全社的リスク管理（ERM）の動向
一般事業法人の取り組みを中心に

PwCあらた有限責任監査法人
2023年3月
本資料で取扱う事例は公表情報に基づくものであり、特定個社について、当法人の見解を表すものではありません。

戦略との連携

PwCのERM成熟度モデル (全体像)
PwCがグローバルに採用する、ERMの成熟度評価モデル（5段階）は、COSOおよびISO31000におけるのERMの考え方と整合し、「戦略領域」、戦略を実現する「業務運営領域」、業務運営を支える「インフラ領域」で構成され、9つの構
成要素について約40の評価項目を設定している。
経営戦略やステークホルダーの期待の紐付け- グループ経営戦略実現を考慮したトップダウンでの重要リスクの認識（エマージングリスク等を含む）- リスクテイク方針・収益目標との関係明確化（リスクリターンに関する方針）

2

方針・手続きとの整合性確保- 経営によるレビュー- 業務プロセスの確立- 内部統制の確立

3

日常業務への組み込み- RMプロセスの通常業務への組み込み（リスク・コンプライアンス管理業務等）- リスク評価方法の確立。評価・計測結果の分
析方法の確立- リスクアペタイトに関連する指標、リスク・コン
トロール指標、主要業績評価指標の報告と分析（ダッシュボードの活用等）

1

4 業務運営
2
7

組織を支える人材・スキル、評価・報酬- 人材配置・構成の最適化（スキル、実務経験等の観点）- 職務分掌の見直し

バランスのとれたリスク管理体制の構築- リスク管理に関する適切なガバナンス構築（委員会の責任と役割の明確化）- 取締役会、各リスク関連会議体との役割分担の明確化- RAFと整合的な統合的リスク管理のPDCAサイクルの確立

リスクアペタイト
方針と手続き組織を新たな姿に移行するためのロードマップの作成- 新たな姿の定義- 移行計画の策定- リスクカルチャー醸成

9

ステークホルダーの期待
経営戦略

事業ポートフォリオの管理

4

テクノロジーによる基盤整備- データの完全性・正確性確保- 「データの一元化」を実現- アプリケーションの最適化

リスク特定/評価/モニタリング/コントロール

56プロセス、人材、組織構成、リスクカルチャー

リスク報告および分析・改善8

ITによる業務支援

8

データ品質管理No.
1

ERMモデルのカテゴリー
ガバナンス

リスクガバナンス
戦略との連携評価は低い傾向3

リスク選好とリスク目標

評価は低い傾向4

リスクの特定と評価

2

戦略連携

5

リスクアクションとモニタリング
プロセス

6

リスク・レポーティング

7

リスクシナリオ分析

評価は低い傾向
評価は低い傾向

8システム

システム・テクノロジー

9

カルチャー

カルチャー&評価●戦略領域 ●業務運営領域 ●インフラ領域
PwC

3

ERM成熟度モデル評価基準 (5段階評価)
1.

初期

2.

発展中

3.

発展

4.

統合

5.

最適化

1. リスクガバナンス

Limited definition and articulation of risk governance Some definition and articulation of risk governancestructures, risk roles and responsibilities, and risk
structures, risk roles and responsibilities, and risk
policies.
policies. Limited informal interaction between threelines of defence.

2. 戦略との連携

Risk strategy not defined and does not form part ofthe business-planning process.

3. リスク選好とリスク目標

No documented risk appetite statement exists （Basic risk appetite criteria is set, however, risk
either qualitative or quantitative） and organisational appetite linkage to risk strategy and businessstrategy is established without considering risk
strategy is not clear or consistent.
appetite.

4. リスクの特定と評価

No formal approach for risk identification andassessment. No risk profiling performed, risks are
only managed when they occur.

Limited risk profiling is being performed. Formal risk Risk-profiling is consistently performed, covering all Comprehensive and consolidated forward-looking
Dynamic risk identification and assessment
assessment approach has been developed, but isorganisational units, operations, and risk types.
risk profile across the organisation used as an input approach which leverages internal and external
not applied consistently across the business.
Periodic risk assessment applied consistently
to strategy and business planning. Dynamic risk
data points. Enterprise-wide, strategic and emerging
across the business, supported by standardised risk assessment approach applied consistently acrossrisks are linked to a dynamic risk profile. Risks areuniverse and evaluation criteria.
the business, supported by standardised risk
reviewed collectively, considering trade-offs anduniverse and evaluation criteria including qualitative correlations, and an indication of the effectivenessand quantitative measures. Risk assessment results of mitigating actions. Risk and opportunity areare an input for key business decisions.
considered as part of key business decisions.

5. リスクアクションプラン
とモニタリング

Limited formal capture and monitoring of risk
responses.

Basic risk action development and monitoring
approach applied to some risks.

6. リスクレポーティング
7. リスクモデリングと分析
8. システム・テクノロジー
9. カルチャー&リスク
パフォーマンス評価
PwC

Increasing definition and articulation of risk
Risk governance and organisational structures
governance structures and risk roles at group level provide clear role and responsibility allocation
and responsibilities and some coordination between between group and business unit/functional levels,
three lines of defence, supported by group wide risk supported by risk policies that are aligned with thepolicies that are aligned with risk types.
business strategy.

Risk strategy is business unit focused and does not Business strategy and risk strategy co-exist withdefine the link between risk strategy and businessspecific, defined metrics used to manage andstrategy.
monitor the risk profile of the business.
Risk appetite criteria is set with quantitative andqualitative elements which are applied to businessdecisions, although business decisions are madewithout an aggregate view of risk appetite acrossthe organisation.

Consistent and repeatable risk action planning
process for risks outside of tolerance. Somemonitoring of risk action status performed byinternal audit.

Risk governance and organisational structures arealigned with the business strategy and promote apartnering relationship between 3 lines of defence.
risk policies that provide a statement of commitment
and define risk management improvement
objectives. Effective risk governance, challenge andoversight exists within all key business decisions.
Risk and business strategy are aligned and jointly
Consistent and enterprise-wide methodology toform part of the business-planning process.
assess strategic risks such that risk strategy isembedded and monitored across all core businessprocesses, products, and services.
Risk appetite criteria is set and cascaded for all risk Organisational risk appetite informs strategy andclasses, is aligned with the organisational strategy business decisions with risk appetite criteria set andand criteria and parameters are defined anddynamically reviewed as the external environment
consistently applied, including tolerance andchanges. Risk appetite is embedded in strategic
capacity for risks.
objectives and Corporate KPI's.

Risk action plans developed for material risks
outside of appetite. Integrated assurance （leveraging the 3LOD） performed against risk
actions. Risk action status measured and reported
to governance stakeholders.

Risk action plans are developed for material risks
outside of appetite and are supported by a businesscase analysis of opportunities for investment
decisions. Risk action status is tracked dynamicallyand linked to risk profile, supported by an integrated
GRC platform. Integrated assurance over risk
actions （across 3LOD） is supported by continuous
monitoring.
Nonstandard and/or manual reporting of risk
Basic standardised monitoring of risk management Monitoring results and in-depth analysis is reported Monitoring results and analysis reported to senior
Dynamic, automated ERM reporting that facilitates
management activities and risk information
activities and risk information is in place for someto senior management and used to assessmanagement and used to assess significant risks
real-time changes to KRIs, risk profiles, and capital
including risks, controls, and processes isbusiness units, supported by KRIs for some coresignificant risks and the risk profile for eachand alignment of the risk profile with the businessallocations. Risk reporting provides valuable
performed. Ad hoc use of KRIs.
business processes.
business unit supported by defined KRIs.
strategy and risk appetite.
insights to support strategic initiatives at the Board,
ELT and Management levels.
No value added from risk modeling or analysis. Risk Risk interdependencies and scenarios are
A consistent approach to scenario analysis and risk Scenario analysis and stress testing are applied
Predictive data analytics and stress testing arecorrelation or interdependencies are notconsidered for some categories, but notmodelling has been applied, aligned with theconsistently to strategic and emerging risks, and are applied for all material risk types to provide a dataconsidered.
consistently.
business complexity and model.
used as a key input to key decisions and business driven basis for driving strategic risk decisions.
planning.
Heavy reliance on spreadsheets with limited to noSingle source of truth for risk profile information,
Single Data Repository and Common Risk
Broader GRC capabilities integrated in the platform. Fully-integrated enterprise GRC platform. Systems
consistency over data across business lines
including risk owners, controls and mitigating
Taxonomy. Consistent data model driving common Systems facilitate process integration and controls are capable of delivering predictive data analytics
actions
understanding across business lines.
automation, supported by standardised risk andfor material risks and near real-time risk information.
control libraries.
Limited risk awareness with no link between
Growing risk awareness with performance
Strong tone from the top. All staff are aware of theConsistent message from the the executive andDeep risk awareness is present across thebusiness incentives and the defined risk strategy
incentives partially defined at business unit levelrisk management objectives supported by some risk management to re-enforce that risk management is organisation at all levels of seniority. All employees
and appetite and no measurement of risk culture.
and some analysis of risk culture performed through management training, defined performancepart of ongoing business supported by embedded
have KPIs for achieving risk management
broad based people surveys and an attempt toobjectives, partially defined link between incentives measurement and monitoring to enterprise-wide
objectives, supported by performance incentives
utilise tasks, activities, and initiatives to effectand risk strategy and enterprise-wide analysis ofperformance incentives aligned with risk strategy
that are integrated and aligned with relevant
culture change.
risk culture.
and appetite.
strategic and tactical business plans in theorganisation.

4

ERM成熟度モデル評価基準 (評価5の例)
5.

最適化

1. リスクガバナンス

事業戦略と整合したリスクガバナンス、組織構造が構築されている。グループ・グローバルで3つのディフェンスラインの役割責任が明確化され、それぞれが公式/
非公式に連携し合い、リスク方針（リスク管理のアプローチや改善目標、そのための対応事項を規定したもの）に基づきリスク管理を遂行している。効果的なリス
クガバナンス、チャレンジ（異議申し立て）とオーバーサイト（監視）が、ビジネス上の重要な意思決定に対して行われている。

2. 戦略との連携

事業環境の変化による戦略（市場優位性を高めるための製品・サービスの変革･差別化 等）への影響やリスクを、上級管理職層を交えて定期的に議論、評価し戦略を見直すための公式な枠組みが存在する。戦略リスクを評価するための全社的かつ一貫性ある手法（環境分析、シナリオ分析、戦略リスク評価、またはリスク選好度の設定 等）が確立されている。計画の進捗や結果は定期的にモニタリングされ見直しを行う。

3. リスク選好とリスク目標

組織のリスク選好は、定性、定量的な基準を用いて、外部環境の変化に応じて定められ、動的に見直される。リスク選好は、戦略およびビジネス上の意思決定に反映されて、戦略目標および組織のKPIに組み込まれている。KPIやKRI等の評価指標が閾値や警戒値に達した場合、リスク対応策が策定される。

4. リスクの特定と評価

社内外の事象（データポイント）を活用した、動的なリスク特定・評価アプローチが採用されている。
全社的リスク、戦略リスク、新興リスクは、動的なリスクプロファイルに関連付けられている。リスクは、トレードオフと相関、および低減策の有効性の程度を考慮し見直されている。リスクと機会が、ビジネス上の重要な意思決定の一部として考慮されている。
リスクへの対応策（アクションプラン）が、投資判断時の投資対効果（ビジネスケース）分析を裏付けとして、リスク選好外の重要なリスクに対しても策定されている。

5. リスクアクションプランとモニタリング リスク対応策の進捗状況は、統合されたGRCプラットフォーム上で動的に追跡されるとともに、リスクプロファイルと連携している。
6. リスクレポーティング
7. リスクモデリングと分析

8. システム・テクノロジー

9. カルチャー&リスクパフォーマンス評価
PwC

継続的なモニタリングにより、（3ディフェンスライン全体に及ぶ）リスク対応策に対する統合的な監査（保証）が実施されている。
動的で自動化されたERMレポーティングの手段として、マネジメントインフォメーションシステム（MIS）等のテクノロジーが導入され、KRI・リスクプロファイル・資源
および資本配分等に対する更新が、社内データを基に体系的かつリアルタイムで反映されている。
リスクレポーティングは、取締役会（リスク委員会、監査委員会）、エグゼクティブリーダーシップチーム、上級管理職層での戦略的構想の裏付けとなる、有益な情報、示唆を提供している。
予測データ分析とストレステストを、あらゆる種類の重要リスクに適用することで、データに基づく根拠を提供し、戦略的なリスク判断を促している。
分析には、統計モデリング、リスク調整後パフォーマンス、キャッシュフロー、収益、バリュー・アット・リスク等が含まれる。
リスク管理部門はビジネス分析やモデリングの主管部門と連携し、データサイエンスやモデリングに反映するための全社的リスクにかかる見識を提供している。
全社的GRCプラットフォームが他のリスク管理用システム（法令管理用・インシデント管理用・内部監査用データベース、MIS等）と社内で完全に統合されている。
GRCシステムはGRC関連業務内での統合にとどまらず、その他の関連業務システム、データとの連携も考慮されている。
GRCシステムは重要リスクに関する予測データ分析とともに、リアルタイムのリスク情報を提供することができる。リスク情報の分析は社外の情報（WEB、SNS等）を含む幅広い情報が分析されている。
当該プラットフォームや保有情報がリスクオーナー、監査、コンプライアンス、コーポレートガバナンス等の業務に活用されている。
GRC関連業務の効率化を促進するためにAIやRPAなどのテクノロジーが活用されている。
組織全体にわたり、すべての上級管理職層が深いリスク認識を持っている。全従業員がリスク管理上の目標達成のためのKPIを持ち、その達成を促す統合的なパフォーマンスインセンティブが、関連する組織内の戦略的･合理的な事業計画と整合している。
5

戦略との連携、スクアペタイトの設定 – 概要
戦略との連携、リスクアペタイトの整備が途上の企業が多い中で、関心は高い。
戦略との連携リスクアペタイトステートメント

KRIの設定リスクアペタイトのモニタリング

リスク管理の目的は、組織の目的達成に影響を及ぼし得る潜在的なリスクについて、有用な情報を提供することである。そのため、リスクアペタイトの検討と設定には、組織の目的とその達成に影響を及ぼし得るリスク関連事象を確実にと把握することから始まる。

ステークホルダーと協力して、全社的なリスクアペタイトステートメントと、選択したリスクに対するカテゴリーステー
トメントを作成する。各カテゴリーのリ
スクアペタイトレベルを設定する。

リスクごとにキーリスクインディケータ―（KRI）を作成し、当該リスクの程度が一定の閾値に達したことを検知した
場合には、経営陣へ早期警告を与える継続的なモニタリングを可能にする。

効果的なモニタリングプロセスおよび/またはツールの作成･導入に取り組む。
直感的なリスクアペタイトダッシュボードを作成し、キーリスク、限度、閾値、その他の重要な情報を表示し、経営陣が情報に基づく意思決定を行うために必
要なツールを確実に備える。

アウトプット:● 組織が対峙する優先順位付けされたトッ
プリスクのリストに沿った戦略的な目標● 新たなリスクや先行指標となるような関連データの検討

アウトプット:● 全社的なリスクアペタイトステートメント● カテゴリー別のリスクアペタイトステートメント● リスクアペタイトレベル

アウトプット:● KRI● 早期警告のトリガー

アウトプット:● リスクアペタイトと関連指標をモニタリン
グするための双方向ダッシュボード

組織は、リスクアペタイト手法の開発および/または強化により、戦略との整合性を保ちながらリスクを効果的にモニタリング・管理するためのツールや指標を開発し、リスクと報酬のバランスをとることができる
PwC

6

経営戦略との連携 (1/4)
リスク管理と戦略との連携を意識する企業が多い中、方向性として、以下に記載した態勢整備を目指す企業がある。
そのような潮流の中、社内で捉えたリスクに対し、次スライド以降で参考とする企業のように、攻めのリスク管理を行う会社もある。

あらゆる組織に適用される標準的または「正しい」リスクアペタイトというものは存在しないが、リスクアペタイトは常に組織の戦略や戦略目標を支援すべきものである。

戦略の計画

[例]
市場シェアや収益の拡大、新たな資産の獲得、組織の製品・サービスの改善など

全社的なリスクアペタイトステートメント[例]
成長の追求、製品やサービスの改善の際には、迅速に対応し大胆で果断な行動をとる
イノベーションを推進し、市場シェアを拡大するために失敗や混乱も厭わない。
リスクを取るが、それが自社の収益やステークホルダーへの価値にいかに影響を与えるかを常に考慮する

事業場の主なリスク
ｺﾝﾌﾟﾗｲｱﾝｽ

財務

ｵﾍﾟﾚｰｼｮﾝ
ﾃﾞｼﾞﾀﾙｻｲﾊﾞｰ/情報ｾｷｭﾘﾃｨ
ﾃﾞｰﾀの盗難/紛失

PwC

戦略

[例]
戦略:
成長戦略の追求により、自社または世界中の第三者が保管する顧客データが増加し、今後も新たに蓄積される可能性がある
コミットメント
お客さまのデータを不正アクセスや不適切な使用・開示から保護することを約束する
アプトプット
顧客データが漏洩するリスクを高めるような取り組みや活動を行わない
7

経営戦略との連携 (2/4)
経営戦略リスクの発現までの時間軸および影響度を考慮し、短期的・中長期的それぞれで発現するリスクへの対応
方針を明確化している。
経営戦略リスクを抽出し網羅的に分類する企業の例（帝人株式会社）

経営戦略リスクマップ(抜粋)◆欧州天然ガス価格高騰(↑)

大 ◆北米労働力不測(→)↑ ◆世界的な半導体不測(→)
影響度◆原材料価格高騰の長期化(→)■複合絵師系材料事業グロー
バル基盤構築遅れ(↑)◆自動車販売台数減少(↓)●アラミド生産回復の遅れ(↓)■薬価･診療報酬改定(→)■糖尿病薬競争激化(→)■「フェブリク」シェア低下(→)

短期的な経営戦略リスクへの対応方針■次世代航空機プロジェクトの中止･規模縮小･遅延による競争激化(→)●医薬開発パイプライン不足(→)●地域包括ケア基盤構築を含む、ヘルスケア新事業拡大未達(→)●再生医療事業展開遅延(→)◆世界的な物流費の高騰(→) ◆中国ゼロコロナ政策による生 ◆環境対応遅れによるサプライ
チェーンからの除外(↑)
産影響(↑)■複合成形材料事業収益改善
策進捗遅れ(→)■炭素繊維需要減少(↓)■アラミド価格競争激化(→)↓
小◆COVID-19による生産･販売
減少(→)

既発現

PwC

←

→

中～長期

◆: マクロ経済リスク ■: 計画前提リスク●: 個別戦略リスク↑: リスクレベル増加 →: リスクレベル継続 →: リスクレベル低下
出所: 2022年「有価証券報告書」 (P28)② 事業計画の進捗状況について、環境変化を含めた定期的なモニタリングを行い、計画との乖離が発生した際に、早急に対応策のアクションを実行する。
③ 事業創出・拡大に向け計画・実行しているプロジェクトについては、事業環境の変化を考慮し、個別課題に関する具体的なアクションプランを重点的にフォローする。

中長期的な経営戦略リスクへの対応方針① 現中期経営計画の実行段階における変化に応じた施策の見直しを確実に行う。

◆セパレーター需要減少(↓)

短期(発現時期)① 地政学的リスク、インフレーションの高進、COVID-19が事業に与える影響を引き続きモニタリングし、経営環境の悪化に適時に対応する。

② リスクの一方にあるビジネス機会を逸しないよう既存事業の成長、企業再編や新事業獲得
機会を追求する。また、長期ビジョン達成に向けたStrategic Focus領域（将来の収益源育成）やProfitable Growth（利益ある成長）領域への戦略投資において、中長期的に発生するリスクを考慮しながら競争優位性の再検証と具体的な戦略／施策の立案・再検証を行う。
③ 不測の事態を想定した対応策の準備は常に継続する。
8

経営戦略との連携 (3/4)
グループの中長期にわたる成長・存続を左右する最重要のリスク（企業リスク）を、「価値創造」「競争優位の獲得」「成長/収益基盤の再構築」等、プラスの文脈で分析している。
リスクのプラス側面を捉える企業の例（Jフロントリテイリング株式会社）■影響が極めて大きく、最優先で対応しているリスク
1 サステナビリティ経営の高度化

2

既存の事業モデルの衰退

3

加速度を増すデジタル化への対応

4 ポストコロナにおける消費行動の変化■上記以外の「企業リスク」
新たな価値創造、
競争優位の獲得
成長基盤収益基盤の再構築PwC

外部環境への対応

内部環境への対応(企業として取り組まなければならないこと)

Ⅰ.新しいマーケットの開拓にかかるリスク

Ⅱ.新しい顧客体験の提供

5 都市の分散化(都市と地方のリバランス)

7 顧客の変化、特に少子高齢化、長寿命化

6 加速する所得の二極化

8 外国人マーケットの不透明さ

9 業際を超えた再編、M&Aの加速

10 頻発する自然災害･疫病

12 資金調達マネジメントの重要性向上

11 情報セキュリティの重要性向上

13 顧客変化に対応できるコスト構造の必要性

Ⅲ. 大きな危機が常態化する中でのレジリエンス向上にかかるリスク: 戦略リスク

出所: 2022年「有価証券報告書 」 (P17): ハザードリスク: ファイナンスリスク

14 ニューノーマル時代の働き方、
人材・組織改革の進展

Ⅳ. 抜本的な組織･構造改革によるレジリエンス向上にかかるリスク
9

経営戦略との連携 (4/4)
価値創造プロセスの視点で機会とリスクをマテリアリティと関連づけて管理している。
主要リスクと機会/マテリアリティを結び付けている企業の例 (UBE株式会社)
分類: 成長
リスク項目:化学事業の業績悪化
リスクの概要対応策<成長：化学事業の業績悪化>
 同業他社の生産能力増強により供給が増加した場合や、主原料価格
が需給バランス変動によ り急激に変動した場合、製品と原料の価格差（スプレッド）が縮小する

 原料価格の変動を販売価格に反映させるフォーミュラー価格制度の適用
 原材料の適正在庫の確保
 徹底したコストダウンと開発の迅速化

 短期的に世代交代が起こり得る用  危機対応委員会を設置し、対応マニュ
アルの整備および各部署・各グループ
途向けの製品において、顧客要求
会社ごとのBCPの定期的な見直しを行にタイムリーに応じられ ないことにい、状況に応じて機動的に対応
よる販売数量減少や競争激化に伴う価格低下が生じる

PwC

出所: 2022年「統合報告書 」 (P2～4)

機会

マテリアリティUBEグループの取組 炭素生産性の高い事業構造へ改革し、安定した成長を実現 スペシャリティ事業（注）を中心とし  スペシャリティ事業を成長させ、事た成長
業全体における比率を高めるよう事
業構造改革に取り組むことで、景気 他社より一歩先んじた開発を進めの動向に左右されず、安定的に成ることで、市場における競争力を長できる体制の構築と利益率の向向上
上を目指します。
 また、スペシャリティ事業はGHG排出量の少ない事業が多いため、その比率が高まることによりGHG排出量原単位の引き下げ効果も期待
できます。

10

リスクアペタイトフレームワーク
中期経営方針の中で経営戦略と整合的なリスクアペタイトを策定、リスクを能動的に管理している。
リスクアペタイトの設定によるリスクの能動的管理（アサヒグループホールディングス株式会社）
Asahi Group Philosophy
中期経営方針リスクアペタイトリスクアペタイトステートメント

経営戦略

ステークホルダーの期待

領域別 リスクアペタイト

リスクアペタイトと整合した意思決定

リスクアペタイトに
基づく運用

リスク状況

リスクテイク状況のモニタリング

リスク抽出/対応

事業運営（計画/実行）ERM（計画/実行）
モニタリング/修正

PwC

11

出所: 「リスクマネジメント体制」

リスクアペタイトステートメント (1/2)
イノベーションの創出に伴うリスク等、積極的にテイクするリスク、回避・低減に努めるリスク、一切受け入れないリスクを
リスクアペタイトとして明確に定めている。
リスクアペタイトの設定によるリスクの識別（アサヒグループホールディングス株式会社）
アサヒグループ リスクアペタイトステートメント
アサヒグループは、持続的な企業価値向上を実現するため、「Asahi Group Philosophy（AGP）に基づく“グローカルな価値創造経営”の推進」を中期経営方針としています。
その達成に向けて、• アサヒグループは、国内外での高付加価値ブランドの育成を中心とした持続的成長を実現するとともに、非連続な成長を支えるM&Aやイノ
ベーションの創出について、財務健全性と株主価値のバランスをとり、リスクをコントロールする取組みを行いつつ、果敢に挑みます。
• アサヒグループは、事業運営において、お客様に最高品質の商品をお届けすること、及びアサヒグループで働く全ての人々に安全な労働環境を提供することを、重要課題と位置付けています。
• アサヒグループは、自然環境に影響を与えるリスクを低減する取組みを進めるとともに、社会により多くの環境価値を創出するための取組みに挑戦します。
• 「アサヒグループ行動規範」、「アサヒグループ人権方針」を遵守することはもちろん、これらの遵守を妨げうるリスクもとりません。

PwC

12

出所: 「リスクマネジメント体制」

リスクアペタイトステートメント (2/2)
積極的にテイクするリスク、回避・低減に努めるリスク、一切受け入れないリスクをリスクアペタイトとして明確に定めている。
リスクアペタイトの設定によるリスクの識別（中外製薬株式会社）
中外製薬におけるリスクアペタイトステートメント（要約版）
イノベーションの追求に伴うリスク

製品の有効性・安全性/ 品質保証/ 安定供給を阻害するリスク• 私たちの存在価値と成長の源泉は「イノベーションの追求」です。

• 私たちは、何よりも製品の有効性や安全性、品質保証が重要と考えます。

• 最先端のサイエンスと技術、デジタルによる革新を追求し、「ヘルスケア産業のトップイノベーター」となるために、然るべき対策を講じながら、リスクをとって積極果敢にイノベーション創出の機会を追求します。

• 私たちの製品やイノベーションの追求には、予期せぬ副作用が生じるリスクが潜んでいることを念頭に、経済性も考慮しながら、製品の有効性・安全性、品質保証、安定供給を阻害するリスクの回避・低減に努めます。

コンプライアンスに反するリスク

企業市民としての社会的責任に関するリスク• 私たちは、「企業倫理は業績に優先する」という考えのもと、法規制の遵守のみならず、社会的価値観や倫理観、公正さに基づく判断・行動を徹底し、コンプライアンスに反するリスクは一切受け入れません。

• 私たちは、地域社会や国際社会が抱える課題に向き合い、中外製
薬としてどのように貢献すべきかを考え、さまざまなステークホルダーと連携・協働しながら、事業活動のあらゆる場面において、環境保全や人権の尊重に努め、社会からの信頼を損なうリスクを低減することに努めます。

PwC

13

出所: 「リスク管理」

リスクの連関、サプライチェーン
視点でのリスク管理

CEO および 投資家の短期・中長期のリスク認識 (1/2)
「企業が今後12か月または5年間で晒される得る脅威」に関して、CEOと投資家の認識の程度は概ね一致している。両者ともサイバーリスク・気候変動･社会的不平等については、長期的に高まりを増す認識あり。
CEO

今後12か月間
今後5年間

PwC

投資家

40
67
インフレ
28
40
31
62
マクロ経済の変動
29
49
25
37
地政学的対立25
37
20
36
サイバーリスク
25
43
14
22
気候変動
22
37
14
16
健康リスク
13
14
6
11
社会的不平等
914

出所: PwC 2022年 第26回世界CEO意識調査

今後12か月間
今後5年間

出所: PwC 2022年 グローバル投資家意識調査

15

CEO および 投資家の短期・中長期のリスク認識 (2/2)
「今後10年間の収益性に大きな、または非常に大きな影響を与える要因」に関しても、CEOと投資家の認識の程度は概ね一致している。
CEO

投資家

56

消費者の需要や
嗜好の変化

85

53

規制の変更

85

52

労働力・スキルの不足

76

49 技術の破壊的変化 83
43

サプライチェーンの
81
混乱

37

新エネルギー源への
75
移行

29
PwC

隣接業界からの新規参入

出所: PwC 2022年 第26回世界CEO意識調査

70

出所: PwC 2022年 グローバル投資家意識調査

16

（投影のみ）PwC

17

ビジネスモデル、オペレーティングモデルの視点でのリスクの捕捉
ビジネスモデル、オペレーティングモデルに内在するリスク（前提条件）を捉える必要がある。
そのために自社に閉じるのではなく、グローバル、バリューチェーン、サプライチェーンの視点を持ちリスクを捕捉することが重要。特に外部依存・集中リスクに適切に対応することでレジリエンスを維持することが可能となる。
価格引き下げに 輸出禁止技術の利よる収益悪化 用による設計変更
重大な品質クレームによる収益悪化及び社会からのバッシング

研究開発業者

グループ外第三者(サードパーティー)
・共同研究開発
・調達先
・販売提携
・配送会社
・システム委託
など

最終顧客

株主

規制当局
他社
特許侵害による
申請取り消し環境法令違反による 環境法令違反による購買
近隣住民への健康被害 推奨リストへの非掲載

株主代表訴訟
による事業の停止

欠品による商品供給の停止

研究
開発

承認
申請

製造

製造委託先の品質データ
改ざんによる重大品質不良

技術

品質不正による
業務停止命令社会
社員が発生させた事件によるレビュテーションの低下

偽造商品流通によるブランドイメージの毀損

流通

販売
販売を優先することによる
品質不正

PwC

社員

人財育成の失敗

法規制関連
調達

提携先の不祥事 アライアンス先による情報漏洩
社員による情報漏洩

原材料調達遅延による製品の供給停止

海外子会社での法令等違反による課徴金支払

経営戦略・事業戦略

コーポレート機能（人事・IT・総務・法務・経理・知財・コンプライアンス 等）
原価率の高騰

内部に起因する
リスク

訴訟

品質保証

関係法令の対応不備
による信用の失墜

外部に起因する
リスク

サードパーティーによる情報の流出

サイバー攻撃による機密情報の流出

大規模地震に伴う サプライチェーン先の人権・
パンデミックに原材料の供給停止 環境違反等による調達先伴う工場閉鎖の変更

内部監査

金融市場の急変による多大な損失の発生
長期のエネルギー
供給遮断による
工場閉鎖

ベンチャーとのアライアンス
失敗による収益悪化

子会社

18

地政学リスク
地政学リスクへの対応 (株式会社日立製作所)
地政学に係るリスク
リスク

当グループは、事業戦略の一環として海外市場における事業の拡大を図っており、これを通じて、売上の増加、コストの削減及び収益性の向上等の実現をめざしています。これらの多くの市場において、当グループは、潜在的な顧客と現地企業との間の長期にわたる関係等の障壁に直面することがあります。さらに、当グループの海外事業は、事業を行う海外の各国において、以下を含む様々な要因による悪影響を受ける可能性があります。
•
•
•
•
•
•
•

投資、輸出、関税、公正な競争、贈賄禁止、消費者及び企業に関する税制、知的財産、外国貿易及び外国為替に関する規制、人権や雇用・労働に関する規制
契約条項等の商慣習の相違
労使関係、労働慣行の変化
対日感情、地域住民感情の悪化、各種団体等による批判やキャンペーン
ウクライナ紛争の長期化
国家間紛争の拡大と頻発
その他の政治的及び社会的要因、経済の動向並びに為替相場の変動

これらの要因により、当グループが、海外における成長戦略の目的を達成できる保証はなく、当グループの事業の成長見通し及び経営成績に悪影響を及ぼす可能性があります。
かかるリスクへの対応として、当グループは、グローバルな政治・経済情勢などを定常的に把握して事業に及ぼす影響を分析し、海外リス
ク資産の移転を行うなど、グループ全体での対応を実行しています。

PwC

19

出所: 「事業等のリスク」

サプライチェーン関連リスク
サプライチェーン関連リスクへの対応 (コニカミノルタ株式会社)
グローバルサプライチェーン
リスク

当社グループの生産、販売活動の多くの部分は日本国外で行われており、サプライチェーンもグローバルに展 開しております。各国・各地
域の物流上の問題が当社グループのグローバルサプライチェーン全体に波及し、供給遅延により当社グループの業績に悪影響を及ぼす可能性があります。 当社グループは中国・ASEANでの生産が多く、その拠点からグローバルに供給を行っております。欧米を中心と した
新型コロナウイルス感染症の感染拡大下における経済活動優先策により輸出物量は増加しており、各国・各港でコンテナ船のスペース不足、輸送コンテナ不足が発生、長期化しています。さらに各国港湾における新型コ ロナウイルス感染症拡大の影響により不定期に荷役作業が停滞し、輸送遅延が発生、継続しており、影響の拡大 リスクがあります。 製品の到着地である欧米各港では、輸入物流増加により港湾の作業が追い付かず、コンテナ船の到着遅延が慢 性化しております。また、各港でコンテナヤードの混雑が発生しており、当社グ
ループ販売拠点の倉庫への入荷 も遅延が発生しております。今後、更なる輸出入物量の増加、並びに、米国西海岸労使交渉決裂によるストライ キが発生すると、これまで以上に国際輸送リードタイムが長期化する可能性があります。結果、販社拠点での在 庫不足が発生し、当社グループの業績に悪影響を及ぼす可能性があります。 また、ウクライナ情勢により、欧州向け航空輸送サービス減少の懸念があり、長期化した場合、航空便を利用 した緊急出荷に影響するリスクがあります。さらに中国のゼロコロナ政策による活動制限、特に上海市での影響 から、港湾、空港での混雑により輸出物流が滞り、販売拠点への供給に大きなリスクがあります。

対応策

当社グループの主力事業であるデジタルワークプレイス事業、プロフェッショナルプリント事業では、物流実態に応じた販売拠点の在庫見
通しシミュレーションを適宜実施しております。将来の在庫見通しに応じて、各地域への供給量の振り分け、物流ルートを柔軟に変更するなど、販売への影響を回避しております。 また、物流上の問題に対しては、従来取引があるフォワーダーに加えて、各地域のフォワーディ
ング会社と新規の取引を開始し、船のスペース、輸送用コンテナの確保に努めております。また、欧州ではギリシア、北米ではカナダ、メキ
シコの港を荷揚げ地として新規に設定することにより、輸送リードタイムの短縮を図ると共に、米国西海岸労使交渉決裂によるストライキリ
スクを最小化しております。 ウクライナ情勢の影響の回避策として、欧州向けの航空貨物用スペースの一部をチャーターしており、定期的に航空輸送できる体制を構築しております。 また、上海市における活動制限の影響を受けた港湾課題についても、フォワーディング会
社の拡大、上海以外の輸出港の利用、生産拠点からの貨物の優先付けを行い、物流上のリスク回避に努めております。 当社グループでは、必要なものを必要な時に必要なだけ必要なところへ供給できる、柔軟な物流体制を構築し、引き続き、顧客の満足度向上に努めてま
いります。
20

PwC

出所: 2022年「有価証券報告書」 (P31)3つのディフェンスライン（３LoD、３LM）３つのディフェンスラインによるリスク管理の強化
3つのディフェンスライン（３LoD）に対する認識は高く、３LoDに基づき体制の確立に取り組む会社は多い。
一方で2線部署としてリスク管理部署が存在しないケースも多く、総務・コンプライアンス、経営企画などが代替する例が多く見られる。結果としてERMとして一元管理がなされない例もみられる。また2線部署の定義がより広くとらえられる傾向もみられる。

取締役会、監査委員会（、リスク委員会）
経営層（業務執行の責任者：CEO）

第1線（リスクオーナー）

第2線（CRO）

第3線（CAE）

外部監査人

内部監査

会計監査人
等

財務管理
セキュリティ
事業目的の達成のために必要なオペレーションの実行
内部統制の運用

牽制・

リスク管理

助言

品質管理
検査
コンプライアンス

PwC

22

CISOのレポートライン
一方でサイバーセキュリティはCEOへのレポートラインが設定されるなど、本邦でもレポート先がソリッドであるケースも
見られる。

PwC

出所: PwC’s 2018 Global State of Information Security Survey

23データ分析の活用と２、３線連携
金融機関においては2線（1.5線）が行っている業務に係る監査・検査（売上、債権管理、購買、経費、人事、情報管理）の占める比重が高く、データ分析の活用余地が大きい。
また、システムの高度化に伴い2線への組み込みも見られる。
証券銀行

ジェーン・顧客

銀行勘定調整請求書

リスクスコア取引

リスクスコア
所在地
製品
顧客
費用

0 10
0

82
1

パートナ
ー
X com

インド.

コマーシャル

5

Moneymart

ハンガリー

公的部門

80

PAT

ブラジル

コマーシャル

40

Robert Finn

中国

公的部門

90

Jason Hunt

アイスランドコマーシャル

20

所在地

部門

検出されたリスク属性:•
セールスジオ•製品•
顧客グループ•
費用

リスク・スコア

プロセス取引

主催担当者が取引先（ビジネスパート
ナー）の教育のためのイベントの請求書を提出する。

PwC

請求書に対してリスクセンシングモデルを実行し、KRIに基づき、最もリスクの高い請求書・支払を特定する。

内部監査部門は、請求書・支払の適切性を判定するために、ステークホル
ダーと協力して運用評価手続、その他のコンプライアンス確認手続を実施する。

検証結果はモデルにフィードバックされ、モデルの改良が行われる。リスクセン
シングにより、請求書・支払を継続的に
モニタリングし、 最も高いリスクを特定
する。
24
24

仕入先リストの検証
現在
私のチームは、R2R、RTP、A2Rに含まれる統制および類似の統制に
年間4,600時間程度費やしている。

月次レビューの実施時期の決定
私のチームは、月次で、全仕入先を対象に、2つのシステム間の調整を手作業で実施している。

レポート作成処理の実行
私は、月次で、各システムの処理結果が記載された
BT報告書の作成処理を実行している。

結果の比較
私は、システム1から出力された全仕入先を手作業でレビューし、システム2に設定されたPOフラグおよび仕入先支払グループの適切性を確認している。

文書の確認
私は、実施したレビューをマニュアル・レビュー作業
記録書に記載し、修正が必要なフォローアップについて手作業で把握している。

監査支援
内部監査部門がこの統制を検証する場合、質問への回答や証憑を探すのに追加の時間を要している。

継続的モニタリング
この統制については、仕入先に関する変更をモニタリ
ングし、スコーピングを決定する分析機能が設定さ
れている。

データ取得
解析機能は、仕入先デー
タに関する全ての変更、およびフラグ設定が適切でない取引を抽出する。

取引分析
例外取引報告書は、生成されるPO取引に関して、仕入先設定に誤りがないかを識別する。

文書の自動作成
フォローアップが必要な例
外事項がある場合、作業記録文書が自動的に作成される。私の作業は、この例外事項についてフォローアップし、検証した内容を文書化し、サインオフするのみである。

監査支援
統制が自動的に実施されるため、手作業によるミスが少なく、フォローアップがほとんど、あるいは全くな
い。

将来
私は、分析ダッシュボー
ドを使用して、変更をモ
ニタリングし、アクションを起こしている。

PwC

25

コンダクトリスクの視点

品質管理体制※その他、データやテクノロジー活用による検証も実施
品質管理と全社品質活動 (三菱マテリアル株式会社)
不適合品出荷に至った主な原因

施策名

具体的取組

 受注段階における製品開発・受注課程へ働き替える仕組みの不十分さ
 「受注」「納期」偏重の姿勢
 工程能力を超えた仕様での受注、量産①フロントローディングシステム(FLS)の浸透• FLSガイドラインの運用状況を品質監査等で確認

 品質保証体制の仕組みの不備
 他部門から品質保証部門へのプレッシャー②品質管理部門の体制･権限の強化• 品質保証機能の独立性を含む権限や業務履行状況を品質監査等で確認••••

国内外拠点の従業員への品質教育の継続実施
若手社員への品質管理の基礎に関する教育
中堅社員･管理職への品質ｺﾝﾌﾟﾗｲｱﾝｽに関する教育
ISO9001を含む専門的な品質管理スキル向上のための教育

 企画遵守に対する意識の低さ
 品質管理が出来ているという驕りの意識
 品質問題に関するリスク感度の低さ③品質教育の拡充

 事業に対する資源不足 (検査人員・検査設備の不足等)④検査設備自動化の推進• 検査設備の自動化を継続実施

 監査手続きの形骸化⑤品質監査の強化• 必要拠点への品質監査の継続実施⑥外部コンサルタントの活用• 品質コンサルタントによる指導会や勉強会を継続実施

PwC

27

出所: 「バリューチェーンにおける責任 製品責任」

コンダクトリスク管理
コンダクトリスク管理という概念でリスク管理を会社は少数である中、ステークホルダー視点で経営スタイルに反映しようとしている企業も存在。
新たな経営スタイルへの変革 - 業務変革・DX (日本電信電話株式会社)①クラウドベースシステム/ゼロトラストシステムの導入
Work From Anywhereを可能とするIT環境の整備

2022年度完了※1
2023年度完了※2※1:スタッフ/営業系、※2:全体②業務の自動化/標準化 (営業、保守、開発 等)
パートナー企業も含めたConnected Value Chain化を推進
デジタルマーケティングによるお客様リーチの拡大（中堅中小企業層）

自動化プロセス2021年度20⇒2025年度100以上
2025年度収益1,400億円

自らのDXで活用したPFをお客さまにも提供し社会全体のDXに貢献（スマートインフラPF等）

すべての政令都市2023年1月完了③コンダクトリスク等を考慮したガバナンスの充実
170件以上のリスクを洗い出し、ステークホルダーとの適切な関係構築、サービス等ライフサイ
クルの的確な管理、危機管理能力の向上等の対策を実行

2021年度～④紙使用の原則廃止 (請求書/受発注書含む)
NTTグループ全体の紙使用を原則ゼロ化※ (2020年度6,000t)
PwC

2025年まで※お客様要望に基づく紙利用・官公庁への提出書類・電報・電話帳除く

出所: 2021年「新たな経営スタイルへの変革 (P3)」28

ERM関連サービス• ERMフレームワークの構築• リスクガバナンス態勢の構築• ERMの成熟度評価• リスクアペタイトフレームワークの構築• 重要リスクの特定・評価• リスクカルチャーの醸成• リスクモニタリングの高度化（リスクダッシュボード）

PwC

29

連絡先
PwCあらた有限責任監査法人
ガバナンス・リスク・コンプライアンス・アドバイザリー部
パートナー

マネージャー

辻田 弘志

西村 裕子

hiroshi.tsuijita@pwc.com
090-1424-3247

yuuko.nishimura@pwc.com
080-3724-0268

pwc.com© 2023 PwC. All rights reserved. Not for further distribution without the permission of PwC. “PwC” refers to the network of member firms of PricewaterhouseCoopers
International Limited (PwCIL), or, as the context requires, individual member firms of the PwC network. Each member firm is a separate legal entity and does not act asagent of PwCIL or any other member firm. PwCIL does not provide any services to clients. PwCIL is not responsible or liable for the acts or omissions of any of its
member firms nor can it control the exercise of their professional judgment or bind them in any way. No member firm is responsible or liable for the acts or omissions of
any other member firm nor can it control the exercise of another member firm’s professional judgment or bind another member firm or PwCIL in any way.