この記事で分かること
- ERM（全社的リスクマネジメント）が部門別リスク管理と何が違うのか
- リスクの期待損失を積み上げるリスク評価の整数設例
- ERMがリスク配分・資本配分の意思決定に与える影響
- コーポレートガバナンス・コードとの関係と取締役会の役割（2026年8月時点）
30秒で分かる定義
ERM（Enterprise Risk Management、全社的リスクマネジメント、読み方：いーあーるえむ）とは、個別のリスクを各部門がばらばらに管理するのではなく、全社的な視点でリスクを識別・評価し、優先順位をつけて対応する経営管理の枠組みです。ERMの考え方を体系化したフレームワークとして、米国のCOSO（トレッドウェイ委員会支援組織委員会）が公表した「COSO ERM」が国際的に広く参照されています。日本語では全社的リスク管理とも呼ばれ、内部統制報告制度（J-SOX）が扱う財務報告リスクよりも広い、戦略リスク・オペレーショナルリスク・財務リスクを横断する概念です。
なぜ実務で重要なのか
経営企画・内部統制部門は、ERMのフレームワークを用いてリスクマップを作成し、取締役会へのリスク報告体制を整備します。取締役会・監査等委員会は、コーポレートガバナンス・コードの要請を受け、経営陣が構築したリスク管理体制の実効性を監督する責任を負います。内部監査部門は、ERMで特定された重要リスクを踏まえて監査計画の優先順位を決めます。PE・投資銀行にとっても、買収先のリスク管理体制の成熟度はデューデリジェンスの評価項目の1つです。
仕組み：リスクの識別から対応までのプロセス
| 段階 | 内容 |
|---|---|
| ①ガバナンス・カルチャー | 取締役会・経営陣がリスク許容度（リスクアペタイト）の方針を定める |
| ②リスクの識別 | 戦略・財務・オペレーション・コンプライアンス等のリスクを部門横断で洗い出す |
| ③評価（発生可能性×影響度） | 各リスクの発生確率と影響金額を見積もり、優先順位をつける |
| ④対応（回避・低減・移転・保有） | 保険付保・ヘッジ・内部統制強化等、リスクごとに対応方針を決める |
| ⑤モニタリング・報告 | 対応状況を継続的にモニタリングし、取締役会へ定期報告する |
個別部門のリスク管理と異なるのは、③の評価を全社共通のものさし（金額換算した期待損失など）で行い、部門をまたいで優先順位を比較できるようにする点です。
整数設例で確認する
設例（架空数値・単位：百万円）。ある会社が識別した3つのリスクについて、発生確率と発生時の想定損失額を見積もったとします。
| リスク | 発生確率 | 想定損失額 | 期待損失額 |
|---|---|---|---|
| サイバー攻撃による事業中断 | 10% | 2,000 | 200 |
| 主要取引先の信用不安 | 5% | 1,000 | 50 |
| 法規制違反による課徴金 | 2% | 500 | 10 |
期待損失額は「発生確率×想定損失額」で計算され、サイバー攻撃は10%×2,000＝200、取引先信用不安は5%×1,000＝50、法規制違反は2%×500＝10です。3つの期待損失額の合計は 200＋50＋10＝260百万円となり、この会社が事前に想定しておくべきリスクコストの目安になります。この会社のリスク許容度（年間営業利益の一定割合まで許容、と設定）が営業利益2,000の10%＝200だとすると、合計260は許容度を超えており、期待損失が最も大きいサイバー攻撃リスクへの対応（保険付保・システム投資）を優先すべきという判断につながります。
リスク配分への影響
ERMの本質的な役割は、限られた経営資源（人員・投資予算・保険予算）を、期待損失の大きいリスクから優先的に配分することにあります。部門別にリスク管理を行っていると、各部門が自部門のリスクだけを最小化しようとし、全社で見ればリスクの取りすぎ・過小な備えが混在する事態が起こり得ます。ERMは、全社共通のリスク許容度と期待損失の一覧を経営陣・取締役会が共有することで、資本配分の意思決定と同様の考え方でリスク対応にも優先順位をつけられるようにします。
財務モデル・Excelでの使い方
- リスクレジスター（一覧表）：リスク項目・発生確率・想定損失額・期待損失額・対応策・責任部門を1行1リスクで管理し、期待損失額の降順で並べ替えて優先順位を可視化します。
- ヒートマップ：発生可能性（縦軸）と影響度（横軸）でリスクをプロットし、色分け（赤・黄・緑）で一目で重要リスクが分かるようにします。
- 感応度分析：発生確率や想定損失額の見積もりに幅を持たせ、レンジで期待損失額を試算することで、見積もりの不確実性も踏まえた優先順位づけができます。
実務家が確認するポイントとよくある誤解
誤解1：「ERMはリスクをゼロにする活動」→ 正しくは、ERMはリスクをゼロにするのではなく、許容できる範囲まで管理し、許容度を超えるリスクに優先的に対応する枠組みです。リスクを取らなければ成長機会も失われるため、「適切にリスクを取る」ための仕組みという理解が正確です。
誤解2：「ERMは内部統制報告制度（J-SOX）と同じもの」→ 正しくは、J-SOXが財務報告の信頼性に関するリスクに焦点を当てるのに対し、ERMは戦略・オペレーション・コンプライアンスまで含むより広い概念です。両者は関連しますが範囲が異なります。
確認ポイントとしては、リスクレジスターが特定の部門の視点に偏っていないか、期待損失額の見積もり根拠（過去実績・外部データ）が明示されているかを、内部監査部門が定期的にレビューします。
日本実務での扱い（2026年8月時点）
日本のコーポレートガバナンス・コードは、取締役会の役割・責務の1つとして、会社が経営陣による適切なリスクテイクを支える環境整備を行うことを求めており、その裏側でリスク管理体制の構築・監督が取締役会に期待されています。多くの上場会社が、リスク管理委員会等の会議体を設置し、全社的なリスクの識別・評価結果を定期的に取締役会へ報告する体制を整えています。有価証券報告書の「事業等のリスク」の記載も、実質的にはERMのプロセスで識別された重要リスクを対外的に開示するものと位置づけられます（2026年8月時点）。J-SOXが求める内部統制の枠組みとの重複・整合をどう整理するかも、実務上の設計論点になります。
面接・モデルテストで問われるポイント
Q：ERM（全社的リスクマネジメント）と部門別のリスク管理はどう違いますか？
「部門別のリスク管理は各部門が自部門のリスクを個別に管理するのに対し、ERMは全社共通の評価軸（発生確率×影響度で算出する期待損失額など）でリスクを横断的に比較し、限られた経営資源をどのリスク対応に優先配分するかを決める枠組みです。取締役会がリスク許容度を定め、経営陣がそれに沿ってリスク対応を実行し、内部監査がモニタリングするというガバナンス構造も特徴です。」（30秒回答例）
深掘りでは、リスクアペタイト（許容度）の定量化方法や、事業機会の追求とリスク回避のバランスをどう取るかが問われます。
よくある質問（FAQ）
Q. ERMの導入にはどの部門が中心的な役割を果たしますか？
A. 企業により様々ですが、経営企画部門やリスク管理部門が事務局となり、各事業部門からリスク情報を集約し、取締役会・経営会議への報告資料を作成する体制が一般的です。内部監査部門はモニタリングの観点から関与します。
Q. 中小企業でもERMは必要ですか？
A. COSO ERMのような体系的なフレームワークを完全な形で導入するかは規模によりますが、主要リスクを一覧化し優先順位をつけて対応するという考え方自体は、規模にかかわらず経営管理に有用です。
出典・参考（2026-08確認）
- 金融庁「コーポレートガバナンス・コード」 https://www.fsa.go.jp/
- 金融庁（企業内容等の開示に関する制度資料） https://www.fsa.go.jp/
※本記事は教育目的の一般的な解説であり、法務・税務・投資助言ではありません。設例は理解のための架空数値です。