経営層から「全社的リスクマネジメント（ERM）の体制を整えたい」と言われたものの、従来から各部門で行ってきたリスク管理と何が違うのかを、自分の言葉で説明できずに困っていませんか。ERMは、部署ごとにばらばらだったリスク対応を会社全体で束ね、経営目線で管理する考え方です。
本記事では、ERMの定義と従来の部門別リスク管理との違いから、COSO ERM・ISO 31000といった枠組みの構成要素、リスクの洗い出しから評価・対応・モニタリングまでの進め方、所管部署の置き方までを整理します。会社法や金融商品取引法、コーポレートガバナンス・コードといった制度的背景も、条文名とともに解説します。
定義の理解を固め、自社で体制づくりの第一歩を踏み出すための判断材料としてご活用ください。
目次
一括ダウンロードする
全社的リスクマネジメント（ERM）とは
「全社的（エンタープライズ）」という言葉が指すのは、財務・オペレーション・コンプライアンス・戦略といった個別領域のリスクを部門横断で束ね、企業グループ全体の目的達成という観点から統合して捉え直すことです。各部署に任せきりにせず、経営目線で一元的にリスクを扱います。これがERMの核心にあたります。
ERMでは、損失につながる「脅威」を抑えるだけでなく、収益機会となり得る「機会」も含めて、経営の意思決定と結びつけてリスクを扱います。その設計の拠りどころとして広く参照されるのが、次に見るCOSO ERMとISO 31000という2つの枠組みです。
従来の「部門ごとのリスク管理」との違い
ここでは、従来型の部門別リスク管理とERMが具体的にどう異なるのかを整理します。両者の最も大きな違いは、リスクを捉える「視座」にあります。部門別の管理が当該部門の目的に影響する要因に着目するのに対し、ERMは企業グループ全体の目的を起点にリスクを捉えます。
| 観点 | 従来の部門ごとのリスク管理 | 全社的リスクマネジメント（ERM） |
|---|---|---|
| リスクを捉える視座 | 当該部門の目的に影響する要因に着目する | 企業グループ全体の目的を起点にリスクを捉える |
| 管理の主体 | 各部門が個別に管理する | 取締役会・経営層が全体を統括する |
| リスクの扱い | 部門ごとに個別最適で対応する | 部門横断で統合し、相殺・優先順位づけを行う |
| 対象範囲 | 担当業務の範囲に限定される | 財務・オペレーション・コンプライアンス・戦略など全社に及ぶ |
| 主な目的 | 個別リスクの回避・低減 | 目的達成の確度向上（脅威と機会の両面を扱う） |
部門ごとの管理では、部署間で重複した投資が生じたり、部門をまたぐリスクが抜け落ちたりしやすくなります。ERMでは、各部門が個別に相殺できるリスクは相殺したうえで、企業全体でリスクを統合して管理します。これにより、経営として優先的に手当てすべきリスクが見えやすくなり、限られた経営資源を重要なリスクへ振り向けられるようになります。
なぜ今、全社的リスクマネジメントが求められるのか
ここからは、ERMが求められる制度的な背景を、根拠となる条文やコードの名称とともに見ていきます。ERMは経営判断として自主的に取り組む側面が強い一方、大会社や上場企業には、リスク管理体制の整備を法令・規範が要請する場面があります。
会社法：内部統制システムとしてのリスク管理体制
会社法は、取締役会設置会社のうち大会社に対し、業務の適正を確保するための体制（いわゆる内部統制システム）の整備を取締役会で決定するよう義務づけています。その決定事項を定めるのが会社法第362条第4項第6号および第5項です。
出典：会社法（平成十七年法律第八十六号）第362条｜e-Gov法令検索
- （第4項）取締役会は、次に掲げる事項その他の重要な業務執行の決定を取締役に委任することができない。／六 取締役の職務の執行が法令及び定款に適合することを確保するための体制その他株式会社の業務並びに当該株式会社及びその子会社から成る企業集団の業務の適正を確保するために必要なものとして法務省令で定める体制の整備
- （第5項）大会社である取締役会設置会社においては、取締役会は、前項第六号に掲げる事項を決定しなければならない。
ここでいう「法務省令で定める体制」の中身は、会社法施行規則第100条が具体的に列挙しています。同条第1項第2号は、内部統制システムの一要素として「損失の危険の管理に関する規程その他の体制」を挙げており、これがリスク管理体制にあたります。
法第三百六十二条第四項第六号に規定する法務省令で定める体制は、当該株式会社における次に掲げる体制とする。／二 当該株式会社の損失の危険の管理に関する規程その他の体制
出典：会社法施行規則（平成十八年法務省令第十二号）第100条｜e-Gov法令検索
大会社とは、資本金5億円以上または負債200億円以上の株式会社を指します（会社法第2条第6号）。この規模の取締役会設置会社では、リスク管理体制の整備方針を取締役会で決定することが法的に求められる点が、ERMに取り組む出発点になります。
ERMの土台となる内部統制システムそのものの目的や構成要素、体制構築の進め方を詳しく知りたい方は、以下の記事で解説しています。
金融商品取引法（J-SOX）：内部統制報告制度
上場企業などに関わるのが、金融商品取引法にもとづく内部統制報告制度（いわゆるJ-SOX）です。金融商品取引法第24条の4の4は、有価証券報告書を提出する会社に対し、財務報告に係る内部統制を評価した内部統制報告書の提出を義務づけています。
有価証券報告書を提出しなければならない会社…（略）…その他の政令で定めるものは、内閣府令で定めるところにより、事業年度ごとに、当該会社の属する企業集団及び当該会社に係る財務計算に関する書類その他の情報の適正性を確保するために必要なものとして内閣府令で定める体制について、内閣府令で定めるところにより評価した報告書（以下「内部統制報告書」という。）を有価証券報告書…と併せて内閣総理大臣に提出しなければならない。
出典：金融商品取引法（昭和二十三年法律第二十五号）第24条の4の4｜e-Gov法令検索
この制度は、2008年（平成20年）4月1日以後に開始する事業年度から適用されており、3月決算の企業では2009年3月期が最初の対象となりました。財務報告の信頼性を確保するために、業務プロセスに潜むリスクを識別・評価する取り組みが上場企業に定着する契機となった制度です。
内部統制報告制度（J-SOX）の対象範囲や評価・監査プロセス、実務の進め方をより詳しく確認したい場合は、以下の記事が参考になります。
コーポレートガバナンス・コード：取締役会の役割としての全社的リスク管理
上場企業が従うべき規範であるコーポレートガバナンス・コード（2021年6月改訂）は、「全社的リスク管理体制」という言葉を直接用い、その構築と監督を取締役会の役割・責務として求めています。該当するのは補充原則4-3④です。
内部統制や先を見越した全社的リスク管理体制の整備は、適切なコンプライアンスの確保とリスクテイクの裏付けとなり得るものであり、取締役会はグループ全体を含めたこれらの体制を適切に構築し、内部監査部門を活用しつつ、その運用状況を監督すべきである。
出典：コーポレートガバナンス・コード（2021年6月11日）補充原則4-3④｜東京証券取引所
なお、コーポレートガバナンス・コードはその後2026年7月にも改訂されているため、最新の規定は東京証券取引所の公表資料で確認してください。
出典・参考資料（1件）
ESG・サステナビリティ開示との接続
近年は、サステナビリティ開示の面からもリスク管理の整備が求められています。2023年（令和5年）1月31日に公布・施行された改正開示府令により、有価証券報告書に「サステナビリティに関する考え方及び取組」の記載欄が新設されました。
この記載欄は2023年3月期決算の企業から適用され、サステナビリティ関連リスクを識別・評価・管理するプロセスの開示が求められます。全社的なリスク管理の仕組みが、投資家向けの情報開示とも直結する制度的背景があります。
出典・参考資料（1件）
COSO ERM・ISO 31000 とは（構成要素の一覧）
ここからは、ERMを設計するうえで参照される2つの代表的な枠組み、COSO ERMとISO 31000の中身を見ていきます。名前だけを知っていても実務には落とし込めないため、構成要素まで押さえておきます。
まず用語として、COSO ERMは全社的リスクマネジメントを、事業体の戦略に適用され、事業目的の達成に関する合理的な保証を与えるために、影響を及ぼし得る事象を識別し、リスク選好に応じて管理できるよう設計されたプロセスと説明します（COSO 2004年版。日本監査役協会の解説による）。
具体的には、経営目標の達成を後押しするために、起こり得る出来事をあらかじめ洗い出し、自社が取ってよいリスクの範囲に収めながら管理する一連の仕組み、ということです。
COSO ERMは、米国のトレッドウェイ委員会支援組織委員会（COSO）が公表した全社的リスクマネジメントの統合的枠組みです。注意したいのは、COSO ERMには2004年に公表された版と2017年に改訂された版があり、構成要素の数が異なる点です。多くの解説では「8つの構成要素」が紹介されますが、これは2004年版のものです。
COSO ERM の構成要素（2004年版8構成要素と2017年改訂版5構成要素・20原則）
2004年版のCOSO ERMは、内部統制の枠組みを拡張し、合計8つの構成要素からERMを組み立てました。
ERMでは、内部統制の構成要素とされていた、内部環境、リスク評価、統制活動、情報と伝達、監視活動の５つに、目標の設定という要素が追加されている。また、内部統制におけるリスク評価の要素がより細分化され、新たに事象の識別、リスクへの対応という要素が加わっている。これによりERMは合計8つの要素により構成されることになる。
出典：企業リスク管理の統合的枠組み―2004年COSO報告書の概要―｜日本監査役協会
整理すると、2004年版の8構成要素は、内部環境／目標の設定／事象の識別／リスク評価／リスクへの対応／統制活動／情報と伝達／監視活動（モニタリング）です。
2017年の改訂版では、この枠組みが再編され、5つの構成要素と20の原則で示されるようになりました。戦略とパフォーマンスとの結びつきを強めた点が改訂の特徴です。5つの構成要素は次のとおりです。
- ガバナンスとカルチャー（Governance and Culture）
- 戦略と目標設定（Strategy and Objective-Setting）
- パフォーマンス（Performance）
- レビューと修正（Review and Revision）
- 情報、伝達および報告（Information, Communication, and Reporting）
この5つの構成要素の下に、取締役会によるリスク監督や、リスク選好の定義、リスクの識別・重大度の評価・優先順位づけなど、合計20の原則がひもづく構成です。自社が参照する資料がどちらの版にもとづくかで構成要素の説明が変わるため、版を確認したうえで整理することをおすすめします。
出典・参考資料（1件）
ISO 31000 の位置づけ（脅威と機会の両面を含む不確かさの管理）
ISO 31000は、リスクマネジメントに関する国際規格で、日本ではJIS Q 31000（ISO 31000の国内規格）として整合されています。特定の業種に限定されず、あらゆる組織が規模を問わず適用できる指針として位置づけられています。
JIS Q 31000（ISO 31000）では、リスクを「目的に対する不確かさの影響」と定義しています。この不確かさには、不利益をもたらす「脅威」だけでなく、収益機会となり得る「機会」の両面が含まれる点が特徴です。
ISO 31000は、大きく「原則」「枠組み（フレームワーク）」「プロセス」の3つで構成されます。原則がリスクマネジメントのあるべき姿を示し、枠組みが組織への組み込み方を、プロセスが実際の進め方を定める関係です。
中心となるリスクマネジメントプロセスは、適用範囲・状況・基準の確定に始まり、リスクアセスメント（リスク特定→リスク分析→リスク評価）、リスク対応、モニタリング及びレビューという流れで構成されます。
COSO ERMが内部統制の延長線上でリスク管理を体系化しているのに対し、ISO 31000はより汎用的な原則・枠組み・プロセスを示す点に特徴があります。
脅威の回避・低減だけでなく、機会をどう取りにいくかも管理の対象に含める考え方は、ERMを守りの活動から経営の意思決定支援へと広げる土台になります。
出典・参考資料（1件）
一括ダウンロードする
全社的リスクマネジメントの進め方（4ステップ）と所管部署
枠組みを理解したら、次は実際にどう進めるかです。ここでは、リスクの認識から対応・モニタリングまでの流れと、リスク対応の分類、そして体制を担う所管部署の置き方を整理します。
進め方の4ステップ：認識（洗い出し）→評価・影響度分析→対応→モニタリング
ERMの進め方は、ISO 31000やCOSO ERMが示すリスクマネジメントプロセスにもとづき、大きく4つのステップで捉えられます。
まず「認識（洗い出し）」では、組織が直面するリスクを発見・特定します。経営層・各部門へのヒアリングや、自社の強み・弱み・機会・脅威を整理するSWOT分析などを用いて、財務・オペレーション・法務・情報セキュリティといった領域を横断的に洗い出すのが一般的です。
次の「評価・影響度分析」では、洗い出したリスクの発生可能性と影響度を分析し、あらかじめ定めた基準と照らして重大度を判定します。すべてのリスクに同じ資源を割くことは現実的でないため、この段階で優先順位をつけます。
続く「対応」では、優先度の高いリスクから、後述する4つの分類にもとづいて具体的な手立てを選び、実行します。最後の「モニタリング」では、対応の実施状況とリスクの変化を継続的に監視し、必要に応じて評価や対応を見直します。この4ステップを一巡で終わらせず、環境変化に合わせて繰り返すことがERMの要点です。
リスク対応の4分類（回避・削減・分担・受容）
「対応」のステップで選ぶ手立ては、COSO ERMの整理にもとづき4つのカテゴリーに分けられます。
リスクへの対応の仕方は以下の4つのカテゴリーに分かれる。すなわち、①回避(Avoidance)、②削減(Reduction)、③分担(Sharing)、④受容(Acceptance)である。
出典：企業リスク管理の統合的枠組み―2004年COSO報告書の概要―｜日本監査役協会
- 回避（Avoidance）：リスクを生む活動そのものから撤退し、リスクにさらされない状態にします。
- 削減（低減、Reduction）：発生可能性や影響度を下げる対策を講じ、リスクを許容できる水準まで抑えます。
- 分担（移転・共有、Sharing）：保険やヘッジ、業務委託などを通じて、リスクの一部を外部と分け合います。
- 受容（Acceptance）：対策コストに見合わないリスクなどを、あえて手当てせずそのまま受け入れます。
「移転」という表現もよく使われますが、COSOの原語では「分担（Sharing）」であり、保険などでリスクを外部と分け合う考え方を指します。どの対応を選ぶかは、リスクの重大度と対策コストのバランスで判断します。
所管部署はどこに置くか
ERMを機能させるには、全社のリスク情報を集約し、部門横断で調整する所管部署が必要です。個別業務の一部門に置くと、部門をまたぐリスクの調整や経営への提言がしにくくなるため、経営に近い位置に置くのが基本です。
コーポレートガバナンス・コードが、全社的リスク管理体制の構築と監督を取締役会の責務としている点からも、体制の最終責任は経営にあります。実務では、リスク管理委員会のような全社横断の会議体を設け、その事務局を経営企画部やリスク管理部、ガバナンス部門などが担う形が多く見られます。所管部署には、各部門のリスク情報を吸い上げる権限と、経営層へ直接報告できる位置づけを持たせることが重要です。
導入時のつまずきと回避のポイント
ERMの体制づくりでは、いくつか陥りやすい落とし穴があります。よくあるのは、リスクの洗い出しが目的化し、膨大なリスク一覧を作ったものの評価・対応につながらないケースです。洗い出しの段階から重大度の観点を持ち込み、経営判断に使える粒度に絞ることが回避策になります。
また、所管部署だけがリスク管理を担い、各現場が「自分ごと」として捉えられない状態も定着を妨げます。自社の成熟度に合わせて無理のない範囲から始め、現場を巻き込みながら段階的に高度化していくほうが、形骸化を避けやすくなります。
他社はどんな体制でERMに取り組んでいるか
自社の体制を設計するうえでは、他社が実際にどんな体制でERMに取り組んでいるかが参考になります。ここでは、有価証券報告書やサステナビリティ報告で体制を公開している企業の例として、LINEヤフーの記載を見ていきます。
LINEヤフーは、リスクマネジメント最高責任者を代表取締役社長とし、取締役会がグループ全体の基本方針を決定する体制をとっています。ISO 31000のフレームワークを外部基準として参照している点も明記されています。
LINEヤフーは、リスクマネジメント最高責任者を代表取締役社長としたERM体制を構築し、ERMプロセスを円滑に実施することにより、リスクの低減、未然防止等を図っています。なお、外部基準としてISO 31000のフレームワークを参照しています。グループ全体のリスクマネジメントの基本方針は取締役会で決定します。
出典：ERM（全社的リスクマネジメント）｜LINEヤフー株式会社
全社のリスクを統括する会議体として、リスクマネジメント委員会も設けられています。委員会の構成についても、次のように公開されています。
リスクマネジメント委員会：リスクマネジメント最高責任者である、代表取締役社長が委員長を務め、リスクマネジメント委員の取締役（社外取締役を除く）およびCFO、CTO等、リスク管掌責任者であるガバナンス部門長のほか、リスクマネジメント最高責任者が指名するものを含めた人員とリスクマネジメント統括組織を所管する執行役員で構成され、グループ全体のリスクマネジメントを統括しています。
出典：ERM（全社的リスクマネジメント）｜LINEヤフー株式会社
この例からは、委員長を代表取締役社長が務め、取締役会が基本方針を決定し、ガバナンス部門長がリスク管掌責任者として統括するという、経営に近い位置で全社を束ねる体制の姿が読み取れます。自社の規模や事業に合わせて会議体の構成や所管部署を設計する際の参考になります。
ERM体制の構築を支援するGRCツール
ERMを継続的に回していくと、全社のリスク情報を一元管理し、評価・対応・モニタリングの状況を可視化する仕組みがほしくなります。こうした運用を仕組み化できるのが、ガバナンス・リスク・コンプライアンスを統合的に扱うGRCツールです。
表計算ソフトでの管理には、更新の属人化や部門間での情報分断といった限界があります。リスク情報の集約・可視化をシステムに任せられれば、所管部署の運用負荷を抑えながらERMを定着させやすくなる、という選択肢が見えてきます。
ここでは、そうしたGRCツールの一例として3製品を取り上げます。あくまで体制づくりのイメージをつかむための紹介で、機能を横断で詳しく比較・検討したい場合は、GRCツールの比較記事もあわせてご覧ください。以下は各サービスの概要をまとめた比較表です。
| サービス名 | Enterprise Risk MT | IBM OpenPages | Archer |
|---|---|---|---|
| 提供形態 | クラウド（SaaS） Salesforceプラットフォーム基盤 | SaaS／Hosted／オンプレミス／ AWS Marketplace経由 | SaaS（AWS Marketplace含む）／ オンプレミス |
| 対象規模・想定ユーザー | 有価証券報告書のリスク開示統合や グループのリスクガバナンス構築を 進めたい企業（スモールスタート可） | 大企業・金融機関・ グローバル企業 | 大企業・金融機関・公共部門など 大規模組織 |
| 主な機能領域<br>（識別・評価・モニタリング） | リスクアセスメント（特定・分析・評価）／ リスク対応管理／インシデント管理／ ダッシュボード・リスクマトリックスでの可視化 | 統合GRC 11モジュール （オペレーショナルリスク・規制コンプライアンス・ 財務統制などを網羅）。 3線モデルで識別〜報告を一元化 | 統合リスク管理（IRM）／GRC。 ERM・オペレーショナルリスク管理（ORM）は Risk Catalog・Risk Assessment Management・ Loss Event Managementなど。 AI駆動のArcher Evolvも展開 |
| 特徴・強み | 国内開発でISO 31000に準拠。 戸田建設・セガサミーホールディングス・ 青山商事などが導入 | 事業部門・リスク／コンプライアンス部門・ 内部監査の3線モデルを 同一データモデル上で統合 | 世界48カ国1,200社超の導入実績。 共通のリスク言語・評価尺度を 全社で標準化する設計 |
| 日本での提供・支援体制 | 株式会社GRCSが国内提供。 東京海上日動火災保険が 2025年9月に取扱いを開始 | 日本アイ・ビー・エムが提供。 TDIなど認定SIerが導入を支援。 日本精工（NSK）の導入事例あり （2026年5月公表） | Archer Technologies Japanが提供。 NTTデータ ルウィーブが プレミアムパートナー、 2026年2月からデロイト トーマツも協業 |
| 料金 | 要問い合わせ | 要問い合わせ | 要問い合わせ |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
1. Enterprise Risk MT（株式会社GRCS）
株式会社GRCSが提供するEnterprise Risk MT（ERMT）は、ISO 31000に準拠した全社的リスクマネジメント（ERM）のクラウドサービスです。Salesforceプラットフォーム上に構築されており、スモールスタートが可能なライセンスモデルを採用しています。
リスクの特定・分析・評価を行うリスクアセスメント機能、対応策の実施状況を追うリスク対応管理機能、ヒヤリハットや実際のインシデントをオンラインで報告・分析するインシデント管理機能を備え、ダッシュボードやリスクマトリックスでリスクを可視化します。
Excel管理からの脱却や、有価証券報告書のリスク開示統合、子会社を含むグループのリスクガバナンス構築といった用途に向いています。
戸田建設・セガサミーホールディングス・青山商事などの導入企業が公表されており、2025年9月からは東京海上日動火災保険が取扱いを開始しました。料金は非公開で、要問い合わせとなっています（2026年8月時点）。
2. IBM OpenPages（日本アイ・ビー・エム株式会社）
広範なリスク・コンプライアンス領域を単一のプラットフォームでカバーするのが、日本アイ・ビー・エム株式会社が提供するIBM OpenPagesです。オペレーショナルリスク管理・規制コンプライアンス・財務統制など11のモジュールで構成される統合GRC製品です。
特徴は、事業部門・リスク管理／コンプライアンス部門・内部監査という3つの防衛線に役割を分ける「3線モデル」に沿って、リスクの識別・評価・モニタリング・報告を同じデータモデル上で一元化する設計思想にあります。
国内では、日本精工（NSK）がERM体制の高度化を目的に導入し、責任所在の明確化や重要リスクの共有に活用している事例が2026年5月に公表されました。金融機関やグローバル企業など、複雑な規制環境を抱える大企業での採用が中心です。
提供形態はSaaS・オンプレミス・AWS Marketplace経由などがあります。料金は要問い合わせです（2026年8月時点）。
3. Archer（Archer Technologies Japan合同会社）
Archerは、エンタープライズ向けの統合リスク管理（IRM）／GRCプラットフォームです。日本法人はArcher Technologies Japan合同会社で、「多様なリスクを一つのプラットフォームの上に」を掲げ、組織内部からサードパーティまでを含むリスク管理業務の中央集約を訴求しています。
従来のArcher Platformは、監査管理・エンタープライズ／オペレーショナルリスク管理・ITセキュリティリスク管理など幅広い領域をカバーします。
ERM／オペレーショナルリスク管理では、全社のリスクと責任所在を管理するRisk Catalog、一貫したリスク評価を実装するRisk Assessment Management、損失事象を追跡するLoss Event Managementといった機能が中心となります。
2025年以降は、AIで規制動向を監視する新製品ライン「Archer Evolv」も順次投入しています。世界48カ国で1,200社以上の導入実績があり、日本では金融業界を中心に採用が進んでいます。
日本では、NTTデータ ルウィーブがプレミアムパートナーとして、2026年2月からはデロイト トーマツも協業パートナーとして導入を支援しています。料金は要問い合わせです（2026年8月時点）。
ここで取り上げた3製品のほかにも、GRCツールには対象規模や得意領域の異なる製品が数多くあります。選び方の観点や各サービスの機能を横断で比較したい方は、以下の記事もあわせてご覧ください。
まとめ
全社的リスクマネジメント（ERM）は、部門ごとにばらばらだったリスク対応を会社全体で束ね、企業グループの目的達成という視座から一元的に管理する取り組みです。従来の部門別管理との違いは、リスクを捉える視座と管理の主体にあり、経営に近い位置に所管部署を置いて全社を統括する点が要になります。
ERMには、会社法の内部統制システム、金融商品取引法にもとづく内部統制報告制度（J-SOX）、コーポレートガバナンス・コード補充原則4-3④、サステナビリティ開示といった制度的背景があります。
設計にあたっては、COSO ERM（2004年版8構成要素／2017年改訂版5構成要素・20原則）やISO 31000の枠組みを参照し、認識→評価→対応→モニタリングの流れで進めます。定義と枠組みの理解が固まったら、次は全社のリスク情報を可視化・仕組み化するGRCツールの活用が体制構築を後押しします。
一括ダウンロードする
よくある質問（FAQ）
Q. 全社的リスクマネジメント（ERM）とは何ですか？
A. 全社的リスクマネジメント（ERM）とは、各部署でばらばらに行っていたリスク対応を会社全体で束ね、経営目線で一元的に管理する取り組みです。財務・オペレーション・コンプライアンス・戦略といった個別領域のリスクを部門横断で統合し、企業グループ全体の目的達成という観点から捉え直す点が特徴です。損失につながる「脅威」だけでなく、収益機会となり得る「機会」の両面を管理の対象に含めます。
Q. ERM（全社的リスクマネジメント）とERP（企業資源計画）は何が違うのですか？
A. ERMが全社のリスクを統合して管理する取り組みであるのに対し、ERP（Enterprise Resource Planning）は会計・人事・在庫・生産などの基幹業務データを統合管理する仕組みで、目的も対象もまったく異なります。略称が似ているため混同されがちですが、ERMは「リスク」を、ERPは「経営資源・基幹業務」を扱います。
ERPで一元化された業務データが、ERMでリスクを把握・分析する際の情報源として役立つという補完関係で捉えると、両者を整理しやすくなります。
Q. 中小企業や非上場企業でも全社的リスクマネジメント（ERM）に取り組む必要はありますか？
A. リスク管理体制の整備を法令・コードが求めるのは主に大会社や上場企業で、中小企業や非上場企業にこれらの義務が直接及ぶわけではありません。会社法が内部統制システムの整備方針の決定を義務づけるのは大会社（資本金5億円以上または負債200億円以上）である取締役会設置会社で、金融商品取引法のJ-SOXやコーポレートガバナンス・コードは上場企業が対象です。
ただし、ERMの土台となる国際規格ISO 31000は、業種や規模を問わずあらゆる組織が適用できる任意の指針です。義務の有無にかかわらず、事業リスクを見える化して経営判断に活かす取り組みとして、中小・非上場企業でも有用です。
出典・参考資料（3件）
Q. COSO ERMとISO 31000は、どちらの枠組みを使えばよいですか？
A. どちらか一方を選ばなければならないものではなく、両者は排他的な関係にありません。COSO ERMは内部統制の延長線上でリスク管理を体系化した枠組みで財務報告や内部統制との親和性が高く、ISO 31000は業種・規模を問わず使える汎用的な原則・プロセスを示す国際規格です。
内部統制報告制度（J-SOX）への対応を重視するならCOSOの構成要素を、汎用的な運用の仕組みを整えたいならISO 31000を軸にするなど、自社の目的に合わせて参照します。実務では両者を組み合わせて使うことも一般的です。
Q. ERM（全社的リスクマネジメント）とGRC・GRCツールはどう関係しますか？
A. GRCはガバナンス（Governance）・リスク（Risk）・コンプライアンス（Compliance）を統合的に扱う考え方で、ERMはそのうちリスク管理を全社的に実践する取り組みにあたります。
GRCツールは、全社のリスク情報を一元管理し、評価・対応・モニタリングの状況を可視化するシステムで、表計算ソフトによる属人的な管理の限界を超えてERMを継続的に回す土台になります。所管部署の運用負荷を抑えながら体制を定着させたい場合に、導入が検討されます。
Q. 全社的リスクマネジメント（ERM）でよく聞く「3線モデル（3ラインモデル）」とは何ですか？
A. 3線モデル（3ラインモデル）とは、リスク管理の役割を「事業部門（1線）」「リスク管理・コンプライアンス部門（2線）」「内部監査部門（3線）」の3つの防衛線に分けて整理する考え方です。
1線が日々の業務でリスクを直接管理し、2線が全社の枠組みづくりと監視を担い、3線が独立した立場でその有効性を検証します。役割と責任の所在を明確にすることで、リスク管理の抜け漏れや重複を防ぎやすくなり、ERMの体制設計で広く参照されます。
Q. 全社的リスクマネジメント（ERM）における「リスクアペタイト（リスク選好）」とは何ですか？
A. リスクアペタイト（リスク選好）とは、企業が目的を達成するうえで、どの程度までリスクを取ってよいかを示す許容度の方針です。COSO ERMでは、事業体のリスク選好に応じてリスクを管理できるように設計することが重視されています。
リスクアペタイトをあらかじめ経営として定めておくと、リスクを一律に避けるのではなく、取るべきリスクと避けるべきリスクを切り分け、経営資源を重要なリスクへ配分する判断がしやすくなります。
GRCツールの料金・資料を一括チェック
MCB FinTechカタログでは、ERM体制の構築・運用を支援するGRCツールの最新資料をまとめて確認できます。気になるサービスの料金や機能を比較し、自社の体制づくりの検討にお役立てください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
