リスクは至る所にありますが、中には他のリスクよりも重要なものもあります。 ISO 31000 （新しいタブで開きます）。国際的に最も広く普及しているリスクマネジメント規格であるISO 101は、リスクを「不確実性が目標に及ぼす影響」と定義しています。 どの企業においても、不確実性（好材料も悪材料も）は数多く存在し、目標は新しいプリンターの購入から新製品の発売まで多岐にわたります。
この記事では、重要なリスクを測定する際に活用できる指針をご紹介します。 その過程で、リスクの特定、測定、および軽減において、協働がいかに重要であるかを指摘しています。 IT部門が各事業部門と緊密に連携することで、リスクを把握し、対処することが可能になります。
戦略目標に関連するリスクの特定
IT部門は、パッチが適用されていないシステム、新たなマルウェアの亜種、 新しいフィッシング手口 など、多岐にわたるリスクを特定する責任を負っています。そのリストは枚挙にいとまがありません。 こうしたリスクを追跡することは重要ですが、それらを評価し、優先順位をつけるにあたっては、その背景を考慮する必要があります。 何と言っても、単一のセキュリティ上の脆弱性によるリスクは、システムによって異なる場合があります。
例えば、あるアプリケーションの最新のパッチがどちらも適用されていない2台のファイルサーバーについて考えてみましょう。 あるファイルサーバーには、社員食堂のランチメニューが保存されています。 他の店舗では、来月発売される新製品のデザインを制作しています。
明らかに、設計文書が保存されているサーバーの方が、戦略的に重要です。 したがって、そのリスクは、ランチメニューが保存されているファイルサーバーに影響を及ぼすリスクよりも優先されるべきです。
この例から、次のような一般的な原則を導き出すことができます。すなわち、高レベルの戦略的目標を脅かすリスクは、低レベルの目標にのみ影響を及ぼすリスクよりも優先されるということです。
このルールを踏まえると、リスク測定の作業は、自社の戦略的目標を特定することから始まります。 そうすれば、貴社がそれらの目標の達成を目指す上で支えとなっているITインフラについて、詳しく検討することができます。
これは、ある種のサプライチェーン分析だとお考えください。 あなたは、大まかな目標から、その目標の達成を支える具体的なITシステムやプロセスに至るまで、データ、人材、業務の流れをたどっているのです。 これらのシステムやプロセスは、目標そのもののための、いわばサプライチェーンのような役割を果たしています。
例えば、御社がモバイルアプリを通じて、信頼性の高い最先端の金融サービスを提供するという大きな目標を掲げているとしましょう。 明らかに、このモバイルアプリを支えるWebサーバー、データベース、およびソフトウェアモジュールは、戦略的に重要なものです。 システムを停止させる可能性のあるリスクも、特に顧客が一切利用しない社内アプリケーションに対するリスクと比較した場合、重要なものとみなされます。
このような場合、同社のリスク管理チームは、次のような質問をすべきです：
- 当社の金融サービス向けモバイルアプリの信頼性と革新性を直接支えているシステムやプロセスはどれでしょうか？
- どのようなシステムやプロセスが、それらのシステムやプロセスを可能にしているのでしょうか？
- モバイルアプリを動作させる仕組みとはどのようなものですか？
リスクを測定するには、こうした相互関係を特定し、自社の目標や能力に応じて必要に応じてその関連性を追跡してください。
この「サプライチェーン」におけるすべてのシステムやプロセスが、同じくらい重要というわけではありません。 サプライチェーン内部のリスクを測定するには、最上位の目標から最下位の支援システムやプロセスに至るまで、（「 80/20 ルール」を考慮して重要とみなされる）あらゆる要素に値を割り当ててください。
さまざまなリスクの把握
また、戦略的目標についても、比較・評価を行う必要があります。 企業がそれらすべてを平等に扱うことはめったにありません。
最優先の目標を特定したら、それぞれの目標に、ある範囲内で値を設定してください。 例えば、経営陣との話し合いを踏まえ、収益の継続的な成長率（CAGR）が少なくとも 10％であるという目標に対し、1から 10までの範囲で 10 という値を設定することができます。これは、その目標が最も重要であることを意味します。
By contrast, you might value regulatory compliance as a 7. だからといって、コンプライアンスが会社にとって重要ではないというわけではありません。 つまり、コンプライアンスの確保は素晴らしいことではありますが、他のあらゆる投資よりも優先される最優先事項にはならないということです。
次に、各戦略目標の達成を支援するために必要な人材、プロセス、および技術を特定してください。 次に、各支持要因の重要度を順位付けしてください。
さらに詳細なニュアンスを加えるために、特定の故障が発生する確率を見積もることができます。 例えば、御社に、業務に不可欠なモバイルアプリを支えるWebサーバーがあると想像してみてください。 そのサーバーが利用のピーク時に許容できないほどパフォーマンスが低下してしまう確率は、おそらく、その同じサーバーが、主電源と予備電源の両方がダウンしてしまうような停電に見舞われる確率よりも高いでしょう。
サーバーの戦略的価値のランク（例えば、 10段階中 7 ）に、特定のリスクが発生する確率（例えば、50％または 0.5）を乗じることで、リスクの優先順位付けを行うとともに、より早急な対応が必要なリスクを特定することができるようになります。
例えば、サーバーのパフォーマンスが低下する確率が 40％であるのに対し、大規模な停電によってサーバーがダウンする確率はわずか 2％だとしましょう。 サーバーの重要度が1から 10までの範囲で 7 と評価される場合、パフォーマンス低下のシナリオにおけるリスク値は7 に0.40を掛けた値となり、その結果、 2.8となります。 そうなると、停電シナリオのリスク値は 7 に0.02を掛けたものとなり、その結果、 0.14となります。 リスク値が高い（2.8 対 0.14）「パフォーマンス低下のシナリオ」は、明らかに真っ先に注意を払うべきリスクです。
リスク測定における連携の重要性
この種のリスク評価を行うには、多大な労力と、曖昧さや逆説、不確実性を受け入れる柔軟な姿勢が必要です。 これには、社内の「人」「プロセス」「技術」に関する詳細な情報を収集し、それを統合して、どのような対応を取るべきかを把握することが含まれます。
現実的に考えて、会社のすべての戦略的目標を支えるITシステムやプロセスに関連する詳細や脆弱性を、一人の人間や一つのチームが即座にすべて把握しているということはありません。 IT部門は、支援を求める必要があります。
私のアドバイスですが、ある部署のプロセスや技術を評価する際は、その部署に協力を依頼してください。 例えば、人事（HR）部門のアプリケーションを取り巻くリスクを理解したいのであれば、人事部門の担当者に話を聞いてみてください。 彼らなら、IT運用チームが知らないような、自分たちのアプリケーションに関する情報を把握している可能性が高いでしょう。
IT部門以外の方と話す際は、専門用語の使用を最小限に抑えてください。 IT部門の同僚と話す際、「コントロールは正常に機能していますか？」といった専門用語を使っても問題ありません。 しかし、IT業界以外では、そのような表現は混乱を招く恐れがあります。
IT業界以外の方とお話しする際は、通常、「良いことを促進し、悪いことを防ぐ」という表現を使うようにしています。 また、そのプロセスやアプリケーションの目的についても尋ねます。 当社のリスク管理プロセスの目的についてご説明いたします。 そして、当社のリスク評価が、成功の確実性を高めることで、彼らが業務を遂行し、自部署の目標を達成するのにどのように役立つかについてご説明いたします。
もうひとつアドバイスがあります。相手に「どうすべきか」を教える前に、まず「自分ならどうすると思うか」と尋ねてみてください。 解決策を押し付けてしまうと、創造的な別の選択肢を見逃してしまうかもしれません。 また、特に自分たちの意見が反映されていない場合、自分たちに直接影響を及ぼす新しい方針に従うことに、人々が抵抗を示すこともあるかもしれません。
より良い解決策：業務担当者にアドバイスを求めましょう。 そうすれば、彼らが支持してくれそうなリスク管理策を考案することができます。
リスク管理は、単なるITの問題ではなく、企業全体の問題です。
IT部門以外の人々が、あなたが彼らを信頼しており、彼らの話に心から関心を持っていると気づけば、より気兼ねなくあなたとコミュニケーションをとってくれるようになります。 また、皆様が共同で導入した のリスク管理ソリューション （新しいタブで開きます） に対して、より主体的に取り組むようになるでしょう。
この継続的な連携は、統合を通じてリスク管理に「システム」的アプローチを採用することによるメリットの一つです。 リスクをより正確に測定するために必要な詳細情報を把握できるだけでなく、組織のステークホルダーに対し、リスクの測定と軽減の重要性について理解を深めていただくことができます。 そして、これらのステークホルダーと協力して、双方が特定したリスクを最小限に抑える解決策を策定することになります。
リスク測定を行うと、どうしてもいくつかの予期せぬ発見があります。その中には、恐ろしいものもあれば、「なるほど！」と納得できるものもあるかもしれません。 ひととき。 しかし、リスク測定は、ほぼ例外なく部門間のコミュニケーションを改善します。 また、不確実性を低減し、会社の最重要目標を達成するための意思決定において、会社全体がより適切な判断を下す一助となります。
このシリーズの最初のブログ記事「 重要なものを測定する：リスク測定と企業目標の整合」もぜひご覧ください。 （新しいタブで開きます）
Taniumのリスク管理ソリューション「 」の詳細については、 （新しいタブで開きます）、、をご覧ください。
