はじめに
本書『Risk Management, 2nd Edition（リスクマネジメント：10の原則 第2版）』は、英国ウェールズを拠点とするコンサルタント・ジャクリーン・ジェインズ氏による実践的なリスク管理の入門書です。初版から20年以上を経て全面改訂され、2024年にCRCプレスから出版されました。
エンジニアにとって「リスク管理」は、システム障害への対策、セキュリティ脆弱性の評価、インフラ構成変更の判断など、日常業務と切り離せないテーマです。しかしそれはIT固有の話ではなく、組織全体のリスクマネジメントと同じ構造を持っています。本書はISOのような学術的体裁を取らず、専門家でない現場の人間が組織横断的なリスク管理システムを自力で構築できるよう導いてくれる一冊です。
本書の概要と対象読者
本書のメインターゲットは中小企業で働く人々です。大規模組織には専任のリスク管理担当者がいますが、中小企業ではそうはいきません。社内にリスクマネジメントの専門家がいない環境でも、実用的なリスク管理システムを構築できるよう支援することを目的としています。
対象読者として明記されているのは以下の通りです。
- 中小企業で働く方
- クライアント企業と仕事をするビジネスコンサルタント
- 安全・環境コンサルタント
- 労働安全衛生・環境学のコースの学生
COVID-19パンデミック、グローバルなサプライチェーンリスク、在宅勤務の普及、デジタル化の加速など、初版刊行時とは大きく変化した現代のビジネス環境を反映したアップデートが本書の核心です。
本書の構成
本書は以下の3パートで構成されています。
| パート | 内容 |
|---|---|
| パート1（第1章） | はじめに：この本の目的と活用方法 |
| パート2（第2〜6章） | ビジネスにおけるリスク要因の評価 |
| パート3（第7〜9章） | リスクを管理する |
リスクマネジメントの10原則とは
本書の中核を成すのが「10の原則」です。10のリスク要因を4つのグループに整理しています。
1. 物理的特性（Facilities / Product / Procurement）
- 施設：立地、物流、輸送ルート、販売チャネル
- 製品：材料調達、環境保護、廃棄物管理、設計変更
- 購買：価格設定、配送、関税、グローバルな供給リスク
2. 人的要素（People / Performance / Protection）
- 人々：スキル、トレーニング、労働法への対応
- パフォーマンス：品質・環境管理、競合リスク、財務リスク
- 保護：データ・施設・知的財産のセキュリティリスク
3. アクション・プロセス（Process / Procedures）
- プロセス：労働者へのリスク、技術開発、働き方の変化
- 手順：関連性と最新性の維持、新たなリスクへの対処
4. 経営課題（Planning / Policy / Strategy）
- 計画：全機能領域を巻き込んだ将来のリスク認識
- 方針・戦略：リスク特定と管理に基づいた実行可能なもの
これら10要素は常に重複・相互作用しており、切り離して考えることはできません。しかし、ビジネスへのリスクを特定・評価し、管理策を開始・監視するための構造を提供します。
パート2：リスク要因の評価プロセス
第2章 リスク要因の特定とリスクの評価
本書が採用する最もシンプルなアプローチは「リスクマネジメントの4つのC」です。
- コントロール（Control）：危険の特定
- コミュニケーション（Communication）：潜在リスクの分析
- ケイパビリティ（Capability）：実施中の管理の評価
- カルチャー（Culture）：リスクを軽減するための対処
ISO 31000では「リスク管理の7R」として、認識（Recognition）→ランキング/評価（Ranking/Evaluation）→応答（Response）→リソース管理（Resource Management）→反応計画（Reaction Plan）→報告・監視（Reporting & Monitoring）→見直し（Review）というより包括的なフレームも示されています。
リスク評価の基本原則は以下のシンプルな5ステップです。
- 危害・傷害・損傷を引き起こす可能性のある危険を特定する
- その危害の内容、影響を受ける人、深刻度を検討する
- 既存の管理策を考慮して発生可能性を評価する
- 管理策の適切さを判断し、ギャップを特定して対処に優先順位をつける
- 定期的に、また状況変化時に調査結果を見直す
著者が強調するのは、外部コンサルタントに丸投げするアプローチは最も成功しにくいという点です。現場のスタッフを直接関与させることが不可欠であり、騒音レベルや化学物質濃度の評価でさえ、従業員を積極的に参加させる必要があります。
リスク要因の4グループ
本書では、特定したリスク要因を以下の4グループに分類して整理することを推奨しています。
| グループ | カテゴリ |
|---|---|
| A | 物理的特性（施設/製品/購買） |
| B | 人的要素（人/手順/保護） |
| C | プロセス/パフォーマンス |
| D | 計画/ポリシー |
各グループには「雇用」「法律」「セキュリティ」「競争」「財務」の5つの観点から潜在リスクを洗い出す構造になっています。
第3章 危険性の評価
特定した危険に対して「誰が影響を受けるか」を明確化するステップです。
影響を受ける対象は広範で、以下を含みます。
- 組織内のあらゆる階層の従業員（パート・臨時・在宅・派遣を含む）
- 現場の訪問者・近隣住民
- 顧客・サプライヤー
- 株主・投資家・金融機関
- 地域の野生生物・環境
また、この段階では「発生する損害の深刻度」と「実際の発生可能性」の2軸での評価が必要です。例えば、サイバー犯罪の急増と企業のITシステムへの依存度増加を考えると、データ保護は極めて重要なリスク要因として浮かび上がってきます。
第4章 リスクの評価
特定した危険に対して、潜在的な危害・損害の程度と発生可能性を評価するステップです。
危害の深刻度は一般的に3段階で評価します。
| 評価 | 内容 |
|---|---|
| 低 | 軽度の傷害、応急処置レベル |
| 中 | 勤務時間の損失、病院受診が必要な程度の傷害 |
| 高 | 重大な傷害・死亡、回復不能な損害 |
セキュリティリスクについても同様の3段階評価が適用されます。特にサイバー犯罪は「容易に予測・制御できないため、あらゆる企業にとって大きなリスク」と明記されており、小規模企業でも軽視できない要素として位置づけられています。
数値スコアリングを採用する場合は、1〜30点（または1〜50点）のスケールで評価し、スパイダーチャートを使用して10の原則ごとのリスク分布を可視化することが推奨されています。
発生可能性を高める要素として、以下が挙げられています。
- 危険にさらされる人数が多く、時間が長いほど発生可能性が高まる
- 習慣化による自己満足と不注意
- 作業頻度が低い場合も、経験不足・知識不足から逆に発生可能性が上がる
- 機器・インフラの経年劣化
第5章 リスク管理の優先順位付け
特定・評価したリスク要因に対して、対応の優先順位を決定するステップです。
- 特定されたすべてのリスクを照合し、重複と繰り返しを削減して主要なリスク要因リストを確立する
- 特定されたリスク要因に評価スコアを割り当てる
- 優先度の高い順に並べ替え、具体的な対応計画を策定する
最も重要な点は、評価スコアが最も低い要素でさえ対策が必要という認識です。小規模・低コストの変更を数多く積み重ねることで、従業員のモチベーションや士気に対してより大きなプラスの影響を与えられる場合があります。
第6章 危険とリスクの事例研究
コールセンターを例に取り、5つのリスク要因に対するスコアリングシステムの実例を示しています。リスク要因ごとに「潜在的な影響レベル」を1〜10でスコアリングし、図表化することで組織全体のリスク分布を視覚的に把握する手法が解説されています。
パート3：リスクを管理する
第7章 経営戦略
リスク評価の結果をどのように経営戦略に組み込むかを扱います。ポリシーの策定は出発点ではなく、リスク要因リストの各要素が政策議論に反映される「動的な」プロセスとして捉えるべき、と著者は述べています。
第8章 リスク管理
21世紀の働き方の大きな変化、グローバル化、電子メディアの普及を踏まえると、リスクを管理する「唯一の正しい方法」は存在しません。10原則アプローチは、経営機能の垣根を越えてあらゆるリスク要因の重要性を認識し、統合することを目的としています。
リスクを制御するアクションには以下の優先順位があります。
- 危険をもたらすプロセス・手順の排除
- 危険性の低い材料・プロセスへの代替
- 危険物へのアクセスの制限
- 物理的なガードや制御による保護
- 手順変更による危険性の軽減
- 安全に働くためのトレーニングと監督
- 個人用保護具（PPE）— 最後の選択肢
また、コーポレートガバナンスとリスク管理の観点から、以下の点が強調されています。
- 株主の投資と会社の資産を保護する健全な内部統制システムの維持
- 財務・業務・コンプライアンス管理・リスク管理を含む内部統制とその有効性のレビュー
- すべてのステークホルダーへの調査結果の報告
第9章 結論
本書のまとめとして、リスク管理の10原則は以下の10ステップで構成されるとまとめられています。
- 危険を特定する
- 危害・傷害・損害を特定する
- リスクを評価する
- 既存のコントロールを確認する
- 管理が必要なギャップを特定する
- 必要な行動の優先順位を決める
- ポリシーステートメントを作成する
- すべての関係者に周知する
- 導入した変更の有効性を監視する
- 定期的にレビューし、追加リスクが生じていないか確認する
エンジニア視点での気づき
本書を読んで、エンジニアリングの文脈と強くリンクする点がいくつかありました。
リスク管理とシステム設計の構造的類似性
リスクの特定→評価→対策→モニタリングというサイクルは、ソフトウェア開発における障害対応フロー（インシデント検知→影響範囲の把握→暫定対応→恒久対応→ポストモーテム）と同じ構造を持っています。本書の10原則を「組織版のアーキテクチャパターン」として読むと、非常に腑に落ちます。
実際、著者が強調する「リスク要因の4グループ（物理的特性・人的要素・プロセス・経営課題）」は、ソフトウェアアーキテクチャにおける「インフラ・チーム・実装・ガバナンス」の4層と対応しています。どちらも要素の独立性を保ちながらも、実際には密接に相互作用するという現実を踏まえた設計思想です。
サイバーセキュリティリスクの位置づけ
本書ではサイバー犯罪、ITシステムへの不正アクセス、データ保護を重要なリスク要因として明示的に扱っています。「セキュリティは後から考える」という姿勢が最もリスクを高める、という認識は本書のメッセージとも一致します。
また、本書ではサイバーリスクを「IT部門の問題」として局所化するのではなく、組織全体のリスク要因の一つとして位置づけている点が重要です。デジタル化が進む現代において、サイバーリスクは施設リスクや雇用リスクと同等に扱うべきという著者の視点は、経営層を含む組織全体でセキュリティ意識を高めることの必要性を示しています。
現場スタッフの知識を活かすことの重要性
著者が繰り返し強調するのは「コンサルタントに丸投げせず、現場スタッフを巻き込め」という点です。これはソフトウェア開発においても、アーキテクチャ設計を専任チームだけで行うのではなく、実際に実装するエンジニアの声を反映させることの重要性と同じ本質を持っています。
本書の言葉を借りれば「最も成功しないアプローチは、社内スタッフからの意見をほとんど聞かずに外部の専門家にリスクアセスメントを実施させること」です。これはアジャイル開発における「チームの自律性と現場知識の尊重」という原則とも共鳴します。
リスクの「見えにくさ」への対処
本書が繰り返し警告するのは、長年変更されていないプロセスや手順における自己満足のリスクです。エンジニアリングの現場でも、長く運用されているシステムの脆弱性は「当たり前すぎて見えない」ことがあります。定期的なレビューと外部の視点の組み合わせ、本書が推奨する「10原則による体系的な見直し」は、そのような盲点を防ぐための構造的なアプローチです。
本書の特徴と注意点
強み
- ISO/IECのような形式的な規格と同じ原則に基づきながら、非専門家でも読み進められる平易な記述
- ケーススタディ、自己反省のための質問、チェックリストが随所に組み込まれており、読んですぐに実践できる構成
- 中小企業特有の制約（専任担当者不在、リソース制限）を前提としたアドバイス
- COVID-19後の在宅勤務、サプライチェーンリスク、気候変動など現代的テーマを網羅
注意点
- 本書はあくまで「入門・実践ガイド」であり、特定の業界に固有の詳細な規制への対応は別途調査が必要です
- スコアリングシステムは主観的な判断を含むため、組織内での議論と合意形成が欠かせません
- 財務モデリングや定量的リスク分析（RMFなど）を求める読者には物足りない可能性があります
まとめ
『リスクマネジメント：10の原則 第2版』は、大企業向けの難解なフレームワーク解説書ではなく、現場の実務者が即座に活用できるプラクティカルなガイドブックです。
特に以下のような方に向いています。
- 自社・自チームのリスク管理体制を整備したい方
- ISOや各種規格の前に、まずリスク管理の本質を理解したい方
- 安全・セキュリティ・コンプライアンスを組織横断で考えたい方
- エンジニアリングの視点から組織マネジメントにも関心がある方
「リスクのない状況など存在しない」という著者の言葉が示すように、リスク管理とは問題を未然に防ぐための仕組みを組織に根付かせる継続的な取り組みです。本書はその出発点として最適な一冊と言えます。
技術的な知識だけでなく、組織全体の視点でリスクを捉え直すきっかけとして、ぜひ手に取ってみてください。