Accumu 最新号・Vol.26-27

ITへの依存を高めるリスク管理

京都情報大学院大学教授
甲斐 良隆

1.リスク管理と現代の経営

現代ビジネスにおいて，リスクほど頻繁に用いられる言葉はありません。20，30年前までは特定の人が使う専門用語とされ，ほとんどマスコミに登場することもなく，まさに隔世の感があります。リスクのPlan-Do-See，いわゆる「リスク管理」が経営戦略の一端を担うと言っても今日のビジネスマンには違和感がないでしょう。リスク管理にはいくつかの側面がありますが，損失を一定限度に抑えるためのリスク・ヘッジ，逆に収益の増加を狙ったリスク保有戦略のように，リスク水準を企業の体力をもとに操作することが一般的です。また，リスクの種類は多く，信用リスクを価格変動リスクに変換するといった，量でなくリスクの質の変換も時によっては有効な戦略となります。

頻繁に用いられる割には，リスクを正確に定義することは案外難しいのです。リスクを正しく定義するには，企業の価値創造が何によってもたらされ，何によって阻害される可能性があるかを知ることが前提となります。つまり，リスクの定義とはビジネスの本質を理解することに他ならないからです。100の企業があれば100のリスク管理があると言っても過言でありません。また，すべてのリスクをなくすことはできないしコスト的にも引き合いません。しかもリスク管理のための費用は想定事象が起きなければ無駄になり，リスク管理には全体を鳥瞰できる立場と低生起確率のものにでもリソースを配分できる権限が必要です。リスク管理は「良きに計らえ」が通用しないトップマネジメントの問題です。

リスクと資本政策が直接結びついている例として，BIS（Bank for International Settlements：国際決済銀行）の自己資本比率規制をあげます。この規制の目的は，金融市場の破たんを未然に防ぐために金融機関の過剰なリスクテイクを抑えることです。そのため，金融機関に対し，リスクを，市場リスク，信用リスク，システム事故や決済ミスを意味するオペレーショナルリスクに分類，計量化し，それに見合った自己資本を要求します。具体的には，リスク量としてVaR（Value at Risk），つまり，将来被る可能性のある最大損失額を用います。ところで，その推定には膨大なデータと複雑な計算式が必要です。VaRを算出する過程では，全保有資産の過去データを蓄積しその平均，標準偏差，各資産間の相関係数等を計算することが必要となります。計算量は資産数の2乗に比例し，1000の資産があれば求めるべき相関係数は50万個にも及びます。BIS規制は高速大容量コンピュータの存在を前提にして成り立っているのです。

全上場会社に対して，リスク情報の記載が義務付けられたのが2003年であり，内容も年々充実してきました。投資家の関心が利益や財務だけでなく，企業が直面するリスクに向いている証しです。特に，投資家が注目するポイントは，リスクの多寡でなく，経営者によるリスクの適正な認識とコントロールです。その意味で，企業にとって，リスクそのものも重要ですが，リスク「情報」の管理も劣らず重要です。適正なリスク管理が企業内外の信頼を育み，信頼が長い時間を経てコーポレートブランドを形成するからです。

2.企業の成長とリスクの増加は裏腹の関係

経済の国際化，サービス化が進むにつれ，企業を取り巻くリスクの質及び量が変化してきました。日本経済の成長率低下，アジアを中心とした新興国経済の台頭を受け，日本企業の海外進出が急ピッチです。ところが，海外では国内では経験しなかったリスク，例えば，利益移転にかかわる税制，政治，法律，宗教，自然災害その他様々なリスクに見舞われます。事業のグローバル化によって最高益を更新する企業が出る一方，手痛い失敗例も後を絶ちません。リスク管理の舵取りが一層難しくなってきました。しかしながら，海外展開は今後の日本企業として避けて通れない道であり，リスク管理が成功の鍵を握っていると言っても過言ではありません。

そもそも社会の発展に伴いリスクの増加は不可避です。信用リスクの例が分かりやすいと思われます。経済成長のためにはニュービジネスへリスクマネーを供給することが不可避です。商売を円滑に進めるためには，現金決済でなく売掛金，買掛金，カード，仮想通貨等が使われます。道路や病院の建設をはじめ多くの公共事業は20年30年といった年月で採算が考えられており，主要な資金源は国債や地方債といった借金です。身近なものは財布からあふれ出そうなカードの山です。これらはすべて，信用リスクを伴います。そもそも便益の享受と対価の支払いがずれれば，必ず信用リスクが発生します。インターネットショッピングやP to P取引の急拡大によって，信用リスクは，現代社会において，ますます網の目のように増殖し続けるでしょう。

このような社会においては，リスクの顕在化，つまり倒産や巨大損失がある程度の頻度で起こることは避けられません。破綻が起きないように努力することは必要ですが，起こることを前提に社会の制度を作り，企業や個人のリスク管理技術を高度化していくことの方が重要です。支払いまでの期間短縮，不正や誤操作に対する厳格なモニタリング，認証システム，ブロックチェーンに代表される改ざん防止技術の活用が中心になると思われますが，それらはITの発展と表裏一体です。

3.ITによるリスク管理プロセスの高度化

そもそもリスクの概念は収益の概念に比べ，あいまい，抽象的で一様でもありません。それゆえ，リスク管理の第一歩は対象リスクの計量化，つまり数値や金額に置き換えることです。どのようなリスクであれ，確率や統計が計算の基礎になってきます。リスク管理には一定水準の数学的な能力と大量データを処理し，シミュレーションを行える仕組みが必須です。ノーベル経済学者マーコビッツが1952年に発表した平均分散法は画期的な理論であったにもかかわらず，計算量の多さのため実用に供するにはコンピュータの進歩を何年も待たなければなりませんでした。このようにリスク管理の高度化はコンピュータ発展の歴史と重なります。経済のグローバル化，市場化がリスク管理のニーズを拡大させ，それに応えるべく，ITを駆使して今日のようなリスク管理方式が誕生しました。また，逆に，リスク管理プロセスの高度化がITの発展を促したとも言えます。

もう一つの例です。近年普及が著しく，企業競争力の源泉になってきたと言われているのがBCP（Business Continuity Plan）で，官民一体になって推進しています。BCPとは事業継続計画のことで，企業が突発的な災害や事故，トラブルに遭い大きなダメージを受けた場合，確実な復旧を目指し，なおかつ復旧に要する費用，時間を最小化しようとする計画のことです。BCPで明らかにする内容とは，まず継続させるべき業務の選び出し，優先順位付け，リスクの評価（被害の想定），代替業務の具体的方法等です。関係先に対する連絡・指揮を含め，その後の復旧手順のルール化も重要な課題であります。これら一連の多層化した手順を正確にこなすには，シミュレーションや訓練が不可欠ですが，ここでもコンピュータ利用が進みだしました。将来，現場で起こるであろうことをコンピュータ上で再現して最適な対策を発見するのです。

信用リスクを例にとって，必要とされるIT特性を描いたのが次の表です。いずれの特性も急速に発展しているものばかりで，リスク管理が今後ますますITへの依存を強めていくことが容易に想像されます。

ITの革新はすさまじく，CPU（Central Processing Unit）の能力向上に加えて，並列処理方式が定着し，最近では，もともと画像処理専用のプロセッサであったGPU（Graphics Processing Unit）の高速化，大量データを必要とする演算処理への転用も進みだしました。さらに，リスク管理では，為替や景気等の外部ファクターによる企業への影響度を分析することが重要な課題ですが，このような分野においても，AD（Automatic differentiation：自動微分）技術の利用が図られつつあります。

4.新たなリスクとの闘いと経営者の心構え

工場の合理化に比べ，第3次産業やホワイトカラーの仕事の生産性向上が遅れていることがしばしば指摘されます。事務処理を代表としたオフィスのロボット化，つまり，RPA（Robotic Process Automation）が進められようとしています。ただ，このようなIT化では注意すべきことがあります。定型業務を中心とした事務リスクは大幅に減少すると期待できますが，新たなリスクが発生します。機械故障やプログラムミスや改ざんといった問題で，ロボット化が進めば進むほど，リスクが顕在化する頻度は少なくなりますが，いったん起こるとかえって大きな損失につながる可能性があります。形を変えても，リスクは決してなくならないと心得るべきです。

リスクは敵か味方か

さらに，システムダウン，プログラムミスの他に，大きいものはリスク管理のために用いられるモデルリスクです。モデルは所詮，現実の一部を模倣しているに過ぎず現実に対する説明力は時間の経過と共に徐々に低下します。リスクを計測するモデルが新たにリスクを生む危険性を認識しなければなりません。モニタリングと修正機能の確保が必要です。

AIが研究から実用化の段階に入り，様々な領域での普及が進んでいます。確かに機械学習，ディープラーニングは非常に強力なツールですが，その決定過程を完全に追跡できないという問題を抱えています。AIにとって，リスク管理が最も難しい対象と言われているように，リスクを何と認識するかは人間の知恵，経験が必要であり，当面はAIと人間の二人三脚が続くと思われます。AIを過大でも過少評価するでもなく，適度なバランス感覚が何より重要です。

企業では，リスク管理委員会や専門の統括部門を設け，リスクマップを作成する等，積極的な取り組みが目立ちだしたものの，目先の収益の追求に手一杯だとしてリスク管理を後回しにする企業も多いのも実情です。リスク管理は日々着実に進めていくべき企業活動そのものであり，継続性に意味があり，可視化，制御の仕組みとして企業内に定着させる必要性があり，その意味で，IT化は欠かせません。発想や意欲は物事を始める出発点になりますが，それをシステムとして完成させないと永続的な力にはなりません。リスク管理の成功のためには，業務とITを理解した経営者が必要であり，リスク管理は経営者の力量が試される仕事なのです。