要約
放射線防護や化学物質・食品安全あたり出発地点とするリスク学の文脈における「リスク管理」と、保険を出発地点とする組織のリスクマネジメントの文脈における「リスクマネジメント」の違いについて整理しました。リスクマネジメントはリスク学文脈のリスク管理よりもリスクガバナンスに近い用語です。
本文：リスクマネジメントとリスク管理の違い
私はリスク学を専門としていますが、実のところリスク学では「リスクマネジメント」はあまり扱いません（その中に含まれる保険など個別のものは扱いますが）。そういうことで本ブログでもこれまで「リスクマネジメント」については書いたことがありませんでした。ただ、いろいろと勉強する必要が出てきたので、その整理もかねてシリーズ物の記事としてまとめていきたいと思います。
これまで継続しているリスクの定点観測によると、Googleで「リスクマネジメントとは」という検索頻度が高いことがわかっています。例えば以下の記事があります：
検索頻度が高いということは、多くの人がその意味を知りたがっている用語と言えますね。そこで、まず第1回として「リスクマネジメントとは」から整理していきます。ただ用語の定義を書くだけではすでに多数のサイトに書いてあることと同じになってしまいます。そこで本記事では少し方向性を変えてみます。
リスクマネジメントと類似の用語として「リスク管理」があります。risk managementを単純に日本語に訳せばリスク管理になります。リスク管理はリスク学の文脈においても非常によく使われる用語です。ただし、カタカナの「リスクマネジメント」と「リスク管理」はかなり違う概念のようなのです。
本記事ではカタカナの「リスクマネジメント」と「リスク管理」との違いについて整理していきます。まずはリスク学文脈におけるリスク管理についてまとめ、次にリスクマネジメント文脈におけるリスクの概念を整理し、最後にリスクマネジメントの定義についてまとめます。
リスク学文脈におけるリスクマネジメントとリスク管理
リスク学は放射線防護や化学物質・食品安全が出発地点になっています。当然ながらここでのリスクは放射線や化学物質の影響などマイナスの（好ましくない）影響を扱うものです。リスクの定義については「ある原因（ハザード）が保護対象に対して好ましくないことを生じさせる可能性」ということになります。ただし、適用する分野によってある程度違っています。
このようなリスク学の文脈においては、リスク評価-リスク管理-リスクコミュニケーションという三位一体論が語られることが一般的です。これらの用語はrisk assessment, risk management, risk communicationを日本語に訳したものです。英語ではrisk managementですから、リスク学文脈ではカタカナのリスクマネジメントとリスク管理は同じものとなります。
リスク評価はリスクの科学的な評価を行うプロセスであり、その結果によって対策を考えて実行するプロセスがリスク管理になります。リスクコミュニケーションは各プロセスにおいて実行されます。また、リスク評価とリスク管理は機能的に分離することが望ましいとされています。この辺のリスク評価-リスク管理分離論は本ブログの過去記事に詳しいです。
このリスク評価-リスク管理-リスクコミュニケーションという三位一体を総合的に扱うのが「リスクガバナンス」の考え方です。ある単独のリスクにおいて適切なリスク管理が違うリスクを上昇させてしまうような場合があり、それらのバランスを考える必要があります。そのような場合の社会全体としての最適化を目指す考え方がリスクガバナンスです。これも過去記事に詳しく書いてあります。
リスクマネジメント文脈におけるリスクとは何か？
企業・組織のリスクマネジメントはリスク学とはかなり違う路線をたどってきたもので、もともとは保険が出発地点です。
自動車事故や建物の火災による金銭的損失、けがや病気などの健康への影響など、それぞれに保険商品があります。また、保険商品の開発のために発生頻度が評価されています。
企業の経営においても、どの保険商品を選択するか、保険にどこまでコストをかけられるか、などを検討する必要があります。保険に入らずに予防努力によって回避することも選択肢の一つです。特に米国の話ですが、このような業務を担当する部署が企業の「リスクマネジメント部門」の出発地点になっています。
その後は企業における不祥事や事故、犯罪（毒物混入や社員の誘拐、情報漏洩など）に巻き込まれた際の対応などが企業に致命的な損失を与えるような事例が増えてきました。このような「想定外」の事例が増えてきたことで、発生頻度の情報をもとに通常開発される保険商品では対応しきれなくなったのです。リスクへの対応が企業の経営管理全般にかかわるようになってきたことで、保険対応から「リスクマネジメント」へと概念が広がってきました。
特に、企業の不祥事がらみではコンプライアンスという概念が生まれ、内部統制システムが生まれ、これがリスクマネジメントに組み込まれていきます。内部統制の考え方では、不祥事を担当者のミスのせいではなくそのミスを防ぐ仕組みを作っていない経営陣に責任があるとみなします。リスクマネジメント文脈ではこのようなリスクをオペレーショナルリスクと呼びます。
さらに、巨大地震や感染症パンデミックなどにより事業の継続そのものが危うくなる事態にも対応する必要も出てきました。危機管理とも呼ばれますが、リスクマネジメント文脈ではBCP（Business Continuity Plan, 事業継続計画）という用語がよく出てきます。
ここまで扱うリスクはすべて結果が「好ましくない影響」をもたらすもので、この辺はリスク学文脈ともあまり変わりません。
ここまでのリスクは「避けるべきもの」でしたが、その後のリスクは戦略や投機も扱うようになります。リスクは利益の源泉としてむしろ積極的に取りに行くべきもの、という考え方が加わってきます。
というよりも、もともとリスクの語源（諸説あります）はイタリア語のrisicare（勇気をもって試みる）であり、大航海時代（危険な航海をして利益を取りに行く）あたりに生まれた概念ですから、むしろこちらが本筋です。つまりこちらはオペレーショナルリスクに対して戦略リスクなどと呼ばれます。
このようにマイナスだけではなくプラスの影響までを含む概念になっているため、リスクマネジメントの国際規格であるISO31000（その日本版のJIS Q 31000:2019）では「目的に対する不確かさの影響」という定義になっています。
（当時リスク学会ではこの定義にずいぶん強い反発が出ていた記憶があります）
概念的でわかりにくいので本などを読んでいるとさまざまな言い換えが行われています。本で見つけた独自定義を以下に挙げてみましょう：
・未来に起こるかもしれない嫌なこと・うれしいこと （勝俣良介 世界一わかりやすいリスクマネジメント集中講座） ・事業目的の遂行を阻害する要因 （浅野睦・五十嵐雅祥 現場担当者が考えるべき６８のリスク） ・事象の発現により、結果的に組織が損失や影響を受ける、又はその結果が組織の目標達成を阻害する可能性がある状態 （リスクマネジメント協会 リスクマネジメント基礎講座） ・損失をこうむる可能性のある状況・環境 （前川寛 リスクマネジメント）
このように、適用する場面に応じていろいろな言い方ができるものと考えておけばよいでしょう（マイナスの面しか見ない場面もある）。
リスクマネジメントとは何か？
ここまででリスク学文脈の「リスク管理」とリスクマネジメント文脈の違いはだいぶわかってきたかと思います。最後にリスクマネジメント文脈におけるリスクマネジメント（書いていてややこしい）の定義をまとめていきます。
ISO31000（JIS Q 31000:2019）ではリスクマネジメントの定義を以下のように設定しています：
・リスク（=目的に対する不確かさの影響）について、組織を指揮統制するための調整された活動
英語のrisk managementを日本語に訳す際にリスク学文脈と異なり「リスク管理」ではなく「リスクマネジメント」と訳しました。マネジメントとは、組織目標を達成するためのリスクの運用と管理であって、単なる管理ではない、という理由があるようです。
「リスク管理」と訳してしまうと、個別のリスクを個別の部署で管理するというイメージになってしまいます。実際に、リスク学文脈で扱うリスク管理はこれに近いと思います。放射線防護、化学物質、食品安全などは別々の法律に基づき縦割りの別々の部署で管理され、その間の交流などはあまりありません。
一方で、リスクマネジメントは組織目標の設定や資源・リスクの配分など、企業経営・組織運営の中核となるものです。これは個別の部署の業務ではなく経営者の仕事です。実際の活動も、さらには個別部署で対応するというよりも組織全体としてのシステム化を重視しています。このようなことから管理ではなくマネジメントという訳語を使っています。リスク学文脈でいえば「リスク管理」よりも「リスクガバナンス」に近い用語ですね。
リスクの定義のように、リスクマネジメントもまた本によっていろいろな定義が書かれていますので、それもまとめてみましょう：
・リスクを認識して、必要な対策を打つこと
（勝俣良介 世界一わかりやすいリスクマネジメント集中講座）
・企業が認識したリスクを最適かつ合理的な方法で管理することによって企業価値を向上させる活動
（浅野睦・五十嵐雅祥 現場担当者が考えるべき６８のリスク）
・収益の源泉としてリスクを捉え、リスクのマイナスの影響を抑えつつ、リターンの最大化を追求する活動
（リスクマネジメント協会 リスクマネジメント基礎講座）
・妥当な費用で偶然損失が組織に与える悪影響を最小限にとどめるために、組織の活動を計画し、実際に組織し、指揮し、そして監視するという4つの機能を持つ過程
（前川寛 リスクマネジメント）
いろいろな定義をみていると、マネジメントそのものを目的化しない、個別のリスクの管理そのものを目的化しない、ということは重要だと言えるでしょう。あくまでリスクマネジメントの目的は企業価値の向上、企業利益の向上、企業経営のレベルの向上などである、というわけです。「健康のためなら死ねる！」にならないように注意すべきですね。
まとめ：リスクマネジメントとリスク管理の違い
放射線防護や化学物質・食品安全あたり出発地点とするリスク学の文脈における「リスク管理」と、保険を出発地点とする組織のリスクマネジメントの文脈における「リスクマネジメント」の違いについて整理しました。
リスク学文脈においては、リスク評価はリスクの科学的な評価を行うプロセスであり、その結果によって対策を考えて実行するプロセスがリスク管理になり、この二つは機能的に分離されています。
一方で組織のリスクマネジメントは保険に加えて、コンプライアンスなどの内部統制、災害などの危機対応、積極的に取りに行くべき戦略リスクなどに広がっており、マイナスの面だけでなくプラスの面を含めたリスクを扱います。そこで、個別のリスクを個別の部署で扱うというよりは経営全体をマネジメントするという意味を持った概念となります。
次回はリスクマネジメントを勉強すると必ず出てくるEnterprise Risk Management（ERM）について書いていきます。
補足：記事を書くのに参考にした書籍など
コメント