直答：全社的リスク管理の予算は三つのことで決まります。組織構造をどこまで整えるか、リスクの棚卸しがいくつの事業単位をカバーするか、そして対外的な開示要件です。スケジュールは取締役会の日程に沿って進みます。リスク管理方針、リスクアペタイト、年次報告はいずれも取締役会の承認が必要だからです。ISO 31000 はガイダンス規格であり認証には使われないため、ERM への投資はガバナンスを実際に機能させるためのものであり、認証書を取るためのものではありません。
根拠：証券取引所の実務守則
台湾証券取引所は「コーポレートガバナンス 3.0」に基づき「上場・店頭上場企業リスク管理実務守則」を公表しました。COSO ERM 2017、ISO 31000:2018、金融・保険業のリスク管理実務守則を参考にし、方針、手続き、実行の三つの側面を扱い、企業は規模、事業特性、リスクの性質に応じて適切に採用できます。守則はまた、ガバナンス単位、リスク管理委員会、推進・実行単位からなる組織構造の構築を求め、リスク管理方針、組織構造、運用状況を会社ウェブサイトまたは公開情報観測システム（MOPS）で開示することを求めています。
予算を決める三つの要因
| 要因 | 影響するもの |
|---|---|
| 組織構造 | 取締役会直属のリスク管理委員会を設置するか、推進単位の人員と職責 |
| 棚卸しの範囲 | カバーする事業単位、子会社、海外拠点の数 |
| 開示と報告 | 年次報告書、サステナビリティ報告書、公開情報観測システムでの開示の深さ、主要リスク指標の構築 |
スケジュールの組み方
- 現状診断：既存のリスク管理の取り組みとギャップを棚卸しします。
- 方針と構造：リスク管理方針、リスクアペタイト、組織構造を定め、取締役会に提出して承認を得ます。
- リスクの棚卸しと評価：各単位がリスクを特定・評価し、優先順位を決めます。
- 監視と報告：主要リスク指標と取締役会への定期報告の仕組みを構築し、対外開示を完了します。
第 2 段階と第 4 段階はいずれも取締役会の開催時期に合わせる必要があり、これが最も圧縮できない部分です。
積穗科研の進め方
- 証券取引所の守則、COSO ERM、ISO 31000 に基づき、リスクアペタイト、三つの防衛線、取締役会への報告の仕組みを構築します。
- プロセスの定義：誰が責任を負い、何を、いつ行うか、行った・行わなかった証拠はどこにあるか。
- 副社長・取締役クラスのコンサルタントが最初から最後まで支援し、チームには COSO ERM の全社的リスク管理の専門家がいます。
台湾で全社的リスク管理コンサルタントを選ぶには 無料のメカニズム診断を申し込む
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。