気候変動

 

ヨーロッパは激動の時代を迎えています。経済、社会、地政学、そして環境における様々な危機が重なり合い、私たちの生活様式にシステミックリスクをもたらしています。ヨーロッパは世界平均の2倍の速さで温暖化が進んでおり、気候変動によって引き起こされる異常気象は、今日、ヨーロッパ全域の人々の生活に影響を及ぼしています。同時に、世界の政治的現実は劇的な変化を遂げ、ロシアによるウクライナ侵攻をはじめとする武力紛争は、防衛と安全保障への意識と投資を集中させています。欧州連合（EU）は、この不安定で不安定な世界情勢に対し、2029年までの戦略的政策枠組みである「競争力コンパス」を通じて対応してきました。このコンパスに示された3つの行動分野、すなわちイノベーション、脱炭素化、そして安全保障は、いずれも環境と気候に関する重要な側面を有しており、クリーン産業、エネルギーシステムの変革、循環型経済、そして輸入依存度の低減が重要な優先事項となっています。実際、ヨーロッパは経済安全保障のために天然資源に大きく依存しており、気候変動と環境悪化は直接的な脅威となっています。

天然資源の保護、気候変動の緩和と適応、そして汚染の削減は、食料安全保障、飲料水、洪水対策など、自然に依存する重要な社会機能のレジリエンス（回復力）を構築します。欧州防災連合戦略は、異常気象、人為的災害、地政学的危機といった状況において、自然、社会、政治の領域間でリスクが連鎖的に発生する可能性を認識しています。ヨーロッパは、環境への取り組みを着実に進め、欧州グリーンディール（EGD）の下で合意された環境・気候政策を実施し、「持続可能な社会の中で豊かに暮らす」という長期ビジョンを実現しなければなりません。

リスクマネジメント

 

発生確率は、発生の可能性とそれに伴う結果によって決定されます1。これは、脅威またはハザードの性質と規模、その脅威またはハザードによる脆弱性、そして結果として生じる可能性のある結果によって影響を受けます。リスク情報により、施設の所有者や運営者から連邦政府機関に至るまで、パートナーはリスク管理活動の優先順位付けを行うことができます。

この補足資料では、図1に示すリスク管理フレームワークをサポートする、有用な重要インフラリスク管理アプローチについて説明します。このフレームワークは、戦略、能力、ガバナンス構造を統合し、国の重要インフラに関するリスク情報に基づいた意思決定を可能にします。

この補足資料で説明する重要インフラリスク管理アプローチは、サイバーインシデント、自然災害、人為的な安全上の危険、テロ行為など、あらゆる脅威とハザードに適用できますが、それぞれを理解するために異なる情報と方法論が使用される場合があります。

「原子力規制活動における確率論的リスク評価（PRA）手法の活用」（文献31）に関する政策声明は、米国原子力規制委員会（NRC）の規制活動においてPRA技術の活用を促進すべきであるという委員会の考えを表明した。その結果、NRCはNRC規制のあらゆる分野において、数多くのリスク情報活用活動を実施してきた。リスク情報活用活動の増加に伴い、リスク情報の多くの潜在的な用途を一貫性と予測可能な方法で実施すれば、規制の安定性と効率性を高めることができるという認識が生まれた。一貫性と予測可能な実施に不可欠な要素は、正確な情報伝達と伝達を確保するために、一貫した用語を使用することである。さらに、NRCは、リスク関連用語の一部が実務家によって曖昧に使用されていることを認識している。リスク情報活用活動に関連するガイダンス文書、規制、および手順の策定が進むにつれて、これらのリスク関連用語の基本的な理解がますます重要になっている。

リスク情報を活用した活動を適切に実施し、NRCと利害関係者間のコミュニケーションを促進するためには、用語の一貫性が不可欠です。これにより、実務者はコミュニケーション上の問題を排除し、技術的な問題と誤って認識される可能性のある不必要な議論を回避することができます。したがって、リスク情報を活用した関連用語の合意された定義を記載した用語集は、将来のリスク情報を活用した活動に不可欠なツールとなります。この用語集は、原子力発電所の原子炉に関連するリスクの文脈で使用されるリスク関連用語を扱っています。

サイバーリスクを取り巻く状況が変化するにつれ、経営幹部は自社のセキュリティ対策の有効性をますます問うようになっています。脅威を早期に特定するための適切なリスク評価フレームワークは整備されているでしょうか？ウイルス対策ソフトウェアや暗号化ソリューションは、最新の脅威から保護するのに十分な強度があるでしょうか？しかし、経営幹部がしばしば忘れがちなのが、従業員が日常業務においてサイバー脅威をどの程度意識しているかという点です。悪意のある人物から身を守るためのツール、フレームワーク、そして管理策は、サイバーリスクの一側面にしか対処していません。たとえこれらを導入していても、従業員は悪意の有無にかかわらず、組織を脅威にさらす可能性があります。データ侵害は、必ずしも専門家によるハッキングやデータサーバーへのマルウェア攻撃の結果であるとは限りません。従業員がノートパソコンのロックを忘れ、第三者が認証情報を盗み、機密データにアクセスした場合にも発生する可能性があります。2018年には50億件のレコードが盗難または漏洩され、そのうち20億件以上が内部関係者によるものでした1。したがって、組織を真に保護するためには、サイバーレジリエントな文化を構築することも重要です。

企業のサイバーレジリエンスの度合いは、より広範かつ根本的な組織文化を反映します。これは、従業員が「ルールなんて関係ない」という軽視的な態度をとる文化から、全員がビジネスのリスク認識を高めることに関与する文化まで、幅広い範囲にわたります2。この点で前進するためには、組織は、大規模な文化変革と同様に、長期的な取り組みの一環として、サイバーレジリエントな行動を浸透させるためのメカニズムを整備する必要があります。

この報告書は、リスク管理／リスク評価分野における2006年度最初のENISA成果物です。

本報告書の一部は、ENISA作業計画2006において「既存のリスク管理およびリスク評価手法の調査」と定義されている成果物を構成しています。

本文書の目的は、リスク管理分野における未解決の問題に対処し、欧州レベルで更なる未解決の問題に対処するためのロードマップを提供することです。

本文書は、以下の問題の解決に貢献します。

1. 公共部門および民間部門におけるリスク管理活動の認知度の低さ

2. 3. 組織

リスク管理分野において、利害関係者間のコミュニケーションを促進するための「共通言語」の欠如

既存の手法、ツール、および適切なプロセスに関する調査の不足

生成AI

 

1 概要

企業のガバナンス、リスク、コンプライアンス（GRC）のパラダイムは根本的な変革を遂げつつあり、事後対応型で手作業が多く、サイロ化が進んだ機能から、プロアクティブで自律的、かつデータ主導型のモデルへと移行しています。この変革の中心となるのが、AIベースのインテリジェント制御自動化（AI-ICA）です。これは、AI主導のインテリジェントな統制とエンドツーエンドのソフトウェア自動化を融合したものです。本レポートは、AI-ICAの徹底的な分析を提供し、その中核となる構成要素を定義し、内部監査、統合リスク管理、サイバーセキュリティ、規制遵守、サードパーティリスク管理など、幅広いアシュアランス分野における変革的影響を検証します。この分析は、COSO、COBIT、NIST、ISO規格などの世界的なベストプラクティス・フレームワークと、欧州連合（EU）、英国、カナダ、GCC地域、トルコ、アゼルバイジャンにまたがる複雑で複数の管轄区域にまたがる規制環境のレビューに基づいています。主要な調査結果によると、EUのDORA、NIS2、AI法などの規制の複雑化、そして動的な脅威環境とAI技術の成熟が相まって、AI-ICAが戦略的に不可欠なものとなっています。世界のGRCおよびRegTechソフトウェア市場は、2030年までに1,340億米ドルを超えると予測されており、

人工知能（AI）は世界経済と社会を急速に変革し、経済成長、科学の進歩、そして持続可能な開発に向けた前例のない機会を生み出しています。同時に、偏見、知的財産、プライバシーから、効果的な人間による監視や組織のリスク管理に至るまで、複雑な課題も提起しています。AI技術とアプリケーションの複雑性、高度化、汎用性が高まるにつれ、技術と人間との相互作用の両方を考慮した、国際的に整合したベストプラクティスとガバナンスの枠組みがますます重要になっています。この政策概要では、責任あるAI開発とガバナンスを支援する上で、国際標準が果たす独自の貴重な役割について説明します。国際標準：

• AI開発者、導入者、政府、規制当局、その他の重要な利害関係者間のより生産的なコラボレーションを可能にすることで、イノベーションを加速する共通言語とコンセンサスに基づく定義を確立する。 • AIシステムが展開される多様な状況に適応しつつ、透明性、消費者の選択、そして取引を促進する、コンセンサスに基づく指標、ベンチマーク、そして技術要件を策定する。

• 責任あるAIに関する高水準の原則を、具体的かつ実行可能な手順と技術要件に落とし込み、責任あるAIフレームワークの効果的な実装を支援する。

• 規制当局が技術的な厳密性と国際的な相互運用性を向上させるために活用できる、詳細な仕様とガイドラインを提供する。

リスクマネジメント

 

リスクテイクは、あらゆる組織の成功の基盤となります。組織のリーダーは、どの程度のリスクを追求、受容、対処、または回避する必要があるかを決定する必要があり、そのアプローチは、組織全体でのリスク管理方法を決定します。

リスク管理の概念は、近年、コーポレートガバナンス・フレームワークの成熟度の向上と、リスク管理が価値と戦略目標の達成を促進し、保護する手段として認識されるようになったことを背景に、ますます重要性を増しています。企業の説明責任、情報開示、変化の速度、リスクの相互関係、新興技術の影響、そして影響度が高く発生確率の低いリスクといった社会の動向は、効果的なリスク管理の必要性をさらに強調し、重要性を高めています。 2024年世界経済フォーラム世界リスク報告書によると、人工知能（AI）を含むますます高度化する技術へのオープンアクセスが拡大し、情報や制度への信頼が低下するにつれ、操作された情報の破壊力は急速に高まっています。合成コンテンツの急増は、イデオロギー的暴力や政治的弾圧の増加を伴い、社会の分断を増幅させると予想されています。

東南アジアは、世界で最も災害が発生しやすい地域の一つです。5月から11月にかけて台風が定期的に発生し、強風、洪水、地滑りを引き起こします。また、この地域では地震も頻繁に発生しています。2013年の災害は、1億2,800万米ドルの損害をもたらし、5,700万人が影響を受けました（ESCAP、2015a）。災害リスク管理（DRM）は、かつてないほど重要になっています。DRMの基礎は、ハザード、そして人々と資産がそれらのハザードにどの程度さらされているか、またその脆弱性を理解することです。リスクを定量化し理解し、ハザードの潜在的な影響を予測することで、政府、地域社会、そして個人は、情報に基づいたリスク管理の意思決定を行うことができます。こうした情報は、開発・適応戦略、セクター計画、プログラム、プロジェクト、そして予算の優先順位付けに活用できます（世界銀行、2012）。 DRMは、災害の発生確率と影響を理解し、対処することで、災害の影響を軽減することを目指しています。その基盤となるのは、リスクの評価と対応に関する体系的な方法論です。しかしながら、DRMの実施、活用、そして実行には、様々な課題と問題が存在します。

インダストリー4.0

 インダストリー4.0企業においては、以下のカテゴリーの潜在的な混乱要因を考慮することが提案されています。

• 物流チェーンの障害、取引先による原材料または半製品の納入遅延、および／またはサービス、スペアパーツ等の提供遅延

• 物理的攻撃またはサイバー攻撃

• 有線および／または無線技術を用いて設計されたICTおよびCT（クラウド技術）システムおよびネットワークの障害および停止

• 生産ラインおよび保管を含むOTシステムおよびネットワークの障害および停止、および／または産業オートメーションおよび制御システム（IACS）の誤動作

• 極端な環境現象、雷を伴う嵐、大雨、局地的な洪水、洪水、ハリケーン、竜巻、極度の高温または低温、大雪、着氷等

• 水、電気、ガス等の供給における重要なインフラ設備およびシステムの障害

• 様々な理由による火災および／または爆発

• 汚染物質および／または危険物質の極端な排出物質、

• 周辺環境やインフラ設備における潜在的な重大事象による破壊、

• 製品の品質または安全要件の不遵守、

• 健康または衛生要件の不遵守、製品の品質不良または汚染、

• 潜在的な細菌性疾患（例：換気システムの保守および／または消毒の誤りによる）、または伝染病またはパンデミックにつながる感染性ウイルスの発生、

• 海岸に近い場所での地震および／または津波、

• 外部の主体または代理人による、重要なインフラ施設／システムに対する破壊行為、テロ行為、またはサイバーテロ。

政府事業の品質保証

 

政府における目的適合分析

1.1 分析は、政策立案、プログラム、プロジェクト、運用サービスの成功に不可欠です。分析は、選択肢の策定と評価に役立ち、複雑なシステムの動作と挙動に関する洞察を提供し、システムのパフォーマンスを測定し、効率性を向上させます。

1.2 しかし、分析とその裏付けとなるモデル、データ、仮定が目的に適合していない場合、金銭的損失から評判の失墜、法的訴訟に至るまで、深刻な結果を招く可能性があります。最悪の場合、人命や生活にまで影響が及ぶ可能性があります。

1.3 2012年のインターシティ・ウェストコースト・フランチャイズ・コンペティションは、主要な政府プロジェクトの実施における分析とモデリングの重要性、そして問題が発生した場合の影響の両方を示しました。その後の政府分析モデルの品質保証に関するレビュー1では、省庁内および省庁間で使用されている品質保証の種類と性質に大きなばらつきがあることが明らかになりました。組織の権限の違いや、問題となるリスクのレベルを考慮すると、こうした事態の多くは予想通りでした。

1.4 レビューでは、徹底した品質保証を期待する職場環境を構築することの利点が強調されました。これには、主要なモデルとその使用方法に関する明確な責任の割り当て、専門スタッフに品質保証を効果的に管理するための十分な時間を与えることなどが含まれます。レビューでは、各部門に対する主要な推奨事項が示されました。

リスクマネジメント

 

リスク管理は、組織が重大な損害（財務的、風評的、その他の損害）を引き起こす可能性のある事象を回避、発生確率を低減、または影響を最小限に抑えるのを支援するために使用されます。本質的に、リスク管理は損失を削減し、不確実性をコントロールし、意思決定を最適化してパフォーマンスを向上させるための重要なツールです。アクチュアリーは、リスクと不確実性を理解するための統計分析の活用を含む包括的なトレーニングを受けた熟練した専門家です。したがって、アクチュアリーは組織のリスク管理の取り組みを支援するのに適しています。リスク管理に関する有用な書籍やガイドは数多くあります。しかし、アクチュアリーによるリスク管理のアプローチは、特に、プラスとマイナスの両方のリスクが経験する結果に与える影響を測定し、理解すること、そしてリスクとその影響が時間の経過とともにどのように変化するかを考慮することに重点を置いています。適切な場合、アクチュアリーによるアプローチはリスクに財務的価値を付与します。特に、保険数理的アプローチはリスクをより広く考察し、各リスクに個別に明確な影響と確率を適用するのではなく、潜在的な影響の範囲とリスクの相互作用を理解しようとします。

保険数理的リスク分析は短期的な視点に基づくだけでなく、必要に応じて数十年先まで遡ることもあります。

長期的な影響の理解に重点を置くことで、意思決定者は結果が予想される典型的な範囲をより深く理解できるだけでなく、より極端な事象が発生した場合の潜在的な影響も評価できるようになります。

このリスクマネジメントガイドは、当初、Airmic、ALARM、リスクマネジメント協会（IRM）を含む英国の主要なリスクマネジメント組織から選ばれたチームによって策定された標準規格として発表され、欧州リスクマネジメント協会連合（FERMA）によって採用されました。その後、最新の考え方に沿って改訂・更新されています。当初のチームは、長期間にわたる協議を通じて、リスクマネジメントに関心を持つ幅広い専門団体の見解と意見を求めてきました。本稿では、その知見を新たにまとめます。リスクマネジメントは急速に発展を続ける分野であり、リスクマネジメントの内容、実施方法、そしてその目的については、多種多様な見解や説明が存在します。以下の点について合意を得るためには、何らかの形のガイドや標準規格が必要です。

以下の文書は、サイバーセキュリティ・インフラセキュリティ庁（CISA）の情報通信技術（ICT）サプライチェーンリスク管理（SCRM）タスクフォース、ワーキンググループ4（以下、WG4）の共同作業の成果です。この文書は、あらゆる規模の公的機関および民間組織間でICTサプライチェーンのリスク状況を一貫した方法で伝達するための手段として、標準化された質問テンプレートを作成することを目指しています。この評価テンプレートの目的は、ICTサプライヤー／プロバイダーによる業界標準およびベストプラクティスの実装と適用に関する一連の質問を標準化することです。これにより、ベンダーと顧客の両方が、より一貫性のある理解、予測可能性、そして実行可能な方法でコミュニケーションをとることが可能になります。これらの質問は、組織の信頼と保証の実践に関する可視性と透明性を高め、許容可能なリスク評価について情報に基づいた意思決定を支援します。

近年の企業リスク管理機能への重点化は、特に世界金融危機における高度な定量的リスクモデルの失敗を受けて、誤った方向に進んでいると多くの人が考えています。トップダウン型のリスク管理がイノベーションや起業家精神を阻害するのではないかという懸念があります。私たちはこれに反対し、リスク管理は、リスクを費用対効果の高い方法で特定、評価、軽減するための「啓示の手」として機能するべきだと主張します。適切に実施されれば、リスク管理の「啓示の手」は、企業がよりリスクの高いプロジェクトや戦略に取り組むことを可能にすることで、企業に付加価値をもたらします。しかし、リスク管理は、経営者や従業員が自らのリスクエクスポージャーについて深く分析的に考えることを妨げる、個人および組織の深刻なバイアスを克服しなければなりません。本稿では、7つのケーススタディから、企業のリスク機能が、リスクを表面化させ優先順位付けし、リスクを軽減するための資源配分を支援し、それらの意思決定に潜む価値のトレードオフや道徳的ジレンマを明確にするために、高度にインタラクティブで介入的な対話を促進する、多様かつ偶発的な方法について教訓を得ます。