組織はなぜレジリエンスを測定する必要があるのか

ニール・ホッジ[*]

　過去数年の出来事は、企業が強靭であることがいかに重要であるかを示している。パンデミックによる業務の混乱と全般的な経済の混乱、ロシアのウクライナ侵攻、イスラエル・ハマス戦争、西側諸国と中国との緊張の高まり、エネルギー不安、気候変動による自然災害の頻度の増加などから、組織が緊急時対応計画と事業継続を優先する必要性を浮き彫りにしている。

　しかし、組織がレジリエンスを重視していることと、レジリエンスを高めるために実際に策を講じていることの間には、ミスマッチがあるかもしれない。スカンジナビア航空の上級幹部を対象とした最近の調査では、「レジリエンスのギャップ」が明らかになった。97%の幹部がレジリエンスが重要だと答えたが、自社をレジリエンスがあると認識しているのはわずか47%だった。調査対象企業の4分の1だけしか「非常にレジリエンスがある」と評価されていない。

　同時に、規制当局、投資家、その他の利害関係者からの圧力も高まっており、企業はそのレジリエンスを向上させるためにどのような措置をとっているかを開示し、グローバルな課題や地域的な課題にもかかわらず、商品やサービスを提供し続けることができるという保証を提供するように求められている。そのため、リスクの専門家は、リスクに直面したときの組織のレジリエンスのレベルを評価し、報告するための最良の方法を決定する必要がある。これには、自らのストーリーを最も効果的に伝え、事業が直面する可能性のあるリスクに備えていることを構成員に保証できる測定基準を特定することも含まれる。

レジリエンス報告の価値

　レジリエンスの測定と報告には、世界的に認められた自主基準が数多くある。例えば、ISO 22301:2019は事業継続マネジメントシステムのセキュリティとレジリエンスに関するものであり、ISO 27001:2017は情報のレジリエンスに関するものであり、ISO 22316:2017は組織の規模や種類を問わず、組織のレジリエンスを高めるためのガイダンスを提供している。さらに、米国国立標準技術研究所(NIST)は、組織がサイバーセキュリティリスクを管理・低減し、ITのレジリエンスを向上させるのに役立つフレームワークを開発し、組織内および外部の利害関係者とのサイバーセキュリティに関する効果的なコミュニケーションを促進している。

　同様に、トレッドウェイ委員会の支援組織委員会が提供するCOSOフレームワークは、内部統制を評価し、財務報告の整合性を確保することによって、業務上のレジリエンスを実証するのに役立つ。金融機関については、金融安定理事会(FSB)の「業務上のレジリエンスに関するガイドライン」が、特に、金融サービス企業が、厳しい状況下で重要な機能を維持することに焦点を当てることにより、深刻なぎ業務上の混乱に耐え、レジリエンス能力を高めることを目的としている。

　これらは出発点としては有用であるが、専門家は、このような標準は全体的に使用が限定される可能性があると警告している。ソフトウェア会社フュージョン・リスクマネジメントのレジリエンス・イノベーション担当取締役ステーブ・リチャードソンは「業界標準による正式な認証は、レジリエンスを100%の保証を保証するものではない」と述べた。

　しかし、レジリエンス対策に関するより良く、より深い情報開示は依然として重要である。「レジリエンス態勢に関する報告は、組織が予期せぬ混乱に対処する準備を整え、重要な製品やサービスの提供に関する主要なリスクと脆弱性を特定し、改善計画を実行しているという点で、顧客や利害関係者の信頼を守るための組織の継続的な投資を広める機会です」とリチャードソンは述べた。

また、レジリエンスでの取り組みの進捗状況の報告は、顧客体験を改善するための業務効率の変化を特定するだけでなく、新しい市場や地域にいかに迅速に拡大できるかなど、価値創造の機会を浮き彫りにすることもできると付け加えた。

　「現在および将来の顧客は、レジリエンスやリスク軽減策に関して、プロバイダーにますます期待している」とリチャードソンは述べた。「そのため、プロバイダーに対しは、リスクとレジリエンス能力に関して、顧客からの精査と注意がますます高まっている。正式な報告は、顧客が競合他社のアプローチやリスクとレジリエンスへの投資を評価するので、市場での差別化の機会を生み出すことができる。その結果、組織は、リスクとレジリエンスの管理に関する説明と信頼性を強化するために、進化するベストプラクティスとの整合性を確保するために、プログラムを一貫して見直す必要があります。」

　ビジネスデータ会社ダン＆ブラッドストリートの第三者リスクおよびコンプライアンス戦略担当取締役であるスチュアート・スウィンデルは、リスクを公に報告することは「規制に準拠し業務に対する潜在的な脅威を軽減する、強固で健全なビジネスエコシステムを作り出すための不可欠な部分である」と同意した。しかし、レジリエンスに関する報告は、多くの企業がISO標準または同様のガイダンスを遵守するとしても、現在、短期、中期、長期的に組織が直面するレジリエンスまたは個々のリスクについて報告する必要がほとんどないため、バラバラなものになっていると、彼は述べた。

　とはいえ、この状況は徐々に変化しつつある。「ESGのリスクと検討事項の報告は、多くの国々で急速に正式なプロセスになりつつあり、将来的には他のレジリエンス・ベースの報告基準への道を開くかもしれない」と述べた。「しかしながら、これらの基準はISO 規格とは異なる可能性がある。ISO 規格は二者択一で、あなたのビジネスが準拠しているか否かの、どちらかを示すものだからです。」

　スウィンデルは、基本的に、すべての企業は、政府機関によって義務が課されているかどうかにかかわらず、リスクとそれに対するレジリエンスについて報告するよう努めるべきだと信じている。「自社の事業のリスクを包括的に理解することで、レジリエンスのある事業環境を作り出すことができます。また、計画されていなかったリスクも必然的に発生しますが、ベストプラクティスを導入し、データに基づきビジネスを理解することで、予期せぬリスクもいくらか軽減されるでしょう」と述べている。

　「結局のところ、うまく運営されている企業は引き続きうまく運営され、報告基準やその他の基準が変更されるかどうかにかかわらず、良いレベルのガバナンスを維持し続けるでしょう」とスウィンデルは述べた。「しかし、苦戦している企業にとっては、データの所在地を把握し、サプライチェーンを包括的に一覧できるようにすることは非常に肝要なことになります。これは、既存のISO規格を遵守し、最終的には自らのレジリエンスを理解する上で大いに役立つでしょう」と述べた。

レジリエンスを効果的に測定する

　一部の専門家は、業界標準は企業のレジリエンスレベルの「本当の」見方を提供するのではなく、単にコンプライアンスを意味しているだけかもしれないと考えているため、組織は代わりに他のさまざまな具体的な測定基準を使用すべきだと考えている。

　主任市場アナリストであり、ビジネスコンサルタント会社グローモニターのオーナーであるバッセム・モスターファは、企業はそのレジリエンスを測定・報告する方法として、事業継続をいかにうまく管理するかについてますます注目していると述べた。たとえば、組織は目標復旧時間(RTO)と復旧時点目標(RPO)を追跡している。それらは、それぞれが業務の再開にかかった時間と、事業中断中に許容されるデータ損失の量を測定する。また、定期的にストレステスト・シミュレーションを実施し、さまざまな危機シナリオの下でどのように行動するかを評価し、脆弱性や改善すべき分野を特定する。

　モスターファは、リスクの専門家は、組織のレジリエンス活動において「極めて重要な役割」を果たすことができると述べた。なぜなら、リスクの専門家は、事業の継続性と事業復旧を確保するためにどのような資源が必要か、計画をどのようにテストし、評価し、更新すべきか、そしてその結果得られた戦略をどのように実行に移すべきかを特定する上で中心的な役割を果たすからである。しかも、リスクの専門家は、企業文化にレジリエンスを統合するプロセスの中心となる。なぜなら、組織全体にレジリエンスに関する意識を高め、すべてのレベルの従業員がレジリエンスの維持と強化における自分の役割を理解できるようにする役割を担っていることが多いからである。

　「レジリエンスに関する報告において、リスクマネージャーは貴重な洞察とデータを提供してくれます」とモスターファは言う。「多くの場合、彼らはレジリエンス指標の編集と分析のプロセスを主導し、報告が包括的、正確で、組織の真のレジリエンスの状態を反映していることを確認しています。また、レジリエンス戦略の継続的なモニタリングと改善にも関与していいます。新たな展開、ベストプラクティス、進化する脅威に常に遅れをとらず、必要に応じて組織のレジリエンスへのアプローチを調整します」と述べている。

　また、企業の財務指標がレジリエンスの良い指標になると考える専門家もいる。米国に本拠を置く専門サービス会社ランニング・ポイント・キャピタル・アドバイザーズのパートナー兼投資担当取締役、マイケル・アシュリー・シュルマンは「負債比率やキャッシュフローなどの業界標準は有用です」と述べた。「しかし、絶対的な基準だけでなく、業界の同業者や規範との相対的な関係も見なければならなりません。一部の産業、特にキャッシュフローが良好な産業は、負債水準が高くなる傾向にあります」と指摘した。

　シュルマンによれば、利害関係者が検討すべき重要な測定基準のいくつかとしては、健全な財務構造を示し、困難な時期でも柔軟性を高めることができる低負債株主資本比率、または短期債務を満たし、将来の成長に投資する能力を反映する強力で一貫したプラスのキャッシュフローである。小売業やホスピタリティ業などのセクターの企業は、すでに流動性ポジション、手元資金、負債構造に関する報告を増やしており、これは金融の安定性を重視する傾向が強まっていることを反映している。

　彼は、業務上のレジリエンスを理解することは、「どの場所のどの企業にとっても、障害発生時および障害発生後の業務の維持が極めて重要である」のと同じくらい重要であると付け加えた。業務上のレジリエンスは、いくつかの方法で測定できる。すなわち、障害から復旧するのにかかる時間を追跡すること、障害発生時に稼働し続ける重要なシステムの割合、一定期間中に発生した障害の数である。また、研究開発費やイノベーションへの投資によっても測定できる。なぜなら、こうした支出は、競争力を維持し、変化する市場の需要に適応する企業のコミットメントを示すものだからである。

　しかし、シュルマンは、過去の破壊的または破滅的なイベントから教訓を探ることによって将来のリスクを評価することに対して警告を発した。「企業は『100年に1度』の気象現象に対するレジリエンスを主張するかもしれませんが、リスクを分析する場合、気温、風、雨、洪水のパターンを変える地球規模での気候変動の時代には、そのような歴史的な視点は価値がないかもしれません」と彼は述べた。「何か意味のあるものを得るためには、企業の柔軟性、冗長性、頑健性をより深く掘り下げて、業務上および財務上のレジリエンスを理解する必要があります。リスクの一般的な標準偏差グラフには笑ってしまいます。きちんとした標準偏差に当てはまらない状況的・制度的リスクは数え切れないほど考えられます。何も問題ないか、それとも何かが激変するかのどちらかです。」

　英国のリーガル・サービス・ウェブサイト「インジュアリー・クレイムズ」のオーナーであるニコラス・テイトも、業務上の指標を通じてレジリエンスをアピールすることが効果的な方法だと考えている。適応性、拡張可能性、効率性に焦点を当てることで、市場の変化に対応して機軸を変更する企業の能力を際立たせることができる。また、サプライチェーンの柔軟性、新製品やサービスの市場投入までの時間、変化する顧客の需要に迅速に適応する能力などの指標は、不測の事態に直面したときの企業のレジリエンスを際立たせることができる。

　従業員の満足度と定着率も重要な測定基準である。意欲的で安定した労働力は、企業が課題を乗り越え、長期的な成功を持続する能力に大きく貢献する。業界によっては、ある測定基準を他の測定基準よりも優先させる場合もある。例えば、ハイテク分野では、デジタルセキュリティとデータの完全性を重視することが重要であり、製造業などの分野ではサプライチェーンのレジリエンスが優先されるかもしれない。「これらの指標を一貫して監視し、改善することで、企業は持続的成長のためのレジリエンスと能力の具体的な証拠を提供することができます」とテイトは言う。

　ウェルネス関連のオンライン出版物『ヘルス・カナル』の創設者でCEOのエリック・ファムによると、企業が非金融分野でのレジリエンスを報告しようとする際に検討すべき3つの重要な指標があるという。1)人材の維持と成長に関する指標、2)サプライチェーン管理に関する指標、3)環境リスクに対するレジリエンスに関する指標の３つである。

　ファムによると、従業員の定着率が高く、人材の成長に重点を置いていることは、前向きで力強く、レジリエンスのある職場であることを示しているため、企業は決められた期間にわたって会社にとどまる従業員の割合を測定する必要があるという。また、継続的な学習へのコミットメントは、熟練した適応力のある労働力に貢献するため、従業員開発プログラムや研修での取り組みへの投資を追跡することを推奨した。また、後継者計画は、リーダーシップの交代に対応できる態度を示すとともに、予期せぬリーダーシップの交代時に円滑な交代を実現するための方策を示すため、より積極的に開示すべきである。

　レジリエンスがあり効率的なサプライチェーンを維持することは、組織にとっても重要であり、企業はサプライヤー間の集中度/多様化のレベルを評価し、その詳細を提供すべきであり、また、迅速なサプライチェーンは需要と供給の変動に適応できるため、在庫管理の効率性と再入荷に必要なリードタイムを測定すべきである、とファムは述べた。

　最後に、環境レジリエンスは、「気候変動や持続可能性の懸念を含む、環境上の課題に直面したときに適応し、繁栄する企業の能力を包含する」ものである。このようなレジリエンスを測定することに関して、関連する測定基準には、エネルギー効率のよい事業慣行、持続可能な調達、責任ある廃棄物管理を通じて企業の二酸化炭素排出量を削減するための取り組みを追跡すること、ISO 14001やその他の業界特有の基準などの認証を通じて、環境の持続可能性に対する組織のコミットメントを評価すること、進化する環境規制やベストプラクティスに適応し、準拠し続ける企業の能力を測定することが含まれる。

企業存続の問題

　企業がより優れたレジリエンス・リスク管理に投資すべきことは明白かもしれないが、レジリエンスの評価と測定方法に関するより優れた情報開示も同様に説得力があると考える専門家もいる。利害関係者や規制当局は、取引先企業が深刻なショックに耐えられること、そして迅速かつ完全に復旧し、事業運営するための計画があることに対して、より確かな保証を求めている。また、経営状態のよい企業は生存率が高い傾向にあるため、さまざまな指標を用いたより良い、より深い情報開示が長期的には競争優位性をもたらすと考える者もいる。

　「レジリエンスとは、何かが中断する可能性だけではなく、変化や侵入に応じてシステムが自己修復するダイナミックな能力も意味します」とシュルマンは言う。「レジリエンスのある企業は、困難な時期をいっそう強力に乗り切り、顧客や地域社会との信頼関係を強化すべきです。」

トピックス
業務中断、危機管理、災害対策、災害復旧、新興リスク、全社的リスクマネジメント、規制、戦略的リスクマネジメント

注意事項：本翻訳は“Why Organizations Need to Measure Resilience ”, Risk Management Site  (https://www.rmmagazine.com/articles/article/2024/07/09/why-organizations-need-to-measure-resilience ) July 2024,をRIMS日本支部が翻訳したものです。原文と和訳に相違があるときには、原文を優先します。本文中は敬称略です。
ニール・ホッジはイギリス在住のフリージャーナリスト。