⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

企業リスクアセスメント評価表

第1部: 書式本文

本評価表は、事業活動に内在する各種リスクを部門横断で洗い出し、発生可能性と影響度の二軸で評価し、対応方針と残存リスクを可視化するための一覧表である。自社の事業規模・業種に応じて項目を取捨選択して使用する。

1. 【リスクID・登録日】リスクごとに一意の管理番号(例:R-2026-001)を付し、登録日を記載する。
2. 【リスクカテゴリ】戦略リスク・財務リスク・オペレーショナルリスク・法務コンプライアンスリスク・情報セキュリティリスク・災害リスク・レピュテーションリスクの区分から選択する。
3. 【リスクの内容】具体的な事象を記載する。例:「主要仕入先1社への調達依存によるサプライチェーン寸断」。
4. 【リスクの発生要因】内部要因(業務プロセスの属人化等)か外部要因(市場変動・法改正等)かを区分して記載する。
5. 【発生可能性(頻度)】5段階評価(1:ほとんど発生しない〜5:年1回以上発生)で評価し、評価根拠となる過去実績やヒアリング結果を付記する。
6. 【影響度】5段階評価(1:軽微〜5:事業継続に重大な支障)で評価する。財務的影響(概算損失額)、対外的信用への影響、法令違反による行政処分の可能性を含めて総合的に判断する。
7. 【リスクスコア・優先順位】発生可能性×影響度で算出したスコアに基づき、優先対応リスク・監視対象リスク・許容可能リスクの3段階に分類する。
8. 【現在の管理策(既存コントロール)】現時点で実施している予防策・低減策を記載する。例:「複数仕入先への分散発注を一部実施済み」。
9. 【残存リスク評価】既存コントロールを踏まえた上でなお残るリスクの水準を再評価する。既存コントロールが不十分な場合はその旨を明記する。
10. 【対応方針(回避・低減・移転・受容)】リスクへの基本方針を4区分から選択し、選択理由を記載する。保険付保による移転を選択する場合は付保内容の概要も記す。
11. 【対応策の担当部門・責任者】対応策の実施責任を負う部門名・役職名・氏名を記載する。
12. 【対応期限・実施スケジュール】対応策の実施期限、中間確認日を記載する。
13. 【モニタリング方法・頻度】対応策実施後の効果測定方法(定量指標・定性指標)と、モニタリング頻度(四半期ごと等)を記載する。
14. 【エスカレーション基準】スコアが一定水準を超えた場合、または重大な事象が発生した場合に、どの階層(部門長・リスク管理委員会・取締役会)へ報告するかの基準を記載する。
15. 【見直し履歴】評価内容を見直した日付、見直し理由、変更前後のスコアを記録する欄を設ける。

第2部: 立場別・場面別の書き換えパターン

A節: リスク管理担当が全社横断で整理する場面

A-1. サプライチェーンリスクを統括的に評価する場面 「R-2026-004:主要原材料の調達先が海外1社に集中しており、当該国の輸出規制強化により調達停止に至るリスクを『発生可能性3・影響度5』と評価する。対応方針は『低減』とし、第二仕入先の開拓を令和8年度中に完了させる。」 一言解説: リスク管理担当は個別部門の視点に偏らず、全社の事業継続への影響度を基準に評価することが求められる。

A-2. 複数部門のリスクを統合し優先順位を付ける場面 「各部門から提出された評価表を集計した結果、上位3件はいずれも情報セキュリティ関連であった。リスク管理委員会において優先対応リスクとして四半期ごとの進捗報告を義務付ける。」 一言解説: 部門ごとの評価基準にばらつきが生じやすいため、全社共通の評価尺度(第1部5・6)をあらかじめ定義し周知することが重要である。

B節: 各部門が担当業務のリスクを評価する場面

B-1. 営業部門が取引先信用リスクを評価する場面 「R-2026-009:主要取引先1社への売上依存度が全体の35%に達しており、当該取引先の信用悪化時の売掛金回収不能リスクを『発生可能性2・影響度4』と評価する。対応方針は『低減』とし、与信限度額の見直しと取引保証の付保を検討する。」 一言解説: 部門固有のリスクは、その部門でしか把握できない具体的な数値(依存度等)を伴わせることで評価の説得力が増す。

B-2. 製造部門が労働安全衛生リスクを評価する場面 「R-2026-012:老朽化した製造設備における労働災害発生リスクを『発生可能性3・影響度4』と評価する。既存コントロールとして年1回の法定点検を実施しているが、設備更新が未了であるため残存リスクは『中』と再評価する。対応方針は『低減』とし、次年度設備投資計画に更新費用を計上する。」 一言解説: 既存の管理策と残存リスクを区別して記載することで、対応が形骸化していないかを客観的に検証できる。

第3部: 書き方と法的ポイント解説

本評価表は、経営会議や取締役会において全社的なリスクの状況を俯瞰し、内部統制システムの構築・運用状況を示す資料として使用する場面に適している。他方で、個別の契約審査や訴訟対応など、法的な結論を要する個別事案の判断そのものを本評価表だけで完結させることは適切ではなく、そのような場面では別途法務部門・弁護士による個別検討を行うべきである。

関連する法令としては、取締役会設置会社における業務の適正を確保する体制(いわゆる内部統制システム)の整備を求める会社法第362条第4項第6号、大会社における同様の規定である会社法第348条第3項第4号、取締役の善管注意義務を定める会社法第355条・任務懈怠責任を定める会社法第423条が挙げられる。リスクアセスメントを実施し記録を残すことは、取締役が善管注意義務を履行したことを示す間接的な証跡となり得る。

よくある失敗として、第一に、発生可能性・影響度の評価基準が部門ごとに異なり、全社での優先順位付けができないケースがある。対策として、評価尺度を数値定義付きで統一する条項(第1部5・6)を設ける。第二に、評価はしたが対応策が実施されず放置されるケースがある。対策として、対応期限・責任者・モニタリング頻度を必須記載事項とする(第1部11〜13)。第三に、リスクレベルが悪化した際に適時に経営層へ報告されないケースがある。対策として、エスカレーション基準(第1部14)をあらかじめ数値で定めておく。

評価結果の法的な位置付けや、取締役の善管注意義務との関係については事案ごとの事情により判断が異なり得るため、実際の運用に際しては弁護士等の専門家へ個別に相談し、確認を経ることが望ましい。

第4部: 使用前チェックリスト

• 全社共通のリスクカテゴリ区分が定義されているか
• 発生可能性・影響度の評価尺度が数値基準とともに統一されているか
• 各リスクにリスクID・登録日が付与され追跡可能になっているか
• 既存コントロールと残存リスクが区別して記載されているか
• 対応方針(回避・低減・移転・受容)の選択理由が記載されているか
• 対応策の責任部門・責任者・実施期限が明記されているか
• モニタリング方法と頻度が定められているか
• エスカレーション基準が数値・事象で具体的に定められているか
• 保険による移転を選択した場合、付保内容と整合しているか
• 見直し履歴が記録され、過去の評価との比較が可能になっているか
• 各部門提出分をリスク管理担当が横断的に集計する体制になっているか
• 取締役会・経営会議への報告時期があらかじめ定められているか