オペレーショナル・リスク・ガバナンスへようこそ！

こんにちは！FRM Part IIのカリキュラムの中でも非常に重要な、オペレーショナル・リスクとレジリエンスのセクションへようこそ。大手銀行がどのようにしてトラブルを未然に防いでいるのか、あるいは万が一問題が起きた際にどう対応しているのか、疑問に思ったことはありませんか？この章は、まさにそのためのものです。

このモジュールでは、バーゼル銀行監督委員会（BCBS）による改訂ガイドラインを見ていきます。これらは、オペレーショナル・リスク管理における「黄金律」だと考えてください。今回の改訂は、テクノロジーやアウトソーシング、そしてオペレーショナル・レジリエンスがかつてないほど重要視される現代社会を反映したものです。情報量が多くて難しそうに見えるかもしれませんが、大丈夫です！一つひとつの原則を分かりやすく分解して解説していきますね。

何が、なぜ変わったのか？

当初の原則は2011年に策定されました。しかし、その後いくつかの著名な銀行の経営破綻や、大規模なサイバー攻撃の急増を受け、BCBSはルールの見直しが必要だと判断しました。最大の転換点は、単にリスクを「管理する」ことから、混乱が生じても重要なサービスを提供し続ける能力である「オペレーショナル・レジリエンス」を構築することへとシフトした点にあります。

クイック復習：オペレーショナル・リスクとは？

本題に入る前に、定義を復習しておきましょう。オペレーショナル・リスクとは、不適切または失敗した内部プロセス、人、システム、あるいは外部事象に起因する損失リスクのことです。これには法的リスクも含まれますが、戦略的リスクやレピュテーショナル・リスクは除外されます（ただし、オペレーショナル・リスクの失敗が銀行の評判を傷つけることは多々あります！）。

健全な管理のための12の原則

BCBSは、これらの12の原則を論理的なグループに分けています。ステップバイステップで見ていきましょう。

暗記のコツ： この12の原則を「家を建てること」に例えて考えてみてください。強固な基礎（企業文化）、設計図（フレームワーク）、監督者（取締役会と経営陣）、道具（評価とモニタリング）、そして予備発電機（事業継続計画）が必要です。

グループ1：ガバナンス（基礎）

原則1：リスク管理文化

取締役会と上級管理職は、強力なリスク文化を促進しなければなりません。これは単なるルールの話ではなく、「組織がどのように行動するか」という土壌の話です。 例： 従業員がソフトウェアの不具合に気づいたのに、怒られるのを恐れて沈黙してしまう場合、それは悪いリスク文化です。良い文化とは、ミスを早期に報告することを奨励する文化です。

原則2：オペレーショナル・リスク管理フレームワーク（ORMF）

銀行は、日常業務に完全に統合された正式な文書化されたフレームワークを持たなければなりません。これは棚の奥で埃をかぶるようなものではなく、意思決定を導くための「生きた文書」であるべきです。

原則3：取締役会による監督

最終責任は取締役会にあります。彼らは日々の細かい業務を行う必要はありませんが、フレームワークを承認し、銀行内に「3つの防衛線」モデルが確実に機能しているかを確認しなければなりません。
クイックヒント： 試験で「最終的に責任を負うのは誰か」という問いが出たら、答えはほとんどの場合、取締役会です。

原則4：オペレーショナル・リスクの選好と許容度

取締役会は、銀行がどれだけのオペレーショナル・リスクを取るかを定義しなければなりません。
アナロジー： ハイキングに出かけるときを想像してください。「リスク選好（アペタイト）」は「多少のすり傷は仕方ない」という姿勢かもしれませんが、「許容度（トレランス）」は「骨折だけは絶対に避けたい」という限界線です。銀行もこれらの境界線を明確に設定する必要があります。

原則5：上級管理職の責務

計画を承認するのは取締役会ですが、それを実行する責任は上級管理職にあります。彼らは高位の戦略を、銀行全域にわたる具体的な方針やプロセスに落とし込みます。

セクションのまとめ： ガバナンスは「トップの姿勢（Tone at the Top）」を明確にすることです。取締役会や上級管理職が真剣に取り組まなければ、残りの計画はすべて失敗してしまいます。

グループ2：リスク管理環境（道具）

原則6：リスクの特定と評価

知らないリスクは管理できません。銀行はリスク・コントロール自己評価（RCSA）、主要リスク指標（KRI）、シナリオ分析などの様々なツールを駆使して、プロセス内の「落とし穴」がどこにあるのかを探し出す必要があります。

原則7：変更管理

銀行が新しい商品（モバイルバンキングアプリなど）を立ち上げたり、プロセスを変更したりする際、リスクは高まります。原則7では、銀行は変更が開始される前に、そのリスクを評価するための厳格なプロセスを持つ必要があると定めています。

原則8：モニタリングとレポーティング

銀行には、状況を把握するための「ダッシュボード」が必要です。定期的なレポートが上級管理職や取締役会に報告され、リスクレベルが上昇し始めたときにすぐに対策を講じられるようにしなければなりません。

原則9：コントロールと緩和策

リスクが高すぎる場合は、それをコントロールしなければなりません。これには内部統制（多額の送金に対するダブルチェックなど）やリスク緩和（保険への加入など）が含まれます。
よくある間違い： 受験生は「緩和（mitigation）」＝「リスクが消滅すること」と考えがちですが、そうではありません！あくまでリスクの影響が軽減されることを意味します。

原則10：情報通信技術（ICT）

現代において、ITはすべてです。この原則は、ICTリスク管理とサイバーセキュリティを最優先事項とすることを強調しています。銀行はシステムが安全で信頼性が高く、攻撃を受けても迅速に復旧できることを保証しなければなりません。

セクションのまとめ： このグループは「やり方」についてのものです。リスクが災害になる前に、それを発見し、測定し、阻止するためのメカニズムです。

グループ3：事業継続性と公的開示

原則11：事業継続性とレジリエンス

ここでオペレーショナル・レジリエンスの焦点が輝きます。データのバックアップがあるだけでは不十分です。洪水や大規模停電のような大災害時であっても、重要な業務（決済処理など）が継続できることを保証しなければなりません。

原則12：公的開示

透明性は不可欠です。銀行は、オペレーショナル・リスク管理の実践状況を公衆に開示しなければなりません。これにより、投資家や規制当局が、その銀行が安全に運営されているかを判断できるようになります。

「3つの防衛線」モデル

これはFRM Part IIの基本概念です。誰が何をするのかを正確に把握しておく必要があります！

1. 第1防衛線（事業部門）： 実際に業務を行っている担当者。彼らがリスクの「オーナー」です。例：融資担当者。
2. 第2防衛線（リスク管理・コンプライアンス）： ルールを定め、第1防衛線をモニタリングする担当者。彼らは独立したチェック機能（チャレンジ）を提供します。
3. 第3防衛線（内部監査）： 「警察」のような役割。第1、第2の防衛線が正しく機能しているか、取締役会に対して独立した保証を提供します。

豆知識： 改訂された原則では、第2防衛線は単なるチェックリストの確認作業にとどまらず、事業部門に対してより積極的に「チャレンジ（問いかけ）」を行うことが期待されています。

試験当日に向けた重要ポイント

このトピックで高得点を狙うために、以下の核となるテーマを覚えておきましょう：

- 取締役会が承認・監督し、上級管理職が実行する。
- 企業文化はすべての出発点である。
- オペレーショナル・レジリエンスとは、回復だけでなく、混乱の最中にも重要なサービスを提供し続けられることを指す。
- ICTとサイバーリスクは、現在オペレーショナル・リスクの主要な柱として扱われている。
- 3つの防衛線は、効果を発揮するためにそれぞれ独立していなければならない。

最初はこれらの原則が似ているように感じても、心配しないでください。こう整理しましょう。「ガバナンスが方針を決め、評価が問題を見つけ、コントロールが問題を直し、レジリエンスが危機を乗り越える！」これだけでバッチリです！