リスクマップ作成の進め方
企業法務と内部統制の実務

リスクマップとは、企業が抱える複数のリスクを、一定の評価軸に沿って整理し、全体像と優先順位を視覚化する資料です。典型的には縦軸を影響度、横軸を発生可能性とする二軸の整理で、右上に近いほど重大リスクとして扱います。

次の一覧は、リスクマップ作成の進め方で最初にそろえる基本用語を表しています。用語の意味がずれると部門間で評価がそろわないため重要です。読者は、固有リスクと残余リスク、統制とリスクオーナーの違いを読み取ってください。

リスクマップが必要な理由は、ばらばらの法務問題を同じ基準で比較し、経営会議や取締役会に説明しやすくするためです。少額の契約トラブルが多数ある状況と、発生可能性は低くても行政処分や上場維持に影響する開示リスクでは、優先順位が異なります。

次の3つの項目は、リスクマップが企業法務で果たす役割を表しています。部門ごとの個別対応から全社判断へ広げることが重要です。読者は、どの役割が自社の作成目的に近いかを確認してください。

リスク分類は、リスクマップの骨格です。分類が曖昧だと、同じリスクが重複して登録される一方で、重要リスクが抜けます。経営層が理解できる程度に粗く、実務担当者が行動できる程度に具体化します。

次の分類表は、企業法務で扱う代表的なリスク領域を表しています。分類の粒度をそろえることは、部門間の比較と対応責任の整理に重要です。読者は、自社の事業に照らして不足している大分類と中分類を読み取ってください。

評価基準は、リスクマップ作成の進め方で最も重要な工程です。影響度と発生可能性を1から5で採点する場合でも、基準が曖昧だと評価者の心理や部門の利害に左右されます。

次の表は、企業法務向けの影響度基準を表しています。金額だけでなく、法的責任、行政処分、刑事事件、事業停止、人的被害、信用、開示、役員責任を含めて見ることが重要です。読者は、自社規模に合わせて金額基準を調整する前提で読んでください。

次の表は、発生可能性の基準を表しています。過去に発生していないことだけで低く見積もると、未経験リスクを見落とすため重要です。読者は、頻度、曝露量、兆候、統制不備、業界動向を合わせて確認してください。

次の表は、統制有効性の評価基準を表しています。固有リスクが高くても統制が強ければ残余リスクは下がり、固有リスクが中程度でも統制が未整備なら残余リスクが重大になるため重要です。読者は、規程の有無だけでなく運用証跡まで見てください。

次の補助軸は、影響度と発生可能性だけでは表しにくい企業法務リスクの性質を表しています。サイバー攻撃、情報漏えい、内部不正、適時開示のように短時間で重大化するリスクを見落とさないため重要です。読者は、点数に加えてどの補助軸で優先度が上がるかを読み取ってください。

固有リスク評価では、現行統制を考慮する前に、その業務や取引が本質的に持つリスクを評価します。大量の個人データ、人命・身体に影響する製品、業法規制が強い事業、委託先や海外子会社に依存する事業、重要知財や営業秘密を扱う事業などは、固有リスクが高くなりやすいです。

次の一覧は、固有リスクが高い傾向にある活動を表しています。現行統制がうまく機能しているかと、活動そのものの危険性を混同しないため重要です。読者は、自社の高曝露領域を読み取ってください。

統制評価では、規程が存在するだけでは不十分です。設計と運用の両面を確認し、証跡、教育、監査、ログ、アクセス権限棚卸し、委託先監査、インシデント時の実績まで見ます。

次の比較表は、統制設計と統制運用で確認する項目を表しています。設計だけの統制は実務で機能しないことがあるため重要です。読者は、規程、承認、記録、監視、実績のどこに弱点があるかを読み取ってください。

残余リスクは、固有リスク点数から統制点数を単純に引くだけで決めません。点数は意思決定の補助であり、統制の設計・運用、証跡、検知可能性、被害拡大防止、法定期限、横展開、リスク許容度を総合して判断します。

次の5×5整理は、影響度と発生可能性の組み合わせから優先度の目安を示しています。色や閾値は会社のリスク許容度で調整しますが、右上に近いほど優先対応が必要になる点を読むことが重要です。読者は、低頻度でも致命的な影響がある領域を後回しにしないよう確認してください。

次の重要リスク一覧は、リスクマップに載せる情報の粒度を表しています。図の中に短い名称だけを置くと後から意味が分からなくなるため重要です。読者は、ID、評価、残余評価、オーナー、期限が別紙のリスク登録簿へ紐づくことを読み取ってください。

対応方針は、回避、低減、移転、受容に分かれます。赤いリスクをすべてゼロにするのではなく、リスクを知らずに放置しないこと、受容を誰が承認したかを明確にすることが重要です。

次の表は、対応方針と企業法務での例を表しています。優先度を付けた後に具体策、責任者、期限、証跡、残余リスクまで落とし込むため重要です。読者は、自社の重大リスクがどの対応方針に当たるかを確認してください。

次の判断の流れは、評価から対応計画までを表しています。点数を付けただけでは実務が動かないため重要です。読者は、評価結果を責任者、期限、証跡、経営承認へつなげる順番を読み取ってください。

実務で使うリスク登録簿は、リスクマップの根拠資料です。先に登録簿を作り、そこから経営層向けの要約を作る方が、評価の再現性を保ちやすくなります。

次のテンプレートは、リスク登録簿に含める項目を表しています。図だけを先に作ると理由が後付けになりやすいため重要です。読者は、シナリオ、評価、統制、責任者、期限、証跡を一体で管理することを読み取ってください。

中小企業では、専任の法務部、内部監査部、CISO、DPOがないことも多くあります。その場合でも、主要十領域を三段階評価する簡易版から始めると、経営者が重大リスクと外部専門家の投入先を判断しやすくなります。

次の一覧は、中小企業が最初に対象にしやすい十領域を表しています。完璧な網羅よりも、経営に直結する重大リスクを自覚することが重要です。読者は、自社の事業規模に照らして優先確認領域を読み取ってください。

次の三段階基準は、中小企業向けの簡易評価を表しています。大企業と同じ詳細版でなくても、評価基準と対応責任者が明確なら実務に使えるため重要です。読者は、まず高・中・低の判断を文書化することを確認してください。

大企業・上場企業では、リスクマップを内部統制、開示、監査、取締役会監督と連携させます。法務、内部監査、J-SOX、情報セキュリティ、サステナビリティ、品質、労務で別々の分類を使うと経営層が比較しにくくなります。

次の高度化項目は、大企業・上場企業でリスクマップを経営管理へ接続する方法を表しています。監督と実務の両方で使える資料にするため重要です。読者は、分類統一、三線モデル、取締役会報告、監査計画、データ化の接続点を読み取ってください。

リスクマップは、経営資源配分のための資料です。法務部門の優先順位、研修計画、規程改定、監査計画、システム投資、外部専門家費用へつなげることで、単なる一覧ではなく経営管理の道具になります。

次の表は、リスクマップを経営に活かす場面を表しています。作成後の使い道を決めておくことで、評価が資料作成で終わらないため重要です。読者は、どの意思決定に使うかを読み取ってください。

更新は、定期更新と臨時更新を組み合わせます。全社リスクマップは少なくとも年1回更新し、上場企業や規制業種では半期または四半期レビューを検討します。サイバー、個人情報、法改正、不祥事関連は、随時更新が重要です。

次の一覧は、定期更新で見る項目を表しています。前回からの変動を説明できるようにするため重要です。読者は、新規、上昇、低下、遅延、受容のどこに変化があるかを読み取ってください。

次の判断の流れは、臨時更新の契機を表しています。年1回の棚卸しだけでは変化の速い領域に対応できないため重要です。読者は、どの出来事が起きたら待たずに更新するかを確認してください。

専門家の役割分担も、リスクマップ作成の進め方では重要です。企業内法務、外部専門家、司法書士、弁理士、社労士、税理士、公認会計士、内部監査、コンプライアンス、個人情報保護担当、CISO・IT、危機管理・広報、経営層・取締役会が、それぞれ異なる観点を補完します。

次の役割分担表は、複数専門家・部門の主な役割を表しています。一つの専門領域だけでは全社リスクを評価しきれないため重要です。読者は、どの領域で専門家レビューを入れるかを読み取ってください。

AI・データ活用は、契約条項のリスク抽出、通報傾向分析、監査指摘分類、法令改正影響分析の補助として有効です。ただし、入力データの偏り、説明可能性不足、機密情報管理、個人情報・著作権・営業秘密の問題があるため、最終評価は専門家と経営者が行います。

次の一覧は、AI・データ活用時の注意点を表しています。効率化と機密管理を両立するため重要です。読者は、AIの出力を経営判断に直結させず、人による確認を残すことを読み取ってください。

リスクマップには限界もあります。複雑なリスクを二軸へ圧縮し、点数には主観が入り、リスク間の連鎖を表しにくく、低頻度・高影響リスクが過小評価されやすく、過去データが未来を保証しません。リスクマップは最終結論ではなく、対話と意思決定の入口として使います。

Q1. リスクマップ作成の進め方で最初に行うことは何ですか。

一般的には、目的と利用場面を確定します。取締役会報告、法務部門の優先順位付け、内部監査計画、サイバー対応など、利用場面によって対象範囲と粒度が変わります。具体的な設計は、会社の事業内容、組織体制、規制環境、既存統制に応じて専門家へ確認してください。

Q2. リスクマップは誰が作成しますか。

一般的には、法務、コンプライアンス、リスク管理、内部統制、内部監査が事務局となり、事業部門、IT、人事、経理、知財、外部専門家が協力する形が想定されます。ただし、会社規模や業種によって体制は変わります。具体的な責任分担は、権限規程や会議体と合わせて確認してください。

Q3. 5×5整理だけで十分ですか。

一般的には、初期段階では5×5整理で足りる場合があります。ただし、重大リスクでは、速度、検知可能性、不可逆性、相互依存性、法定期限を補足することが重要です。点数だけで結論を固定せず、事実情報と専門的判断を併せて確認してください。

Q4. リスクマップはどれくらいの頻度で更新しますか。

一般的には、全社版は年1回以上、重要領域は四半期、サイバー、個人情報、法改正、不祥事関連は随時更新が望ましいと考えられます。重大インシデント、M&A、新規事業、行政調査、法改正があれば臨時更新を検討します。具体的な頻度は、リスク許容度と報告体制に応じて決めてください。

Q5. 中小企業でもリスクマップは有効ですか。

一般的には、中小企業でも有効です。ただし、大企業と同じ詳細版にするのではなく、重要契約、債権回収、労務、個人情報、サイバー、許認可、広告表示、知財、税務・会計、代表者依存などの主要領域から始める方法があります。具体的な優先順位は、事業規模や主要取引に応じて確認してください。

Q6. リスクマップと内部監査はどう連携しますか。

一般的には、残余リスクが高く、統制が弱く、過去監査がない領域を内部監査の優先候補にします。監査結果は次回のリスクマップに反映します。ただし、監査範囲や監査頻度は、監査計画、法定対応、経営上の優先度によって変わります。

Q7. 取締役会はリスクマップをどのように見ますか。

一般的には、重大リスク、リスク許容度超過、対応遅延、残余リスク受容、外部環境変化を監督する資料として使います。個別案件の結論は事実関係や法令、証拠によって変わります。取締役会報告の設計は、会社法、上場規則、内部統制体制と合わせて専門家へ確認してください。

Q8. リスク評価で部門間の意見が割れた場合はどうしますか。

一般的には、評価基準へ戻り、事実、過去事例、外部情報、専門家意見を確認します。不確実性が残る場合は、意見の差と前提条件を記録し、経営判断として暫定評価を決める方法があります。具体的な判断は、会社のリスク許容度や証拠関係に応じて変わります。

Q9. リスクマップは責任追及に使われませんか。

一般的には、予防と改善のための資料として運用します。ただし、個人名、通報情報、調査中情報、機微情報の記載には注意が必要です。共有範囲、アクセス制限、保存期間、守秘管理を設計し、具体的な取り扱いは専門家へ確認してください。

Q10. 最も重要な成果物は何ですか。

一般的には、図としてのリスクマップだけでなく、リスク登録簿と対応計画が重要です。リスクID、シナリオ、評価、統制、責任者、期限、証跡がなければ、実務は動きにくくなります。会社の規模や会議体に合わせて、経営向け要約と実務向け台帳を分けて作成してください。