全社的リスクマネジメント（ERM）
リスク評価の質は、その裏付けとなる証拠で決まります。当社は登録簿を、各リスクが最初に表れるシステムと結び付けます。
ともに答えを出す問い
- 取締役会に求められたら、主要リスクのうちどれを今日の時点で証拠付きで示せるか。
- 追跡しているリスクは、実際にインシデントを引き起こしたリスクと一致しているか。
- 各リスクの責任者は誰で、最後に見直されたのはいつか。
- リスクアペタイトを、管理職が日々の判断に適用できる言葉でどう表すか。
- 取締役会は四半期ごとに何を、どの程度の詳しさで見るべきか。
提供内容
リスクの棚卸しと登録簿
既知のリスクに加え、システム設定、ログ、契約から見つかったリスクを、それぞれ責任者、情報源、状況とともに記録します。
測定可能なリスクアペタイト
特定カテゴリーの調達に占める単一サプライヤーの割合や、未照合残高の経過期間など、データで確認できるしきい値としてリスクアペタイトを定めます。
主要リスク指標（KRI）
業務システムと財務システムから算出する指標で、それぞれにアラートのしきい値と通知先の担当者を定めます。
取締役会・委員会への報告
各リスク評価をその証拠と当期のインシデントに結び付けた、四半期ごとのリスク報告書です。
- THEFOCUSとのプロジェクトの始まり方この件について相談する
アプローチ
- 01
既知の情報とシステムの実態を組み合わせる
インタビューで既知のリスクを把握し、設定、アクセス権、契約、ログのレビューで、誰も挙げなかったリスクを加えます。
- 02
各評価を情報源に結び付ける
すべての評価に、根拠となるデータと測定日を明記し、レビュー担当者が検証できるようにします。
- 03
指標を自動化する
主要リスク指標は、スプレッドシートへの手入力ではなく、元となるシステムから定期的に自動更新します。
- 04
インシデントを反映させる
インシデントが起きるたびに登録簿と照らし合わせ、登録簿で捉えられていなかった場合は評価や統制を見直します。
THEFOCUSとのプロジェクトの始まり方
最初の対話では、お客様の状況を伺います。お役に立てると判断した場合は、より大きなご契約の前に、成果物を定めた範囲限定の診断をご提案します。
この件について相談する01
実務に即した対話
実際にプロジェクトを率いる担当者と45分間お話しいただきます。意思決定の内容、その背後にあるシステム、期限について伺います。
02
範囲を絞った診断
閲覧のみの権限、固定の期間、書面による所見。記録から何がわかるか、それがどれだけのコストにつながっているか、まず何を変えるべきかをお示しします。
03
実行に移せる計画
変更内容、責任者、評価指標、対象外の事項を書面にまとめます。その後は同じチームが構築と測定を担うか、確実に引き継ぎます。
- 責任を担うひとつのチーム
- 診断した担当者が、そのままシステムを構築し、成果を測定します。
- 課題ごとに選ぶパートナー
- 必要な部分には独立系の専門家が加わり、契約はひとつにまとめます。
- ダッシュボードより先に記録を
- 提言の根拠とする前に、注文データ、元帳、ログを突合します。
経営層からよくいただくご質問
これは内部監査ですか。
いいえ。当社は登録簿、指標、報告を構築・維持します。内部監査人と外部監査人はそれらを独立して確認し、当社が監査意見を表明することはありません。
登録簿のために新しいソフトウェアプラットフォームが必要ですか。
ほとんどの場合、不要です。通常は既存のワークスペース、BI ツール、リスク管理ツールの中に構築し、元となるシステムから指標を連携します。新しいプラットフォームを勧めるのは、既存のツールでは証拠を保持できない場合に限られます。
この件について相談する
いくつかの情報をいただくことで、お問い合わせを適切なパートナーにおつなぎできます。「任意」の項目は空欄のままでも構いません。