社内の会議や規程づくりの場で、「リスクマネジメント」と「危機管理」という言葉が同じ意味のように飛び交っていませんか。体制図や提案書に落とし込もうとすると、両者をどこで線引きすればよいのか、自分でも曖昧なまま手が止まってしまうことがあります。
この2語は、重なる部分を持ちながらも「いつ・何を対象に・何のために取り組むか」が異なります。違いを正しく押さえられれば、自社で何を・どの順で整備すべきかも見えてきます。では、どこで線を引けばよいのでしょうか。
本記事では、リスクマネジメントと危機管理の違いを冒頭の比較表で早わかりできる形に整理し、ISO 31000 や内閣法の定義をもとに、両者の関係（包含か並列か）と、自社での整備手順までを解説します。2語の違いを押さえたい方や、自社のリスクへの備えを見直したい方が、考え方を整理する土台としてご活用ください。
目次
一括ダウンロードする
リスクマネジメントと危機管理の違い【比較表で早わかり】
まず結論から整理します。リスクマネジメントは「平時に、起こりうるリスクへ事前に備える」取り組みで、危機管理は「有事に、実際に起きた重大事態へ対処し早期復旧をはかる」取り組みです。対象とするタイミングと目的が異なる、と押さえると線引きがはっきりします。
リスクマネジメントは想定できるリスクにあらかじめ備える「想定内への対応」、危機管理は想定を超えて起きた重大事態への「想定外への対応」と対比すると分かりやすくなります。総務省が公開する資料でも、両者は想定内と想定外という切り口で整理されています。
出典・参考資料（1件）
両者の役割分担を時間軸で示すと、次のとおりです。
| 比較項目 | リスクマネジメント | 危機管理（クライシスマネジメント） |
|---|---|---|
| 主な対象 | 発生前に想定される、あらゆる不確かさ（リスク） | 実際に発生した重大な事態（危機） |
| タイミング | 平時・事前 | 有事・事後（発生直後から復旧まで） ※法令上の定義は発生の防止も含むが、体制設計上は事後対応を主眼に置くと役割が明確になる |
| 目的 | リスクの発生や影響を抑える（予防・低減） | 被害を最小限にとどめ、事業を早期に復旧する |
| 代表的な施策 | リスクの洗い出しと評価、内部統制、保険、マニュアル整備、教育・訓練 | 初動対応、対策本部の設置、情報開示・広報、安否確認、復旧活動 |
各語の定義は本文で解説する規格・公的定義にもとづく。
ここからは、それぞれの言葉の定義を規格・公的定義にもとづいて確認します。
リスクマネジメントとは（ISO 31000 の定義）
リスクマネジメントとは、組織が直面するリスクを洗い出して評価し、対応策を講じて影響をコントロールする一連の活動です。ここでいう「リスク」は、国際規格 ISO 31000（日本産業規格では JIS Q 31000）で次のように定義されています。
リスク：目的に対する不確かさの影響
出典：JIS Q 31000:2019「リスクマネジメント－指針」（対応国際規格 ISO 31000:2018）箇条3.1｜日本規格協会
この定義のポイントは、リスクを「悪い結果」だけに限定していない点です。「目的に対する不確かさの影響」には、目的の達成を妨げる脅威だけでなく、好ましい方向の影響（機会）も含まれます。このようにリスクマネジメントは、損失の回避にとどまらず、不確かさそのものを管理して目的達成の確度を高める取り組みだと捉えられます。
危機管理（クライシスマネジメント）とは（内閣法の定義）
危機管理は、重大な被害をもたらす緊急事態に直面したときの対処を指します。国の法令では、内閣法第15条が危機管理を次のように定義しています。
危機管理（国民の生命、身体又は財産に重大な被害が生じ、又は生じるおそれがある緊急の事態への対処及び当該事態の発生の防止をいう。）
出典：内閣法（昭和二十二年法律第五号）第十五条第二項｜e-Gov法令検索
注目したいのは、法令上の危機管理が「緊急事態への対処」だけでなく「当該事態の発生の防止」まで含んでいる点です。一般には危機管理を「起きた後の対応」と捉えがちですが、厳密には発生を防ぐ段階も射程に入ります。この点が、後述するとおり2語が混同されやすい一因になっています。
この条文は国（政府）の危機管理を定めたものですが、重大事態に備えて対処するという基本的な考え方は企業の危機管理にも共通します。本記事では、体制設計での役割分担を明確にするため、予防（事前）をリスクマネジメント、発生後の対処（事後）を危機管理として整理します。
出典・参考資料（1件）
2語の関係：包含か並列か（規格で読み解く）
ここからは、リスクマネジメントと危機管理の関係を整理します。危機管理の方が広いとする見方もあれば、「リスクマネジメントの一部が危機管理」「両者は並列」とする見方もあり、解説によって説明が分かれる論点ですが、規格の変遷をたどると筋道が見えてきます。
先に実務の結論を述べると、「事前の予防＝リスクマネジメント／事後の対処＝危機管理」と役割で使い分けるのが実態に合います。そのうえで、なぜ解説ごとに説明が分かれるのかを、規格の変遷から見ていきましょう。
かつて日本には、JIS Q 2001「リスクマネジメントシステム構築のための指針」（2001年制定）という規格がありました。この規格は、広い意味のリスクマネジメントを「①事前の予防策（狭義のリスクマネジメント）、②事態発生直後の対応（危機管理）、③復旧」という3つの時間軸で捉えていました。この整理では、危機管理は広義のリスクマネジメントに含まれる事後フェーズという位置づけになります。
ただし、JIS Q 2001 は2010年に廃止され、JIS Q 31000 に置き換えられています。現行の ISO 31000:2018（JIS Q 31000:2019）は、リスクを「目的に対する不確かさの影響」と広くとらえる一般的なリスクマネジメントの枠組みです。
この現行規格は、「広義のリスクマネジメントが危機管理や復旧まで包含する」という階層をそのまま規定しているわけではありません。したがって、3段階の包含関係は「かつての JIS Q 2001 の考え方」として押さえるのが正確です。
では、実務ではどう使い分ければよいのでしょうか。現行規格と法令の定義をあわせると、平時に不確かさを洗い出して備える段階をリスクマネジメント、重大事態が起きた（あるいは起きそうな）局面での対処を危機管理、と役割で切り分けるのが実態に合います。両者は対立するものではなく、平時の備えが有事の対応力を支えるという意味で連続した取り組みです。
広義のリスクと投機的リスク（機会も含む不確かさ）
リスクマネジメントを理解するうえで押さえておきたいのが、リスクには「損失だけをもたらすもの」と「損失にも利益にもつながりうるもの」がある点です。火災や事故、情報漏えいのように損失しか生まない純粋リスクに対し、新規事業や為替・投資のように結果が上下どちらにも振れるものは投機的リスク（ビジネスリスク）と呼ばれます。
ISO 31000 がリスクを「目的に対する不確かさの影響」と中立にとらえているのは、この両方を視野に入れているためです。危機管理が主に純粋リスクの顕在化（重大事態）に備えるのに対し、リスクマネジメントは投機的リスクも含めて「目的達成を揺るがす不確かさ」を幅広く扱う、という違いにもつながります。
なぜ混同されるのか・使い分けると何が変わるか
2語が混同される背景には、いくつかの理由があります。ひとつは、先に触れたとおり法令上の危機管理が「発生の防止」という事前の要素まで含むため、「事前はリスクマネジメント、事後は危機管理」という単純な線引きと重なりが生じる点です。もうひとつは、両者を同義として扱う文書が実在することです。たとえば厚生労働省の福祉分野の指針では、「危機管理（リスクマネジメント）」と両語を併記しています。
とはいえ、言葉を使い分ける実務的な意味は小さくありません。体制図や規程で両者を区別すると、「平時に誰がリスクを評価し対策の進捗を管理するのか」「有事に誰が意思決定し初動を指揮するのか」という役割と責任の所在が明確になります。平時の担い手と有事の指揮系統を同じ箱にまとめてしまうと、いざというときに権限や連絡経路が曖昧になりかねません。用語の線引きは、体制設計の出発点なのです。
具体例でみる事前と事後
ここからは、身近なリスクを例に、事前（リスクマネジメント）と事後（危機管理）の切り分けを具体的にみていきます。自社の状況に当てはめながら読むと、両者の役割の違いがつかみやすくなります。
地震を例にとると、建物の耐震補強や什器の固定、備蓄の確保、避難訓練の実施は、被害を未然に小さくするための事前の備え＝リスクマネジメントにあたります。一方、実際に地震が発生した後の安否確認、避難誘導、事業の復旧は、起きた事態への対処＝危機管理です。
情報漏えいであれば、アクセス権限の管理やログ監視、従業員教育が事前の対策で、漏えい発覚後の原因調査・影響範囲の特定・関係者への通知・再発防止が事後の対応になります。企業の不祥事も同様に、内部統制やコンプライアンス教育で「起こさない」仕組みを整えるのがリスクマネジメント、発覚後の調査・公表・信頼回復に動くのが危機管理です。
いずれのケースも、平時の備えが手厚いほど、有事の初動と復旧が速くなるという関係にあります。
自社でどう整備するか：体制構築から復旧までの手順
ここからは、リスクマネジメントと危機管理を自社の体制に落とし込む手順を整理します。平時の備えと有事の対応を一つの流れとして設計するのがポイントです。
整備の基本ステップ
整備は、おおむね次の流れで進めます。最初から完璧をめざすのではなく、一巡させてから見直しを重ねる前提で考えると着手しやすくなります。
- 体制の構築：平時のリスク管理の担当部門と、有事の意思決定者・対策本部の指揮系統を決めます。
- リスクアセスメント：自社が直面しうるリスクを洗い出し、発生可能性と影響度で評価して優先順位をつけます。
- 対応策とマニュアルの整備：優先度の高いリスクへの予防策と、有事の初動・連絡・復旧の手順を文書化します。
- 訓練・教育：マニュアルにもとづく訓練や従業員教育を行い、実際に機能するかを確かめます。
- 有事の対応：事態が発生したら、あらかじめ定めた指揮系統で初動・情報開示・被害最小化にあたります。
- 復旧と見直し：事業を復旧させ、対応の振り返りをもとに体制・マニュアルを改善します。
1〜4が平時のリスクマネジメント、5〜6が有事の危機管理にあたり、6の見直しがふたたび1〜4へ還流します。この循環を回し続けることが、体制を形骸化させないコツです。
特に有事で差が出るのは、3つ目の「対応策とマニュアルの整備」で、マニュアルに「誰が・どの段階で動くか」を具体的に落とし込めているかです。重大度に応じた危機レベルの区分（たとえば平常・注意・緊急）と、各レベルで誰にどの基準で報告・エスカレーションするかの判断基準を、あらかじめ決めておくとよいでしょう。
あわせて、緊急連絡網、対策本部の構成と権限、情報開示・広報の窓口と手順も様式として定めておくと、初動の迷いを減らせます。これらは担当者が変わっても使えるよう平時から更新し、訓練で実際に回るかを確かめておくことが重要です。
BCP・BCM との位置関係
整備を進めると、BCP（事業継続計画）や BCM（事業継続マネジメント）という言葉にも行き当たります。中小企業庁の「中小企業BCP策定運用指針」は、BCP を緊急事態への備えと位置づけています。
BCP とは、こうした緊急事態への備えのことをいいます。
出典：中小企業庁「中小企業BCP策定運用指針」入門コース｜中小企業庁
整理すると、BCP は「重大事態が起きても中核事業を止めない・早期に復旧させる」ための計画で、危機管理と重なる事後の備えにあたります。その BCP を策定・運用・改善として組織的に回す枠組みが BCM であり、国内では JIS Q 22301（対応国際規格 ISO 22301）が事業継続マネジメントシステムの要求事項を定めています。
リスクマネジメントで洗い出したリスクのうち、事業停止につながる重大なものに備える具体策が BCP、という関係で捉えると位置づけが明確になります。
出典・参考資料（2件）
事前も事後もツールで一元管理する
ここまで整理してきたリスクマネジメントと危機管理は、担当部門や扱う情報が分かれがちで、エクセルや個別の文書で別々に管理すると全体像が見えにくくなります。そこで活用されるのが、全社のガバナンス・リスク・コンプライアンスを一元的に扱う GRC（Governance, Risk, Compliance）ツールや、ERM（全社的リスクマネジメント）型のツールです。
こうしたツールを使うと、平時のリスクの洗い出し・評価・対策の進捗管理（事前）と、インシデント発生時の対応記録・復旧の管理（事後）を、同じ基盤の上でつなげて管理できます。リスク台帳やヒートマップで経営がリスクの全体像を把握し、有事には対応状況を記録して振り返りに生かす、という循環を一つの仕組みで回せる点が特長です。
自社に合うツールを選ぶ際は、対応したいリスクの範囲と、既存の業務やシステムとの連携のしやすさを軸に比較するとよいでしょう。
では、具体的にどのようなGRC・ERMツールがあるのでしょうか。以下の記事では、主要ツールの機能・料金・対応範囲やESG開示・委託先管理といった最新動向をふまえた選び方を横断で整理しています。事前・事後を一つの基盤で管理できるツールを具体的に比較したい方は、あわせてご覧ください。
一括ダウンロードする
よくある質問（FAQ）
Q. リスクマネジメントと危機管理は同じ意味ですか？
A. リスクマネジメントと危機管理は、同じ意味ではなく、取り組む「タイミング」と「目的」が異なります。リスクマネジメントは平時に起こりうるリスクを洗い出して事前に備える取り組みで、危機管理は実際に起きた重大事態へ対処し早期復旧をはかる取り組みです。
国際規格 ISO 31000（JIS Q 31000）はリスクを「目的に対する不確かさの影響」と定義し、内閣法第15条は危機管理を「緊急の事態への対処及び当該事態の発生の防止」と定めています。両者は対立するものではなく、平時の備えが有事の対応力を支えるという意味で連続した取り組みです。
Q. リスクマネジメントと危機管理は、どちらが広い概念ですか？
A. どちらが広いかは、よって立つ規格によって異なり、一概には決められません。かつての JIS Q 2001 は、広義のリスクマネジメントを「①事前の予防（狭義のリスクマネジメント）②危機管理 ③復旧」の3段階でとらえ、危機管理をリスクマネジメントに含まれる事後フェーズと位置づけていました。
ただし JIS Q 2001 は2010年に廃止され、現行の JIS Q 31000（ISO 31000）はこの包含関係をそのまま規定していません。そのため実務では、平時の備えをリスクマネジメント、有事の対処を危機管理と役割で使い分けるのが実態に合います。
Q. クライシスマネジメントとは何ですか？危機管理とは違うのですか？
A. クライシスマネジメントとは、危機管理の英語表現（crisis management）で、両者は基本的に同じ意味です。重大な被害をもたらす緊急事態に直面したときの対処と、その事態の発生を防ぐ段階までを指します。本記事でも「危機管理（クライシスマネジメント）」として同じものとして扱っています。
ただし内閣法第15条の定義では「当該事態の発生の防止」という事前の要素まで含まれるため、「起きた後の対応」だけに限られない点に注意が必要です。
Q. 危機管理とBCP（事業継続計画）は何が違うのですか？
A. BCPは、重大事態が起きても中核事業を止めない・早期に復旧させるための「計画」で、危機管理と重なる事後の備えにあたります。中小企業庁「中小企業BCP策定運用指針」はBCPを緊急事態への備えと位置づけています。
危機管理が有事の対処全般を指すのに対し、BCPはそのうち事業継続に焦点を当てた具体的な計画で、その策定・運用・改善を組織的に回す枠組みが BCM（事業継続マネジメント、国内では JIS Q 22301）です。リスクマネジメントで洗い出したリスクのうち、事業停止につながる重大なものに備える具体策がBCP、という関係で捉えると位置づけが明確になります。
Q. リスクマネジメントと危機管理は、まず何から整備すればよいですか？
A. まず、平時のリスク管理の担当部門と有事の対策本部の指揮系統を決める「体制の構築」から始め、続いて自社が直面しうるリスクの洗い出しと評価（リスクアセスメント）に着手します。その後は、対応策とマニュアルの整備→訓練・教育→有事の対応→復旧と見直し、という流れで一巡させ、見直しの結果を再び体制づくりへ還流させます。
最初から完璧をめざさず、一巡させてから改善を重ねる前提で進めると着手しやすくなります。
Q. リスクマネジメントで扱う「リスク」には、利益につながる不確かさも含まれますか？
A. 含まれます。ISO 31000 はリスクを「目的に対する不確かさの影響」と定義し、損失だけでなく好ましい方向の影響（機会）も対象にしています。火災や情報漏えいのように損失しか生まない純粋リスクに対し、新規事業や為替・投資のように結果が上下どちらにも振れるものは投機的リスク（ビジネスリスク）と呼ばれます。
主に純粋リスクの顕在化（重大事態）に備える危機管理と違い、リスクマネジメントは投機的リスクも含めて「目的達成を揺るがす不確かさ」を幅広く扱う点が特徴です。
Q. ERM（全社的リスクマネジメント）とは、従来のリスクマネジメントと何が違うのですか？
A. ERM（Enterprise Risk Management、全社的リスクマネジメント）は、部門ごとに個別に行われがちだったリスク管理を、全社横断で一元的にとらえ、経営の意思決定に結びつける考え方です。
従来のリスクマネジメントが現場・部門単位の対策に留まりやすいのに対し、ERM はリスクを全社のポートフォリオとして可視化し、優先順位をつけて経営資源を配分する点が特徴です。GRC・ERM ツールは、この全社横断の可視化と進捗管理を支える仕組みとして使われます。
まとめ
リスクマネジメントは平時にリスクへ事前に備える取り組み、危機管理は有事に重大事態へ対処し早期復旧をはかる取り組みで、対象とするタイミングと目的が異なります。かつての JIS Q 2001 は危機管理を広義のリスクマネジメントの事後フェーズと位置づけていましたが、現在は規格が置き換わっており、実務では「事前＝リスクマネジメント／事後＝危機管理」と役割で使い分けるのが実態に合います。
両者を区別して体制図や規程に落とし込むと、平時の担い手と有事の指揮系統が明確になり、いざというときに機能する備えにつながります。まずは自社のリスクを洗い出して評価し、体制・マニュアル・訓練を一巡させるところから始めてみてください。平時の備えと有事の対応を一つの仕組みで管理したい場合は、GRC・ERM ツールの比較もあわせて検討するとよいでしょう。
リスク管理・GRCツールの料金・資料を一括チェック
MCB FinTechカタログでは、全社のリスク管理や内部統制・コンプライアンスを支えるGRC・ERMツールの最新資料を無料で一括請求できます。対応範囲や既存システムとの連携のしやすさを、各社の資料でまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
