リスクとリスクマネジメント

物語のなかで、主人公の安田専一はレジリエンスエンジニアリングとSafety-Ⅱについて学びます。Safety-Ⅱは新しい安全の捉え方ですが、従来のSafety-Ⅰの取り組みからは卒業してSafety-Ⅱの取り組みに切り替えるのではなく、従来のリスクアセスメント、TBM-KY、指差呼称などの取り組みは継続して実施すべきだと書かせていただきました。拙著では、リスクやリスクマネジメントについてはほとんど触れていませんので、このあたりで一度話題にしたいと思います。

物語の後半で、専一は安全と安全マネジメントについて学びますが、その際、安全は「受容できないリスクがないこと」と定義されていることを知ります。安全は「リスク」を用いて定義されているのです。では、「リスク」とはなんでしょうか？

日本の辞典では、「危険」「危険度」「予測できない危険」などさまざまな解説がされています。「予測できない危険」をリスクだとすると、リスクアセスメントが成立しなくなってしまいますので、この定義には少々疑問を感じてしまいますが、「危険度」というのが私たちが普段使っている「リスク」に近いような気がします。私たちは、一般的に、「危険度」の度合を、発生する可能性と、発生した時の影響の大きさの組み合わせ（掛け合わせ）として理解しています。

では、もう少し専門的なところでは、どのように定義されているのでしょうか？　実は、JISやISOなどの規格におけるリスクの定義は、時代と共に（年月を経て）変化しています。

JISQ31000(2019)は、2018年に第2版として発行されたISO31000に基づいて作成された「リスクマネジメントの指針」ですが、同指針ではリスクを「目的に対する不確かさの影響」と定義しています。また、注記として「影響とは，期待されていることからかい（乖）離することをいう。影響には，好ましいもの，好ましくないもの，又はその両方の場合があり得る。影響は，機会又は脅威を示したり，創り出したり，もたらしたりすることがあり得る。」と補足されています。私たちが普段使っている「リスク」とは少し違った印象を受けると思います。しかも、影響には「好ましくないもの」だけではなく「好ましいもの」も含まれているとは、どういうこと？　と思ってしまします。

それでは、時間を少し遡って、ISO31000の第1版に基づくJISではどう定義されていたのでしょう？　それはJIS31000(2010)「リスクマネジメント　原則及び指針」となりますが、そこでは「目的に対する不確かさの影響」とし、注記には「影響とは，期待されていることから，好ましい方向及び／又は好ましくない方向にかい（乖）離することをいう」と書かれています。少し表現は違いますが、JISQ31000(2019)と同様です。実は、これ以前にはJISQ2001(2001)があり、JIS31000(2010) の制定によって廃止された（置き換えられた）のですが、JISQ2001では「事態の確からしさとその結果の組み合わせ」「事態の発生確率とその結果の組み合わせ」と定義されていました。2001年から2010年の10年間で定義が大きく変わったことが分かります。さらに、2001年の前へ遡ると1999年当時のISOでは「危害の発生確率及びその危害の重大さの組み合わせ」と定義されていましたので、かつては「危害」という好ましくないもの（マイナス側）に限定されていたのですが、それが、プラス側も含めたものに大きく転換されたということになります。これは、従来の安全の分野で用いられていた好ましくないものだけをリスクの対象とすると、金融工学や経営戦略リスクを論じる分野のようにプラスもマイナスも不可分である分野のリスクの概念が含まれなくなるため、好ましい結果もあるリスクの概念を取り込んだ定義となったとされています。従来のリスクマネジメントは、好ましくない影響を管理（低減）するものでしたが、実際の組織経営は、ポジティブな影響を主体として計画されること、言い換えると、ネガティブな影響を小さくするという視点だけでは必ずしも最適な経営判断ができないことと関連していると考えられます。

ちなみに、現在の規格ではプラスやマイナスは目標からの相対的なものであると認識しているとのことですので、たとえば１０億円の売上目標に対して５億円しか売れなかった場合は、絶対値はプラスでも目標に対してはマイナスであり、好ましくない影響と言えます。

さて、あらためてリスクの定義を要約すると、「リスク」は「目的に対する不確かさの影響」であり、影響には好ましいものと、好ましくないもの、またはその両方があるということです。この発想は、やや無理があるかもしれませんが、レジリエンスエンジニアリングにも通じていると思います。すなわち、従来のリスクマネジメントでは「好ましくないもの（こと）」を減らす＝トラブルを少なくすることに主眼が置かれていましたが、これはSafety-Ⅰに該当します。一方で、新しいリスクの定義に基づくリスクマネジメントでは、「好ましいもの（こと）」も対象となり、それが目標に対してマイナス側であればリスクとなるわけですから「好ましいもの（こと）」を増やす取り組みも必要となります。これはSafety-Ⅱそのものです。

今回はこのあたりで一旦終わらせていただきますが、従来は「リスクの低減」という使い方が一般的でしたが、上記のようなリスクの定義の変更に伴い、今日では「リスクの最適化」と表現することが一般的になっているようです。