当該COSO-ERMのガイドラインの中では、ERMを次のように定義しています。

ERMとは、プロセスであり、組織の取締役会や経営陣、その他の人員に影響を受けるものであり、戦略設定の際にも、全社的にも適用されるものである。また、企業体に影響を与える潜在的事象を特定するよう設計されたもので、リスク選好※2に合わせてリスクを管理し、組織の目的・目標達成に対してある程度の保証を与えるものである。

【参考：ERM-Integrated Framework Executive SummaryのERMの定義を筆者が翻訳】

COSO-ERMのガイドラインの原型は1992年に発行された内部統制^※3フレームワークまで遡ります。内部統制フレームワークには、COSOキューブと呼ばれる考え方が採用されており、次のように図示されるものです。

こうした内部統制の必要性が叫ばれると同時に、地球温暖化、自然災害、地域紛争、サイバーテロ、リーマン・ショック、横領、異物混入、SNS風評など・・・企業活動の複雑化・拡大化に伴って災害や事故・不祥事も増加の一途をたどるようになりました。日々プレゼンスを増す不確実性への対応こそが重要という企業も増えてきたのです。こうした状況に鑑み、米国組織COSOは、COSOキューブの発表から12年後、その考え方をベースにしながら、概念を拡張させ、“不確実性への対応”に焦点をおいたCOSO-ERMという考え方を一つの解として公表したのです。

さて、このCOSOキューブですが、最初の発表から20年以上が経過した2013年に、時代の流れに合わせて一部の文言を更新するなどした改訂版が公開されています。そして、2017年に、新しいフレームワークとともに最新版が公開されました。（下表参照）。
 
【表： COSO及びCOSO-ERMを取り巻く動き】

COSO-ERM（2017）は多くの部分で、COSO-ERM（2004）を踏襲しており、今回の改訂で考え方が大きく変わったというわけではありません。その中でもとりわけ大きな違いは、ERMのフレームワークの見せ方と言えるでしょう。詳しくはこちらの記事をご覧ください。

COSO-ERM（2004）は、そのベースとなったCOSO・・・すなわち、1992年のCOSO – Integrated Frameworkの発表から10年近く後に発行されたものです。ですが、COSO-ERM（2004）は、COSOを置き換えることを狙いに発行されたものではないことに留意が必要です。両者は、それぞれの“目的“に合わせて使い分けることが期待されています。

ここで言う“目的”とは、COSOにおいては、とりわけ「財務報告の信頼性^※4」のことを言い、COSO-ERM（2004）では、不確実性の排除を通じた経営・事業目的達成の促進、すなわち「戦略」のことを言います。つまり、COSO-ERM（2004）では戦略遂行の際の様々な出来事の不確実性をできるだけ排除していくことが重要になります。また、COSOとCOSO-ERM（2004）とでは、積極的に意識する範囲もやや違います。コントロールが及びにくい子会社こそが、企業の不確実性を増大させる要因にもなり得ることから、COSO-ERM（2004）では、ERMの対象範囲として子会社を明記しています。
 
こうした理由から、COSO-ERM（2004）キューブには、COSOキューブにはなかった「戦略」や「目的の設定」、「子会社」などと言った観点が追加されているのです。こうした事情を踏まえつつ、それぞれの“目的“に合わせて両者を使い分けることが必要です。
 
※4. 「財務報告の信頼性」は、2013年にCOSOが新たに改訂されてから、「報告」と表記が改められました。

COSO-ERM（2004）は100ページ弱の文書からなります。読み手に合わせて解説の深さを変えており、概要を説明した「エグゼクティブ・サマリ」と、COSO-ERM（2004）を詳しく解説した「フレームワーク」の2部構成になっています。
 
全編通じて基本的には、COSO-ERM（2004）キューブの手前の面（上図参照）に示される8つの要素それぞれに、詳しい解説がなされています。

なお、8つの要素の意味と、そこで解説されている内容（概要）は、下表のとおりです。
 
【表： COSO-ERMにおける8つの要素の意味と解説されているポイント】  

ERM（全社的リスク管理）の参考となるフレームワークとしては、2004年に発行されたCOSO-ERM（2004）のほかに、2009年に発行された国際規格ISO31000:2009「リスクマネジメント－原則及び指針」（下図参照）が有名です。両者の違いは何でしょうか？
 

COSO-ERM（2004）ではその考え方を立体図で、ISO31000では平面図で示しており、一見すると全く異なるもののように見て取れますが、実は表現が異なるだけで良く似ています（下表参照）。例えば、COSO-ERM（2004）では「内部環境」と表現されていたERMの土台部分に対する解説について、ISO31000では「枠組み（箇条4）」における「リスクの運用管理のための枠組み設計」の中で似た内容について触れています。また、COSO-ERM（2004）で登場する「事象の識別」ではリスクにつながる環境変化などの特定について触れていますが、ISO31000では「リスク特定」においてリスク源の特定という表現でやはり同様の内容に触れています。
 
【表： COSO-ERM（2004）の8つの要素とISO31000（2009）を構成する要素との関連性】

COSO-ERMは、エグゼクティブ・サマリと本編となるフレームワークの2部構成になっていることから、これをうまく使い分けることをおすすめします。
 
本書を本格的な参考書としてお使いになりたい方・・・例えば、リスク管理の責任者や実務担当者などが、COSO-ERMを正しく効果的・効率的に理解するための入口として、まずはエグゼクティブ・サマリを読むことをおすすめします。その上で、本編のフレームワークを読むと理解しやすくなります。ちなみに、エグゼクティブ・サマリとなってはいますが、簡潔ではあるものの明瞭とまでは言えない内容ですので、実際には組織のエグゼクティブの方が読んでも理解することは困難と思われます。

いずれにせよ、COSO-ERMを持ってしても「ERMとはどんな活動が必要なのか？」を理解することはできても、「どうやって構築するのか？」までを習得することは不可能です。あくまでも、ERMに対する理解を深めたり、自組織のリスク管理に対する課題を特定したりするための一手段であることに留意ください。また、他のガイドライン・・・ISO31000:2009なども合わせて参照し、学習をされるとなお良いでしょう。