自然災害やサイバー攻撃、取引先の経営悪化、情報漏えいなど、企業を取り巻くリスクは年々多様化しています。こうした事態に備えて危機管理体制やリスク管理の規程を見直す動きが広がる一方で、社内では「危機管理」「リスク管理」「リスク分析」という言葉が人によってばらばらに使われ、整理しきれないまま議論が進みがちです。
これらの言葉はどう違い、どのような関係にあるのでしょうか。そして、その中心にある「リスク分析」は、実際にどう進めればよいのでしょうか。
本記事では、まず危機管理・リスク管理（リスクマネジメント）・リスク分析の関係を整理します。そのうえで、リスクの洗い出しから発生可能性と影響度での評価、リスクマップの作り方、対策や事業継続計画（BCP）への接続までを順に解説します。自社でリスク分析に着手する際の手引きとしてご活用ください。
目次
一括ダウンロードする
危機管理・リスク管理（リスクマネジメント）・リスク分析の関係
ここからは、混同されやすい3つの言葉の関係を整理します。結論を先に示すと、リスク分析は「リスク管理（リスクマネジメント）」という大きな活動の一部にあたる工程です。危機管理は、このうち平常時の備えを担う狭い意味のリスク管理とは時間軸の異なる、有事の対応を受け持つ領域です。
ただし、予防から有事対応・復旧までを一つの体系として捉える広い意味のリスクマネジメントでは、危機管理もその中に含まれます（この広狭の違いは後ほど改めて整理します）。
3つの言葉の関係を、包含関係と時間軸で図にすると次のようになります。
用語の定義と包含関係
まず、リスクそのものの定義を確認します。国際規格のISO31000（日本ではJIS Q 31000:2019として同じ内容が規格化されています）は、リスクを次のように定めています。
リスク；目的に対する不確かさの影響（ISO31000）
出典：リスクマネジメントと危機管理 ～想定内と想定外：原点に戻って考える～（指田朝久）｜総務省 公開資料
・NOTE1 影響とは、期待されていることから乖離することをいう。影響には好ましいもの、好ましくないもの、またはその両方の場合があり得る。
リスクは損失だけを指すのではなく、好ましい影響も含む幅広い概念として定義されている点が特徴です。このリスクについて組織を指揮・統制する一連の活動が「リスク管理（リスクマネジメント）」で、その中核的な工程として位置づけられるのが「リスクアセスメント」です。
リスクアセスメントは、次の3つの工程からなります。リスク分析は、このうちの2番目の工程にあたります。
出典：制御システムのセキュリティリスク分析ガイド【活用の手引き 第2版】（ISO/IEC 27000:2018＝JIS Q 27000:2019の規定を引用）｜情報処理推進機構（IPA）
- リスクアセスメント：リスク特定、リスク分析及びリスク評価のプロセス全体
- リスク特定：リスクを発見、認識及び記述するプロセス
- リスク分析：リスクの特質を理解し、リスクレベルを決定するプロセス
- リスク評価：リスク及び／又はその大きさが受容可能か又は許容可能かを決定するために、リスク分析の結果をリスク基準と比較するプロセス
リスク分析は単独で成り立つ作業ではなく、「リスクを洗い出し（特定）→その大きさを分析し（分析）→対応の要否を判断する（評価）」という流れの真ん中に置かれる工程です。本記事が主題とするのは、この「分析」を自社でどう進めるかという点になります。
以下は、ここまでの用語の関係を整理したものです。
| 用語の関係 | リスク管理（リスクマネジメント） | リスクアセスメント | リスク分析 | 危機管理（クライシスマネジメント） | 事業継続計画（BCP） |
|---|---|---|---|---|---|
| 時間軸 | 平常時〜有事〜復旧（広義） | 平常時（事前） | 平常時（事前） | 有事（事後） | 策定は事前・発動は有事 |
| 役割 | リスクについて組織を指揮・統制する活動全体 | リスク特定→リスク分析→リスク評価の3工程 | リスクの特質を理解しリスクレベルを決定する | 発生した危機の被害を最小化し早期復旧を図る | 重要な事業を中断させない／早期に復旧させる計画 |
| リスク分析との関係 | リスク分析を含むプロセス全体を管理する | リスク分析を内側に含む工程のまとまり | リスクアセスメントの中の1工程（本記事の主題） | 備えていたリスクが顕在化した後の対応にあたる | リスク分析の結果を踏まえて策定する |
事前・事後の時間軸で見る危機管理とリスク管理
リスク管理と危機管理の違いは、時間軸で捉えるとわかりやすくなります。リスク管理が平常時からの備えを指すのに対し、危機管理は事態が起きた後の対応を指します。
危機管理（クライシスマネジメント）という言葉には、有事への備えと、実際に起きた後の対応の両方のニュアンスがあります。大辞林は、不測の事態にあらかじめ備えて被害を最小限に食い止めるための対策、という備えの面から説明しています。
一方、リスク管理と対比して使うときは、顕在化した後の対応を指すことが多くなります。想定していたリスクが対応策の範囲を超える規模で顕在化した場合や、想定外のリスクで被害が甚大になった場合の対応です。本記事では、この顕在化後の対応という面に焦点を当てて整理します。
事態の程度によって呼び方が変わる点も、整理に役立ちます。総務省の公開資料では、事態の深刻さの順にIncident（インシデント）< Emergency（緊急事態）< Crisis（危機）< Disaster（災害）< Catastrophe（破局）と並べられています。想定内の範囲で対応できるものがインシデントや緊急事態、想定を超えて深刻なものが危機や災害にあたる、という整理です。
この整理に立つと、リスク分析は「平常時に、将来起こりうる事態に備えて行う作業」だとわかります。分析で備えを固めておくほど、いざ危機が起きたときの被害を小さく抑えられます。ここで挙げた深刻さの段階は、後述するリスク分析で影響度のものさしを考えるときの目安としても使えます。
さらに、阪神・淡路大震災の教訓をもとに制定されたJIS Q 2001では、予防（事前）・事件事故発生直後の対応・復旧という3つの時間軸をすべて含む概念として、広い意味での「リスクマネジメント」が定義されました。危機管理もこの広義のリスクマネジメントに含まれる、という捉え方です。
リスク分析の進め方（手順）
ここからは、リスク分析を実際にどう進めるかを手順に沿って解説します。前述のとおり、リスク分析はリスクアセスメントの中の工程なので、前後のリスク特定・リスク評価と合わせて3ステップで捉えると、自社の作業に落とし込みやすくなります。
リスク管理の全体像では、関係者との意思疎通、組織の状況の確定、リスクアセスメント（特定・分析・評価）、リスク対応、モニタリングという流れで進みます（ISO31000）。本記事で扱うのは、この中核にあたるリスクアセスメントの3工程です。
リスクアセスメントは「結果及びその確からしさによってリスクを分析する構造化されたプロセス」と位置づけられ、次の問いに答えるものとされています。どのようなことが起こりうるか、その結果は何か、発生する確からしさはどの程度か、リスクのレベルは受容できるか――この問いの立て方が、そのまま手順の骨格になります。
1. リスクの洗い出し（リスク特定）
最初の工程は、自社が直面しうるリスクを漏れなく洗い出すことです。リスク特定は「リスクを発見、認識及び記述するプロセス」と定義されており、この段階では大きさの判断はまだ行わず、候補を幅広く挙げることに専念します。
洗い出しの切り口を用意しておくと、見落としを防げます。事業を止めかねない事象を、災害・事故などの外的要因と、人為的ミス・不正・システム障害などの内的要因に分け、部門ごとに業務の流れに沿って挙げていく方法が代表的です。過去に発生したトラブルや、ヒヤリとした事例を集めることも、具体的なリスクの発見につながります。
洗い出したリスクは、一覧（リスク一覧表やリスク台帳と呼ばれます）にまとめ、それぞれに担当部門を割り当てておきます。この一覧が、次の分析・評価の土台になります。
2. 発生可能性と影響度でリスクの大きさを分析する（リスク分析）
洗い出したリスクの一つひとつについて、その大きさを見積もるのがリスク分析です。規格はリスク分析を「リスクの特質を理解し、リスクレベルを決定するプロセス」と定義しています。
リスクの大きさは、一般に2つの軸で捉えます。1つはそのリスクがどれくらい起こりやすいか（発生可能性）、もう1つは起きたときにどれくらいの被害になるか（影響度）です。実務では、この発生可能性と影響度をそれぞれ数段階の尺度で評価し、2つを組み合わせてリスクの大きさ（リスクレベル）を見積もる方法が広く使われています。
評価の尺度は、自社の実態に合わせて具体的に決めておくことが重要です。発生可能性であれば「年に1回以上／数年に1回／10年に1回程度」、影響度であれば「想定損失額」や「事業停止日数」といった形で、誰が評価しても同じ結果になる基準を言葉で定めておくと、部門をまたいだ比較ができます。
2つの軸の組み合わせ方にはいくつかあります。たとえば、発生可能性と影響度をそれぞれ3段階に区切って数値に置き換え、掛け合わせたスコア（1〜9）でリスクレベルを高・中・低に分ける方法です。次章で解説するリスクマップのように、2軸上の位置でレベルを読み取る方法もあります。これらは規格が定める計算式ではなく、実務で広く使われている考え方です。自社で扱いやすい方法を1つ決めておくと、評価がぶれません。
出典・参考資料（3件）
3. 対応の優先順位をつける（リスク評価）
最後の工程は、分析したリスクの大きさをもとに、どのリスクから手を打つかを判断するリスク評価です。規格では「リスク分析の結果をリスク基準と比較するプロセス」とされ、あらかじめ定めた許容ラインと照らし合わせて、対応が必要かどうかを決めます。
すべてのリスクに同じだけの資源を割くことはできません。発生可能性も影響度も大きいリスクを最優先に据え、どちらかが小さいリスクは監視にとどめる、といった形で優先順位を整理します。この優先順位を一目で見えるようにする道具が、次に解説するリスクマップです。
リスクマップ（リスクマトリクス）の作り方と読み方
ここからは、リスク分析の結果を見える化するリスクマップについて解説します。リスクマップ（リスクマトリクスとも呼ばれます）は、縦軸と横軸でリスクの大きさを表し、どのリスクから対応すべきかを直感的に掴めるようにした図です。
縦軸＝影響度、横軸＝発生可能性のものさしを決める
リスクマップは、縦軸に影響度、横軸に発生可能性をとった表として作ります。それぞれの軸を3〜5段階に区切り、リスク分析で見積もった各リスクを、該当するマスに配置していきます。
軸の段階は、リスク分析で決めた尺度をそのまま使います。たとえば影響度を「軽微／中程度／重大」の3段階、発生可能性を「低い／中程度／高い」の3段階とすれば、3×3の9マスのマップができあがります。段階を細かくするほど精密になりますが、評価の手間も増えるため、まずは3段階から始めて運用しながら調整する進め方が現実的です。
自社のリスクを当てはめた例
具体的にイメージするために、3つのリスクを3×3のマップに当てはめてみます。
- 主要取引先の倒産：発生可能性は中程度、影響度は重大。マップの右上寄りに位置し、優先的な対応が必要
- 自然災害による工場の被災：発生可能性は低いものの、影響度は重大。影響が大きいため、BCPでの備えを検討する領域
- 従業員の操作ミスによる軽微なデータ誤入力：発生可能性は高いが、影響度は軽微。手順の整備や点検で抑える領域
同じ「対応が必要なリスク」でも、発生可能性と影響度のどちらが高いかによって、打つべき手は変わります。マップに置くことで、その違いが一目で見えるようになります。
象限ごとの対応方針（右上から着手する）
リスクマップは、位置によって対応方針を読み分けます。発生可能性と影響度の高低の組み合わせごとに、基本となる対応方針は次のように整理できます。
| 象限と対応方針 | 右上 | 左上 | 右下 | 左下 |
|---|---|---|---|---|
| 発生可能性 | 高い | 低い | 高い | 低い |
| 影響度 | 大きい | 大きい | 小さい | 小さい |
| 基本の対応方針 | 最優先で対策を講じる（低減・移転） | 保険や事業継続計画（BCP）で備える | 日常の手順・チェックで抑える | 当面は受け入れて監視する |
この象限ごとの方針が、次に解説する「リスクへの具体的な対応」につながっていきます。
分析結果を対策・BCP・危機管理につなげる
ここからは、リスク分析で見えた優先順位を、実際の対策や有事の備えにどうつなげるかを解説します。分析は、それ自体が目的ではなく、対応を決めるための材料です。
リスク対応の4つの選択肢
優先順位をつけたリスクには、性質に応じた対応を選びます。実務では、回避・低減・移転・保有という4つの考え方で整理されることが一般的です。回避はリスクのある活動自体をやめること、低減は発生可能性や影響度を下げる対策を打つこと、移転は保険や契約で損失を他に引き受けてもらうこと、保有はリスクを受け入れて自社で備えることを指します。
リスクマップの右上にある大きなリスクは低減や移転を中心に、左下の小さなリスクは保有して監視するなど、象限ごとの方針と対応の選択肢を結びつけると、資源の配分に筋が通ります。
BCP・危機管理マニュアルへの接続
影響度が特に大きいリスクは、平常時の対策だけでなく、万一起きた場合にどう事業を継続・復旧するかという備えが必要です。ここで事業継続計画（BCP）や危機管理マニュアルが関わってきます。
総務省の資料では、国際規格が時間軸ごとに役割を分担している様子が整理されています。日常のリスク管理はISO31000、事業継続はISO22301、緊急事態への対応はISO22320が扱う、という分担です。
出典：リスクマネジメントと危機管理 ～想定内と想定外：原点に戻って考える～（指田朝久）｜総務省 公開資料
- ISO31000 リスクマネジメントー原則及び指針：日常の活動が対象 予防、抑制、軽減、準備など
- ISO22301 社会セキュリティー事業継続マネジメントシステムー要求事項：BCPについて、日常の組織活動のPDCAをはじめ、万が一事業継続計画の発動後の組織活動の要領および復旧にむけた取り組みなど時間軸のすべてを規定
- ISO22320 社会セキュリティー緊急事態管理ー危機対応に関する要求事項：あらかじめ想定される事件や事故発生時の組織や情報収集・整理・行動要領など 政府や公的組織の応援、協調などを想定
リスク分析で優先順位の高いリスクを特定し、そのうち事業の継続に関わるものをBCPへ、発生時の初動が問われるものを危機管理マニュアルへと振り分けていくと、平常時の分析と有事の備えが一本の流れでつながります。
モニタリングと定期的な見直し
リスク分析は一度行えば終わりではありません。事業環境や法令、取引関係は変化し、新たなリスクも生まれます。対策の実施状況を定期的に点検し、リスク一覧やリスクマップを更新する運用を組み込むことで、分析が形だけのものにならずに機能し続けます。
こうしたリスク管理体制の整備は、会社法の観点からも求められています。会社法第362条第4項第6号は、取締役会が内部統制システム（業務の適正を確保する体制）の整備を決定することを定めています。その具体的な内容を定めた会社法施行規則第100条第1項第2号では、「損失の危険の管理に関する規程その他の体制」が挙げられています。リスク管理体制の整備は、内部統制の一要素として位置づけられているわけです。
一括ダウンロードする
リスク分析・危機管理を仕組みにするGRC／ERMツール
ここまで解説した、リスクの洗い出し・発生可能性と影響度での評価・リスクマップ化・継続的な見直しは、表計算ソフトでも始められます。一方で、リスクの件数が増え、部門をまたいで運用し続けようとすると、更新や集計の手間が大きくなりがちです。こうした一連の作業を仕組みとして支えるのが、全社的リスク管理（ERM）型のGRC（ガバナンス・リスク・コンプライアンス）ツールです。
これらのツールは、リスク一覧（リスクレジスタ）での一元管理、発生可能性と影響度にもとづく評価、リスクマップやヒートマップでの可視化、対応状況のモニタリングといった機能を備えています。ここでは、代表的なサービスを比較します。
| サービス名 | Enterprise Risk MT（ERMT） | Diligent One Platform | MetricStream |
|---|---|---|---|
| 提供形態 | 国産（国内開発） | 海外（米国） | 海外（米国） |
| リスクアセスメント（特定・分析・評価） | ● | ● | ● |
| リスクの評価方式 | 発生可能性と重大度から リスクレベルを算出 | 影響度と発生可能性を設定 | 加重平均方式 （固有・残存リスク） |
| リスクマトリクス／ヒートマップ | ●リスクマトリックス標準装備 | △発表資料で言及 | ●ヒートマップで可視化 |
| モニタリング・継続運用 | ●対応状況の進捗管理・アラート | ●閾値監視・違反時のアラート | ●KRI・KCIのしきい値監視 |
| 日本語対応・国内提供 | 国内開発・国内提供 | 日本法人あり （日本語ERMページは未整備） | 国内拠点・日本語UIは 公式で確認できず |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※上記は2026年10月時点の各サービスの公式情報にもとづく機能の概要です。実際の提供範囲や詳細は各社の最新情報をご確認ください。
1. Enterprise Risk MT（ERMT）（株式会社GRCS）
Enterprise Risk MT（ERMT）は、ISO31000に準拠した全社的リスク管理（ERM）を支援する国産のクラウドツールです。リスクの特定・分析・評価というリスクアセスメントの一連の流れを画面上で進められる点が特徴です。
発生可能性と重大度からリスクレベルを算出し、リスクマトリックスやリスクマップとして可視化する機能を標準で備えています。リスクへの対応状況を管理してモニタリングできるため、本記事で解説した「洗い出し→評価→マップ化→継続運用」の流れをそのまま仕組みに乗せられます。スモールスタートにも対応しており、これからリスク分析の体制を整える企業でも段階的に始められます。
2. Diligent One Platform（Diligent Corporation）
取締役会・経営層へのリスクの可視化に重点を置くガバナンス支援基盤が、Diligent One Platformです。全社的リスク管理（ERM）の製品群を備えています。リスクの影響度と発生可能性を設定し、閾値を超えた際のアラートやリスク一覧の定期的な点検など、継続運用を支える機能が用意されています。
取締役会向けのリスク報告や、リスクスコアと許容ライン（リスクアペタイト）の比較など、経営層に向けたリスクの可視化に対応します。海外発のサービスですが、日本法人を通じた国内提供も行われています。ただし、日本語ページでのリスク管理機能の説明は限られるため、導入を検討する際は提供範囲を直接確認するとよいでしょう。
3. MetricStream（MetricStream, Inc.）
MetricStreamは、全社的リスク管理（ERM）をはじめとするGRC領域を幅広くカバーするグローバルなプラットフォームです。リスクレジスタによる特定から、固有リスクと残存リスクを分けた評価、リスクヒートマップでの可視化、主要なリスク指標の閾値監視まで、リスク分析を仕組み化する機能を備えています。
リスクの評価方式は、簡易な方法と、加重平均などを使った詳細な方法の2種類から選べます。閾値を超えた際のリスク所有者への自動通知など、継続運用を支える仕組みも整っています。海外発のサービスで、日本語での提供範囲や国内サポートについては公式サイトからは明確にされていないため、検討にあたっては提供体制を確認するとよいでしょう。
ここで取り上げた3サービスのほかにも、GRCツールには対応領域や企業規模の異なる製品が数多くあります。自社のリスク管理に合う製品を具体的に比較・検討したい場合は、4つのタイプ別の分類や失敗しない選び方まで解説した以下の記事もご覧ください。
まとめ
危機管理とリスク分析は混同されがちですが、時間軸で捉えると整理できます。リスク分析は平常時に行う「リスクアセスメント（特定→分析→評価）」の中核の工程で、危機管理はそのリスクが顕在化した後の対応にあたります。
リスク分析は、リスクを洗い出し、発生可能性と影響度の2軸で大きさを見積もり、優先順位をつける流れで進めます。結果をリスクマップで可視化し、象限ごとの方針にもとづいて対策・BCP・危機管理へとつなげ、定期的に見直すことで、分析が実際のリスク低減につながります。まずは自社のリスク一覧を作り、2軸で並べてみるところから始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. リスク分析とは何ですか？
A. リスク分析とは、洗い出したリスクの特質を理解し、発生可能性と影響度からリスクの大きさ（リスクレベル）を見積もる作業です。リスクマネジメントの用語を定めた規格（JIS Q 27000 など）でも「リスクの特質を理解し、リスクレベルを決定するプロセス」と定義されています。
リスク分析は単独で完結する作業ではなく、リスク特定（洗い出し）→リスク分析→リスク評価（優先順位づけ）という「リスクアセスメント」の真ん中に位置する工程です。
Q. 危機管理とリスク管理（リスクマネジメント）はどう違いますか？
A. 危機管理とリスク管理の違いは時間軸にあり、リスク管理が平常時からの備えを指すのに対し、危機管理は危機が実際に起きた後の被害最小化・早期復旧の対応を指します。リスク分析は、リスク管理の一部として平常時に行う作業です。
平常時の分析で備えを固めておくほど、いざ危機が起きたときの被害を小さく抑えられます。両者は対立するものではなく、時間軸の異なる一連の取り組みとして捉えるのが実務的です。
Q. リスク分析とリスクアセスメントは何が違いますか？
A. リスクアセスメントはリスク特定・リスク分析・リスク評価の3工程をまとめた呼び方で、リスク分析はそのうちの2番目の工程にあたります。両者は包含関係にあり、同じものではありません。
洗い出したリスク（特定）の大きさを発生可能性と影響度で見積もるのがリスク分析、その結果をもとに対応の要否や優先順位を判断するのがリスク評価です。
Q. リスクマネジメントは具体的にどのような流れで進めますか？
A. リスクマネジメントは、①関係者とのコミュニケーション・協議、②組織の状況の確定、③リスクアセスメント（特定・分析・評価）、④リスク対応、⑤モニタリング・見直しという流れで進め、これらを繰り返しながら運用します。
本記事で解説したリスクの洗い出し・分析・優先順位づけは、この流れの中の③リスクアセスメントにあたります。分析して終わりにせず、対応とモニタリングまで一連で回すことが重要です。
Q. リスクマトリクスの軸はどう決めればよいですか？
A. リスクマトリクスは縦軸に影響度、横軸に発生可能性をとり、それぞれを自社の実態に合わせて3〜5段階に区切って決めます。段階を細かくするほど精密になりますが評価の手間も増えるため、まずは3段階から始めるのが現実的です。
軸の尺度は、発生可能性なら「年に1回以上／数年に1回／10年に1回程度」、影響度なら「想定損失額」や「事業停止日数」のように、誰が評価しても同じ結果になる基準を言葉で定めておくと、部門をまたいだ比較ができます。
Q. リスク分析は社内の誰が行うものですか？
A. リスク分析に決まった担当部署の定めはありませんが、総務・経営企画・リスク管理部門などが事務局となり、各リスクに詳しい現場部門を巻き込んで全社で行うのが一般的です。特定の部門だけで完結させると、現場のリスクの見落としが生じやすくなります。
リスク管理体制の整備は会社法上、取締役会が決定すべき内部統制システムの一要素（損失の危険の管理に関する体制）とされているため、経営層の関与のもとで進めることが求められます。
GRCツール・リスク管理ツールの料金・資料を一括チェック
MCB FinTechカタログでは、リスクの洗い出しから評価・可視化・継続運用までを支えるGRC・ERMツールの最新資料を無料で一括請求できます。機能や対応領域を比べて、自社のリスク分析に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
