⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

リスク管理規程

第1部: 書式本文

第1条(目的) 本規程は、【株式会社〇〇】(以下「当社」という。)の事業活動に伴う各種リスクを組織的に把握・評価・対応・監視することにより、経営の健全性を維持し、内部統制システムの一環として実効的なリスク管理体制を確立することを目的とする。

第2条(定義) 本規程において「リスク」とは、当社の事業目的の達成を阻害し、又は損失をもたらす可能性のある不確実な事象をいう。「重要リスク」とは、発生した場合に当社の事業継続、財務状況又は社会的信用に重大な影響を及ぼすおそれのあるリスクをいう。

第3条(適用範囲) 本規程は、当社及び当社が実質的に支配する子会社・関連会社の役員及び全従業員(契約社員、パートタイム従業員、派遣従業員を含む。)に適用する。

第4条(リスク管理体制) 1. 当社に【リスク管理委員会】を設置し、代表取締役【役職名】を委員長とする。 2. リスク管理委員会は、各部門長をもって構成し、原則として【四半期に1回】開催する。 3. 委員会の事務局は【リスク管理担当部門】が務め、各部門から提出されたリスク情報の集約・分析を行う。 4. 重要リスクに関する事項は、取締役会に付議し、又は報告する。

第5条(各部門の責務) 1. 各部門長は、自部門に内在するリスクを継続的に洗い出し、四半期ごとにリスク管理委員会へ報告する義務を負う。 2. 各部門長は、担当業務に関するリスクへの一次的な対応責任を負う。 3. 従業員は、業務遂行上リスクの兆候を発見した場合、速やかに部門長又はリスク管理担当部門に報告しなければならない。

第6条(リスクの洗い出しと評価) 1. リスクの洗い出しは、原則として年【1】回の全社的なリスクアセスメントに加え、随時実施する臨時アセスメントにより行う。 2. リスクの評価は、発生可能性及び影響度の二軸により、【企業リスクアセスメント評価表】等の所定様式を用いて実施する。 3. 評価結果は、優先対応リスク、監視対象リスク及び許容可能リスクに分類し、リスク管理委員会に報告する。

第7条(リスクへの対応方針) 1. 評価されたリスクについては、回避、低減、移転(保険付保を含む。)又は受容のいずれかの対応方針を決定する。 2. 重要リスクについては、対応方針の決定に際し取締役会の承認を要するものとする。 3. 対応策の実施責任者及び実施期限は、当該リスクを所管する部門長が定める。

第8条(危機発生時の緊急対応) 1. 重要リスクが顕在化し、又は顕在化するおそれが高いと認められる場合、部門長は直ちにリスク管理担当部門及び担当役員に報告しなければならない。 2. 前項の報告を受けた担当役員は、必要に応じて【危機管理対応マニュアル】に定める対策本部の設置を代表取締役に進言する。

第9条(モニタリングと是正) 1. リスク管理担当部門は、決定された対応策の実施状況を定期的にモニタリングし、実効性が不十分と認められる場合は当該部門長に是正を求める。 2. モニタリング結果は、少なくとも半期に1回、リスク管理委員会に報告する。

第10条(教育・研修) 当社は、役員及び従業員に対し、リスク管理に関する教育・研修を年【1】回以上実施し、リスク感度の維持・向上に努める。

第11条(記録の作成及び保存) 1. リスクアセスメントの結果、対応策の実施状況及びモニタリング結果に関する記録は、書面又は電磁的記録により作成し、【5】年間保存する。 2. 重要リスクが顕在化した事案に関する記録は、事後検証のため【10】年間保存する。

第12条(内部監査との連携) 内部監査部門は、リスク管理体制の整備・運用状況について、年【1】回以上、独立した立場から監査を実施し、その結果を取締役会及び監査役(会)に報告する。

第13条(取締役会への報告) リスク管理委員会は、全社的なリスクの状況及び重要リスクへの対応状況について、少なくとも【四半期に1回】取締役会に報告する。

第14条(規程の見直し) 本規程は、事業環境の変化その他必要に応じて随時見直しを行うものとし、見直しに当たっては取締役会の承認を要する。

第15条(附則) 本規程は、令和【 】年【 】月【 】日から施行する。

第2部: 立場別・場面別の書き換えパターン

A節: 経営者(取締役会・代表取締役)の視点からの書き換え

A-1. 上場準備会社が内部統制報告制度への対応として体制を強化する場面 「第4条第1項を次のとおり改める。『当社に代表取締役社長を委員長とするリスク管理委員会を設置し、社外取締役1名以上をオブザーバーとして出席させるものとする。』」 一言解説: 上場準備段階では、独立した視点を確保するために社外役員の関与を明記すると、内部統制の実効性を対外的に説明しやすくなる。

A-2. グループ経営における子会社統制を強化する場面 「第3条に次の1項を加える。『子会社は、当社リスク管理委員会が定める報告基準に従い、四半期ごとに自社のリスク状況を当社へ報告しなければならない。』」 一言解説: 子会社を含めたグループ全体でのリスク情報の集約体制を明文化することで、親会社の監督責任の履行を示す資料となる。

B節: 各部門(現場管理職)の視点からの書き換え

B-1. 製造部門が労働安全衛生リスクを重点管理する場面 「第5条第2項に次のただし書を加える。『ただし、労働災害の発生するおそれが高いと認められる設備については、部門長は月次で点検状況をリスク管理担当部門へ報告しなければならない。』」 一言解説: 業種特有の高頻度リスクについては、規程本文の四半期報告に加えて月次報告を課すなど、現場の実態に即した頻度設定が有効である。

B-2. 情報システム部門が情報セキュリティリスクを重点管理する場面 「第6条第1項に次のただし書を加える。『ただし、情報セキュリティに関するリスクについては、脆弱性情報の公表等を契機として随時アセスメントを実施するものとする。』」 一言解説: サイバーリスクは変化が速いため、定例のアセスメント頻度に加え、外部環境の変化をトリガーとする随時実施の規定を設けることが望ましい。

第3部: 書き方と法的ポイント解説

本規程は、中堅・大企業が全社的なリスク管理体制を構築し、取締役会に対する報告ラインを明確化する場面で使用することを想定している。他方で、小規模事業者において形式的に委員会体制のみを整えても実効性が伴わない場合は、まず簡易な報告ルールから段階的に整備する方が適切な場面もあり、規程の重厚さが実態と乖離しないよう注意を要する。

関連する法令としては、取締役会設置会社における内部統制システムの整備を求める会社法第362条第4項第6号、大会社に関する会社法第348条第3項第4号、取締役の善管注意義務を定める会社法第355条及び任務懈怠責任を定める会社法第423条が挙げられる。大和銀行株主代表訴訟に代表される裁判例においても、リスク管理体制の構築・運用は取締役の善管注意義務の内容として位置付けられてきた。

よくある失敗として、第一に、委員会を設置したものの開催実績がなく形骸化するケースがある。対策として、開催頻度を明記し(第4条第2項)、未開催の場合の代替報告手段も併せて定める。第二に、各部門が洗い出したリスクが委員会に共有されず放置されるケースがある。対策として、部門長の報告義務を明文化し(第5条第1項)、報告様式を統一する。第三に、重要リスクが顕在化した際の緊急対応と平時の管理体制が規程上リンクしておらず、初動が遅れるケースがある。対策として、危機管理対応マニュアルとの連携条項(第8条第2項)を設ける。

本規程の具体的な運用や、会社法上の内部統制システムとして十分といえるかの評価は、会社の規模・業種等によって異なり得るため、規程の整備に当たっては個々の状況を専門家とともに検討することが望ましい。

第4部: 使用前チェックリスト

• リスク管理委員会の構成員・委員長・開催頻度が具体的に定められているか
• 各部門長の報告義務と報告頻度が明記されているか
• リスクの洗い出し・評価に用いる様式(評価表等)が指定されているか
• 対応方針(回避・低減・移転・受容)の決定権限が明確になっているか
• 重要リスク顕在化時の緊急報告ルートが定められているか
• 危機管理対応マニュアル等の関連規程との連携が図られているか
• モニタリングの実施頻度と是正手続が定められているか
• 記録の保存期間が重要リスクとそれ以外で区別されているか
• 内部監査との連携・監査結果の報告先が明記されているか
• 取締役会への定期報告の頻度が定められているか
• 子会社・関連会社が対象範囲に含まれる場合、報告基準が明記されているか
• 規程の見直し手続と承認権限者が定められているか