Key Takeaways

• Risk Criteria（リスク基準）は、一般的な評価項目を並べて作るものではない。

• その出発点は、企業のMission（使命）やPurpose（存在意義）、経営哲学、企業文化から導かれる「何を守るのか」である。

• 人命・安全、操業度、売上高、利益、影響を受ける顧客規模、レピュテーションなど、多くの企業で共通して現れる評価項目はある。しかし、どのカテゴリーを持つか、その重要度・優先順位をどう置くか、どこをThreshold（閾値）とするかは企業ごとに異なる。

• Missionの中核に位置するカテゴリーほど、許容できる影響の幅は小さくなる。航空会社の安全や医療機関の患者安全では、重大な人命影響に対するリスク許容度はゼロ、あるいは限りなくゼロに近づく。

• 他社や一般的なRisk Criteriaは参考にはなるが、そのまま移植しても、自社の事業継続や危機管理を起動する判断基準にはならない。

1．「何を守るのか」の次に必要なもの

第1回から第4回まで、Business Continuity（事業継続）について、

「企業として何を守るのか」

という問いを中心に考えてきました。

Business Continuityというと、すぐにBCPを思い浮かべるかもしれません。しかし、BCPは非常時に実行するアクションを時系列で定めた指示計画書であり、それ自体がBusiness Continuityの本質ではありません。

まず、

• 企業として何を失ってはならないのか

• どの製品やサービスを継続しなければならないのか

• 顧客や社会に対して、どのような約束を守らなければならないのか

を経営として明らかにする必要があります。

第2回では、その出発点として企業のMissionやPurposeを取り上げました。

第3回では、BIA（Business Impact Analysis：事業影響度分析）によって、

「いつまでに」

「どの水準まで」

戻すのかを明らかにしました。

そして第4回では、その要件を実現するために、どのような事業継続戦略（Business Continuity Strategy）を選択し、どこまで経営資源を投入するのかを考えました。

ここまでは、Business Continuityを経営視点から概念的に見てきました。

今回からは、それを実務へ落とし込んでいきます。

「何を守るのか」を、実務で判断できる基準として具体化したものがRisk Criteria（リスク基準）です。

そして、そのRisk Criteriaに設定されたThreshold（閾値）が、事業継続や危機管理を起動する判断基準となります。

2．Risk Criteriaは「何を守るのか」から始まる

Risk Criteriaという言葉から、

人命への影響、
売上への影響、
利益への影響、
レピュテーションへの影響、

といった一般的な評価項目を思い浮かべるかもしれません。

しかし、本来の順序は逆です。

まず、「この企業は何のために存在しているのか」を考える。

そこから、「そのMissionを果たすために、何を守らなければならないのか」を明らかにする。

そして、その「守るべきもの」をRisk Criteriaのカテゴリーへ落としていきます。

Risk Criteriaとは、企業のMission、つまり「何を守るか」を、非常時に使える判断基準へ変換したものです。

3．航空会社では、なぜ安全が最優先なのか

航空会社は、この関係を考えるうえで分かりやすい例です。

航空会社にとって、人命・安全が最重要であることに異論はないでしょう。

しかし、それは単に、「安全が重要だから」ではありません。

航空会社の存在意義そのものが、人や物を安全に目的地へ運ぶことにあるからです。

そのMissionから、

• 乗客・乗員の人命、

• 運航継続、

• 顧客との約束、

• 社会的責任、

といった「守るべきもの」が導かれます。

したがって、安全がRisk Criteriaの最重要カテゴリーとなることも、単なる一般論ではありません。

Missionから導かれた結果です。

例えば、移動サービスの利用中に顧客が負傷した場合を考えてみます。

タクシー事業でも、乗客の安全は当然ながら重要です。事故が発生すれば、道路交通法上の対応、警察への報告、保険、民事責任、安全管理など、事業者として重大な対応が求められます。

一方、航空機の運航中に乱気流などによって乗客が骨折するような重傷を負った場合には、航空事故として扱われ、国への報告や運輸安全委員会による事故調査の対象となり得ます。

ここで重要なのは、どちらの事故がより重大かという比較ではありません。

同じ「乗客の負傷」という事象であっても、

それぞれの事業のMission、事業特性、規制体系によって、Risk Criteria上の意味やエスカレーションの仕方が異なる

という点です。

航空会社は、乗客・乗員の人命と安全がMissionの中核に位置するため、安全に関するThresholdは極めて厳しく設定されます。

したがって、安全に関わる重大な事象は、顧客への補償対応だけでなく、

• 航空安全、

• 行政報告、

• 事故調査、

• レピュテーション、

• トップマネジメントの判断

へと直結します。

ここで、Risk Criteriaが実際にどのようなものか、簡単な例を見てみましょう。

この表で重要なのは、具体的なLevelの文言ではありません。

企業として何を守るのかをカテゴリー化し、それぞれについて「どの程度の影響を重大と考えるのか」をあらかじめ定めているという点です。

4．Missionの中核に近いカテゴリーほど許容幅は小さくなる

Risk Criteriaの企業固有性は、どのカテゴリーを設定するかだけではありません。

「どこまでの影響を許容するのか」というThresholdにも表れます。

例えば航空会社では、売上の低下には一定の許容幅があります。

利益の低下にも一定の許容幅があります。

運航率の低下についても、欠航や減便を含め、一定の範囲で経営判断が可能です。

しかし、安全上の事象については事情が異なります。

人命への影響を、「この程度までなら許容する」と考えることはできません。

航空会社における安全や、医療機関における患者安全のように、

Missionそのものに直結するカテゴリーでは、重大な人命影響に対するリスク許容度はゼロ、あるいは限りなくゼロに近い

と考えるべきです。

もちろん、現実の世界でリスクそのものを完全にゼロにできるという意味ではありません。

重要なのは、

人命影響を、許容可能な影響として受け入れる余地がほとんどない

ということです。

一般に、

Missionの中核に位置するカテゴリーほど、許容できる影響の幅は小さくなる

と考えることができます。

5．企業固有性は三つの場所に現れる

Risk Criteriaの企業固有性は、大きく三つあります。

① どのカテゴリーを設定するか

Missionが違えば、「何を守るのか」も違います。

ここで注意したいのは、これらが「標準カテゴリー」ではないということです。

Risk Criteriaのカテゴリーそのものが、企業のMissionを映しています。

② カテゴリー間の重要度・優先順位

リスク事象が発現すると、複数の価値が衝突することがあります。

例えば、

供給を継続すれば利益は悪化する。

利益を守れば顧客への供給が止まる。

という状況です。

このとき、何を優先するのか。

そこには、

• 経営者の哲学、

• 企業文化、

• 顧客との約束、

• 社会的責任

が表れます。

重要なのは、重要度を単純な「重み付け点数」に置き換えることではありません。

Mission上重要なカテゴリーほど、より厳しいThresholdや影響レベルとしてRisk Criteriaに反映される必要があります。

③ Threshold（閾値）をどこに置くか

同じ「操業度」というカテゴリーでも、

操業度90％を下回れば重大と考える企業もあれば、

70％までは通常業務で吸収できる企業もあります。

利益についても、

計画利益の1％の毀損を重大と考える企業もあれば、

5％程度までであれば許容する企業もあるでしょう。

一方、安全や患者安全のようなMission直結カテゴリーでは、人命の影響に対する許容度そのものが極めて小さくなります。

したがって、

カテゴリー、優先順位、Thresholdのすべてに企業の価値観が現れる

のです。

6．他社のRisk Criteriaを移植しても意味がない

BCMやリスクマネジメントの実務では、他社のRisk Criteriaや、コンサルティング会社が作成したテンプレートを見る機会があります。

それらは参考にはなります。しかし、そのまま自社へ移植しても意味はありません。

なぜなら、

• Missionが違う。

• 事業モデルが違う。

• 顧客が違う。

• 社会的責任が違う。

• 法規制も違う。

• 企業文化も違う。

• 経営者の哲学も違う

からです。

他社のRisk Criteriaをコピーすれば、きれいなリスクマトリクスは作れるかもしれません。

しかし、

「自社は何を失ってはならないのか」

という最も重要な問いが抜け落ちます。

Risk Criteriaを作るとき、最初に探すべきものは他社事例ではありません。

まず確認すべきなのは、自社のMissionです。

7．Risk Criteriaは経営の意思を映す

Risk Criteriaを見れば、その企業が何を重視しているのかが見えてきます。

安全なのか。

顧客との約束なのか。

社会的責任なのか。

レピュテーションなのか。

財務健全性なのか。

そして、

それをどこまで許容するのか。

つまりRisk Criteriaは、

企業の価値観を、実際の判断に使えるカテゴリーと影響レベルへ翻訳したもの

とも言えます。

これは、Risk Criteriaをリスクマネジメント部門だけで作れない理由でもあります。

したがって、経営陣の直接的な関与が求められます。

8．「何を守るか」を判断基準へ変える

第1回から第4回では、

企業として何を守るのか

を中心にBusiness Continuityを考えてきました。

第5回では、それを実務で使える判断基準へ落としました。

Missionから「何を守るのか」を定める。

それをRisk Criteriaのカテゴリーへ変える。

カテゴリーの重要度・優先順位を明確にする。

どこまでを許容するのかThresholdを設定する。

ここまで行って初めて、「このリスク事象はどの程度重大なのか」を組織として判断できるようになります。

しかし、実際のリスク事象は通常、一つのカテゴリーだけに影響するわけではありません。

例えば一つのSupplier停止が、

操業度、
売上高、
利益、
顧客、
レピュテーション

へ同時に影響することがあります。

では、その場合、どの影響レベルで判断するのでしょうか。

そして、それをどのようにBCPや危機管理の発動へつなげればよいのでしょうか。

次回は、企業固有に設計したRisk Criteriaを、実際の供給リスクにどのように適用するのかを考えます。

MBCI’s Advice

Risk Criteriaを作るとき、最初に他社の表を探してはいけません。

まず問うべきは、

「私たちの企業は何のために存在し、何を失ってはならないのか」

です。

そして、Missionの中核に位置するものほど、

許容できる影響の幅は小さくなる。

Risk Criteriaは、Missionを危機時の意思決定へつなぐ仕組みなのです。

私自身、これまで多くの企業でリスクマネジメントや事業継続に関する支援に携わってきました。自社のRisk CriteriaやBCMの設計・見直しを進めるうえで外部の視点が必要な場合には、お気軽にお声がけください。