リスクマネジメント規格

ＣＯＮＴＥＮＴＳ
Ⅰ．はじめに................................................................................................................................... 2
Ⅱ．JIS 規格化の経緯 .................................................................................................................... 3
Ⅲ．JISQ31000 開発の狙い .......................................................................................................... 5Ⅳ．JISQ31000............................................................................................................................. 6１．JISQ31000 の概要............................................................................................................... 6２．JISQ31000 の特徴............................................................................................................... 7
３．JISQ2001 と JISQ31000 の相違点...................................................................................... 7
４．他のマネジメントシステムとの関係 .......................................................................................... 9Ⅰ．はじめに
リスクマネジメント規格の動向
これまで ISO9001 や ISO14001 のように個別の課題に対して様々なマネジメントシステム規格が発行されてきましたが、包括的なひとつの枠組みの元に一貫したプロセスを採用し、すべてのリスクを効果的・効率的にリスクの運用管理を可能とするためのガイドライン ISO31000・
JISQ31000 が発行されました。
ISO31000・JISQ31000 の発行経緯と特徴
本書においては、2009 年 11 月に発行されたリスクマネジメントに関する国際規格である
ISO31000 及び 2010 年 9 月に発行された国内規格である JISQ31000 の作成までの経緯を踏まえて、その内容、活用方法及び活用上の留意点についてご紹介いたします。なお、JISQ31000 は、ISO31000の翻訳及びその解説で構成されています。
ISO31000・JISQ31000 の適用上の注意点
これらの規格は、認証規格ではありません。また、マネジメントシステムのすべての要素(教育・訓練、文書管理、最高責任者のレビュー等)を網羅していません。加えて、組織を取り巻くリスクは組織ごとに異なります。本書でご紹介する規格をヒントとして活用し、貴社の実情に則したリスクマネジメントの取組みに繋げることが重要となります。

不許複製／Copyright 株式会社インターリスク総研 20112

Ⅱ．JIS 規格化の経緯
JIS 規格化の経緯と遍歴について以下にまとめました。

前期：システム規格の検討（1995 年から 1998 年）
阪神・淡路大震災を契機として、1995 年 10 月に危機管理システム規格検討委員会（委員長：成蹊大学徳谷教授）が設置され、危機管理システムに関する調査研究が行われました。
この調査研究の結果は、日本標準化法に基づく「標準情報（テクニカルレポート）」の第一号として、TRZ0001-1996 にまとめられ、1996 年 8 月に日本規格協会から公表されました。
当時、この標準化は「危機管理システム」と名付けられました。その理由は、危機管理を組織に定着させるためのプロセスやマネジメントを重視した規格づくりを目指したためです。
つまり ISO9000 シリーズ（品質システム）や ISO14000 シリーズ（環境マネジメントシステム）と同様の「システム規格」とすることが、危機管理には適しており、時代の流れであると判断したのです。1998 年 9 月には、更に内容を深化させた、標準情報 TRQ0001（危機管理システム）も公表され、JIS 規格化への道を歩み始めました。

中期：危機管理からリスクマネジメントへ（1998 年から 2000 年）
1998 年度からは、委員会は「リスクマネジメントシステム規格委員会」（委員長：東京大学廣井教授）に改組され、広範な関係者により、審議を始めました。
TRQ0001 では「危機管理システム」であった委員会の呼称が、突然「リスクマネジメントシステム」に変わりました。委員会でも相当議論があったようですが、結論としては、「危機管理（クライシスマネジメント）はリスクマネジメントに含まれる」ものとして、リスクマネジメン
トという用語で統一することになりました。
これに伴い、TRQ0001（危機管理システム）で定めた枠組みは、リスクマネジメントサイク
ル（リスクの発見→見積もり→評価→対策の選択など）を縦糸に、PDCA（Plan,Do,Check andAct）を横糸に組み直されました。
その結果、2000 年 3 月に、リスクマネジメントシステム規格委員会で JIS 原案が承認され、その後 1 年の最終的な検証（実用上の課題）を経て、2001 年に制定されました。規格制定に伴い、1998 年 9 月に公表された標準情報 TRQ0001（危機管理システム）は廃止されました。

後期：JISQ2001 から JISQ31000 へ（2001 年から 2010 年）
JIS 規格は制定から 5 年ごとに見直しが行われることになっており、JISQ2001 も 2006 年に見直しが行われ、内容はそのままの状態でさらに 5 年の延長が行われることになりました。それにより JISQ2001 は、改正・廃止提案がされない限り、2011 年 1 月までは有効であることが了承されていました。
その後、2009 年 11 月に ISO31000 が ISO（国際標準化機構）により公表されました。この
リスクマネジメント規格の特徴は、企業等組織のリスクに焦点を絞り、組織経営のための取り組
不許複製／Copyright 株式会社インターリスク総研 20113

みプロセスを明確化したことであり、今後企業等が組織全体のリスクマネジメントを推進して行くにあたり有用な指針となることが期待されています。
国内でもこの規格をベースに JISQ31000 の審議が始まり、2010 年 9 月に JISQ31000「リスクマネジメント―原則及び指針」が発行されました。これに伴い、JISQ2001 は廃止され、JISQ31000 に移行しました。
表 1：リスクマネジメント規格の変遷
年代

リスクマネジメント(リスク管理)

クライシスマネジメント(危機管理)【TRZ0001-1996】

1996 年

阪神淡路大震災を契機として、危機管理システムが開発された
1998 年【TRQ0001】
TRZ0001 に改良が施され、1998年に発行された。

2001 年【JISQ2001】
世界初のリスクマネジメントシステム規格。事前対策、緊急時対策及び復旧対策を含むマネジメントプログラムが開発された。

【ISO31000】
2009 年

リスクマネジメントの国際規格。
オーストラリア・ニュージーランド・日本の主導により開発された。

2010 年【JISQ31000】【JISQ31000 付属書 JB】

リスクマネジメントの国内規格。

緊急時対応への事前の備え(ISO31000 の翻訳版)

リスクマネジメント規格の開発経緯の発端は、阪神淡路大震災を教訓として危機に対してどのように対応するかという点にありましたが、現在では、リスクを顕在化させず、リスクを事前に運営管理し、いかに組織としての目標達成を容易にするかという点に重点が移ってきていると考えられます。
このため、ISO31000 においては、緊急時対応は切り離されており、事前のリスク管理に焦点があたっています。

不許複製／Copyright 株式会社インターリスク総研 2011

4

Ⅲ．JISQ31000 開発の狙い
JISQ31000 は、「はじめに」でも述べたとおり、ISO31000 を翻訳したものであり、内容は変更されていません。したがって、JISQ31000 策定の狙いも以下の ISO31000 の開発の狙いがそのままあてはまるといえます。
・ リスクマネジメントのプロセスの概念を明確にすること・ リスクを管理し対処するために、組織に実際的な指針を提供すること
・ 社会的な安定を向上させ、社会に対する不必要な負荷を最小限にすること・ 利害関係者の信頼と信用を達成し、高めること
・ 組織統治力を改善すること・ 組織と利害関係者間の意思疎通と協議のためのツールを提供すること
そして、JISQ31000 が実践されることによって、以下のような効果が期待されています。
・ 事前管理を促し、損失を最小化する
・ 組織的学習及び組織の適応力を改善する
・ 意思決定及び計画のための信頼できる基盤を確定する
・ リスク対応のために資源を効果的に割り当てて使用する
・ 管理策を改善する
・ ステークホルダの信頼及び信用を改善する 等
このように JISQ31000 の実践によって、様々な効果が期待できますが、これらの効果の結果、事業の永続性(サステナビリティ)の向上につながるということです。組織は、不確実な将来に適応していくために、様々な意思決定と行動を継続しなければなりませんが、JISQ31000をはじめとするリスクマネジメントは、適切な意思決定や行動をサポートする役割を果たします。組織としては、積極的にリスクマネジメントを導入し、不確実な将来に適応することで事業の永続性を高めていかなければなりません。

不許複製／Copyright 株式会社インターリスク総研 2011

5

Ⅳ．JISQ31000
１．JISQ31000 の概要
名

称 ： 日本工業規格 JISQ31000：2010「リスクマネジメント‐原則及び指針」（Risk management – Principles and guidelines）

制定年月日 ： 2010 年 9 月 22 日
目

的 ： リスクマネジメントに関する原則及び一般的な指針を提供すること

構

成 ： 図１のとおり

リスクマネジメント
リスクマネジメントの原則の原則①価値を創造する

リスクマネジメントの枠組み
リスクマネジメントの枠組み（フレームワーク）（フレームワーク）

リスクの運用管理のための枠組みの設計⑤体系的かつ組織的で、時宜を得ている⑥利用可能な最善の情報に基づく⑦組織に合わせて作られている枠組みの継続的改善

リスクマネジメントの実践⑧人的及び文化的要因を考慮に入れる⑨透明性があり、かつ、包含的である⑩動的で、繰り返し行われ、変化に対応する

リスクアセスメント

リスクの特定リスク分析
リスク評価

モニタリング 及び レビュー

③意思決定の一部④不確かさに明確に対処する

組織の状況の確定

指令及びコミットメント
コミュニケーション 及び 協議②組織のすべてのプロセスにおいて不可欠な部分

リスクマネジメント
リスクマネジメント
プロセス
プロセス

枠組みのモニタリング
及びレビュー
リスク対応⑪組織の継続的改善及び強化を促進する

図１：JISQ31000 で示されているリスクマネジメントの全体像「リスクマネジメントの原則」とは、リスクマネジメントにおける論理的考え方及び行うべき活動の原則を示しているものです。リスクマネジメントに取組む経営者はじめ組織の方々が念頭に置くべき原則といえるものです。
「リスクマネジメントの枠組み」とは、リスクマネジメントを効率よく運用するため、または、リスクマネジメントを組織のすべての階層に定着させるための組織体制の整備のことをいいます。ここでは、経営者のリーダーシップが求められます。すなわち、経営者の強いコミットメントのもと、リスクマネジメントの方針を定め、必要な資源を確実に割り当てることにより、リスクマネジメントプロセスを効果的・持続的に運用することが可能となります。
「リスクマネジメントプロセス」とは、コミュニケーション及び協議、組織の状況の確定の活動、並びにリスクの特定、分析、評価、対応、モニタリング及びレビューの活動に対する、マネジメント方針、手順及び実務の体系的な適用をいいます。一言で換言すれば、リスクを認識し、対処していく過程のことを言います。

不許複製／Copyright 株式会社インターリスク総研 2011

6

２．JISQ31000 の特徴(１)すべての組織、すべてのリスクが対象
JISQ31000 の目指すところは「どのような組織にも適用でき、かつ、どのようなリスクにも適用できる」ことです。企業を例に取ってみると、企業全体でも、事業所単位でも適用は可能となっています。また、リスクを「目的に対する不確かさの影響」と定義し、好ましくない影響から好ましい影響まで対象を拡大し、すべてのリスクを運用管理対象としています。
(２)認証を意図しないガイドライン
ISO9000 シリーズや ISO14000 シリーズとは異なり、認証規格としての使用は今のところ意図されていません。従って、任意の指針であり、強制力はもちませんが、このガイドラインに適合していることを組織が利害関係者（株主、取引先、消費者等）に公示することは可能です。

３．JISQ2001 と JISQ31000 の相違点
(１)リスクの定義
JISQ31000 におけるリスクの定義は「目的に対する不確かさの影響（期待されていることから、好ましい方向／又は好ましくない方向に乖離すること）」とされました。他方、JISQ2001
では、リスクについて「その事象がいつ顕在化するかが明らかではないという発生の不確定性があり、その事象が顕在化すると、好ましくない影響が発生するもの」という理解をしていました。
特徴的な相違点としては、JISQ31000 はリスクを目的との関係において記している点、及びリスクを好ましくない影響に限定していない点の２点があります。
したがって、JISQ31000 を適用するにあたっては、まず、組織の目的が明確に設定されなければリスクが特定できないことになりますし、また、好ましい影響・好ましくない影響の双方を考慮して多面的な意思決定をすることが求められます。
(２)リスクマネジメントの適用範囲
JISQ31000 においては、上記のとおり、リスクを組織が達成目標とするものに影響を与える可能性があるものと捉えているため、リスクマネジメントの適用範囲もこのようなリスクに対応するための事前の活動に限定されています。
従って、リスクが顕在化した場合の危機管理(緊急時の対応)や事業継続マネジメント(BCM)等については、JISQ31000 の適用範囲外ということになっています。
もっとも、危機管理や事業継続は緊急事態が発生する前の準備段階では、リスクマネジメントと密接に関連しているため、緊密な連携のもと相互の適用関係を考えていく必要があります。なお、JISQ31000 の付属書には、参考として、緊急時対応への事前の備えが整理されています。
不許複製／Copyright 株式会社インターリスク総研 20117

(３)リスクマネジメント PDCA サイクル
JISQ31000 も JISQ2001 や他のマネジメントシステム同様、PDCA(Plan-Do-Check-Act)サイクルを回すことによる持続的発展を志向しています。
特徴的な点としては、図１のとおり、フレームワーク(枠組み)とプロセスの両輪においてPDCA サイクルを回すという点です。
JISQ2001 では、JISQ31000 でいうリスクマネジメントプロセスにおける PDCA サイクルに焦点が当てられていましたが、JISQ31000 では、リスクマネジメントプロセスの効率的かつ効果的な実践を支援するフレームワーク(枠組み)においても PDCA サイクルを回すことが重要であると考えられています。
(４)リスクの特定
JISQ31000 及び JISQ2001 では「リスクの特定」というプロセスがありますが、JISQ31000の「リスクの特定」と、JISQ2001 の「リスクの特定」は全く異なる点に注意が必要です。
具体的には、JISQ2001 では、仮に 1000 個のリスクが洗い出されたとして、組織に重大な結果をもたらすと懸念されるものや結果の重大性の判断が困難なものを見つけ出し、それだけを次のプロセスに回します。この発見した 1000 のリスクのうち中軽度のリスクは管理対象から除外してしまうというプロセスを「リスクの特定」としていました。
しかし、JISQ31000 の「リスクの特定」では、単にリスクを発見するだけでなく、認識し、リスクの包括的な一覧を作成することを意図しています。JISQ31000 の「リスクの特定」では、包括的に行うことが極めて重要とされています。なぜならば、この段階で特定されなかったリスクは、その後の分析の対象から外れてしまうからです。
(５)リスク対応
JISQ31000 では、リスクを修正するプロセスを「リスク対応」、その対策を「管理策」と呼んでいます。その種類として、①リスクの回避、②リスクを取る又は増加すること（いわゆるリスクテイク）、③リスク源の除去、④起こりやすさの変更、⑤結果の変更、⑥リスクの共有、⑦リスクの保有の 7 つの手法が例示されています。
これに対して、JISQ2001 におけるリスク対策には、リスク回避、リスク移転、リスク低減及びリスク保有があり、時間軸から見た場合、事前対策及び事後対策があります。更に事後対策には特に組織に大きな影響を与える事態への対策として、緊急時対策及び復旧対策の二つがあります。対策を機能で分類する方法と、時系列で分類する方法を掲げているのです。
この違いは、リスク定義の相違点に起因します。すなわち、JISQ31000 においては、上記のとおり、好ましい影響・好ましくない影響の両方を運用管理対象としているため、②リスクを取る又は増加することが対策に含められていますし、また、リスクを組織が達成目標とするものに影響を与える可能性があるものと捉えているため、事後対策は除外されています。

不許複製／Copyright 株式会社インターリスク総研 2011

8

４．他のマネジメントシステムとの関係品質、環境、安全及び内部統制等のマネジメントシステムをすでに導入している組織がJISQ31000 を導入する場合には、他のマネジメントシステムとの相互の関係に注意が必要です。
マネジメントシステム相互の関係については注目されるテーマのひとつですが、JISQ31000 では、リスクマネジメントを組織の全体的なマネジメントシステムに統合することを手助けする「アンブレラ規格」と位置づけられています。また、今後の潮流としてもマネジメントシステムの統合が志向されていく予定です。
図２：将来目指すべきマネジメントシステムの姿

ＩＳＯ３１０００・ＪＩＳＱ３１０００

内部統制システム

安全管理システム

環境管理システム

品質管理システム

２０１１年３月［編集者］
ＭＳ＆ＡＤインシュアランスグループ
株式会社インターリスク総研
コンサルティング第一部
ＥＲＭグループ

不許複製／Copyright 株式会社インターリスク総研 20119