取締役会にリスク管理委員会が資料を提出する。全社リスクを縦横に並べたヒートマップ。発生可能性を横軸、影響度を縦軸に取り、赤・黄・緑で塗り分けられたマス目に、二十いくつのリスクが点在している。右上の赤いゾーンには「サプライチェーン寸断」「主要顧客の離反」「サイバー攻撃」。委員長が「重点リスクはこの三つです」と説明し、社外取締役がうなずき、資料は承認される。だが誰も次を問わない。そのサプライチェーン寸断が起きたら、いくら損失が出るのか。当社のキャッシュは何か月持つのか。自己資本のどこまで削られるのか。ヒートマップには金額が一つも書かれていない。「高い・中くらい・低い」という形容詞だけで、リスク管理をやった気になっている。取締役会は、色を見て、色に安心して、解散する。
ヒートマップは意思決定を一つも生まない
全社的リスク管理、いわゆるERMが形骸化する典型が、ヒートマップで止まることだ。リスクを洗い出し、可能性と影響度で二次元に並べ、色を塗る。ここまでは悪くない。問題は、ほとんどの組織がここで終わることだ。ヒートマップは現状の見取り図であって、意思決定の道具ではない。「サプライチェーン寸断は影響度・高」と塗っても、では在庫を何か月分積み増すのか、代替調達先の確保にいくら投じるのか、その投資は割に合うのか、という問いには一切答えない。色は状態を表すだけで、行動を規定しない。
なぜ色で止まるかといえば、色にするのは楽で、金額にするのは難しいからだ。「影響度・高」と貼るのに根拠は要らない。だが「この事象の年間期待損失は約三億円」と言うには、発生確率を見積もり、顕在化したときの損失額を積算し、前提を説明できなければならない。手間がかかる。だが、その手間を避けた瞬間、リスク管理は取締役会での実弾を失う。役員会は投資判断と資源配分の場だ。そこで勝負できるのは金額だけであって、形容詞ではない。「重要なリスクです」では予算はつかない。「対策に一億円投じれば期待損失を三億円下げられます」と言えて初めて、議論が動く。ヒートマップの色を金額に翻訳する。それがERMを飾りから武器に変える、たった一つの分岐点だ。
リスクを損益・キャッシュ・自己資本に翻訳する
翻訳の宛先は三つある。損益、キャッシュ、自己資本。この三つの財務言語に落とせないリスクは、経営リスクとして扱えていない。
第一の翻訳が期待損失、すなわち発生確率と財務影響の掛け算だ。あるリスクが年に一割の確率で顕在化し、起きれば三十億円の損失を生むなら、年間の期待損失は三億円。この一本の数字が、対策コストと直接比較できる土俵を作る。対策に一億円かけて発生確率を一割から三パーセントに下げられるなら、期待損失は三億円から〇・九億円へ、二億円強減る。一億円の投資で二億円の期待損失削減。この比較ができて初めて、リスク対策は感覚ではなく投資判断になる。逆に、期待損失が対策コストを下回るリスクは、あえて受容するという判断も合理的に下せる。すべてのリスクを潰す必要はない。潰す価値のあるリスクを金額で選別する、それがERMだ。
確率の見積もりが甘いという批判は当然出る。三十億円という損失額も、一割という確率も、しょせん見積もりではないか、と。その通りだ。だが、ここで完璧な精度を求めて金額化を諦めるのは、最も愚かな選択だ。色分けのヒートマップは、精度の議論すら発生させない。高いか中くらいか、という主観を、誰も検証できない。金額化は少なくとも前提を明示する。「発生確率を一割と置いた、損失額はこの積算だ」と示せば、その前提の妥当性を議論できる。荒くても金額にすれば議論が始まり、精緻でも色にすれば議論は終わる。見積もりの粗さは、金額化をやめる理由にはならない。粗い金額を置き、前提を晒し、毎年見直す。それが色で塗って安心するより、桁違いにましだ。
第二の翻訳がキャッシュ耐性だ。期待値は平均の話であって、経営を殺すのは平均ではなく最悪シナリオのほうだ。だから最悪ケースを一つ描く。主要顧客が同時に離れ、売上が三割落ち、回収も滞る、その状況で手元資金と調達可能枠を合わせて何か月持つか。この「何か月」こそ、取締役会が本当に知りたい数字だ。半年持つのか、二か月で尽きるのかで、打つべき手はまったく変わる。二か月なら、平時のうちにコミットメントラインを積み増しておく判断が要る。感度分析やシナリオ分析の考え方は感度分析・シナリオ分析にも通じる。
第三の翻訳が自己資本を基準にしたリスク許容度だ。「うちはどこまでのリスクなら取れるのか」を、自己資本の何パーセントという形で先に決めておく。たとえば単一事象で自己資本の二割を超える損失は許容しない、と定義する。すると個々のリスクを、この物差しに当てて機械的に判定できる。二割の線を超えるリスクは、確率が低かろうと必ず対策する。この線を持たない会社は、リスクを取り過ぎているのか取らな過ぎているのかすら判断できない。許容度を金額で定義することは、攻めと守りの境界線を引くことだ。
この三つの翻訳を貫くと、リスク管理は守りの活動ではなくなる。許容度という枠を先に決めておけば、その枠の中でなら、むしろ積極的にリスクを取れる。どこまでなら耐えられるかが金額で分かっているからこそ、新規事業への投資も、大型設備の導入も、確信を持って踏み込める。リスク許容度は、リスクを避けるための線ではなく、安心して攻めるための線だ。逆に許容度を持たない会社は、漠然とした不安から過度に保守的になるか、あるいは無自覚に許容量を超えて賭け、一発で沈むかのどちらかに振れる。金額の物差しは、この両極端を防ぐ。ERMを守りの管理コストと捉えている限り、この攻めの側面は見えてこない。
上げる論点は三つに絞る
翻訳して金額が並ぶと、今度は逆の誘惑が来る。全部を重点リスクにしたくなるのだ。二十のリスク全てに対策予算をつけ、全てを取締役会に諮る。これは何もしないのと同じ結果を生む。人間の役員会が一度に本気で議論できる論点は、せいぜい三つだ。二十並べれば、一つひとつが薄まり、どれも決まらないまま時間切れになる。総花的なリスク管理は、優先順位の放棄にほかならない。
だから絞る。基準は二つ、期待損失に対する対策の費用対効果が高いもの、そして自己資本基準の許容度を超えるもの。この二軸で上位三つを選び、それだけを取締役会の投資判断として諮る。残りは受容するか、現場レベルで管理するか、来期に回す。三つに絞るとは、残りを捨てることではなく、経営の限られた意思決定の帯域を、最も金額インパクトの大きいところに集中させることだ。全部やろうとする組織は、結局どれも中途半端に終わる。
絞ったあとに欠かせないのが、翻訳した金額を毎年更新することだ。リスクの期待損失も最悪シナリオも、事業環境が変われば動く。金利が上がれば運転資金の金利負担が膨らみ、為替が振れれば調達コストの最悪ケースが変わり、顧客構成が偏れば主要顧客離反の影響額が跳ねる。一度作った金額表を三年間そのまま使えば、それはもう現実を映していない。だから翻訳は一回限りの大プロジェクトにせず、年次予算や中期計画のサイクルに組み込み、そのつど数字を洗い替える。ヒートマップの色は何年放置しても腐った実感が湧かないが、金額は古くなれば明らかにおかしくなる。金額で管理することには、陳腐化が可視化されるという副次的な効能もある。色は嘘をつき続けられるが、金額は嘘をつき続けられない。
なぜCFOが主導するのか
最後に、これはリスク管理部門でも内部監査でもなく、CFOが主導すべき仕事だという点を言い切っておく。理由は一つ、リスクを資本コストとキャッシュに翻訳できるのは、社内で財務だけだからだ。リスク管理の専門部署は、事象を洗い出し、可能性を評価することはできる。だがそれを損益の金額に換算し、最悪シナリオでの資金繰りに落とし、自己資本に対する許容度と突き合わせ、対策投資の費用対効果を弾く、この一連の翻訳は財務の言語そのものであって、財務の人間にしかできない。
言い換えれば、ERMをヒートマップで止めているのは、財務がリスク管理から距離を置いているからだ。CFOが「あれはリスク管理委員会の仕事」と手を引くと、リスクは永遠に色のままで、取締役会で戦えない飾りに終わる。逆にCFOが翻訳者として前に出れば、リスク管理は資本配分の議論と地続きになる。どのリスクに資本を割き、どのリスクは受容し、最悪ケースでいくらの流動性を用意しておくか。これは資金調達や投資判断と同じ、CFOの本丸のアジェンダだ。リスクを財務の言葉に翻訳する。その担い手を買って出るかどうかで、ERMが飾りになるか武器になるかが決まる。
最後に、翻訳という言葉の重みをもう一度確認しておきたい。翻訳とは、現場の言葉を経営の言葉に移し替える作業だ。営業は「あの大口が離れそうだ」と語り、調達は「あの部材の供給が不安だ」と語り、情シスは「あのシステムが古い」と語る。どれも本物のリスクだが、それぞれの部門の言葉のままでは、取締役会という一つのテーブルの上で比較できない。営業の不安と情シスの不安を、どちらが重いか。部門語のままでは永遠に決着しない。それを損益・キャッシュ・自己資本という共通の通貨に翻訳して初めて、二つのリスクは同じ物差しの上に並び、どちらに先に資本を投じるかを判断できる。共通通貨を持つ組織だけが、リスクに優先順位をつけられる。そしてその共通通貨が財務の言葉である以上、翻訳者はCFOをおいて他にいない。全社のリスクを一枚の金額表に束ね、取締役会に三つの意思決定を差し出す。それができたとき、ERMは初めて経営の武器になる。色の塗り絵で終わらせるには、リスクは会社の命に近すぎる。
