P3リスクマネジメントへようこそ：誰が何を担当するのか？

CGMAを目指す皆さん、ようこそ！ここでは、P3シラバスの核となるエンタープライズ・リスク（全社的リスク）セクションの重要なパートを学んでいきます。多くの学生は「リスク管理はリスク管理部門だけがやるもの」と思いがちですが、実際にはチーム全員で取り組む「チームスポーツ」です。この章では、CEOから現場の担当者まで、それぞれの役割と責任を詳しく見ていきましょう。

最初は肩書きや委員会の名前が多くて難しく感じるかもしれませんが、大丈夫です。試験本番で「誰が何に責任を持つのか」を即座に思い出せるよう、シンプルな例えを使って分かりやすく紐解いていきます！

1. 最上位の役割：取締役会（Board of Directors）

どの組織においても、取締役会はリスク管理に対して最終的な責任を負います。彼らを「船の船長」だと考えてみてください。船長はロープを一本一本引くような作業はしませんが、船をどちらに進めるか、そしてどの程度の嵐までなら航行可能かという判断を下します。

取締役会の主な職務は以下の通りです：

- リスク許容度（Risk Appetite）の設定：目標達成のために、会社がどこまでリスクを取るかを決定します。
- リスク戦略：リスク管理フレームワークがビジネス戦略と合致していることを保証します。
- トップの姿勢（Tone at the Top）：リスクを深刻に捉え、オープンに議論する組織文化を醸成します。

例え：会社を車に例えるなら、取締役会は「制限速度（リスク許容度）」と「目的地（戦略）」を決める存在です。

クイックレビュー：取締役会

重要ポイント：取締役会はリスク管理システムに対して最終的なアカウンタビリティ（説明責任）を負います。日々の実務を行うわけではありませんが、ルールと文化を決定する存在です。

2. 専門委員会：監査委員会 vs リスク委員会

取締役会は非常に多忙なため、特定のタスクを委員会に委任します。CIMA P3では、監査委員会（Audit Committee）とリスク委員会（Risk Committee）の違いを理解しておく必要があります。

監査委員会

この委員会は通常、独立社外取締役（NEDs）で構成されます。彼らの仕事は「バックミラー」と「エンジン警告灯」を確認することです。主に以下に注力します：

- 財務報告の適正性。
- 内部統制（Internal Control）システムの監視。
- 外部監査人との関係監督。

リスク委員会

監査委員会が統制や数値という「過去」に焦点を当てるのに対し、リスク委員会は「前方の道路」を見据えます。サイバー攻撃、経済動向の変化、新たな競合他社といった新たなリスク（emerging risks）を監視します。彼らの仕事は、取締役会が決めたリスク許容度が実際の現場で守られているかを確認することです。

豆知識：多くの中小企業では、これら2つの委員会が一つに統合されています。しかし、規模が大きく複雑な企業（特に銀行など）では、リスク管理にふさわしい注意を払うために、独立したリスク委員会を持つメリットが大きいとCIMAシラバスは説いています。

よくある間違い

監査委員会がリスクを「管理（マネジメント）」していると勘違いしないでください。彼らはマネジャーが適切に管理しているかを「監視（モニタリング）」し、「評価（レビュー）」する立場です。彼らが提供するのは監督（オーバーサイト）であり、日常的な実行ではありません。

3. 最高リスク責任者（CRO）

最高リスク責任者（CRO）は、組織内の「リスクの旗振り役」となる上級執行役員です。取締役会と現場をつなぐ橋渡し役を担います。

CROの責務には以下が含まれます：

- リスク管理フレームワークの策定。
- 取締役会およびリスク委員会へのリスク状況の報告。
- リスク管理が「形骸化（チェックリストを埋めるだけの作業）」せず、日々の業務に「組み込まれている（embedded）」状態の維持。

暗記のヒント：CROの「3つのC」
Champion（先導者）：リスク意識の向上を推進する。
Challenger（挑戦者）：リスクを取りすぎる（あるいは取らなすぎる）マネジャーに問いかける。
Coordinator（調整役）：全社でリスク報告の手法が統一されるよう調整する。

4. 3つの防衛線モデル（Three Lines of Defence）

これは本章で最も重要な概念です。CIMAは組織がいかに自分自身を守るかという理解を問うのが大好きです。城が攻撃を受けている場面を想像してください。幾重もの防衛層が必要ですよね。

第1線：ビジネス部門（「実行者」）

これは現場のオペレーショナル・マネジャーたちです。彼らは日々業務を遂行しているため、そのリスクの「オーナー」でもあります。例えば、工場長が安全上の危険を発見した場合、真っ先にそのリスクを管理しなければならないため、彼らが第1の防衛線となります。

第2線：リスク・コンプライアンス部門（「監視者」）

CROやコンプライアンスチームなどの専門家です。彼らは日々のビジネス業務は行いませんが、第1線が使用するツール、ポリシー、システムを提供します。また、第1線がルールに従っているかを監視します。

第3線：内部監査部門（「保証人」）

内部監査（Internal Audit）機能です。彼らは第1線・第2線から独立しています。彼らの仕事は、第1線と第2線が正しく機能しているかどうかを取締役会に対して独立した保証（independent assurance）として提供することです。

例え：サッカーの試合に例えると...
第1線＝選手たち（失点を防ぎつつ、勝利を目指して戦う）。
第2線＝コーチ（戦術を決め、パフォーマンスを監視する）。
第3線＝審判（独立した立場でルールが守られているかを確認する）。

重要ポイント：3つの防衛線

第1線：リスクを所有し、管理する。
第2線：監視し、リスクフレームワークを構築する。
第3線：独立した保証を提供する。

5. 内部監査 vs 外部監査

混同しやすいですが、リスク管理における役割は全く異なります。

内部監査：
- 誰のために働く？：取締役会／監査委員会。
- 焦点は？：会社の業務、リスク管理、内部統制の改善。
- 範囲：非常に広範囲（ITセキュリティから人事方針まで何でも対象）。

外部監査：
- 誰のために働く？：株主。
- 焦点は？：財務諸表が「真実かつ公正」であるかについての意見表明。
- 範囲：限定的（財務数値と、それが誤る原因となり得るリスクに特化）。

6. 全従業員の役割

最後に、リスク管理は上層部だけの仕事ではありません。すべての従業員に以下の責任があります：

- 自分の特定の業務に関連するリスクを理解する。
- 内部統制（パスワードを共有しないなど）に従う。
- 新たなリスクや「ヒヤリハット（near misses）」をマネジャーに報告する。

アドバイス：試験で「リスク特定に責任があるのは誰か？」という問題が出たら、答えは通常全員ですが、それが確実に実行されるように保証するアカウンタビリティ（説明責任）を負うのは取締役会です。

章のまとめチェックリスト

次へ進む前に、以下の質問に答えられるか確認しましょう：

1. 「リスク許容度」を設定するのは誰？（取締役会）
2. 内部監査はどの防衛線に属する？（第3線）
3. 監査委員会とリスク委員会の主な違いは？（監査＝統制と過去、リスク＝戦略と未来）
4. 日々のリスクを「所有」しているのは誰？（現場のマネジャー／第1線）

よくできました！これでリスク管理の役割と責任をマスターしました。この構造を頭に入れておけば、P3のシナリオ問題がぐっと解きやすくなるはずです！