噴火のリスクを例にとってみましょう。噴火の予兆や前触れを示唆するものが、言わばKRI候補です。具体的には何でしょうか。因果関係が実証されていないものもあるでしょうが、KRIになりうるものとしては、たとえば火口の隆起や、震源の浅い火山性地震を挙げることができるでしょう。では、外部からハッキングを受ける不正アクセスリスクの場合はどうでしょうか。KRIになりうるものとしては、たとえばファイアウォール（ネットワーク上の防御壁）がブロックに成功したアクセスの数や、ネットワーク上を流れるデータ量などが挙げられるでしょう。

KRI（Key Risk Indicator）に良く似た言葉でKPI（Key Performance Indicator）という言葉を良く聞きます。KRIとKPIは何が違うのでしょうか。両者ともに「何かを計るのに役立つ指標」であるという点で共通です。このときの「何か」の部分に違いがあるだけです。既に前段で述べたように、「リスクがどれだけ差し迫っているかを計るのに役立つ指標」がKRIです。これに対し、「目的達成にどれだけ役に立っているかを計るのに役立つ指標」がKPIです。

KRIは、リスクマネジメントを行うための有効な道具ですが、魔法のツールではありません。どんなに立派な道具であったとしても、使い方を誤れば、何の効果も発揮しません。KRI、すなわち、「どんな指標をモニタリングすべきか」を明らかにするだけではダメで、「特定の指標をモニタリングしたとして、その指標（KRI）がどうなったら、どんな行動を起こすのか」までを、考えておく必要があります。

• 「どんな指標をモニタリングするのか」（KRI）
• 「その指標がどうなったら、アクションを起こすのか」（閾値）
• 「どんなアクションを起こすのか」（リスク対応）　

上記、3要素を満たす適切な備えができて初めて、効果を発揮するのです。

・その他のKRI例１：洗車専門店の戦略目標と戦略的リスク対応

KRIの中には、冒頭で挙げた噴火リスクの例のように、予兆や前触れが比較的分かりやすいものとそうでないものがあります。後者の場合は、リスクの顕在化に繋がる要因をいきなり一つに絞り込まず、複数選択して、まずはモニタリングしてみることです。つまり、学習を通じて、有効なKRIや、閾値などを特定していく段階的なアプローチが必要になります。

具体的には、まず、リスクにつながる事象を下図のように書き出すことで、KRI候補を列挙してみます。リスクにつながる事象は何か（中間事象）、さらにその中間事象につながる事象にはどんなものがあるのか（根本事象）・・・というように、遡っていきます。このときのこの根本事象が、KRI候補です。

先の例１に当てはめて考えてみましょう。高価格商品の売上減少というリスクを直接示唆するような中間事象には、高級車の販売動向が当てはまります。さらに高級車の販売動向を予測させる根本事象には、ガソリンの販売価格の動向、インフレ傾向などが当てはまります。

KRI候補を特定できたら、試験的にモニタリングを行い、因果関係を学習していきます。この例では、ガソリン価格の動向やインフレが売上減少とどのような関係にあるのか（比例するのか、反比例するのか、など）を確認することになります。もし、リスクとKRI候補との間に強い因果関係が見いだすことができれば、以後、それを正式なKRIとして活用することができるわけです。

上記の例１では、組織がガソリンの販売価格が高いと低価格車が売れ、高級車は売れなくなるという因果関係を発見し、「ガソリンの販売価格」をKRIとして採用しました。ガソリンの販売価格と連動して商品の価格を連動させることで顧客数を増やし、利益アップを図る戦略を立てたのです。

このように、KRIがはじめから分からないものについては、学習を通じて有効な指標を見つけていくことになりますが、環境の変化によりリスク事象と根本事象の因果関係も変化するため、定期的に見直すことも重要です。また、モニタリングは思いのほか、時間のかかる活動です。組織として実行可能な作業ボリュームを見極めながら、適度に活用することが肝要です。