CFO はなぜ ERM を担うべきか？財務報告の署名責任とどう関係するか？
証券取引法第 14 条第 3 項により、財務報告には董事長、経理人、会計責任者が署名または押印し、内容に虚偽や隠蔽がない旨を表明しなければなりません。第 20 条の 1 により、署名者は相当の注意を尽くし、内容に虚偽や隠蔽がないと合理的に確信する正当な理由があったことを証明できない限り、賠償責任を負います。
- 「相当の注意」は制度と記録で証明できる必要がある
- 年次報告書準則第 20 条第 6 款は、国内外の重要な政策や法律の変化、技術の変化（サイバーセキュリティリスクを含む）が財務・事業に与える影響と対応策の分析を求めている
ERM は、これらのリスクを方法論に沿って評価し、定期的に報告し、記録を残すための骨格です。年次報告書準則は公開発行会社に適用され、公開発行会社でない企業は対象外で、任意に参考にできます。
ESG 評価 G-18 は何を求めるか？監査委員会がリスク管理を監督してもよいか？
はい。G-18 は「監査委員会または取締役会レベルの機能別委員会（リスク管理委員会など）」がリスク管理を監督し、さらに次を満たしているかを問います。
- 取締役会が承認したリスク管理の方針と手続を定めている
- リスク管理の組織体制、手続、運用状況を開示している
- 少なくとも年 1 回取締役会に報告している
G-18 は AA 型で、得点要件を満たせば構面の得点に加えて総合点に 1 点加算されます。2026 年度と 2027 年度で文言は同じです。ESG 評価の対象は上場・店頭公開企業で、上場・店頭公開企業でない企業や公開発行会社でない企業は対象外で、任意に参考にできます。
ERM には認証がない。CFO は取締役会、投資家、監査人にどう運用を証明するか？
COSO ERM 2017 も ISO 31000:2018 も認証可能な規格ではなく、ISO 31000 は認証目的には使わないと明記しています。上場企業が実際に行うのは、証券取引所の「上場・店頭登録会社リスク管理実務規範」の内容です。
- 取締役会が承認したリスク管理方針
- リスク委員会と執行部門
- 年 1 回以上の取締役会への報告
- 第 28 条に基づく自社ウェブサイトまたは公開情報観測所での開示
第三者認証が必要な場合は、ISO 27001、ISO 22301 などの認証可能な規格と組み合わせられます。この実務規範の対象は上場・店頭公開企業で、公開発行会社でない企業は対象外で、任意に参考にできます。
予算編成：ERM への投入は何で決まるか？
積穗科研の ERM 予算ガイドでは、予算を左右する要因は三つです。
| 要因 | 影響するもの |
|---|---|
| 組織体制 | 取締役会直属のリスク管理委員会を置くか、推進部門の人員と職責 |
| 棚卸の範囲 | 対象とする事業部門、子会社、海外拠点の数 |
| 開示と報告 | 年次報告書、サステナビリティ報告書、公開情報観測所での開示の深さと、重要リスク指標の構築 |
このページでは費用を記載しません。積穗科研は無料のメカニズム診断の後に個別の見積もりを提示します。
スケジュール：最初の取締役会報告はいつか？なぜ取締役会の日程に合わせるのか？
サービスページ記載の期間は 4 段階で通常 4〜6 か月、複数の ISO マネジメントシステムやグループの COSO フレームワークが既にある場合は約 3〜4 か月です。
- 診断とガバナンス設計（3〜4 週）
- 方針・リスク選好・手法（4〜6 週）
- リスク評価と KRI（6〜8 週）
- 報告・開示・引き継ぎ（3〜4 週）
最初の取締役会報告は通常 3 か月目の末です。リスク管理方針、リスク選好、年次報告はいずれも取締役会の承認が必要なため、取締役会の開催時期に合わせる工程が最も短縮できません。
ERM を内部統制の自己評価、内部統制制度声明書、年次報告書の開示にどうつなぐか？
別の仕組みを作らず、既存のプロセスにつなげます。
- 内部統制処理準則 第 22 条・第 24 条：自己評価は取締役会と社長が内部統制制度声明書を出す主な根拠で、声明書は会計年度終了後 3 か月以内に公告・申告します。各マネジメントシステムの監査結果を自己評価の根拠に入れます
- 年次報告書準則 第 20 条第 6 款：EU 法規制とサイバーセキュリティリスクの財務影響と対応を、既存のリスク事項の分析に加えます
- コーポレートガバナンス：リスク管理方針と取締役会への定期報告事項に組み込み、開示は年次報告書に統合します
この二つの準則は公開発行会社に適用され、公開発行会社でない企業は対象外で、任意に参考にできます。
積穗科研は CFO の ERM（全社的リスク管理）をどう支援するか？
- 副社長・取締役クラスのコンサルタントが外注せず一貫して支援します
- COSO の 5 つの構成要素で取締役会報告を組み立て、ISO 31000 のプロセスで手法を統一し、サイバーセキュリティ、事業継続、AI、個人情報のリスクを一枚のリスクマップにまとめます
- 四半期ごとに更新し KRI が自動で警告する動的リスク登録簿と取締役会ダッシュボードを構築し、すべての成果物を実務規範の条番号と評価指標に対応させます
- 運用開始後 90 日間のフォローアップと年次レビューを提供します
実名実績：台湾証券取引所（TWSE）— 内部統制制度と ISO 9000・ISMS の統合支援。詳しく：ERM 制度支援、ERM の予算とスケジュール、ERM コンサルタントの選び方、CFO 向けページ、CRO 向けページ。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- CFO から見た ISO 27001：年次報告書のサイバーセキュリティ開示、ESG 加点、予算の組み方
- CFO が ISO 37001 を導入するとき：財務統制、誠実経営の開示、越境贈賄リスクをどう管理するか？
- CFO から見た営業秘密と ISO 56001：研究開発の価値保護と ESG 加点をどう考えるか？
- CFO が ISO 22301 を導入するとき：業務中断の損失、RTO への投資、予算をどう見積もるか？
- CFO から見た DORA：EU 金融機関の顧客との契約条項と制裁リスクをどう評価するか？
- CFO から見た GDPR と ISO 27701：制裁金の引当、越境移転、予算をどう考えるか？
- CFO から見た EU CRA と EU AI 法：EU 売上のリスク、制裁金、予算をどう組むか？
- CFO が見る NIS2：制裁金の上限、経営陣の責任、引当金の判断
- CFO が見る DX：予算の組み方、効果の測り方、費用の会計処理
- CFO が見る AI 変革：投資効果、制裁リスク、費用の会計処理
役割の概要に戻る：CFO はセキュリティ、リスク、コンプライアンスへの投資をどう判断すべきか？8 の要求事項を一つずつ解説