内部統制でよく言われるリスクの評価と対応とは

リスクの評価と対応の概要

リスクとは、組織目標の達成を阻害する要因をいい、組織に損失を与える可能性のあるものをいい、リスクの評価とは、組織目標の達成に影響を与える事象について､組織目標の達成を阻害する要因をリスクとして識別、分析および評価し、当該リスクへの適切な対応を行う一連のプロセスのことをいいます。

リスクの評価と対応の実際の流れは、一般的に １．リスクの識別、２．リスクの分類、３．リスクの分析、４．リスクの評価、５．リスクへの対応（評価されたリスクについて、その回避、低減、移転又は受容等の対応を行うこと）となります。

リスクの識別

リスクの評価と対応のプロセスにおいては、まずはじめに、リスクを適切に識別することが必要となります。ここでリスクとは、組織目標の達成に影響を与える可能性のある事象のことであり、どのようなリスクがあるのかを特定する必要があります。リスクは、全社的なレベルから業務プロセスのレベルまで様々な段階で存在するため、各段階において網羅的に適切にリスクを識別することが重要となります。

例えば、机上でリスクの検討を行うことの他に、とある業務プロセスについて、実際の証憑を確認しながら業務のフローを確認することにより、その業務の潜在的なリスクまで把握することが可能となります。

リスクの分類

リスクの分類においては、識別したリスクを適切に分析及び評価するために、リスクのレベル（全社的なリスクか業務プロセス内のリスクか）や、過去に生じたリスクか未経験のリスクか等の観点から分類することが重要となります。

例えば、財務諸表に計上されている資産が実在しないかもしれないと考えられるリスクは、全社的なリスクで未経験のリスクであり、学納金の金額について、入金金額と計上金額が異なることが毎年発生している場合、これは学納金プロセスという業務プロセス内の過去に発生したリスクと判断されます。

リスクの分析

リスクの分析においては、識別・分類したリスクについて、当該リスクが発生する可能性及びリスクがもたらす影響の大きさを分析し、リスクの重要性を見積もります。

例えば、財務諸表に計上されている資産が実在しないかもしれないと考えられるリスクは、発生する可能性は低いと考えられますが、そのリスクが発現した場合の影響は大変大きなものとなります。また、学納金の金額について、入金金額と計上金額が異なることが毎年発生しているリスクは、発生する可能性は高いものの、金額的影響はそれほど大きくないと判断することが考えられます。

リスクの評価

リスクの評価においては、リスクの分析で判断したリスクの重要性に応じて、対応策を講じるべきリスクかどうかを評価します。ここで、組織においては、識別・分類したリスクのすべてに対応策を講じるのではなく、費用対効果を鑑みて重要性があるものについて対応策を講じることが重要となります。

例えば、財務諸表に計上されている資産が実在しないかもしれないと考えられるリスクに対しては、発生可能性が低くともその重要性を鑑みて何らかの対応策を講じるべきと考えたり、学納金の金額について、入金金額と計上金額が異なることが毎年発生しているリスクに対しては、毎期発生している事象のため、何らかの対応策を講じるべきと考えたりすることが考えられます。

リスクへの対応

リスクへの対応においては、前述までのリスクの評価を受けて、当該リスクへの適切な対応を選択するプロセスをいいます。リスクへの対応に当たっては、評価されたリスクについて、その回避、低減、移転又は受容等、適切な対応を選択することになります。

例えば、財務諸表に計上されている資産が実在しないかもしれないと考えられるリスクに対しては、重要性を鑑みて発生可能性は低くとも、監事等の適切な役職者が監査を行うことで対応策としていたり、学納金の金額について、入金金額と計上金額が異なることが毎年発生しているリスクに対しては、毎期発生している事象のため、管理部で毎期差額分析を行うといったことが考えられます。