する①環境変化の影響を把握・分析した上でパフォーマンスを評価する②今後の変化の兆候とその推移を把握する③リスクの特性に見合った頻度でのリスクの評価

11＊参考にした事例⇒８ 工業製品会社におけるレビ
ューと修正
原則１６
リスクとパフォーマンスをレビュ
ーする

構成要素５
情報、伝達および報告①パフォーマンス変化の分析を通したリスク変化の把握②パフォーマンスが許容範囲内に収まっていない場合の対応を検討しておく③パフォーマンスの許容範囲を明確にしておく④“Trusted Advisor”として機能する内部監査部門＊参考にした事例 ⇒同上
原則１７
全社的リスクマネジメントの改善を追求する①パフォーマンスとの関係からリスクとその対応状況を把握・評価する②全社的リスクマネジメント体制全体の課題の把握・改善＊参考にした事例 ⇒同上
原則１８情報とテクノロジーを有効活用する①意思決定に必要なリスク情報の見極め・収集・分析・報告②内外の要因の見極め・収集・分析・報告＊参考にした事例⇒９ 医療機関におけるリスク情報
原則１９
リスク情報を伝達する＊参考にした事例 ⇒同上
原則２０
リスク、カルチャーおよびパフォー
マンスについて報告する①リスクの原因と影響を適切に分析・評価した調査レポートを提出する②リスク情報が迅速・正確に報告される体制・組織文化③多様な情報伝達経路①リスク情報を幅広く収集し多様な視点から分析して報告する②パフォーマンスを通してリスクをモニタリングする③望ましいカルチャーの伝達・浸透状況を検証・評価し報告する＊参考にした事例 ⇒同上（注）構成要素と原則は、トレッドウェイ委員会支援組織委員会（COSO: Committee of Sponsoring Organizations of the Treadway Commission）著 一般社団法人日本
内部監査協会、八田進二、橋本尚、堀江正之、神林比洋雄監訳「ＣＯＳＯ全社的リスクマネジメント －戦略およびパフォーマンスとの統合－」（2018 年 4 月 同文舘出版）74 頁他から引用。

12

３．本報告書で参考にした事例と原則との関係
注意：「事例の解説篇」（5 頁 「表 1.1 事例で示した原則」）とは一部異なっている。
事

例

業

種

規

模

構成要素
原則１
原則２
原則３
原則４
原則５

取締役会によるリスク監視を行う
業務構造を確立する
望ましいカルチャーを定義づける
ｺｱﾊﾞﾘｭｰに対するｺﾐｯﾄﾒﾝﾄを表明する
有能な人材を惹きつけ、育成し、保持する

原則６
原則７
原則８
原則９

事業環境を分析する
リスク選好を定義する
代替戦略を評価する
事業目標を組み立てる

原則１０
原則１１
原則１２
原則１３
原則１４

リスクを識別する
リスクの重大度を評価する
リスクの優先順位づけをする
リスク対応を実施する
ポートフォリオの視点を策定する

原則１５
原則１６
原則１７

重大な変化を評価する
ﾘｽｸとﾊﾟﾌｫｰﾏﾝｽをﾚﾋﾞｭｰする
全社的ﾘｽｸﾏﾈｼﾞﾒﾝﾄの改善を追求する

原則１８
原則１９
原則２０

情報とテクノロジーを有効活用するリスク情報を伝達する

事例１

事例２

事例３

事例４

事例５

事例６

事例７

事例８

事例９

高等教育機 政府機関に 金融機関に エネルギー 非営利団体 消費財メー テクノロジ 工業製品会 医療機関に関における おけるカル おけるカル 会社におけ における戦 カーにおけ ー会社にお 社における おけるリス
ガバナンス チャーチャーる戦略と目 略と目標設 るパフォー けるパフォ レビューと ク情報
標設定
定
マンス
ーマンス 修正
国際規模

全国規模

地方規模

ガバナンスとカルチャー

全国規模

国際規模

戦略と目標設定

地方規模

全国規模

パフォーマンス

国際規模
全国規模
レビューと 情報、伝達
修正
および報告

●
●
●
●
●

●
●
●
●
●
●
●

●
●
●
●
●
●
●
●
●

●
●
●
●
●
●
●
●
●
●
●

ﾘｽｸ、ｶﾙﾁｬｰおよびﾊﾟﾌｫｰﾏﾝｽについて報告する

13

参考：ＣＯＳＯ全社的リスクマネジメントの根底にある考え方と本報告書との関係
・企業活動とは、①自社の「ミッション・ビジョン・コアバリュー」に基づいて、②それらを達成・実現するための「戦略」を策定し、③戦略を達成するための具体的かつ測定可能な「事業目標」を策定した上で、④それら（戦略と事業目標）を達成し、利益や市場優位性などの「パフォーマンス」を獲得することを通して、⑤企業の最終目的である「企業価値の向上」を実現することである。
・この一連の企業価値向上のサイクルを回すためには、①「ガバナンスとカルチャー」、②「戦略と目標設定」、③「パフォーマンス」、④「レビューと修正」、および⑤「情報、伝達および報告」の５つの構成要素を有効に実践することが必要である。そして２０の原則が構成要素を有効に実践する方法を説明している。
・本報告書は、この２０の原則の企業における具体的な活用方法を８１の「内部監査で活用できる視点・着眼点・質問事項」を通して説明を試みたもの
である。

用語の定義
当研究会では以下のように定義する。
【リスク】
リスクとは、企業目的の達成に影響を及ぼす事象が発生する可能性である。
【パフォーマンス】
パフォーマンスとは、企業の最終目的である「企業価値の向上」を実現するために必要な具体的かつ測定可能な個々の成果。
（例：売上、利益、もしくは市場シェアなど）【リスク選好】リスク選好とは、企業が企業価値向上のために受け入れるリスクの種類と量である。
【リスクの許容範囲】
リスクの許容範囲とは、「リスク選好の上限」以下であり、かつ「パフォーマンスの許容可能な下限」以上のリスクの範囲である。
【ミッション・ビジョン・コアバリュー】
・当研究会ではコアバリューはミッション、ビジョンを実現するためのものと捉えている。
・ミッション・ビジョン・コアバリューは相互に関連しており、当研究会ではこの３つの定義を実務の観点から以下のように整理する。
(a)ミッション（経営目的）㋐自社の存在意義、㋑使命、㋒最高の目的、もしくは、㋓達成したい事柄を示すもの。

14

※特徴：普遍性が高い。
(b)ビジョン（長期経営目的）
ミッションに基づき、㋐長期的な自社の目指す姿、㋑願望する将来像、もしくは、㋒長期的に達成したい事柄を示すもの。
※特徴：目指す姿。
(c)コアバリュー（価値観、信条、信念、理念）
ミッション、ビジョンの実現に向けて、一人ひとりが大切にすべき価値観やカルチャーを示すもの※特徴：実現するために必要なもの、次の行動に結び付けるトリガー

15

４．ＣＯＳＯ全社的リスクマネジメントの 20 の原則に沿った内部監査での８１の視点・着眼点と確認事項
構成要素１

ガバナンスとカルチャー

１．原則 1：取締役会によるリスク監視を行う
参考にした事例：事例１ 高等教育機関におけるガバナンス①リスク情報の報告体制
・取締役会（注１）へのリスク情報（注２）の報告体制（報告経路、報告要件、報告頻度、報告責任者など）は、取締役会がリスクマネジメントをモニタリングするために必要な水準となっているか。
（注１）経営者によるリスクマネジメントのモニタリングを監査対象とする場合には、「取締役会」を「経営者」と読み替えること（以下同じ）。
（注２）㋐リスクの状況、㋑リスクへの対応状況、および、㋒リスク対応上の課題などリスクマネジメントの現状と課題についての情報。

②リスクマネジメントのモニタリングに必要な情報
・取締役会がリスクの状況とリスクへの対応状況や課題を適時に把握し、必要な指示が行えるように、各部門はリスクマネジメントのモニタリングに必要な情報（注）を取締役会に適時に報告しているか。
⇒取締役会資料にリスク監視に必要な情報が記載されているか確認する。
（注）上記①の「リスク情報」と同じ。すなわち、㋐リスクの状況、㋑リスクへの対応状況、および、㋒リスク対応上の課題などリスクマネジメントの現状と課題についての情報。

③モニタリングの指標やツール
・リスク管理部門や経営企画部門は、取締役会が全社のリスクの状況とリスクへの対応状況や課題の全体像を的確に把握できるように、リスクマネジメン
トをモニタリングするための指標やツールを提供しているか。
＊例：指 標 ⇒KPI
ツール ⇒計画対実績の差異についての月次での分析・報告のためのダッシュボード（注）（注）ダッシュボード①ダッシュボードとは複数の情報を 1 つにまとめ、一目でデータを把握できるようにする「データの可視化ツール」。最近では企業の売上やマーケティング関連のデータを集め、表やグラフで分かりやすく表示するツールを意味することが多い。

16

②ダッシュボードは、あらゆるデータを集め可視化できることから、会社の状況を素早く把握できるようになるメリットがあり、素早い意思決定に役立つ。

④報告責任と報告経路
・リスク管理部門は、各部門から取締役会へのリスク情報の報告責任と報告経路を明確に定めているか。

⑤業務の仕組みやシステム（注）が変化した場合の報告経路
・リスク管理部門は、組織変更などにより業務の仕組みやシステムが変化した場合に、各部門から取締役会へのリスク情報の報告経路に抜け・漏れや脆弱性が発生していないかを確認しているか。また、業務の仕組みやシステムが変化していない場合でも、取締役会へのリスク情報の報告経路に抜け・漏れや脆弱性が発生していないかを定期的に検証しているか。
（注）組織、権限・責任、報告経路、指揮命令・復命系統など【リスクの定義】・当研究会では、リスクを以下のように定義する。
リスクとは、企業目的の達成に影響を及ぼす事象が発生する可能性である。

17

原則２：業務構造を確立する参考にした事例：事例１ 高等教育機関におけるガバナンス①リスクの識別・評価、リスク対応策の評価・見直し
・（事業環境が変化する中で）戦略と事業目標を達成するために必要な業務の仕組みやシステム（組織、権限・責任、報告経路、指揮命令・復命系統など）を確立することを目的に、以下の視点から、事業環境の変化に応じて適時に、リスクの識別・評価、およびリスク対応策の有効性の評価と対応策の見直しを行っているか。
＊リスクの識別・評価、およびリスク対応策の有効性の評価と対応策の見直しを行うことが、業務の仕組みやシステムを確立する前提である。
(a)中長期でのリスクの識別・評価とリスク対応策の策定を含めているか。
(b)各部門のリスクだけでなく、全社的なリスク（全社横断的・全社共通のリスク）を含めているか。
(c)リスクやリスク対応策の有効性を評価する指標やツールを導入しているか。
＊例：指 標 ⇒KPI
ツール ⇒計画対実績の差異についての月次での分析・報告のためのダッシュボード(d)KPI を導入する場合には、事前に KPI の許容可能な変動範囲を決めているか。また、許容可能な変動範囲を超えた場合の対応を決めているか。
【ウイルス付きメールを開封するリスクに対する対応の有効性を示す KPI とその許容範囲（上限と下限）の例】
・当該リスクに対するリスク対応策として、メールに関するオンラインでの情報セキュリティ研修の実施が考えられる。その場合、
KPI⇒オンライン研修の受講率、終了テストの正解率
許容範囲 ⇒受講率は 100％、正解率は 60％（下限）～80％（上限）②経営者への報告
・各部門はリスクが変化し、もしくはリスク対応策の有効性が低下した結果、現行の業務の仕組みやシステムがリスクに適切に対応できていないと認識した場合には、速やかに経営者に報告しているか。
・また、経営者は報告を受けて、業務の仕組みやシステムを見直しているか。

18

原則３：望ましいカルチャーを定義づける
参考にした事例：事例２ 政府機関におけるカルチャー：事例３ 金融機関におけるカルチャー（１）ミッション・ビジョン・コアバリュー①定義・自社のミッション・ビジョン・コアバリューが、自社のビジネスモデル（注）と整合性を持って定義され、明文化されているか。
（注）㋐自社の存立基盤、㋑重要なステークホルダーとの関係、および、㋒ビジネスを展開するマーケットの環境を含む。

・定義に際しては、オープンで率直な議論（注）を経ているか。
（注）議論には、㋐企業価値向上のために受け入れるリスクの種類と量であるリスク選好、㋑会社が耐えられるリスクの限界であるリスクキャパシティを含む。

【ミッション・ビジョン・コアバリューの定義】
・当研究会ではコアバリューはミッション、ビジョンを実現するためのものと捉えている。
・ミッション・ビジョン・コアバリューは相互に関連しており、当研究会ではこの３つの定義を実務の観点から以下のように整理する。
(a)ミッション（経営目的）㋐自社の存在意義、㋑使命、㋒最高の目的、もしくは、㋓達成したい事柄を示すもの。
※特徴：普遍性が高い。
(b)ビジョン（長期経営目的）
ミッションに基づき、㋐長期的な自社の目指す姿、㋑願望する将来像、もしくは、㋒長期的に達成したい事柄を示すもの。
※特徴：目指す姿。
(c)コアバリュー（価値観、信条、信念、理念）
ミッション、ビジョンの実現に向けて、一人ひとりが大切にすべき価値観やカルチャーを示すもの※特徴：実現するために必要なもの、次の行動に結び付けるトリガー②見直し・経営会議メンバーなど経営者が現在のミッション・ビジョン・コアバリューを継続的にモニタリングし、必要に応じて見直しを検討する体制となっているか。
・㋐不祥事など望ましい行動からの逸脱の発生、㋑経営環境の変化、もしくは、㋒社会からの期待の変化などに対応して、ビジョンとコアバリューを見直しているか。

③社内への浸透・ミッション・ビジョン・コアバリューをどのように社内に浸透させているか。
⇒例：㋐研修、㋑トップメッセージの全社員宛メール配信、㋒経営トップとの対話集会、もしくは、㋓職場でのディスカッションを通じた理解の浸透。

19

④浸透状況の確認
・ミッション・ビジョン・コアバリューの社内への浸透度合や理解度をどのような方法で確認しているか。
⇒例：㋐従業員意識調査（全般的な事項を対象）、㋑従業員へのアンケートやインタビュー（特定分野の事項を対象）。

⑤評価・報酬制度
・社員の評価・報酬制度は、ミッション・ビジョン・コアバリューに沿った望ましい行動を取るインセンティブが働くものとなっているか。
⇒評価・報酬制度は、具体的な目に見える望ましい行動を評価する制度面に限定したものでなくても、望ましい行動を意識するように促す運用面での仕組み（注）でもよい。
（注）例：㋐年度初めの上司・部下間での目標設定の話し合いで望ましい行動を意識した目標設定を行う仕組み、㋑年度末の評価で望ましい行動に反した場合にネガティ
ブ評価がなされる仕組み。

【望ましい行動を取るインセンティブが働く評価・報酬制度の例】(a)評価・報酬体系が、短期的な営業実績だけでなく、「顧客満足度アンケートの結果、顧客との有効な面談回数、および、顧客からの感謝の声の数など、望ましい行動を促す長期的な顧客との関係性向上」を反映したものになっているか。
(b)また、顧客をお待たせした時間や顧客からの不満の声など、望ましくない行動を減点項目として反映したものになっているか。
(c)利益を出している社員でも望ましくない行動を伴っている場合には、相応のマイナス評価を行い、人事評価が望ましい行動を促すものとなっているか。

（２）行動規範①望ましい行動の明確な定義
・会社のミッション・ビジョン・コアバリューに沿った具体的な望ましい行動を行動規範の中で明確に定義しているか。

②見直し(a)上記「（１）ミッション・ビジョン・コアバリュー」の「②見直し」と同じ。
※「ミッション・ビジョン・コアバリュー」を「行動規範」に読み替えること。以下同じ。
(b)顧客満足度調査、従業員意識調査、ストレスチェックなどにより自社のカルチャーを定期的に分析し、把握したカルチャーの特性や変化を行動規範の見直しに反映させているか。
(c)過去に定められた行動規範が長期間見直されておらず陳腐化し、現在の社会から求められている望ましい行動と乖離していることはないか。

③社内への浸透
・上記「（１）ミッション・ビジョン・コアバリュー」の「③社内への浸透」と同じ。
・研修では、法令遵守だけでなく、望ましい行動を取ることの重要性を伝えているか。また、評価・報酬体系で望ましい行動を取ることが評価されることを伝えているか。

20

④浸透状況の確認
・上記「（１）ミッション・ビジョン・コアバリュー」の「④浸透状況の確認」と同じ。

⑤評価・報酬制度
・上記「（１）ミッション・ビジョン・コアバリュー」の「⑤評価・報酬制度」と同じ。

（３）カルチャー①定義・自社の望ましいカルチャーを定義しているか。
・定義に際しては、オープンで率直な議論を経た上で取締役会および経営者に承認されているか（注）。
（注）上記「（１）①定義」と同じ。

②リスクを認識、指摘・議論できるカルチャー・経営者は、㋐リスクを認識するカルチャーや、㋑社員が安心してリスクを指摘し議論できるカルチャーの醸成に自ら関与しているか。

③互いを認め、尊重し合うカルチャー・社員が互いの良い行動を認め、尊重し合う職場のカルチャーを醸成する取り組みが行われているか。
⇒㋐顧客からの感謝の声、㋑職場での貢献、もしくは、㋒業務の質向上や効率化などを職場で共有し、顕彰する制度を構築するなど。
・挑戦する人が評価されるようなカルチャーを醸成する仕組みがあるか。

④日々の業務処理を過度に重視・管理者は、部下が日々の業務を処理することが重要と考え、リスクを指摘し議論することを軽視する考え方で部下と接していないか。
【考 察】①カルチャーとミッション・ビジョン・コアバリューとの関係について・カルチャーがミッション・ビジョン・コアバリューを生み出しており、カルチャーがそれらの土台となっていると見ることができる。
・さらに限定して言えば、カルチャーはコアバリューの土台となっており、コアバリューは文書化できるが、カルチャーは文書化しにくいという特徴があるのではないか。
・逆に、ミッション、ビジョン、コアバリューを踏まえた社員の日々の行動から、「カルチャー」が形成されていく場合もある。
②カルチャーの監査手法について
・カルチャーの監査の重要な着眼点のひとつとして、人事制度との関連を確認することが挙げられる。例えば、㋐挑戦した人が人事上で評価される体系になっているか、㋑実際の行動に表れていることが人事上で評価されているかを確認することがあげられる。

21

・根本原因を解明する中で、カルチャーにたどり着く。
・具体的な行動を評価しないとカルチャーにたどり着けない。
③リスクカルチャーとコーポレートカルチャー・リスクカルチャーはリスクへの感度高くビジネスを進めていく考え方や行動に焦点を当てており、時には不祥事防止に焦点が絞られている場合もある。
・コーポレートカルチャーは、企業内で共有される組織全体の行動原理や思考様式のことであり、その一部として「リスクカルチャー」がある（包含関係）。例えば、前向きな戦略を進めたい企業にとっては、挑戦による失敗は減点主義ではなく相応に評価することにより、挑戦を促進するコーポレー
トカルチャーが必要になる。
④カルチャーと風土の違い
・風土は過去からの歴史の中で出来上がってきたもの（雰囲気・空気感）なのに対して、カルチャーは会社に見られる特有の「行動パターン」で新しく作り上げることもできる。
⑤その他
・カルチャーは会社の不文律で、会社全体をカバーしているもの。

（４）ブランド①実務の運営方針との整合性
・実務の運営方針は、自社の経営方針であるブランドと整合しているか。財務目標の達成や効率性の追求といった実務の運営方針のために、ブランド価値を毀損していることはないか。特に実務の運営方針を変更した時に、ブランドの毀損をうかがわせる兆候（注）が出ていないか。
（注）例：㋐顧客満足度の低下、㋑自社に対する SNS での否定的な発信の件数増加、㋒退職者の増加、もしくは、㋓内部通報の件数増加。

【実務の運営方針がブランドと整合していない例】
・某自動車メーカーは、ブランドを重視するとの経営方針があるにもかかわらず、実務の運営方針は市場シェアの拡大であるため、販売奨励金を増加させて安売りを進め、ブランドを毀損させた。
（この場合、ブランドと実務の運営方針は二律背反の関係にある）

22

原則４：コアバリューに対するコミットメントを表明する参考にした事例：事例２ 政府機関におけるカルチャー：事例３ 金融機関におけるカルチャー①コアバリューの文書化と浸透・定着
・経営者は、会社が大切にしているコアバリューや行動規範を文書化し、自らの言動により社内に浸透させているか。また、研修、社内での各種の情報発信（注）、およびトップからの発信と意見交換により定着させているか。
（注）㋐ｅラーニング、㋑動画配信、㋒イントラネット・社内報への掲載、㋓ポスター、もしくは、㋔業務用パソコンの壁紙。

・コロナ禍で、多人数を集めて訓示するなど直接接触することが難しい状況下でどのような工夫をしているか。
⇒例：ｅラーニングや動画配信を活用。

②コアバリューと望ましい行動
・社員に会社が大切にしているコアバリューと望ましい行動を理解する機会（注）を提供しているか。
（注）㋐コアバリューと望ましい行動および行動規範との関係や、㋑望ましい行動の実践に関する好事例についての研修や解説資料の配布など。

③各階層の役割と責任
・リスクマネジメントに関する規則で、各階層のリスクマネジメント上の役割と責任を業務実態に即して明確に定めているか。
・また、定期的に行われる重要リスクの見直しに合わせて、上記の役割と責任を見直しているか。

④リスク管理責任者
・各部門に部門内のリスクマネジメントに責任を持つ階層ごとのリスク管理責任者（例えば、推進責任者（マネージャークラス）、推進担当者（担当者クラス））を配置しているか。

⑤個人の業務上の責任・経営者は、社員に対して、担当する業務に関するリスクを管理することは当人の業務上の責任であること明確に伝え理解させているか。また、個々人のリスクの管理状況を人事評価に反映しているか。

23

原則５：有能な人材を惹きつけ、育成し、保持する参考にした事例：事例２ 政府機関におけるカルチャー：事例３ 金融機関におけるカルチャー①評価・報酬制度や人材育成制度の設計
・評価・報酬制度や人材育成制度は、ミッション・ビジョン・コアバリューに沿って設計されているか。
・また、望ましい行動を促すように設計されているか。

②長期的で持続可能なパフォーマンス向上を促す評価・報酬体系
・評価・報酬制度は、長期的で持続可能なパフォーマンスを促し、短期的なリスクテイクによる収益追求を排除する体系となっているか。
【事例】報酬体系と営業手法の変更による業績向上
・証券Ａ社は、収益に強くリンクした報酬体系を採用し、顧客資産の回転売買に伴う売買手数料を追求した収益獲得を優先した営業手法で成長したが、顧客資産の目減りに伴い顧客離れが鮮明となり経営不振に陥った。
・経営再建に向け、経営陣のリーダーシップのもと、収益と強くリンクした報酬体系を見直し、回転売買中心の営業スタイルを資産積み上げ型へ変更した。その結果、安定した顧客基盤を形成し、経済環境に左右されない強固な経営体質を確立できた。

③必要な能力・必要とされる能力は、㋐望ましいカルチャー、㋑望ましい行動、㋒自社の業務スタイル、および、㋓組織のニーズに合致しているか。また、必要な能力を踏まえて採用と育成を行っているか。
・戦略と事業目標の達成に必要な能力が明確になっているか。
・キャリアビジョンを示しているか。

④研

修・入社時、昇格時、ポスト就任時などのキャリアの節目で、それぞれの時点・階層で求められる能力・考え方とミッション、ビジョン、コアバリューとのつながりを受講者が理解し、その理解を通してリスクマネジメント能力の向上につながる研修が行われているか。
・受講者および上司へのアンケート調査や受講者の実践状況の確認等に基づき、研修の効果を評価し、定期的に研修の内容をアップデートしているか。

⑤全社的リスクマネジメントを行うことの意義や役割の理解
・全社的リスクマネジメントは、ビジネスの目的を達成させるための手段であり、ビジネス活動そのものであるという全社的リスクマネジメントの意義や役割を理解させているか。

⑥知識・スキルの習得
24

・社員に全社的リスクマネジメントの知識やスキルを習得する機会（注１）（注２）を提供しているか。また、会社の全社的リスクマネジメントの体制と運用状
況について説明しているか。
（注１）㋐社内研修の実施、㋑社外研修の受講、㋒参考文献を提示した自己学習の推奨など。
（注２）社内研修としては、㋐リスクの洗い出し、㋑リスクの評価と優先順位付け、㋒リスク対応策の策定についての解説と社内で過去に発生した重大なリスク事案を題材としたグループ・ディスカッションなど。

⑦スキルの継続的な確保
・全社的リスクマネジメントのスキルが組織として継続的に確保される体制になっているか。
＊全社リスクマネジメントのスキルが、関心の高いトップがいる間だけしか重視されないような継続性のない体制になっていないか。

⑧人事ローテーション・配置
・戦略に合わせた人事ローテーションや配置をしているか。

⑨採用促進
・自社のミッション・ビジョン・コアバリューやカルチャーに適した人材の採用を促進するために、それらに関する情報を積極的に開示しているか。
⇒リクルート用サイトやパンフレットにそれらを掲載すると共に、関連するトップメッセージや社員の声を掲載するなど。

⑩退職抑制
・有能な人材の退職を抑制する観点（リテンション戦略的視点）から、㋐自社で働くことが自身の成長につながることが実感できるように役割を付与しているか。㋑本人の希望キャリアを踏まえた職場ローテーションを行っているか。
・また、働きがいや研修受講の機会を与えているか。いわば、あの手この手で成長の機会を提供しているか。

25

構成要素２戦略と目標設定

原則６：事業環境を分析する参考にした事例：事例４ エネルギー会社における戦略と目標設定：事例５ 非営利団体における戦略と目標設定①事業環境のカテゴリーごとの分析
・戦略の策定にあたって、将来の事業環境の変化を、㋐外部環境なら例えば、政治、経済、社会、技術、法規、および環境などのカテゴリーごとに、また、㋑内部環境なら例えば、資本、人材、および技術などのカテゴリーごとに分析しているか。そして、各カテゴリーでの環境変化が、戦略の達成に及ぼす影響を把握し、必要な対応策を検討しているか。

②前提や将来予測の根拠の変化に応じた戦略の見直し
・事業環境が変化し、現在遂行している戦略を策定した時に㋐前提としていた事項や㋑将来予測の根拠としていた仮説が変化している場合には、その変化に応じて戦略を見直す仕組みがあるか。
＊当初想定していたシナリオ通りに進まないことが多いが、「いつかはうまくいくはずだ」と思っていることが多い。例えば、戦略の前提としていた技術開発が進んでいないなど当初の想定（仮定や前提）が外れたのにもかかわらず、前提が変化したことに合わせて戦略を見直していないことはな
いか。

26

原則７：リスク選好を定義する
参考にした事例：事例４ エネルギー会社における戦略と目標設定：事例５ 非営利団体における戦略と目標設定①取締役会での承認・文書化・経営者による周知（手続き面）
・リスク選好を策定している場合、それは㋐取締役会、もしくは経営会議で承認され、㋑文書化されたうえで、㋒経営者によって全社に周知されているか。

②ミッション・ビジョン・コアバリューとの整合（内容面）
・リスク選好を策定している場合、それは会社のミッション・ビジョン・コアバリューに沿ったものとなっているか。
【リスク選好の定義】
・当研究会では、リスク選好を以下のように定義する。
リスク選好とは、企業が企業価値向上のために受け入れるリスクの種類と量である。
【リスク選好の事例】(a)製薬会社では、薬事法違反するリスク選好は非常に低い。
(b)鉄道会社では、鉄道事故に起因する死亡事故に対するリスク選好は非常に低い。
(c)業界二番手以下の会社のリスク選好は、業界一番手の会社と比較して相対的に高い。

27

原則８：代替戦略を評価する参考にした事例：事例４ エネルギー会社における戦略と目標設定：事例５ 非営利団体における戦略と目標設定①ミッション・ビジョン・コアバリューとの結びつき
・戦略が会社のミッション・ビジョン・コアバリュー（価値観・信念）に結びついているか。

②リスクの全体像に及ぼす影響の理解（注１）
・戦略を策定もしくは評価する場合、戦略がリスクの全体像（リスクプロファイル）に及ぼす影響を理解しているか。そして、戦略が目指すパフォー（注２）
マンスを追求することでリスクが増加するとき、リスクがリスク選好の範囲内に止まるように、追求するパフォーマンスをコントロールしているか。
⇒戦略がリスクの全体像に及ぼす影響を理解しない場合には、高いパフォーマンスを追求するあまりリスクを過大に取り過ぎたり、逆にリスクを過少にしか取らず、不相応に低いパフォーマンスしか達成できなかったりする可能性が高まる。
（注１）リスクの全体像（リスクプロファイル）とは、縦軸にリスク、横軸にパフォーマンスをとったリスク曲線とリスク選好との関係を示したリスクの全体像のこと。【図原則 ８－１】参照。
（注２）リスク選好とは、会社が企業価値向上のために進んで受け入れてよいと考えるリスクの種類と量のこと。

③リスクの全体像の継続的モニタリング
・高いパフォーマンスを追求する戦略を採用し、経営判断によりあえてリスク選好を上回るリスクを取る場合には、リスクが会社が耐えられるリスクの限界（リスクリミット）を超過しないように、リスクの全体像（リスクプロファイル）を継続的にモニタリングしているか。
【パフォーマンスの定義】
・当研究会では、パフォーマンスを以下のように定義する。
パフォーマンスとは、企業の最終目的である「企業価値の向上」を実現するために必要な具体的かつ測定可能な個々の成果。
（例：売上、利益、もしくは市場シェアなど）【リスクの許容範囲の定義】
・当研究会では、リスクの許容範囲を以下のように定義する。
リスクの許容範囲とは、「リスク選好の上限」以下であり、かつ「パフォーマンスの許容可能な下限」以上のリスクの範囲である。」

28

④リスクの全体像（リスクプロファイル）の事例
・リスクの全体像（リスクプロファイル）は、リスクとパフォーマンスとの関係を示すリスク曲線で表される。

事例１

リスクの全体像（リスクプロファイル）を用いた「新型コロナウイルス感染者数（リスク）」と「社会経済活動の規模（パフォーマンス）」との関係の整理 【図 原則８－１】【Step １】 「リスク選好の上限」を起点とした「リスク曲線」と「許容可能な社会・経済活動の範囲（パフォーマンスの許容範囲）の上限」との交点（ｂ点）の決定

許容可能な社会・経済活動の範囲の上限
パフォーマンスの許容範囲の上限

感染者数
（リスク）

社会・経済活動の規模がその上限を上回ると、感 者数が受け入れ可能な水準を上回る（医療等）（例：ａ点） 社会・経済活動は良好だが、感 者数がａ
受け入れ可能な上限を大幅に上回っており、感 者数が過大（ａ点）

上限

社会的に け入れ可能
な感染者数（リスク選
好）の上限

リスク曲線

ｂ

リスク選好の上限
感（者数が受け入れ可能な上限点）

社会・経済活動の規模（パフォーマンス）

29

【Step２】 「社会・経済活動の規模」（＝パフォーマンス）を起点とした「リスク曲線」と「許容可能な社会・経済活動の範囲（パフォーマンスの許容範囲）の下限」との交点（ｄ点）の決定

許容可能な社会・経済活動の範囲の下限
パフォーマンスの許容範囲の下限

感染者数
下限
（リスク）
社会・経済活動の規模がその下限を下回ると、社会・経済が許容できない状況に陥る（例：ｅ点）

リスク曲線 ｄ社会・経済活動の規模が許容可能な範囲の下限（ 点）ｅ

感 者数が受け入れ可能な上限を大幅に下回っているが、社会・経済活動の規模が許容できない水準に低下（ｅ点）

社会・経済活動の規模（パフォーマンス）

30

【Step３】 【Step１】と【Step２】記載の図の合成による「許容可能な社会・経済活動の範囲（パフォーマンスの許容範囲）」である「リスク曲線上のｂ点と d 点の間」の決定

許容可能な社会・経済活動の範囲
パフォーマンスの許容範囲
感染者数
下限
（リスク）
社会・経済活動の規模が上限

その下限を下回ると、社会・経済が許容できない状況に陥る（例：ｅ点）

社会的に け入れ可能
な感染者数（リスク選好）の上限
リスクの許容範囲
この範囲 に感染
者数を 抑制する

リスク曲線 ｄｅ

感 者数が受け入れ可能な上限を大幅に下回っているが、社会・経済活動の規模が許容できない水準に低下（ｅ点）

ｂ

社会・経済活動の規模がその上限を上回ると、感 者数が受け入れ可能な水準を上回る（医療等）（例：ａ点） 社会・経済活動は良好だが、感 者
ａ
数が受け入れ可能な上限を大幅に上回っており、感者数が過大（ａ点）

リスク選好の上限
感 者数が受け入れ可能な上限の範囲内に抑制されており、かつ社
会・経済活動の規模が許容可能な範囲内の収まっており、 者のバ
ランスの取れている状態（ 点、 点、 点）

この範囲で社会・経済
活 動 を行 う

社会・経済活動の規模（パフォーマンス）

注：吉野太郎著「全社的リスクマネジメント 会社がやってはいけないこと 80」（中央経済社）57 頁から引用。なお、この表は日本内部監査協会・八田進二・橋本尚・堀江正之・神林比洋雄監訳、日本内部統制研究学会 COSO-ERM 研究会訳「COSO 全社的リスクマネジメント －戦略およびパフォーマンスとの統合－」280 頁「図表 D.6 リス
クプロファイルを用いたリスク評価」を参考に作成。

31

≪解説：リスクの許容範囲とパフォーマンスの許容度との関係≫・リスクの許容範囲は、リスク曲線がリスク選好と交わる 点を上限とし、同曲線がパフォーマンスの許容度の下限と交わる 点を下限としたリスクの許容可能な変動範囲である。
・パフォーマンスの許容度は、 点を上限とし、 点を下限としたパフォーマンスの許容可能な変動範囲である。
・つまり、リスクの許容範囲は 点と 点との関係を縦軸（リスク）で見た場合であり、パフォーマンスの許容度はそれを横軸（パフォーマンス）で見た場合に該当する。
・改訂版 COSO-ERM でいう「許容度」はパフォーマンスの許容可能な変動範囲を示すものであり、旧 COSO-ERM の「リスク許容度」とは意味が異なるので注意が必要である。
・パフォーマンスの許容可能な差異や変動の許容度を定義し、パフォーマンスがモニタリングされて許容可能な範囲にあることを確認することが重要であ
る。

32

事例２

新製品の売上高比率（パフォーマンス）と総売上高の減少（リスク）との関係 【図 原則８－２】
・Ａ社は、積極的な新製品の投入により売上高の拡大を図る戦略を採用している。
・マーケット調査の結果、全体の売上高に占める新製品の割合（パフォーマンス）が 20%未満の場合には、競合他社の新製品にシェアを奪われ、全体の売上高が減少するリスクがあることが分かっている。また、その割合が 30％超の場合には、既存製品が新製品に置き換えられるが、新製品だけでは既存製品の落ち込みをカバーできず全体の売上高が減少するリスクがあることが分かっている。
・そのため、全体の売上高に占める新製品の割合（パフォーマンス）を 20～30％の水準とする戦略を採用した。この場合、許容可能なパフォーマンス
の変動範囲は 20％から 30％であり、その範囲であれば全体の売上高が減少するリスクはリスク選好の範囲内に止まる。

33

事例３

リスクとパフォーマンスの関係から見た戦略の比較・評価【図 原則８－３】・ある石炭火力発電所では、石炭を 37,000 トン積みの運搬船を用船して年 3 回（111,000 トン）搬入する前提で岸壁の規模、岸壁の水深、貯炭場の広さ、および荷揚げ設備の能力などの港湾設備を整備しているが、発電設備の 2 倍増強を検討している。
・発電設備の 2 倍増強に伴う石炭搬入量の 2 倍増に対応するために、㋐石炭運搬船を従来の 37,000 トン積みの運搬船を継続して用船し従来の２倍の年
6 回（222,000 トン）搬入する戦略Ａと、㋑運搬船を 74,000 トン積みに切り換え年 3 回（222,000 トン）搬入する戦略Ｂの 2 つの戦略を検討している。
・戦略Ｂ（74,000 トン積みの運搬船を用船）のメリットは船の大型化による 1 トン当たりの運賃低下であり他方、デメリットは㋐岸壁の拡張、㋑岸壁の水深深掘り、㋒貯炭場の拡張、および、㋓荷揚げ設備の能力増強などの港湾設備港拡充のための追加投資額の増加である。
・つまり、運搬量が少ないうちは小型船を用いる戦略Ａは、大型船を用いる戦略Ｂよりもコスト増加の可能性（リスク）が少ない。しかし、運搬量が増えるにつれて大型船を用いることによるスケールメリットが大きくなり、運搬量が 185,000ｔを超えた時点でコスト増加（リスク）は、大型船を用いる戦略Ｂが小型船を用いる戦略Ａを下回る。
【図 原則８－３】 37,000 トン積み運搬船を用船する戦略Ａと 74,000 トン積み運搬船を用船する戦略Ｂのリスクとパフォーマンスとの関係
運（戦略Ａを選したの場合）

ター設 の追資（戦略Ｂを選 した場合）（リスク）

設 を２ にした場合 の搬入

行の 搬入

搬入量が
ｔまでは戦
略Ｂのリスクが戦略Ａより
も高い

ｔ
６回搬

ｔ
１回搬

戦略Ａ

ｔ
従来の
１回搬
ｔ
積み運搬船を継続して用船

ｔ
３回搬

ｔ
４回搬

ｔ
積み運搬船に切り替えて用船

戦 略Ｂによ
るのリスク
減

ｔ
５回搬

ｔ
２回搬

戦略Ｂ

ット

搬入

ｔ
３回搬

を えると戦略
Ｂのリスクが戦
略Ａより
く
なる

ｔ
２回搬

ｔ
ｔ

が

ｔ
ｔ

ｔ

年間
搬入
（パフォーマンス）34

原則９：事業目標を組み立てる参考にした事例：事例４ エネルギー会社における戦略と目標設定：事例５ 非営利団体における戦略と目標設定①目標とリスクの全社レベルから部門レベルへの落とし込み
・全社レベルの目標（上位目標）の達成を阻害する全社レベルのリスクを特定しているか。そして、各部門がそれぞれの役割に応じて全社レベルのリスクに対応するために、部門レベルにカスケードダウンした目標に対するリスクを特定しているか。

②階層に対応した戦略、目標の設定
・取締役会、経営者、および各部門といった階層に対応して、戦略、全社レベルの目標、および部門レベルの目標が設定されているか。
【図 原則９－１】 目標設定の概念についての一例

35

構成要素３

パフォーマンス

原則１０：リスクを識別する参考にした事例：事例６ 消費財メーカーにおけるパフォーマンス
：事例７ テクノロジー会社におけるパフォーマンス

①部門別の目標設定とリスクの特定・全社目標の達成に繋がる個別・具体的な各部門の目標が設定されているか。
・各部門のそれぞれの目標に対し、目標達成に影響を与えるリスクが洗い出され特定されているか。
【事例】
・「利益を対前年 10％増加」というストレッチした高い全社目標に対して、各部門も下記の高い目標を設定している。そして、目標に対し下記のリスクを特定している。
部 門
部門目標
目標に対するリスク
新規マーケットへ参入する。
競合他社が多くまた顧客の要求水準が高いた
販売部門
め、ニーズに合った商品を提供できない。
調達コスト削減のため新規仕入先を開拓す
新規仕入先の体制が不十分で納期遅れや品質低購買部門
る。
下が発生する。
製品供給量増加のため外部委託を増加する。
外部委託先の技術レベルが不十分で製品の不具製造部門合が発生する。
・上記の例は、高い全社目標に対応するために各部門では従来とは異なる新しい取り組みが必要となり、それに伴い新たなリスクが発生していることを示している。つまり、ストレッチした高い全社目標の設定により、各部門に新たなリスクが生じていることを示している。

②前提条件を明確にする・戦略と目標を設定する際の前提条件は、十分な資料に基づく議論を行い明確になっているか。

③環境変化に応じてリスクを識別する
・内外の事業環境の変化に関する情報を適時に収集し、環境変化に応じた適切なタイミングでリスクの識別を行っているか。

36

④目的に合った情報を効率的に収集するツールを使用する
・内外の事業環境の変化に関する情報を収集するために使用しているツールは、リスクを識別・評価する目的に合った情報を効率的に収集するものであるか。
【情報収集ツールの例】(a)顧客クレームの収集・分析ツール。
(b)顧客満足度調査の分析ツール(c)修理履歴の収集・分析ツール⑤適時に情報を収集・伝達する
・情報収集ツールを用いて適時に情報を収集し、適時にリスク識別を行う部門にその情報を伝達しているか。

⑥環境変化のスピードに即した頻度でリスクを識別する・リスクを識別する㋐頻度、㋑手法、および、㋒識別に使用する情報は、経営環境変化のスピードに即しているか。
【経営環境変化のスピードに即したリスク識別の例】
・技術変化の激しいテクノロジー会社では、新しいリスクを早期に識別するため、年 1 回実施する定例アンケートとインタビューによるリスク識別に加え、毎月、㋐データマイニング、㋑自動言語処理、㋒機械学習などの IT 技術を利用して、データを収集・分析し、リアルタイムでのリスクの識別を行っている。さらに、IOT（Internet of Things＝モノのインターネット）を使用した機械の稼働状況の常時モニタリングを行っている。

⑦部門リスクマネジメント統括者の設置・各部門に、部門のリスクマネジメント活動をモニタリング、調整、統括する幹部クラスの者（部長、筆頭マネージャークラスで部門内の各階層のリスク管理責任者を統括する立場にある者）を任命しているか。
＊「部門リスクマネジメント統括者」とは、他部門とリスク対応について調整できる幹部クラスを指し、本書（「COSO 全社的リスクマネジメント 戦
略およびパフォーマンスとの統合 事例の解説篇」）37 頁記載の「リスク大使」に該当する。

37

原則１１：リスクの重大度を評価する参考にした事例：事例６ 消費財メーカーにおけるパフォーマンス
：事例７ テクノロジー会社におけるパフォーマンス

①リスクの評価基準を設定する
・リスクを評価するための評価基準（影響度と発生頻度の目安）が定められているか。
・また、評価基準は全社で統一され、継続的に使用されているか。
＊評価基準の統一は、㋐同じ目線でリスクを評価しリスク評価のバラツキを少なくするために、あるいは、㋑同じ尺度でトレンド分析を行い環境変化を把握するために必要。
【評価基準の例】(a)財務数値(b)非財務数値・データ （例：財務情報だけでは分からない案件数、問い合わせ件数、クレーム数など金額換算されていない数値・データ）(c)定量的基準(モデル化されたデータなど)、定性的基準（レビューやワークショップの結果など）②製品サイクルの節目ごとにリスク評価を実施する
・設計、開発、検査、発売前、および発売後など製品サイクルの節目でリスク評価を行い、各段階でのリスクがリスク選好の上限の範囲内に収まっていることを確認しているか。

③評価対象の事業と整合した評価基準を用いる
・評価対象の事業と整合したリスク評価の基準を用いているか。
【例】
評価基準 市場に
評判に
事業
関する基準
関する基準
新製品開発
〇
〇
設備拡張
〇

費用に
関する基準
〇
〇

④環境変化のスピードに即したリスク評価の頻度
・リスク評価の頻度は、経営環境の変化のスピードに即しているか。
【経営環境の変化のスピードの例】(a)製品ライフサイクルの変化のスピード(b)技術革新のスピード(c)顧客ニーズの変化など需要変化のスピード(d)競合他社の新製品投入のスピードなど競合激化のスピード

38

業務に
関する基準
〇

原則１２：リスクの優先順位づけをする
参考にした事例：事例６ 消費財メーカーにおけるパフォーマンス
：事例７ テクノロジー会社におけるパフォーマンス

①全社目標の達成に与える影響度を基準とする・各部門の目標に対するリスクは、全社目標の達成に与える影響度を基準として対応の優先順位づけをしているか。
・また、他部門の目標達成に影響を与えるリスクについても考慮しているか。（こうしたリスクは、全社目標の達成にも大きな影響を与えると考えられ
る。
）
【事例】
・
「購買部門」の納期遅れや品質低下のリスクや「製造部門」の製品の不具合といったリスクは、自部門の目標達成に影響を及ぼすだけでなく、「販売部門」の新規マーケットへの参入という他部門の目標達成を困難にし、全社目標の達成にも影響を及ぼすため、対応の優先順位が高いと考えられる。

②優先順位づけの基準・根拠・用いた情報を確認する
・㋐リスクを優先順位づけする基準と、㋑その基準を選 した根拠、および、㋒用いた情報の内容と入手先・出所を確認する。

39

原則１３：リスク対応を実施する参考にした事例：事例６ 消費財メーカーにおけるパフォーマンス
：事例７ テクノロジー会社におけるパフォーマンス

①リスクの優先順位づけ・リスク対応のコスト・パフォーマンスを比較検討する
・リスク対応策の選 は、㋐リスクの優先順位づけの結果、㋑リスク選好の上限の範囲内にリスクを抑制するために要するコスト、および、㋒その場合に得られるパフォーマンス（リスク選好の範囲内にリスクを抑制した場合のパフォーマンス）を比較検討して行っているか。

②パフォーマンス指標に基づいてリスク対応を実施する
・ リスクに直接影響を及ぼすパフォーマンスを追跡する指標を設定し、指標が閾値に接近した場合にリスク対応をタイムリーに行える体制を整備しているか。
【パフォーマンス指標の例】㋐製品の売上高・出荷数⇒増加した時には問い合わせ増加に備えてコールセンター要員を増員し（リスク対応の強化）、低下した時には問い合わせの減少を見込んで減員する（リスク対応コストの適正化）。
㋑製品の操作方法に対する内容別・部位別の顧客からの問い合わせ・クレームの件数⇒重点的に操作性（ユーザーインタフェース）の改善を要する箇所を特定して、経営資源投入の優先度を高めて、製品競争力の強化につなげる（リスク対応の強化）。

40原則１４：ポートフォリオの視点を策定する参考にした事例：事例６ 消費財メーカーにおけるパフォーマンス
：事例７ テクノロジー会社におけるパフォーマンス

①複数部門で関係のあるリスクを全社レベルで集約する
・複数の部門で関係のある目標に対するリスクを識別・評価し、その結果を全社レベルで集約して、全社レベルで必要な対応を検討しているか。
⇒メーカーであれば開発・調達・製造・販売というサプライチェーンの中で、担当する各部門がリスクを識別・評価し、その結果をサプライチェーン全体で集約しているか。そして、サプライチェーン全体の観点で、リスクを識別・評価し、対応を検討しているか。

②各部門でのリスクの識別・評価の結果を集約して全社レベルのリスクを把握する・各部門でのリスクの識別・評価の結果を集約し、複数の部門にまたがる共通のリスクを全社レベルで把握しているか。また、複数の部門に影響を与える
共通の重要リスクへの対応を全社レベルで検討しているか。

41

構成要素４

レビューと修正※原則１５と原則１６はリスクマネジメントの個別事項を対象としている。原則１７はリスクマネジメント全体を対象としている。

原則１５：重大な変化を評価する参考にした事例：事例８ 工業製品会社におけるレビューと修正①環境変化の影響を把握・分析した上でパフォーマンスを評価する
・パフォーマンス評価のために実績対目標の差異分析を行う時に、環境変化がパフォーマンスに及ぼす影響を把握、分析した上で、パフォーマンスを評価しているか。
＊本件は過去に関する事項を対象としている。

②今後の変化の兆候とその推移を把握する
・環境変化がパフォーマンスに及ぼす影響を把握する時に、変化の結果だけでなく、今後の変化の兆候とその推移も把握しているか。
＊本件は将来に関する事項を対象としている＊変化の兆候は主要リスク指標とほぼ同じと考えてよい。
⇒変化の兆候を示す指標として、例えば㋐特定地域での市場動向、㋑特定商品の販売動向、もしくは㋒特定商品の需給や価格変動の動向などを設定しておき、それらの指標を継続的にモニタリングすることにより、今後の変化の兆候を把握し、環境変化を早期に、もしくは事前に把握することが考えられる。

③リスクの特性に見合った頻度でのリスク評価
・リスクの特性に見合った頻度でリスクを評価しているか。

42

事例 リスクプロファイルの変化：リスク選好上限の上昇とパフォーマンス許容度の拡大 【図 原則１５】・コロナ禍当初のリスク選好の上限は低く、パフォーマンスの許容度も狭かった（操業停止・自宅待機・イベント自粛）。
・その後２年経過した現在、㋐ワクチン接種が進み重症者数が減少傾向にあること、および、㋑病院病床使用率の逼迫度合いが緩和傾
向にあることから、リスク選好の上限は上昇し、パフォーマンスの許容度も拡大している（出勤率回復、イベント再開）。

その 後のパフォーマンス 許容度

感染者数
下限
（リスク）
社会・経済活動の規模がその下限を下回ると、社会・経済が許容できない状況に陥る（例：ｅ点）
当
社会的 に け入れ可能な感染者数（ リスク選好）の上限

社会・経済活動の規模がその上限を上回ると、感 者数が受け入れ可能な水準を上回る（医療等）（例：ａ点）
社会・経済活動は良好だが、感 者数がａ
受け入れ可能な上限を大幅に上回っておのパ フ ォ ー マ ン ス許容度
り、感 者数が過大
（ａ点）

上限

ｂ

その後のリスク選好 の上限
リスクの許容範囲

リスク曲線 ｄ

この範囲に感者数を抑制するｅ

感 者数が受け入れ可能
な上限を大幅に下回っているが、社会・経済活動の規模が許容できない水準に低下（ｅ点）

当 のリスク選好 の上限
コロナ 当 のリスク選考の 上限はか っ た（ 点）が、２年間経過
後、 リスク選好の上限が上 昇した（ｂ 点） しかし、リスク 選考の下限は変 らない（ｄ点）

この範囲で社会・経済
活 動 を行 う

社会・経済活動の規模（パフォーマンス）

注：吉野太郎著「全社的リスクマネジメント 会社がやってはいけないこと 80」（中央経済社）57 頁を加工して作成。なお、この表は日本内部監査協会・八田進二・橋本尚・堀江正之・神林比洋雄監訳、日本内部統制研究学会 COSO-ERM 研究会訳「COSO 全社的リスクマネジメント －戦略およびパフォーマンスとの統合－」280 頁「図表D.6 リスクプロファイルを用いたリスク評価」を参考に作成。

43

原則１６：リスクとパフォーマンスをレビューする参考にした事例：事例８ 工業製品会社におけるレビューと修正①パフォーマンス変化の分析を通したリスク変化の把握
・例えば、「パフォーマンス目標の設定段階（予算の設定時など）で想定されていたリスクの大きさ」と、「パフォーマンス結果のレビュー段階（実績の検討時など）で把握されたリスクの大きさ」を比較、検討することによって、つまり、当初想定したパフォーマンスと実際のパフォーマンスとの対比、検証といったパフォーマンスの変化の分析を通して、リスクの変化を把握しているか。
＊パフォーマンスの変化を把握することを通して、リスクの変化を把握する。つまりパフォーマンスを通してリスクを識別・評価する。
＊全社的プロジェクトとして多額のリソース（予算、人員）を投入してリスク把握と順位付けを行った場合、リスクの識別と評価が長期間に硬直的に維持されることがある。硬直的なリスクの識別と評価はリスク対応の有効性を低下させるため、リスクの変化を把握する仕組みを作っておくことが必要である。

②パフォーマンスが許容範囲内に収まっていない場合の対応を検討しておく「パフォーマンスが許容の範囲内に収まっていない場合の対応」を確認し、対応策が検討されているか。

③パフォーマンスの許容範囲を明確にしておく・パフォーマンスの許容範囲が明確にされているか。また、許容範囲の下限・上限に達する手前でのアラートが設定されているか。

④“Trusted Advisor”（信頼されるアドバイザー）として機能する内部監査部門
・内部監査部門は“Trusted Advisor”として機能しているか。
【“Trusted Advisor”として機能する内部監査部門の例】
・社長が懸念しているが公の会議では議論が煮詰まらないことを監査部が社長に代わって議論して、その結果を社長に報告している。10 年以上このやり方を続けている。
・具体的には、社長が懸念していること（気にしていること）に“当たり”をつけて社長に確認して監査の論点を決めている。確認した論点で監査して社長に報告している。

44

原則１７：全社的リスクマネジメントの改善を追求する参考にした事例：事例８ 工業製品会社におけるレビューと修正①パフォーマンスとの関係からリスクとその対応状況を把握・評価する
・全社的リスクマネジメントをパフォーマンスの向上、つまり企業価値向上に資するものとするために、リスク管理部門は、パフォーマンスに焦点を当て、達成されたパフォーマンスのとの関係から、リスクとその対応状況を把握・評価することにより、全社的リスクマネジメント全体の改善を追及しているか。
＊COSO-ERM では、パフォーマンスからリスクを見ている。
＊パフォーマンスとリスクの把握は例えば、経営会議、実績検討会議などのパフォーマンスを検討する会議体に参加すること、または少なくともその情報を入手することにより行う。
＊リスク管理部門のリスク対応状況の把握は例えば、各リスク主管部門との情報交換、内部監査部門との連携により行う。

②全社的リスクマネジメント体制全体の課題の把握・改善・個別リスクとその対応状況を把握・分析した後に、全社的リスクマネジメント体制全体の課題を把握し、改善まで含めた活動を行っているか。

45

構成要素５

情報、伝達及び報告

原則１８：情報とテクノロジーを有効活用する参考にした事例：事例９ 医療機関におけるリスク情報①意思決定に必要なリスク情報の見極め・収集・分析・報告
・リスク管理部門を含む各部門は、適切なタイミングで（例：四半期、半期、年次）所管業務に関連する取締役会や経営者の意思決定に必要なリスク情報
を見極め、テクノロジーを活用して当該情報を収集・分析し、報告しているか。

②内外の要因の見極め・収集・分析・報告
・リスク管理部門を含む各部門は、所管業務に関連する会社の目標達成に影響を及ぼす外部、内部の要因を見極め、テクノロジーを活用して当該要因を収集・分析し、取締役会や経営者に報告しているか。
＊外部要因の収集方法の例：IT 活用によるビックデータの収集・解析。
＊内部要因の収集方法の例：㋐全社レベルでの意識調査・コンプライアンスアンケート・情報セキュリティアンケートなどの調査結果の閲覧、㋑各部門が個別に行うアンケートやインタビュー。

46

原則１９：リスク情報を伝達する参考にした事例：事例９ 医療機関におけるリスク情報①リスクの原因と影響を適切に分析・評価した調査レポートを提出する
・経営上のリスクに直面しその対応を検討する時に、取締役会および経営者が最適な意思決定ができるように、社内および社外の関連情報を収集、分析
し、リスクの原因と影響を適切に分析、評価した調査レポートを提出しているか。

②リスク情報が迅速・正確に報告される体制・組織文化
・リスク情報（事案だけでなく対応、分析・評価も含む）が迅速・正確に報告される㋐ルール・規則・報告ルートなどの体制（ハード面）や㋑率直に報告できる健全なコミュニケーションなどの組織文化（ソフト面）が構築、醸成されているか。
・特に、現場で経営上重大なリスク事案が発生した時に、現場担当者→現場管理者→本社統括部門→経営者に迅速・正確に報告される体制や組織文化が構築され、実際に機能しているか。

③多様な情報伝達経路(a)一般社員など下位者から幹部や経営者など上位者への情報伝達ルートが整備され、実際に機能しているか。
（下から上への伝達ルート）(b)幹部や経営者など上位者から一般社員など下位者への情報伝達ルートが整備され、実際に機能しているか。
（上から下への伝達ルート）(c)異なる職場間・部門間の情報伝達ルートが整備され、実際に機能しているか。
（横の伝達ルート）(d)職制上の下位者から上位者への情報伝達ルートだけでなく、内部通報制度など複数の伝達ルートが整備され、機能しているか。
（複数の伝達ルート）(e)発注元である当社と業務委託先である協力企業、あるいは親会社・子会社間といった法人を跨いだ情報伝達ルートが整備され、実際に機能しているか。
（法人間の伝達ルート）

47

原則２０：リスク、カルチャーおよびパフォーマンスについて報告する参考にした事例：事例９ 医療機関におけるリスク情報①リスク情報を幅広く収集し多様な視点から分析して報告する
・リスク情報を特定の分野に偏ることなく幅広く収集し、多様な視点から分析した上で、取締役会および経営者に報告しているか。
＊収集するリスク情報が、㋐内部情報、㋑外部情報、㋒統一の基準や枠組みにより整理された情報、もしくは、㋓整理されていない情報の集積など
特定の分野に偏ることがないように留意する。
【事例】
・Ａ病院は、㋐院内の医療従事者へのインタビューなどの内部情報、および、㋑当局（厚生労働省、自治体、保健所）からの情報や専門家の見解などの外部情報の 方を幅広く収集した。それら内外の情報に基づいて、専門の医師・看護師も参加した拡大理事会で新型コロナウイルス対応のための病床数、要員体制、および対応方針を意思決定した。

②パフォーマンスを通してリスクをモニタリングする・パフォーマンス（例：営業実績の拡大、医薬品の売上高）とリスク（例：バックオフィス部門のミスの増加、薬価基準の変更）を別々に議論せず、一緒に議論し、パフォーマンスの変化をモニタリング（把握・分析）することを通して、リスクの変化をモニタリング（把握、分析）しているか。つまり、パフォーマンスを出発点としてリスクを見ているか。
【事例】
・Ｂ製薬の収益の大部分を占める医療用医薬品の収益に影響を与える薬価基準が、政策の変更により今後大きく変動すること（リスク）が想定されている。
・このため、㋐主力製品の売上への影響、㋑結果としてのＢ社の収益への影響（パフォーマンス）を検討しながら、リスクへの対応策を検討している。

③望ましいカルチャーの伝達・浸透状況を検証・評価し報告する
・取締役会および経営者が求めている望ましいカルチャーが適切に定義づけられ、社内に正しく伝達され、社員の行動や判断に反映されるなど浸透しているかが検証・評価され、結果が取締役会および経営者に承認されているか。
【事例】
・Ｃ病院では、近年の採用難により、看護職員の負担が過重になってきている。
・対応策のひとつとして、地域社会・患者への姿勢に関する当病院のミッション・ビジョン・コアバリューを組織内に浸透させ、望ましいカルチャーを適切に定義し、伝達・浸透させることにより、看護職員のモラルを維持し、離職を抑制しようとしている。

48

５．参考資料：全社的リスクマネジメントと内部統制とのおおよその関係
・全社的リスクマネジメントの20の原則と表面上概ね対応していると見える内部統制の17の原則とのおおよその対応関係は下表の通りです。なお、これは 者の関係の理解の一助として記載したものです。
全社的リスクマネジメント

内（ＣＯＳＯ・全社的リスクマネジメント－戦略および（ＣＯＳＯ・内部統制の統合的フレームワーク

パフォーマンスとの統合
構成要素

原

2017年9月公表）
構成要素

１．取締役会によるリスク監視を行う
２．業務構造を確立する

ガバナンスと

３．望ましいカルチャーを定義づける

カルチャー

４．コアバリューに対するコミットメントを表明する

統制
2013年5

月公表）

則

構成要素１

部

原

則

監督責任の遂行

構成要素１
統制環境

（原則２）

組織構造、権限・責任の確立（原則３）

誠実性と倫理観に対するコミットメントの表明（原則１）
説明責任の履行（原則５）

５．有能な人材を惹きつけ，育成し，保持する

業務遂行能力に対するコミットメントの表明

６．事業環境を分析する※対応すると思われる内部統制の構成要素はない。

構成要素２

７．リスク選好を定義する※対応すると思われる内部統制の構成要素はない。

戦略と目標設定

８．代替戦略を評価する※対応すると思われる内部統制の構成要素はない。

９．事業目標を組み立てる※対応すると思われる内部統制の構成要素はない。

１０．リスクを識別する

適合性のある目的の特定

１１．リスクの重大度を評価する

リスクの識別と分析

構成要素３
パフォーマンス（原則７）

１２．リスクの優先順位づけをする

構成要素２

不正リスクの評価

１３．リスク対応を実施する

リスク評価

重大な変化の識別と分析

１４．ポートフォリオの視点を策定する

49

（原則６）

（原則８）
（原則９）

（原則４）

統制活動の選択と整備（原則１０）

構成要素3

テクノロジーに関する全般的統制活動の選択と整備（原則１１）

統制活動

方針と手続を通じた展開

１５．重大な変化を評価する（原則１２）

日常的評価および／または独立的評価の実施（原則１６）

構成要素４

１６．リスクとパフォーマンスをレビューする

構成要素5

レビューと修正

１７．全社的リスクマネジメントの改善を追求する

モニタリング

不備の評価と伝達（原則１７）

活動
１８．情報とテクノロジーを有効活用する
構成要素5

１９．リスク情報を伝達する

情報，伝達および

２０．リスク、カルチャーおよびパフォーマンスにつ報告

関連性のある情報の利用（原則１３）
構成要素４
情報と伝達

いて報告する

組織内における情報伝達
組織外部との情報伝達（原則１４）（原則１５）

引用文献
・トレッドウェイ委員会支援組織委員会（COSO:Committee of Sponsoring Organizations of the Treadway Commission）著 一般社団法人日本内部監査協会、八田進二、橋本尚、堀江正之、神林比洋雄監訳「ＣＯＳＯ全社的リスクマネジメント －戦略およびパフォーマンスとの統合」（2018年4月同文舘出版）74頁他。
・トレッドウェイ委員会支援組織委員会（COSO:Committee of Sponsoring Organizations of the Treadway Commission）著 八田進二、箱田順哉監訳 日本内部統制研究学会
新COSO研究会訳「内部統制の統合的フレームワーク フレームワーク篇」（2014年2月日本公認会計士協会出版局）40～42頁他。

50

参考文献
・トレッドウェイ委員会支援組織委員会（COSO:Committee of Sponsoring Organizations of the Treadway Commission）著
監査協会、八田進二、橋本尚、堀江正之、神林比洋雄監訳「ＣＯＳＯ全社的リスクマネジメント －戦略およびパフォーマンスとの統合」 （2018年4月 同文舘出版）

一般社団法人日本内部・ポール・ソーベル著 八田進二監訳 堺咲子訳
「不確実な時代のリスクマネジメント ―ＣＯＳＯ新ＥＲＭフレームワークの活用」 （2018年8月 日本内部監査協会出版）
・トレッドウェイ委員会支援組織委員会（COSO:Committee of Sponsoring Organizations of the Treadway Commission）著
訳 日本内部統制研究学会新COSO研究会訳「内部統制の統合的フレームワーク フレームワーク篇」 （2014年2月 日本公認会計士協会出版局）

八田進二、箱田順哉監

以51

上