公表されたエンタープライズ・リスク・マネジメント（ERM）の統合的枠組み
野村亜紀子

要

約

米国では 2004 年 9 月、トレッドウェイ委員会組織委員会（COSO）により「エン1.

タープライズ・リスク・マネジメント（ERM）の統合的枠組み」（ERM フレームワーク）及び「適用テクニック」が公表された。2003 年 7 月に草案が公開されて以降、1 年余りを経てのことだった。
ERM は一般に、企業の個々の組織や部門を超えた全社的なリスク管理を意味す

2.

る。企業行動を規律付ける仕組みの一つであり、コーポレート･ガバナンスと相互に関連し、補完しあう関係とも言える。
COSO の ERM フレームワークの主たる目的は、近年注目の高まっている ERM に3.

関する統一概念の提示にあった。草案に対するコメントでは、例えば「リスク」の定義をめぐって、議論が行われた。
COSO の ERM フレームワークは、ERM のグローバル･スタンダードとなる可能性

4.

も有しており、わが国企業も意識しておく必要があろう。

COSO は、92 年、今やグローバル・スタン

Ⅰ．背景ダードとなった内部統制の統合的枠組みを提示したことで知られる。COSO によると、内米国で 2004 年 9 月、トレッドウェイ委員

部統制と同様に、ERM フレームワークが企会組織委員会（COSO）より、「エンタープ業のリスク管理のベンチマークとなることがライズ・リスク・マネジメント（ERM）の期待されている。

統合的枠組み」（以下、ERM フレームワー
クとする）が、適用テクニック編と共に公表
1

された 。

折しも、後述するように、米国登録企業は、サーベンス・オクスレー法 404 条により年次報告書の中で「内部統制報告」を行うことがERM とは一般に、企業内の部門や組織を義務づけられ、企業はそのための対応に追わまたがる全社的なリスク管理を意味するが、れてきた。そのような中で、COSO の提示す近年、ERM に対する関心が高まるにつれて、るフレームワークがどのように受け入れられ統一概念や共通の枠組みの不在が指摘されてていくのかも注目されている。

いた。今回の ERM フレームワークは、この問題に対処すべく、COSO が提示したものである。2003 年 7 月に草案が公表され、3 ヶ月のコメント期間を経て、最終版が作成された。
会計・監査専門家の集まった組織である
1資本市場クォータリー 2005 Winter1）。

Ⅱ．ERM の位置付け
Ⅲ．ERM フレームワークの概要2
全社的なリスク管理である ERM は、企業の活動を企業内部において規律付けるための１．統一概念の提示プロセスと言える。その意味では、法令違反

上述の通り、ERM フレームワークの主た等がないようにするための社内体制である内る目的の一つは、ERM に関する用語の定義、部統制と同じ範疇に入る。なお、後述するよ概念の統一にある。その主立ったものを挙げ

うに、COSO のフレームワークでは、ERMると以下のようになる。

は内部統制を内包するものとして位置付けら①不確実性（uncertainty）と価値（value）れている。

ERM は、営利組織であれ、非営利組織で一方、企業経営者が株主の利益に沿った行あれ、ステークホルダーのための価値創造を動を取っているかどうかを監視するのが、コ目的とすることを前提としている 3 。経営陣ーポレート・ガバナンスである。ERM、内は、ステークホルダーの価値増大のために、部統制ともに企業経営者が最終責任者であり、どの程度の不確実性を受け入れられるかを判また、経営者のコミットメントが成否を分け断しなければならない。

るとも言われていることから、この両者は経不確実性はリスクと機会の両方を伴う。不営者の行動監視の決定打にはなりえない。他確実性は、事象の発生頻度とその重大性を正方、取締役会にせよ株主にせよ、企業の戦略確に判断できないことによりもたらされる。

策定プロセスや日々の業務執行に常時目を光また、経営判断によりもたらされる場合もあらせることは不可能である。このように、企る。

業行動の規律付けにおいて、コーポレート・価値の創造、維持、減少は、経営陣の決定ガバナンスと ERM とは相互に関連し、補完により起こる。経営陣が、成長とリスクの最し合う関係にあると位置付けられる（図表適バランスを保つ形で戦略・目的を設定し、図表 1ERM とコーポレート・ガバナンス
企業価値、持続可能性の向上
企業価値、持続可能性の向上
企業行動の規律付け
企業行動の規律付け

戦略策定、業務の有効性・効率性、報告の信頼性、法令遵守を合理的に保証するプロセス
業務の有効性・効率性、財務報告の信頼性、法令遵守を合理的に保証するプロセス
財務報告の信頼性を合理的に保証するプロセス

経営監視

ERM
内部統制
SOX404条のSOX404条の対象となる内部統制（注）SOX＝サーベンス・オクスレー法（出所）野村資本市場研究所

2

相互に補完相互に補完

コーポレート･ガバナンス公表されたエンタープライズ・リスク・マネジメント（ERM）の統合的枠組み

効率的・効果的な資源配分を行う時に、価値達成を目指す。そのためのプロセスであの最大化が実現する。

り、それ自体が目的ではない。

② 事 象 （ event ） 、 リ ス ク （ risk ） 、 機 会

また、ERM フレームワークでは、「企業（opportunity）の目的」として、次の 4 つのカテゴリーを設事象とは、組織の目的達成に影響を与えるけている。

ような企業内外の出来事である。このうち、

・ 戦略：ハイレベルの目的に関するもので、悪影響を与える事象発生の可能性がリスク、企業のミッションを支える（戦略策定）

好影響を与える事象発生の可能性が機会であ・ 業務：企業の資源の効果的・効率的な活用に関するもの（業務の有効性・効率る。
悪影響を与える事象は価値創造の妨げや価値の喪失につながる。例えば機械の故障、火事、クレジットの喪失である。顧客の需要が生産力を上回った結果、需要を満たせず顧客の支持を失い、将来の受注減につながるといったことも含まれる。
機会は価値の創造と維持につながるもので、性）・ 報告：企業の報告の信頼性に関するもの（報告の信頼性）
・ 法令遵守：企業に適用される法規の遵守に関するもの
上記の ERM の定義は、COSO の内部統制の定義を発展させたものである。COSO の内

経営陣は機会を戦略または目的設定のプロセ

部統制は「①業務の有効性と効率性、②財務スに反映させ、機会を獲得するための行動を報告の信頼性、③法令遵守、のカテゴリーに決定する。

分けられる目的の達成に関して、合理的な保③ERM とは証を提供することを意図した、企業の取締役ERM とは、「企業の目的の達成に関して、会、経営者およびその他の構成員によって遂合理的な保証を提供することを意図し、取締行されるプロセス」と定義され、これが世界役会、経営者およびその他の構成員によって各国の企業により共有されている。

遂行され、戦略策定において企業全体にわた内部統制と比較して新たに加わった点としって適用され、企業に影響を与える潜在的なては、ERM が企業の戦略策定にも適用され、事象の特定とリスクの適正範囲内での管理のしたがって、達成すべき企業の目的の一つにために設計されたプロセス」と定義される。

戦略策定が含まれると同時に、下記の 8 つの上記の ERM の定義は、以下のような基本構成要素に目的設定が含まれている点が指摘的な概念をふまえて行われている。

できる。ERM は全社的に適用されリスクの・ ERM は、企業の中で継続的、かつ全社ポートフォリオ的視点を伴うことも新しい点に流れるプロセスである。
・ 組織の全レベルの人員により実施される。

である。
また、企業の目的の一つである「報告の信・ 戦略策定に適用される。

頼性」には、社内外の関係者に対して出され・ 全社的に、あらゆるレベルに適用され、るあらゆる報告書が含まれる。この点、内部リスクのポートフォリオ的視点を伴う。
・ 企業に影響をあたえる事象の特定、リスク管理のために設計される。
・ ERM は合理的保証を与えるのであり、絶対的保証は提供しない。

統制では「財務報告の信頼性」とされていた。
一見細かな違いだが、内部統制から ERM フ
レームワークへの発展にあたって、財務報告を中心とする会計・監査の視点からの転換がさらに進められたことが端的に表れている。

・ ERM により、単一もしくは複数の目的

3

資本市場クォータリー 2005 Winter

図表 2
構成要素
内部環境

目的の設定

事象の特定

リスク評価

リスク対応

統制活動

ERM フレームワークの構成要素

概要
・ ERM の他の要素の基盤を形成
し規律をもたらす・ 企業の ERM 哲学、リスク選好、取締役会による監視、倫理観、経営者による権限委譲・ 戦略、業務、報告、法令遵守の 4 つのカテゴリーから成る目的の設定
・ 企業のリスク選好とリスク許容度に沿って行われる
・ 経営者による、企業に影響を与えうる事象の特定と、リスクか機会かの判定
・ 企業全体に関わる企業内外の様々な要因が対象

・ リスクが目的達成に与えうる影響の程度を把握する
・ 経営者は、発生頻度と重大性の 2 方向から、通常は定性的及び定量的手法を組み合わせて評価・ 内在・残留リスクの両方を評
価・ 回避、軽減、分担、保有
・ 経営者は発生頻度と重大性への影響、費用対効果を考え、残留リスクを許容度の範囲内に収めるリスク対応を選定
・ 残留リスクに対するポートフ
ォリオ的視点・ リスク対応が実行されるようにする手続き、方針・ 例えば、承認、調整、営業パフォーマンスの確認、資産保全、職務の分離

情報と伝達

・ 必要な情報が適宜、必要な人に伝達される
・ 情報テクノロジーの活用・ 情報が組織の上下・横断的に流れる・ 顧客、取引先等外部との有効な情報伝達方法も必要

監視活動

・ ERM の構成要素が時間を経ても存在・機能することの確認
・ 継続的監視活動、独立的評価

適用テクニックの例
・ 経営者がリスク管理哲学に関するステートメントを作成する
・ 「組織の長は倫理的行動について手本になっているか」などを問うサーベイを定期的に社員に行う・ 行為規範の作成
・ 戦略目標設定プロセスにおける、シナリオ分析、モデリング、ストレス・テスト等のリスク評価テクニックの利用
・ リスク選好の定性分析、定量分析（発生頻度と重大性、キャピタル・アット・リスクとリターンなど）
・ 事象の一覧リスト（社内で作成、社外調達）
・ 社内の複数部門にまたがる会合による事象の把握
・ 個別インタビューによる率直な意見の把握
・ 質問票による調査
・ 先行リスク指標、エスカレーション・トリガーの事業部
門目的別整理・ 損失につながる事象に関するデータ・トラッキング
・ 事象の分類によるリスクと機会の把握
・ 定性分析：発生頻度の序列に応じたリスク分類、重大性の序列に応じた損失の測定
・ 定量分析：バリュー・アット・リスク、バック・テステ
ィング、センシティビティ分析、シナリオ分析、ストレス・テスティング等
・ リスク・マップの作成
・ 部門ごとのリスク評価に基づく、全社的なリスク・プロフィールの作成
・ 残留リスクについても、内在リスクと同様の手法を用いて、定量的・定性的に評価。複数のテクニックを併用することもあり得る。
・ 回避、軽減、分担、保有のそれぞれについて、販売部門等の費用増と、稼働率・目標 EBIT 増加の可能性を対比
・ 地域別と全社的な内在リスク、リスク対応、残留リスクの一覧
・ 統制活動そのものがリスク対応になりうる・ 例えば、支払いに関する入力は全て大元の注文の詳細と照合してから初めて次の処理に回される、支払い額を大元の支払い情報に関係するスタッフ以外の人物が確認する、等の統制活動による報告の完全性、正確性、正当性確保。
・ 機能別の各部門が情報テクノロジーを駆使して情報を捕捉・管理・報告し、それが全社的に共有される
・ システムのオープン・アーキテクチャ化の進展、ウェブ技術、XBRL、XML 技術の活用、システム統合
・ 情報のタイムリーさの確保（例えばダッシュボード・レポーティングとドリルダウン機能）・ ERM の重要性を訴えかける CEO のメッセージ発出、イントラネットの活用
・ リスクと統制に関するマニュアル、自己評価質問票やワークショップ、社内・業界等のベンチマーク比較
・ 欠陥の報告対象者に関するガイドライン、経営上層部に欠陥報告すべきかどうかの判断基準策定（出所）COSO, Enterprise Risk Management－Integrated Framework、同 Application Techniques, Sep. 2004.

4公表されたエンタープライズ・リスク・マネジメント（ERM）の統合的枠組み

２．8 つの構成要素「リスク管理のリスクには何が含まれるのERM フレームワークは、内部環境、目的か」という議論が指摘できる。例えば、自然の設定、事象の特定、リスク評価、リスク対災害等のクライシスをリスクと捉えるのか、応、統制活動、情報と伝達、監視活動の 8 つ

収益の源泉たる不確実性をリスクと捉えるのの構成要素から成る。これらは、「多方向かによって、管理方法の議論も自ずと変わっ（ multidirectional ） で 相 互 に 作 用 す るてくる。昨今の潮流は、後者も含めた幅広い（interactive）プロセス」であり、1 つの要素リスク概念の下で、統合的なリスク管理を目が残りの 7 つのいずれにも影響を与えうる。

指す方向にあると言えるが、そのような中で、また、ERM フレームワークが機能するため「悪影響はリスク、好影響は機会」というには、8 つの構成要素の全てが揃う必要はあ

ERM フレームワークの定義が議論を喚起しるものの、個々の企業による ERM の適用方たとしても不思議はない。繰り返しになるが、法は、企業規模、業界、経営哲学等に応じて統一概念の欠如ゆえに COSO は ERM フレー多様であり、具体的な手法は企業によって大ムワークを提示したのであり、本フレームワいに異なるはずだとされている。具体的な手ークの概念が議論を呼ぶのはむしろ当然のこ法については、105 ページから成る「適用テとと言える。

クニック編」で、上記 8 つの構成要素に沿った形で事例が紹介されている（図表 2）。

結局のところ、ERM フレームワークでは、リスクの定義は草案通り機会の概念を含まない形になり、その代わりに、機会への対応も３．草案からフレームワークに至る議論

ERM の中に組み込まれていることが明確に

ERM フレームワークは、2003 年 7 月に公記述された。図表 3 は ERM フレームワーク

表された草案の内容を基本的に踏襲している。

で提示された事象とそのカテゴリーの具体例

ただ、以下で紹介するように、草案に対するだが、自然災害やテロリズムが含まれる一方コメント・レターを受けて議論が喚起されたで、流動性や資本市場の環境、買収合併とい点もあった。

ったものも含まれている。これらの事象が、個々の企業の事情に応じて、リスクもしくは１）リスクと機会
前述の通り、ERM フレームワークの草案
では、リスクの定義は、企業をめぐる事象の機会となりうるわけである。リスクの定義はさておいても、幅広い事象が ERM の対象となっているのは確かである。

中で、悪影響を与えるものとされており、好影響を与えるものは機会として区別された。

２）有効性評価

これに対しコメントでは、リスクの定義を拡ERM フレームワークの草案では、ERM のげて機会の概念も含む形にすべきだという意

有効性評価は、「8 つの構成要素が存在し、見が出された。機会の概念を含まないリスク有効に機能しているかどうかの評価からもたということで ERM フレームワークを論ずるらされる主観的な判断」であるとされた。こと、機会も ERM の一部であることが伝わらの点について、ERM の有効性評価は、プロず、ERM フレームワークの妥当性が損なわセスの成果を測定し、その結果に基づき行われるという指摘だった。一方で、逆に、機会れるべきだというコメントがなされた。

への言及を全て削除すべきであるという意見も出された。
このような意見が出される背景として、有効性評価については、ERM のベースである内部統制をめぐって議論されてきた点でもある。また、次章で触れるように、サーベ

5資本市場クォータリー 2005 Winter

図表 3

経済・ 資本の入手可能性
・ 負債、債務不履行・ 集中・ 流動性・ 資本市場
・ 失業・ 競争・ 買収合併自然環境
・ 排出・廃棄物
・ エネルギー
・ 自然災害・ 持続的発展
政治・ 政権交代

ERM フレームワークの「事象カテゴリー」の例

外部要因
・ 立法
・ 公共政策・ 規制
社会・ 人口動態
・ 消費者行動・ 企業市民権・ プライバシー・ テロリズム
テクノロジー・ 障害・ E コマース
・ 外部データ・ エマージング・テク
ノロジー

内部要因
テクノロジーインフラ
・ データのインテグリ
・ 資産の利用可能性
ティ
・ 資産の能力・ データ及びシステム
・ 資本へのアクセスの利用可能性
・ 複雑さ
・ システム選定
人員・ 開発・ 従業員の能力
・ 配置・ 詐欺的行為・ メンテナンス・ 健康と安全プロセス
・ 容量・ 設計・ 執行
・ 供給者・依存度（出所）COSO, Enterprise Risk Management － Integrated Framework, Sep. 2004

ンス・オクスレー法 404 条の内部統制報告に続きを維持する責任を負うことを記述し、②は、財務報告に係る内部統制の有効性評価も財務報告に係る内部統制の有効性に関する定含まれることから、自ずと ERM の有効性評期的な評価を含まなければならないとされた。

価に対する注目は高まっていた。

また、②の内部統制の有効性評価について、最終的に ERM フレームワークでは、プロ外部監査人による確認書（アテステーショ

セスたる ERM の成果を測定して評価するよン・レポート）の受領と当該確認書の年次報

うな方法は採用されず、「8 つの構成要素が告書への掲載が義務づけられることとなった。

存在し、有効に機能しているかどうかの評価

いわゆる内部統制報告の義務づけである5。

からもたらされる判断」とされた。ただ、内部統制報告の義務づけは、米国大企業

ERM フレームワークの原則に基づく客観的（時価総額 7500 万ドル以上）については判断もありうるということで、草案と比較し2004 年 11 月 15 日以降終了の事業年度から、て「主観的な」という文言が削除された。

それ以外については 2005 年 7 月 15 日以降終了の事業年度から適用される 6 。適用第一陣

Ⅳ．サーベンス・オクスレー法 404 条対応と ERMの企業の中には、自社の内部統制に重大な弱点がありうることを早々に発表するものも出てきており、内部統制報告の株価、格付け、１．内部統制報告の義務づけ
ERM フレームワークは、サーベンス・オ貸付条件などへの影響が注視されているところである7。

クスレー法 404 条の適用開始直前に公表されERM フレームワークでは、サーベンス・たこともあり、時宜を得ていると評されていオクスレー法により、公開企業に対し内部統4制システムの維持の義務づけ、経営陣によるサーベンス・オクスレー法 404 条により企宣誓と外部監査人によるアテステーションが業は、年次報告書の中に、①企業経営者が、導入されたこと、COSO の内部統制フレーム

財務報告に係る適切な内部統制の仕組みと手ワークは同法の基準を満たすものであることる。

6公表されたエンタープライズ・リスク・マネジメント（ERM）の統合的枠組みが指摘された8。その上で、企業は ERM フレーズをいかにくみ取っているかが、最終的にームワークの活用により、内部統制のニーズは普及の決め手になる。他方、内部統制がそを満たすと同時に、より広範なリスク管理にうであったように、COSO の ERM フレーム着手することができるとされた。

ワークがグローバル・スタンダードとなる可

また、サーベンス・オクスレー法 404 条に能性もあり、投資家が ERM を基準に企業行より、外部監査人は財務報告に係る内部統制動の規律付けが十分かどうかを判断するよう報告のアテステーションを求められることとになることも考えられる。

なったが、ERM については通常、外部監査

わが国でも、2002 年改正監査基準により人が財務報告書の監査に際して意見表明を行会計監査については COSO の内部統制フレうことはない点が確認された。

ームワークが全面的に導入され、また、同年の商法改正により、委員会等設置会社につい２．ERM への展開の可能性ては、取締役会に対して内部統制の整備を求

サーベンス・オクスレー法 404 条は、財務める規定が導入された。さらに、経済産業省

報告に係る内部統制に関する規定なので、財から、2003 年にリスク管理と内部統制に関務報告の信頼性に加えて、事業の有効性と効する報告書が出されるなど、様々な動きがあ率性及び法令遵守をも対象とする COSO のる11。COSO の ERM フレームワークが公表内部統制よりも適用範囲が狭い。しかし、経された今、わが国企業も同フレームワークへ営者に対する内部統制報告の義務づけが 70の意識を高めることが求められよう。

年代にすでに提案されたものの、産業界からの反対で実現せずに来たことなどを考えあわせると、画期的な制度改正と言える。また、
404 条対応のコストも相当な金額に上ると見られており、当初の対応だけで 1 社当たり平均 510 万ドルという試算も出されている9。
企業にとって負担感が拭い去れない中で、404 条対応の過程で、実は、企業は本格的なERM の導入に必要な改革の多くに着手しており、次なるステップは、404 条対応のための投資を活かして本格的な ERM を実施することだという指摘も出始めている。「サーベンス・オクスレー法の義務づけは、実はCOSO の ERM の部分集合」であり、ERM の実施には通常 2～3 年はかかると言われるが、「サーベンス・オクスレー法対応ゆえに多くの作業がすでに済んでおり、今や ERM 実施のための時間が大幅に短縮されている」というわけである10。
COSO の ERM フレームワークは、企業が採用を強制されるものではない。したがって、
同フレームワークが現実の ERM に関するニ

1

The Committee of Sponsoring Organizations of theTreadway Commission (COSO), Enterprise Risk
Management－Integrated Framework: ExecutiveSummary, Framework, Sep. 2004 及び同 ApplicationTechniques, Sep. 2004.
2
ERM フレームワークの草案については、野村亜紀
子「内部統制から事業リスク管理へ―トレッドウェイ委員会組織委員会（COSO）の報告書案―」『資本市場クォータリー』2003 年秋号で紹介した。本章
では、重複する部分も含めてフレームワークの全体像を示すこととする。
3
ERM フレームワークは、このように、企業に限らず多様なタイプの組織を想定しているが、本稿では、企業への適用を前提に記述する。
4
もっとも、ERM フレームワーク作成は 2001 年に開始されており、エンロン、ワールドコム等のサーベンス・オクスレー法制定の契機となった不正会計事件への対応というわけではなかった。
5
わが国でも、2004 年 10 月以降の大手企業による有価証券報告書等への虚偽記載問題を契機に、ディスクロージャー制度への信頼性確保に向けた対策の検討が進められ、2004 年 12 月 24 日、金融審議会第一部会より報告書が出された。同報告書には、①財務報告に係る内部統制の有効性に関する経営者による評価と公認会計士等による検証の基準の明確化を早急に図るべきである、②会社代表による確認書制度の活用促進とともに、同制度の義務化の範囲や方法等が適切に判断されるべきである、という提言が盛り込まれた。

7

資本市場クォータリー 2005 Winter6

ただし、証券取引委員会（SEC）は 2004 年 11 月
30 日、事業年度末が 2004 年 11 月 15 日から 2005 年
2 月 28 日の間にある、時価総額 7 億ドル未満の企業については、内部統制報告提出の 45 日間の期限延長を認めた。期限遵守の見通しの立たない企業が多いという認識から、そうすることが公益に資するという判断だった。（SEC, Release No. 34-50754,“Order under Section 36 of the Securities Exchange Actof 1934 Granting an Exemption from Specified
Provisions of Exchange Act Rules 13a-1 and 15d-1, ”
Nov. 30, 2004).
7“The 404 Maelstrom,” Investment Dealers’ Digest, Dec.
13, 2004.
8SEC がサーベンス・オクスレー法 404 条関連の規則を採択したリリースの中でも、COSO の内部統制フレームワークが例として挙げられている。SEC,
Release No. 33-8238, “Final Rule: Management’s Reporton Internal Control over Financial Reporting andCertification of Disclosure in Exchange Act PeriodicReports,” June 5, 2003.
9“Average US group faces $ 5 million compliance bill
Sarbanes-Oxley,” Financial Times, Nov. 12, 2004. なお、
Financial Executives International が 8 月に行ったサーベイでは、1 社当たり平均 314 万ドルという結果だった。
10
George Matyjewicz and James R. D’Arcangelo,“Beyond Sarbanes-Oxley,” Internal Auditor, Vol. 61,
Issue 5 (Oct. 2004).
11

わが国での動向については、前掲脚注 2 を参照のこと。

8