CRO の ERM 導入：リスクマップ、KRI、取締役会報告はどう作るか？

守則に CRO の職名はありません。CRO は制度上どこに位置し、リスク管理委員会は必ず設置すべきですか？

「上市上櫃公司風険管理実務守則」には、リスク責任者や CRO という職名はなく、規定しているのは「リスク管理推進・執行部門」です。- 取締役会：リスク管理の方針、手続き、枠組みを承認する（第 13 条）

• リスク管理委員会：第 11 条は取締役会に属するリスク管理委員会の設置を推奨し、ほかの機能別委員会や作業部会で代えることもできます。リスク選好は委員会が承認します（第 14 条）
• 推進・執行部門：少なくとも年 1 回、リスク管理の実施状況をまとめて報告する（第 15 条）

銀行と金融持株会社は「金融控股公司及銀行業内部控制及稽核制度実施弁法」第 21 条により、副社長以上またはこれに相当する者をリスク管理長に指名する必要があります。公開発行会社でない企業はこの守則の対象外ですが、任意に参考にできます。

CRO のリスクマップはどの区分をカバーすべきですか？部門ごとに別のマップを作らないためには？

守則第 18 条は、リスクを戦略、業務、財務、情報、法令遵守、誠実性、その他の新興リスク（気候変動や感染症に関するリスクなど）に分けています。各マネジメントシステムのリスクは次のように対応します。

原則は、一つの方法で評価し、一つのリスクマップに示し、一つの報告で取締役会に上げることで、それぞれ別々に進めることではありません。

リスク選好と KRI は、誰も読まないリスク一覧にならないようにどう定めるべきですか？

守則第 14 条により、リスク選好（リスク許容度）はリスク管理委員会が承認します。よくある誤りはリスク一覧だけを作ることです。100 のリスクを列挙しても、定量化も優先順位付けも KRI の監視もなく、監査のときだけ取り出されます。サービスページ記載の進め方：

• リスクマトリクスで発生可能性と影響度を定量化し、対応の優先順位を決める
• 動的なリスク登録簿を整える：四半期ごとの更新、KRI の自動警告、取締役会向けダッシュボード
• 影響度評価の入力に、財務損失だけでなく制裁金の上限、市場への参入、顧客の要求も入れる

リスク管理委員会は毎年何を見るべきですか？年次報告に各マネジメントシステムの結果をどう取り込みますか？

守則第 15 条は、推進部門が定期的に（少なくとも年 1 回）リスク管理の実施状況をまとめて報告することを求め、第 28 条は会社のウェブサイトまたは公開情報観測所でのリスク管理情報の開示を求めています。CRO は既存のマネジメントシステムの成果を、そのまま報告の材料として使えます。

• ISO 27001、ISO 37001 の監査結果 → 管理策が有効か
• ISO 22301 の訓練記録 → 事業中断への対応が実行可能か
• KRI の推移と警告 → リスクが選好を超えていないか

新たなリスクガバナンスの内容は、既存の開示に加えます。

ESG 評価の G-18 にはどのような証跡を準備すべきですか？

G-18（2026 年度・2027 年度で文言は同じ）：監査委員会または取締役会レベルの機能別委員会（リスク管理委員会など）がリスク管理を監督し、取締役会が承認したリスク管理方針と手続きを定め、リスク管理の組織体制、手続き、運用状況を開示し、少なくとも年 1 回取締役会に報告しているか。AA 型の設問で、得点要件を満たせば総合点に 1 点加算されます。

対応する証跡は、委員会の監督記録、取締役会が承認した方針と手続き、組織体制と運用状況の開示、年 1 回の取締役会報告の記録です。ESG 評価は 2026 年からコーポレートガバナンス評価に代わり、2026 年度の評価期間は 2026 年 1 月 1 日〜12 月 31 日、結果は 2027 年 4 月末までに公表されます。対象は上場・店頭公開企業で、公開発行会社でない企業は対象外ですが、任意に参考にできます。

ERM にはどれくらいかかり、最初の取締役会報告はいつですか？

サービスページ記載：4 段階で通常 4〜6 か月です。

1. 診断とガバナンス設計（3〜4 週）
2. 方針、選好、方法（4〜6 週）
3. リスク評価と KRI（6〜8 週）
4. 報告、開示、引き継ぎ（3〜4 週）

最初の取締役会報告は通常 3 か月目の末です。複数の ISO マネジメントシステムやグループの COSO 枠組みがある組織は約 3〜4 か月です。方針の承認と定期報告は取締役会の開催時期に合わせる必要があり、ここが最も短縮できない部分です。ERM に証明書はありません。COSO ERM も ISO 31000 も認証できず、成果は取締役会が承認した方針、運用の記録、開示で示します。第三者認証が必要な場合は、ISO 27001、ISO 22301 などの認証可能な規格と組み合わせます。

積穗科研は CRO の ERM をどう支援しますか？

• 一つのリスクマップ：COSO の 5 つの構成要素で取締役会報告を組み立て、ISO 31000 のプロセスで方法を統一し、サイバーセキュリティ、事業継続、AI、個人情報のリスク評価を同じリスクマップに載せます
• 条文との対応：成果物はすべて守則の条文番号と評価指標に対応させます
• 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで自ら担当し、外注しません
• 稼働後：90 日間のフォローアップと年次の見直し
• 実名の支援実績：台湾証券取引所（TWSE）（内部統制制度と ISO 9000・ISMS の統合支援）、金融聯合徵信中心（JCIC）（内部統制制度と ISO 27001・TPIPAS の統合支援）

ERM 制度支援、ERM コンサルタントの選び方、ERM の予算とスケジュール。無料のメカニズム診断を申し込む