地震・情報漏えい・システム障害——組織を取り巻く「もしも」にどう備えるか。リスクを洗い出し、優先順位をつけ、回避・低減・移転・保有の4戦略で対応する一連の流れを、身近な例とともに整理します。
小夜川 ほのか
先生ぇ、リスクって…悪いことが起きること、ですよねぇ?
紫垣 こはる 先生
多くの人がそう思うのよね。
でもリスクは本来、将来の「不確かさ」そのものを指すの。
マイナスだけじゃなく、プラスの機会も含むのよ。
星見 めい
え、いいことも入るの?
マジか。
リスク=ピンチだと思ってた。
蜂谷 まこと
補足すると、リスクマネジメントの国際規格(ISO 31000、国内ではJIS Q 31000)でもリスクは「目的に対する不確かさの影響」と定義されています。
影響はマイナスにもプラスにも振れる、というのがポイントですね。
紫垣 こはる 先生
たとえば新しい市場に進出するとき、失敗する不確かさもあれば、大成功する不確かさもあるでしょう?
どちらも『リスク』なの。
試験では損失側を中心に問われるけれど、定義は両面、と覚えておいてね。
小夜川 ほのか
なるほどぉ。
じゃあ、その不確かさにどう向き合えばいいんですかぁ?
紫垣 こはる 先生
流れがあるのよ。
リスク特定→リスク分析→リスク評価→リスク対応→リスク監視。
これを繰り返すの。
星見 めい
洗い出して、測って、順位つけて、手を打って、見張る…体育祭の準備みたいだね。
蜂谷 まこと
うまい例えですね。
しかも一度きりではなく、PDCAのように回し続けるのが大事です。
新しい脅威は次々出てくるので、監視して特定に戻る、というループになります。
紫垣 こはる 先生
特に分析と評価は混同しやすいから注意ね。
リスクアセスメントという言葉は、この特定から評価までの3つをまとめた呼び方よ。
小夜川 ほのか
分析と評価って、どう違うんですかぁ…?
なんだか同じに聞こえますぅ。
蜂谷 まこと
いい質問です。
分析は『どれくらい起こりそうで、どれくらい痛いか』を見積もる作業。
評価は『その結果、どれから手をつけるか』を決める作業です。
測るのが分析、順位づけが評価、と分けると覚えやすいですよ。
紫垣 こはる 先生
分析でよく使うのがリスクマトリックス。
たての軸に影響度、よこの軸に発生可能性をとって、右上(よく起きて被害大)ほど最優先、という見取り図ね。
星見 めい
おお、表にすると一目でヤバいやつがわかるじゃん。
便利だね。
紫垣 こはる 先生
そして本題のリスク対応。
代表的な4つの戦略があるの。
回避・低減・移転・保有。
まことさん、整理してもらえる?
蜂谷 まこと
はい。
リスク回避は危険な事業から撤退すること。
リスク低減はパスワード強化やバックアップなど。
リスク移転は保険加入やアウトソーシング。
リスク保有は影響が小さい場合に何もせず受け入れることです。
小夜川 ほのか
わぁ、4つもあるんですねぇ。
覚えられるか心配ですぅ…
紫垣 こはる 先生
ふふ、語呂で覚えましょう。
『回避・低減・移転・保有』で『か・て・い・ほ(家庭保)』。
家庭を保つ、と覚えると4つそろうわよ。
星見 めい
家庭保ね!
それなら忘れなさそう。
ところで移転って、具体的にどんなの?
紫垣 こはる 先生
火災リスクには火災保険、サイバー攻撃には情報セキュリティ保険。
リスクそのものは消えないけれど、損失をお金で肩代わりしてもらう発想ね。
システム運用を外部に委託するのも移転の一種よ。
蜂谷 まこと
注意したいのは、回避と低減の違いです。
回避は活動を『やめる』のでリスクがゼロになる。
低減は活動は『続ける』けれど被害を小さくする。
ゼロにするか、小さくするかが分かれ目ですね。
星見 めい
なるほど。
海で泳がない(回避)か、ライフジャケット着て泳ぐ(低減)か、って感じか。
紫垣 こはる 先生
まさにそれ。
めいさんの例え、わかりやすいわ。
小夜川 ほのか
分析のところで、もっと細かく調べる方法もあるんですかぁ?
紫垣 こはる 先生
あるわよ。
代表がFTAとFMEA。
この2つは分析の『向き』が逆なの。
星見 めい
向きが逆?
どゆこと?
蜂谷 まこと
FTAは『システムが止まった』という結果を頂点に置き、なぜ?
なぜ?
と原因を下へ枝分かれさせるトップダウン型です。
FMEAは逆に、個々の部品の故障から出発して、それが全体にどんな影響を与えるかを積み上げるボトムアップ型。
FTAは結果起点、FMEAは原因起点と覚えると整理できます。
小夜川 ほのか
頭文字の最後で覚えられそうですぅ。
FT『A』のAはアタマ(結果)から…えへへ、こじつけですけどぉ。
紫垣 こはる 先生
ふふ、覚えられれば何でもいいのよ。
最後にひとつ。
リスクが現実になってしまったときの備えも大事ね。
蜂谷 まこと
それがBCPですね。
地震やシステム障害が起きても事業を止めない、止まっても素早く立て直すための計画です。
星見 めい
備えあれば憂いなし、ってやつだね。
リスク、ちょっと好きになってきたかも。
紫垣 こはる 先生
いい姿勢ね。
今日のまとめは、リスクは『不確かさ』で両面ある、流れは特定→分析→評価→対応→監視、対応は『家庭保(回避・低減・移転・保有)』。
ここを押さえれば合格圏よ。
確認クイズ
リスク対応の4戦略に該当しないものはどれか。
- リスク回避
- リスク移転
- リスク拡大
- リスク保有
こたえを見る
正解: 3. リスク拡大
リスク対応の4戦略は回避・低減・移転・保有です。「リスク拡大」という戦略は存在しません。回避は原因活動をやめること、移転は保険などで他者へ移すこと、保有は受け入れること。低減を含めたこの4つが正規の戦略です。