CRO（最高リスク責任者）は取締役会報告にどのリスクを載せるべきか？9 の要求事項を一つずつ解説

直接の答え：CRO が取締役会報告に載せるのは、財務リスクと業務リスクだけではありません。台湾証券取引所の「上市上櫃公司風険管理実務守則」第 18 条は、リスクを戦略、業務、財務、情報、法令遵守、誠実性、その他の新興リスクに分けています。積穗科研の 9 つのコンサルティングサービスは、これらの区分に当てはまります。事業継続（ISO 22301）、誠実性と贈収賄防止（ISO 37001）、営業秘密、情報セキュリティ（ISO 27001）、AI リスク（ISO 42001、EU AI 法）、そして制裁金のある EU 法規制（GDPR、NIS2、EU CRA）です。CRO の仕事は、それぞれ別々に進めるのではなく、一つの方法で評価し、一つのリスクマップに示し、一つの報告で取締役会に上げることです。リスク管理は台湾証券取引所の ESG 評価でも加点項目です。指標 G-18 は AA 型の設問で、得点すれば総合点に 1 点加算されます。まず知っておくべき点は二つ：守則には「CRO」という職名はなく、規定しているのは「リスク管理推進・執行部門」です。そして ERM 自体は認証できず、COSO ERM にも ISO 31000 にも証明書はありません。成果は、取締役会が承認した方針、運用の記録、開示で示します。

9 の要求事項はどのリスク区分に入るか

台湾証券取引所の ESG 評価：CRO が準備する指標

ESG 評価は 2026 年からコーポレートガバナンス評価に代わるもので、対象は上場・店頭公開企業です。以下の指標は、注記した S-7 を除き 2026 年度と 2027 年度で文言が同じです。

制裁金リスク：CRO が影響度の評価に使う数字

制裁金は影響の一部にすぎません。顧客の要求、市場への参入、評判の毀損は、通常は制裁金より先に起こるため、同じ影響度評価に入れるべきです。

要求事項ごとに：CRO が判断すること、一つのリスクマップへの載せ方、期間

ERM 全社的リスク管理

• 最初に判断すること：取締役会が承認したリスク管理方針、リスク委員会、推進部門がそろっているか、そして少なくとも年 1 回取締役会に報告するリズム。
• 認証の限界：COSO ERM 2017 も ISO 31000:2018 も認証可能な規格ではなく、ISO 31000 は認証目的ではないと明記しています。第三者認証が必要な場合は、ISO 27001、ISO 22301 などの認証可能な規格と組み合わせます。
• 進め方：COSO の 5 つの構成要素で取締役会報告を組み立て、ISO 31000 のプロセスで方法を統一します。四半期ごとに更新し KRI で自動的に警告する動的なリスク登録簿と、取締役会向けダッシュボードを整えます。
• 期間（サービスページ記載）：4 段階で通常 4〜6 か月。診断とガバナンス設計、方針・選好・方法、リスク評価と KRI、報告・開示と引き継ぎの順で、最初の取締役会報告は通常 3 か月目の末です。複数の ISO マネジメントシステムやグループの COSO 枠組みがある組織は約 3〜4 か月です。
• 詳しく：ERM 制度支援、ERM コンサルタントの選び方、ERM の予算とスケジュール

ISO 22301 事業継続マネジメント

• CRO にとっての意味：事業影響度分析（BIA）で中断による損失と最大許容停止時間（MTPD）を評価し、復旧の順序を決めます。RTO と RPO は BIA から導くもので、先に決めるものではありません。
• 認証の限界：ISO 22301 は第三者認証を受けられ、3 年周期です。BCP を書くだけでは足りず、BIA から導いた RTO と訓練の記録がない計画は、監査や顧客の審査では存在しないのと同じです。
• 期間（サービスページ記載）：4 段階で通常 4〜7 か月、27001 があれば約 3〜5 か月。BIA と訓練の 2 段階は短縮できません。
• 詳しく：ISO 22301、ISO 22301 コンサルタントの選び方、ISO 22301 の予算とスケジュール

ISO 37001 贈収賄防止マネジメントシステム

• 最初に判断すること：贈収賄リスク評価がどの場面を対象にするか。接待と贈答、手数料、代理店と販売店、政府とのやり取り、海外市場などです。台湾の貪汚治罪条例第 11 条により、外国、中国大陸、香港、マカオの公務員に対し、地域をまたぐ貿易、投資その他の商業活動に関して贈賄することも処罰されます。
• 版：現行版は ISO 37001:2025 です。英国 UKAS とカナダ SCC は、認証取得済みの組織は 2027 年 2 月 28 日までに移行する必要があると公表しています。
• 認証の限界：ISO 37001 自体が、規格への適合は贈収賄が起きないことを保証しないと述べています。英国贈収賄法第 7 条の「適切な手続」の抗弁が認められるかは、裁判所が個別に判断します。
• 期間（サービスページ記載）：典型的には 1〜2 四半期で制度構築と内部監査を終え、その後に認証へ進みます。
• 詳しく：ISO 37001、ISO 37001 コンサルタントの選び方

営業秘密保護

• CRO にとっての意味：台湾の営業秘密法で保護されるには、第 2 条の 3 要件、すなわち秘密性、経済的価値、合理的な秘密管理措置を同時に満たす必要があります。流出の後に措置を加えても、通常は手遅れです。
• 目に見える措置：情報の区分と秘密表示、保護範囲を具体的に示した秘密保持の約定、知る人の限定とアクセス記録、外部への開示前の秘密保持契約。秘密保持契約に署名しただけでは、合理的な措置とは言えません。
• 期間（サービスページ記載）：4 段階で通常 3〜6 か月。最後に、退職者による資料持ち出しを想定し、ログから証拠保全まで一通り模擬して穴を直します。
• 詳しく：営業秘密保護制度支援、営業秘密コンサルタントの選び方

ISO 27001 情報セキュリティマネジメントシステム

• CRO にとっての意味：情報リスクの管理策と証跡です。審査の重点はリスクアセスメントと適用宣言書（SoA）で、93 の管理策の適用はリスクアセスメントで決めます。積穗は ERM のリスクの言葉で評価の枠組みを作り、情報リスクと全社リスクを同じ尺度で扱えるようにします。
• 期間（サービスページ記載）：通常 4〜8 か月。
• 詳しく：ISO 27001 導入支援、CISO 向けページ

ISO 42001 と EU AI 法：AI リスク

• 最初に判断すること：各 AI システムの EU AI 法上の役割（提供者か導入者か）とリスク区分。
• 認証の限界：ISO 42001 の認証は AI を統制する仕組みの健全性を示しますが、EU AI 法への適合ではありません。適合性評価、EU データベースへの登録、認定代理人、第 50 条の透明性は法定手続きとして残ります。
• 期間（サービスページ記載）：ISO 42001 は 27001 があれば通常 4〜6 か月、ゼロからなら約 6〜9 か月。EU AI 法の高リスク AI への対応は通常 6〜9 か月、ISO 42001 認証と合わせると 9〜12 か月です。
• 詳しく：ISO 42001、EU AI 法

GDPR

• 最初に判断すること：EU 域内の人に商品やサービスを提供しているか、EU 域内の人の行動をモニタリングしているか。
• 遵守の示し方：公式の証明書はなく、処理活動の記録、DPIA、処理者契約、SCC または BCR による移転の仕組み、通知の記録で示します。
• 期間（サービスページ記載）：基礎的な遵守体制は通常 2〜3 か月。ISO 27701 認証と合わせると 5〜8 か月。
• 詳しく：GDPR、GDPR コンサルタントの選び方

NIS2

• CRO にとっての意味：規制対象事業体は第 21 条の 10 項目の最低限の措置を実施し、経営機関がそれを承認し監督します（第 20 条）。サプライヤーの場合は、顧客がサプライチェーンセキュリティの要求を契約に盛り込みます。
• 期間（サービスページ記載）：通常 4〜6 か月。ISO 27001 があれば 2〜3 か月。
• 詳しく：NIS2

EU CRA

• CRO にとっての意味：2027 年 12 月 11 日以降、基本的なサイバーセキュリティ要件を満たさない、または適合性評価と CE マーキングを終えていないデジタル製品は EU 市場に出せません。第 14 条の報告義務は 2026 年 9 月 11 日から既に適用されています。これは市場参入のリスクです。
• 詳しく：EU CRA 対応支援、CRA は誰が主導するか

既存の制度にどう組み込むか

台湾の上場・店頭公開企業には、「上市上櫃公司風険管理実務守則」が推奨する方針、組織、報告のリズムが既にあります。新しいリスクは別の仕組みを作るのではなく、同じ仕組みに入れるべきです。第 1 条により、上場・店頭公開企業はこの守則を参照して自社のリスク管理方針と手続きを定めることが望ましいとされます。公開発行会社でない企業はこの守則の対象外で、任意に参考にできます。

守則第 11 条は、取締役会に属するリスク管理委員会の設置を推奨しており、ほかの機能別委員会や作業部会で代えることもできます。銀行と金融持株会社は「金融控股公司及銀行業内部控制及稽核制度実施弁法」第 21 条により、社長に属するリスク管理の専任部門を設け、副社長以上またはこれに相当する者をリスク管理長に指名する必要があります。

積穗科研の進め方

以下は積穗科研自身の説明です。上の質問で、ほかのコンサルタントと同じように私たちも確かめてください。

• 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません
• 一つのリスクマップ：COSO の 5 つの構成要素で取締役会報告を組み立て、ISO 31000 のプロセスで方法を統一し、サイバーセキュリティ、事業継続、AI、個人情報のリスクを同じリスクマップに載せます。成果物はすべて守則の条文番号と評価指標に対応させます
• 一つの文書体系：ISO 37001 は ERM のリスクの言葉を骨格に導入し、既存の内部統制と文書体系を共有します
• 稼働後：90 日間のフォローアップと年次の見直しを行います
• 最初の一歩：初回のメカニズム診断は無料です

関連する質問

• COSO ERM や ISO 31000 は認証できますか？上場企業はどう示せばよいですか？ 独立した証明書はありません。COSO ERM 2017 も ISO 31000:2018 も認証可能な規格ではありません。実際に行うのは「上市上櫃公司風険管理実務守則」の内容で、取締役会が承認したリスク管理方針、リスク委員会と推進部門、少なくとも年 1 回の報告、そして第 28 条に基づく会社のウェブサイトまたは公開情報観測所での開示です。ERM 制度支援
• リスク管理は台湾証券取引所の ESG 評価にどう影響しますか？ 指標 G-18 は、監査委員会または取締役会レベルの機能別委員会によるリスク管理の監督、取締役会が承認した方針と手続き、組織体制と運用状況の開示、少なくとも年 1 回の取締役会への報告を求めています。AA 型の設問で、得点すれば総合点に 1 点加算されます（2026 年度・2027 年度の指標）。ERM 制度支援
• 台湾の上場企業は CRO を置かなければなりませんか？ 「上市上櫃公司風険管理実務守則」には CRO という職名はなく、規定しているのはリスク管理推進・執行部門で、取締役会に属するリスク管理委員会の設置を推奨しています（ほかの機能別委員会で代えることもできます）。銀行と金融持株会社は、副社長以上またはこれに相当する者をリスク管理長に指名する必要があります。ERM 制度支援
• リスク管理の守則が挙げるリスク区分は何ですか？ 第 18 条は、戦略リスク、業務リスク、財務リスク、情報リスク、法令遵守リスク、誠実性リスク、その他の新興リスク（気候変動や感染症に関するリスクなど）を挙げています。ERM 制度支援
• ERM の導入にはどれくらいかかり、最初の取締役会報告はいつですか？ 4 段階で通常 4〜6 か月、最初の取締役会報告は通常 3 か月目の末です。複数の ISO マネジメントシステムやグループの COSO 枠組みがある組織は約 3〜4 か月です。ERM の予算とスケジュール
• EU 法規制の制裁金を、CRO は影響度の評価にどう入れるべきですか？ 制裁金の上限を影響の下限の目安として使います。GDPR は最大で全世界年間売上高の 4% または 2,000 万ユーロ、NIS2 の不可欠な事業体は 1,000 万ユーロまたは 2%、EU CRA の必須要件の違反は 1,500 万ユーロまたは 2.5%、EU AI 法の禁止行為は 3,500 万ユーロまたは 7% です。顧客の要求と市場への参入への影響も同時に評価します。EU 法令統合コンプライアンス
• 事業継続計画（BCP）があれば、ISO 22301 は不要ですか？ BCP だけでは足りません。ISO 22301 には BIA、戦略、計画、訓練、継続的改善が含まれ、BIA から導いた RTO と訓練の記録がない計画は、監査や顧客の審査では存在しないのと同じです。ISO 22301
• ISO 37001 の認証を取れば、贈収賄の法的責任を免れますか？ そうは言えません。ISO 37001 自体が、規格への適合は贈収賄が起きないことを保証しないと述べています。英国贈収賄法第 7 条の「適切な手続」の抗弁が認められるかは、裁判所が個別に判断します。認証が示すのは仕組みが動いていることで、リスクがゼロであることではありません。ISO 37001
• 秘密保持契約を結んでいれば、営業秘密は守られますか？ 十分ではありません。営業秘密法第 2 条は、秘密性、経済的価値、合理的な秘密管理措置を同時に求めています。秘密保持契約だけでは足りず、区分、秘密表示、アクセス記録、知る人の限定も必要です。営業秘密保護制度支援

無料のメカニズム診断を申し込む