リスクマネジメントの国際規格とプロセス

リスクマネジメントとは、組織が目標を達成するために、不確実性がもたらす影響を管理する活動です。国際標準化機構（ISO）が策定したISO 31000は、リスクマネジメントに関する指針として世界的に広く参照されています。

歴史的背景と規格の変遷

日本におけるリスクマネジメント規格の先駆けは、1995年の阪神・淡路大震災の教訓に基づき策定された危機管理システムに関する標準情報（TRZ0001）です。これを基礎として2001年に制定された「リスクマネジメントシステム構築のための指針（JIS Q 2001:2001）」は、世界初のリスクマネジメント規格として危機管理とリスク管理を包括していました。

その後、2009年に国際的なリスクマネジメントの指針としてISO 31000:2009が発行され、日本でもこれに対応するJIS Q 31000:2010が制定されました。この際、JIS Q 2001は廃止されましたが、危機管理に関する要素はJIS Q 31000の付属書に継承されています。2018年にはISO 31000の改訂が行われ、現在の最新版であるISO 31000:2018（JIS Q 31000:2019）が運用されています。

リスクマネジメントのプロセス

ISO 31000では、リスクマネジメントを単なる一過性の活動ではなく、組織の意思決定プロセスに組み込まれるべき継続的な活動として定義しています。主なプロセスは以下の通りです。

• コミュニケーション及び協議：全関係者がリスクの根拠や行動理由を理解するための双方向の対話。
• 適用範囲、状況及び基準：リスクマネジメント活動の範囲を定め、外部・内部の状況を把握し、リスク基準を決定する。
• リスクアセスメント：リスク特定、リスク分析、リスク評価の3段階から構成される。
• リスク対応：特定されたリスクに対して、回避、低減、共有、保有などの手段を選択し実施する。
• モニタリング及びレビュー：プロセスの有効性を監視し、必要に応じて改善を行う。
• 記録作成及び報告：活動の結果を記録し、組織内での情報共有と改善に役立てる。

関連規格

リスクマネジメントに関連する主な規格には、以下のものがあります。

• ISO/IEC 31010 (JIS Q 31010)：リスクアセスメント技法に関する指針。
• ISO/IEC 27005 (JIS Q 27005)：情報セキュリティリスクマネジメントに特化した規格。
• ISO/IEC/IEEE 16085 (JIS X 0162)：システム及びソフトウェア技術のライフサイクルにおけるリスク管理。