リスク・マネジメント (G検定)

1. 定義と概要

リスク・マネジメントとは、組織やプロジェクトにおいて将来発生しうるリスクを特定・分析・評価し、適切な対応策を講じることで損失の回避や低減を図る体系的なプロセスです。代表的な枠組みは国際規格ISO31000（国際標準化機構が定めたリスク・マネジメントの枠組みに関する国際規格）で、リスクを「目的に対する不確かさの影響」と定義しています。マイナス面だけでなく、目的の達成を後押しするプラス面の不確実性も含む点が特徴です。

従来、企業のリスク対応は財務・法務・労務といった個別領域ごとに縦割りで進めるやり方が中心でした。AIの社会実装が進むにつれて、AI特有のリスクが領域を横断して発生するようになりました。代表例として、バイアス（データや設計の偏りによってAIの判断が特定の属性に不公平になること）による不公平な判断や、著作権侵害、プライバシー侵害が挙げられます。また、モデルドリフト（運用が進むにつれてAIモデルの予測精度が徐々に低下していく現象）による精度劣化も、代表的なリスクの一つです。

こうした流れを受け、2024年11月のG検定シラバス改訂では「法律・倫理」分野にAIガバナンス（AIを安全に開発・活用するための社内外のルールや体制）が新設されました。AI特有のリスクをどう管理するかが、体系的なテーマとして扱われるようになっています。

2. 試験対策ポイント

まず整理したいのは、ISO31000が示す基本プロセスです。段階ごとに何をするのかを順に並べると、次のようになります。

段階	内容
特定	リスクを洗い出す
分析	大きさや発生しやすさを調べる
評価	対応の優先順位を決める
対応	対応策を実行する
モニタリングおよびレビュー	対応した後も点検を続ける

対応策を打って終わりではなく、その後の点検までを含む一連の流れとして押さえておきたいところです。

AIガバナンスとあわせて登場するのが、リスクベースアプローチ（リスクの大きさに応じて規制や対応の強度を変える考え方）です。すべてのAIシステムを同じ基準で規制するのではなく、リスクの高さによって規制段階を分ける発想で、「EU AI Act」（EUが制定したAI規制法。リスクの高さに応じて段階を分け義務の強さを変える）はこの代表例として挙げられます。

AIガバナンスを実践する手段としては、ハードロー（違反すると罰則を伴う強制力のある法律）と、ソフトロー（法的な強制力は持たないが行動の指針となるガイドラインなどのルール）の違いが取り違えやすい点です。罰則の有無で線を引くと、両者の位置づけを取り違えにくくなります。

AI開発・運用に特有のリスクとしては、バイアスによる差別的判断、著作権やプライバシーの侵害、モデルドリフトによる精度劣化、セキュリティ上の脆弱性、そして説明可能性の欠如が挙げられます。説明可能性の欠如とは、AIがなぜその判断をしたのか説明しにくいことです。これら複数の領域を横断してとらえる視点が中心的な論点になります。

対応策としては、モデルのヘルスモニタリング（運用後のAIモデルの精度や挙動を継続的に点検する取り組み）が挙げられます。あわせて、Human-in-the-loop（AIの判断に人が関与し、最終確認や修正を行う仕組み）も関連する用語として押さえておきたいところです。

3. 関連概念との比較・相違点

リスク・マネジメントは、似た場面で語られる3つの概念と対比されます。どの軸で違いが出るのかを先に並べると、次のように整理できます。

比較対象	違いが出る軸	対比の要点
クライシス・マネジメント	時間軸	平時の予防か、有事の事後対応か
内部統制	目的の広さ	組織運営全般の体制か、リスク対応に絞った仕組みか
コーポレートガバナンス	階層	経営全体の監督か、その下で運用される実務か

クライシス・マネジメント（事故や不祥事などが実際に起きた後、被害を最小限に抑えるための危機対応）との最大の違いは、対応する時間軸です。リスク・マネジメントは事故や不祥事が起きる前の平時に継続する予防的なプロセスであるのに対し、クライシス・マネジメントは実際に事態が発生した有事に被害を最小限に抑える危機対応を指します。平時の備えを続けていても、実際に事故が起きれば対応の主体はクライシス・マネジメントへと切り替わります。

内部統制（業務が適正・効率的に行われるよう組織内に整備する仕組みやルール）との違いは、目的の広さです。内部統制は業務の適正性、報告の信頼性、法令遵守など組織運営全般を対象とする体制であるのに対し、リスク・マネジメントはそのうちリスクへの対応に的を絞った仕組みです。広い枠組みである内部統制の中に、リスクへの対応を担うリスク・マネジメントが位置づけられる関係になります。

コーポレートガバナンス（株主や社会の信頼に応えるよう経営を監督する仕組み）との違いは階層にあります。コーポレートガバナンスは経営全体を監督する仕組みであるのに対し、リスク・マネジメントはその監督のもとで実務として運用される個別のリスク対応のプロセスです。現場で積み重ねたリスク対応の実績は、コーポレートガバナンスを通じて株主や社会への説明材料にもなります。

4. ビジネス・実務での活用シナリオ

金融業界では、AIによる与信審査モデルの判断にバイアスが含まれていないかを定期的に監査する取り組みが進められている状況です。特定の属性に対して不公平な判断が下されていないかを継続的に点検することで、差別的な融資判断を未然に防ぐ役割を果たします。透明性のある審査プロセスを保つことは、金融機関の信頼を支える土台です。

製造業や自動運転の分野では、AIの誤動作リスクを開発段階で事前に評価し、異常が起きた際にも安全側へ制御するフェイルセーフ設計や対応基準をあらかじめ整備します。人の安全に直結する領域では、事故が起きてから対応するのではなく、開発段階からリスクを評価しておくことが前提です。

生成AI（文章や画像などを新たに作り出す人工知能）を活用する企業では、出力に著作権侵害やハルシネーション（AIがもっともらしい誤った情報を生成する現象）が含まれていないかを点検する取り組みが広がっています。利用ガイドラインの整備と人によるチェック体制という両輪で低減を図り、生成物をそのまま利用者に提示する前に人が確認する体制が企業の信用を守ります。

5. 要点まとめ

• リスク・マネジメントは、リスクの特定・分析・評価を経て対応策を講じ、その後もモニタリングを続ける継続的なプロセスで、ISO31000が代表的な枠組みになっています。
• クライシス・マネジメントとの違いは平時の予防か有事の事後対応かという時間軸に、内部統制との違いは組織運営全般の体制かリスク対応に的を絞った仕組みかという対象の広さにあります。
• AI開発・運用ではバイアス・著作権・プライバシー・モデルドリフトなどAI特有のリスクを、リスクの大きさに応じて対応を変えるリスクベースアプローチで管理する視点も、あわせて整理しておきたいところです。

6. 確認問題