社長（CEO）が ERM を導入するとき：取締役会、内部統制声明書、個人責任で先に整理すべきことは？

ERM で社長はどんな役割を担い、取締役会やリスク管理委員会とどう分担しますか？

「上市上櫃公司風険管理実務守則」による分担は次のとおりです。

「上市上櫃公司治理実務守則」第 23 条も、董事長と社長（総経理）の職責を明確に分け、同一人物が兼ねないことが望ましいとしています。社長の実際の仕事は、推進部門を指名し、各部門に同じ方法でリスクを評価させ、その結果を経営判断に持ち込むことです。公開発行会社でない企業はいずれの守則も対象外で、任意に参考にできます。

重大な損失が起きたとき、社長は注意義務を尽くしたことをどう説明しますか？

まず判断の枠組みを確認します。

• 会社法第 8 条第 2 項：会社の経理人は、職務の範囲内において会社の責任者でもある。
• 会社法第 23 条：会社の責任者は忠実に業務を執行し、善良な管理者の注意義務を尽くさなければならず、違反により会社に損害を与えた場合は賠償責任を負う。業務執行で法令に違反し他人に損害を与えた場合は、会社と連帯して賠償責任を負う。
• 証券取引法第 20 条の 1（公開発行会社）：財務報告に署名または押印した者は賠償責任を負う。相当の注意を尽くし、内容に虚偽や隠蔽がないと合理的に確信する正当な理由があったことを証明できる場合を除く。

ERM が残せるのはプロセスの記録です。取締役会が承認した方針、リスク登録簿、KRI、各回の報告が、会社がいつどのリスクを把握し、どう評価し、何を決めたかを示します。これらの記録で注意義務を尽くしたと言えるかは、法律顧問が個別に判断するもので、このページは結論を代わりに出しません。

社長は取締役会とともに内部統制制度声明書を出します。ERM と内部統制はどういう関係ですか？

台湾の公開発行会社の内部統制処理準則では、自己評価は取締役会と社長が内部統制制度声明書を出す主な根拠であり、声明書は取締役会の承認を経て、会計年度終了後 3 か月以内に公告・申告します（第 22 条、第 24 条）。

サービスページの整理では、内部統制は統制活動の有効性を、ERM は戦略レベルのリスクと機会を扱い、両者は補い合います。実務では次のようにつなぎます。

• 情報セキュリティ、事業継続、贈収賄防止などのマネジメントシステムの内部監査結果を、年次の自己評価の根拠に入れる
• ERM のリスク登録簿に新しいリスクが加わったら、内部統制の各サイクルに対応する統制点があるかを確認する
• 不備は既存の是正追跡に入れ、別の仕組みを作らない

内部統制声明書と財務報告に関わる事項は、監査を担当する会計士が判断します。この準則は公開発行会社に適用され、公開発行会社でない企業は対象外で、任意に参考にできます。

予算が限られる中、セキュリティ、個人情報、AI、事業継続、贈収賄防止が同時に来たら、社長は何から手を付けますか？

部門ごとに予算を奪い合うのではなく、一つのリスクマップで順位を付けます。

1. 分類：守則第 18 条により、各要求を戦略、業務、財務、情報、法令遵守、誠実性、その他の新興リスクのいずれかに入れる。
2. 影響の評価：制裁金の上限は影響の参考になります。例えば GDPR は最大で全世界年間売上高の 4% または 2,000 万ユーロ、EU CRA の必須要件違反は最大 1,500 万ユーロまたは 2.5% です。顧客要求、市場参入、評判の損失は通常、制裁金より先に起きるため、併せて評価します。
3. リスクアペタイトとの照合：リスク管理委員会が承認したアペタイトで先に対応するものを決め、取締役会が第 13 条に基づき資源を配分します。
4. 共有できる骨格を先に作る：例えば ISO 27001 を骨格にすれば、ISO 27701、22301、42001 が同じマネジメントシステムを共有し、後の期間を短縮できます。

こうして付けた優先順位は、そのまま取締役会への報告に使えます。

CRO を置くべきですか？リスク管理の推進部門は誰の下に置きますか？

• 守則に CRO という職名はない：「上市上櫃公司風険管理実務守則」第 12 条は、適切なリスク管理の推進・執行部門を指定または設置することを求めています。リスク管理委員会も、他の機能別委員会や作業部会で代替できます（第 11 条）。
• 銀行と金融持株会社は異なる：金融持株会社と銀行業の内部統制・監査制度実施弁法第 21 条により、社長直属のリスク管理専任部門を設け、副総経理以上または同等の職責を持つ者をリスク管理責任者に任命します。
• 小規模企業：サービスページは、まだ公開発行しておらず、単一事業でリスクが少数の項目に集中する小規模企業は、ISO 31000 のプロセスでリスク登録簿と四半期ごとの見直しから始めればよく、委員会は不要としています。

専任の責任者を置くかは、規模、業種、取締役会の期待によります。公開発行会社でない企業はこの守則の対象外で、任意に参考にできます。

ESG 評価と株主にどう説明し、最初の取締役会報告はいつできますか？

• ESG 評価 G-18（2026 年度と 2027 年度で文言が同じ、AA 型）：監査委員会または取締役会レベルの機能別委員会がリスク管理を監督し、取締役会が承認したリスク管理方針と手続を定め、組織、手続、運用状況を開示し、少なくとも年 1 回取締役会に報告すること。要件を満たせば総合点に 1 点加算されます。対象は上場・店頭公開企業で、公開発行会社でない企業は評価されません。
• 対外開示：守則第 28 条は、リスク管理の方針、組織、運用状況を会社ウェブサイトまたは公開情報観測所で開示することを求めています。
• 期間（サービスページ記載）：4 段階で通常 4〜6 か月。診断とガバナンス設計、方針・アペタイト・手法、リスク評価と KRI、報告・開示・引き継ぎの順で、最初の取締役会報告は通常 3 か月目の末です。複数の ISO マネジメントシステムやグループの COSO 体制がある企業は約 3〜4 か月です。

積穗科研は社長の ERM をどう支援しますか？

以下は積穗科研自身の説明です。上の質問で私たちも確かめてください。

• 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません
• 一つのリスクマップ：COSO の 5 つの構成要素で取締役会報告を組み立て、ISO 31000 のプロセスで手法を統一し、情報セキュリティ、事業継続、AI、個人情報のリスクを一つのリスクマップに収めます
• 条文との対応：すべての成果物を守則の条番号と評価指標に対応させ、取締役会が読まない分厚い報告書は作りません
• 分担：制度、手法、報告は私たちが作り、内部統制声明書と財務報告に関わる事項は会計士、法律意見は提携弁護士が担当します
• 稼働後：90 日間のフォローアップと年次レビュー
• 実名の支援実績：台湾証券取引所（TWSE）（内部統制制度と ISO 9000・ISMS の統合支援）
• 最初の一歩：初回のメカニズム診断は無料です

詳しく：ERM 制度支援、ERM コンサルタントの選び方、ERM の予算とスケジュール、CRO 向けページ、CFO 向けページ