今回の改訂案では、リスクマネジメントに対する取締役会の役割について変更が加えられています。そもそも、「コーポレートガバナンスの原則」は以前から、取締役会が担うべき役割として以下を求めていました。

• 企業のリスクマネジメントの監督（企業がリスクマネジメントに関わる説明責任を果たせるかどうかの監督も含む）
• 企業が目標達成のために許容するリスクの種類と程度、ならびに業務リスクをどのように管理するかを見ること
• 企業に適用される法律（税法、競争法、労働法、環境法、機会平等、健康と安全に関する法律など）に企業が従うことを保証するためのリスクマネジメント体制や仕組みを監督すること

その役割が、今回の改訂案でどう変わったのか。G20/OECDは、今回の見直しの優先分野として次の10項目を挙げています。リスクマネジメントの観点からは特にハイライトした箇所（No2, 4, 5, 6）が気になるところです。

また、同原則の改訂案では「リスクマネジメント方針及び手続きの見直しと評価」という項に、リスクマネジメントの監督範囲として以下のような趣旨の追記がなされています。

• サステナビリティの重要事項が考慮されているかどうか
• レジリエンス向上の観点から危機管理（クライシスマネジメント）プロセスが整備・運用されているかどうか
• デジタルセキュリティリスクマネジメントがERM（全社的リスクマネジメント）の枠組みに統合されているかどうか
• 税務に関する財務、規制、風評リスクが特定・評価・管理されているかどうか

レジリエンスという言葉も、危機管理（クライシスマネジメント）という言葉も、デジタルセキュリティという言葉も、改訂前（2015年度版）の原則には、ほぼ登場しなかったものです。つまり「リスクマネジメントの監督」は取締役会の重要な役割の１つであることは当然ながら、その範囲が広がってきている、と言えます。だからなのでしょう。同原則は、「取締役が監督責任を十分に果たせるようにするため、監査委員会等とは別に、リスク委員会を設置することも1つの選択肢である」と述べています。専門委員会の設置も視野に入れているわけですから、もはや企業価値の維持・向上は、リスクマネジメントなくしてあり得ないと言っても過言ではないのかもしれません。

ところで、経営の執行側の観点からは今回の改訂案をどう捉えることができるでしょうか。取締役会に求められる監督の役割が大きくなるのであれば、監督を受ける側である経営執行側のリスクマネジメントの役割も大きくなると考えるのが筋です。すなわち、平時のリスクマネジメントにおいても、BCP（事業継続計画）や危機管理などの有事対応においても、経営のリーダーシップがますます求められると言っていいでしょう。例えば企業が目標達成のために許容するリスクの種類と程度をどこに置くのか、BCPや危機管理の目指す姿をどう描くのか。こうした問いに対する答えについても、経営がはっきりと示す必要があると言えるのではないでしょうか。

しかし残念ながら、現時点ではまだ多くの企業がERMやBCP・危機管理活動に課題を抱えていると言えそうです。ERMにおいては、いわゆる「ボトムアップ型のアプローチ」を採用している企業が多く、そこでは経営の関与がまだまだ弱い印象です。ボトムアップ型とは、リスクマネジメントの事務局が各部門長からリスクを吸い上げて、そこから会社の重大リスクを抽出し対応方針案を決め、経営に諮るような活動のことです。そこに経営の関与があることは否定しませんが、まだまだ受動的な姿勢が色濃いイメージです。経営の執行側にリスクマネジメント委員会を設けているケースも少なくありませんが、時間は確保しても期待されているほどの議論がなされているかは疑問の残るところです。

G20/OECDの「コーポレートガバナンスの原則」の改訂は2023年4～9月ごろに完了する予定だと言われています。改訂を踏まえた日本のコーポレートガバナンス・コード等への反映はさらにその翌年以降になると思われます。が、これまで述べてきたように、改訂案に込められている想いは既に明らかです。企業は、今からERMやBCP・危機管理のあるべき姿や、それに対する経営のリーダーシップ発揮の仕方、取締役会の監督方法のあり方等について検討し始めることが望ましいと言えるでしょう。