【リスク】【リスクに基づく考え方】｜ ISO・PMBOKの考え方とリスクへの対応策をわかりやすく説明

ISO 9001:2015には３つの重要な概念があります。

ISO9001:2015の3本柱

• リスクに基づく考え方
• PDCAサイクル
• プロセスアプローチ

この3つの概念はプロジェクト・マネジメント (PMBOK 6^th Edition)にも共通している内容です。
この記事では「リスク」「リスクに基づく考え方」について説明いたします。

注記) PMBOK の正式名称は“A Guide to the Project Management Body of Knowledge”で、米国の Project Management Institute (PMI)から出版されている、「プロジェクトマネジメント ガイド本」です。
7^th Edition への改定によって、内容が大幅に削減されるとともに、「概念的説明」に変わったので、6^th Editionをもとに本記事を作成しています。

リスクとは、「Risk & Opportunity / Threat & Opportunity」

ISO での定義

ISO 9000：2015では、リスクを次のように定義しています。

“好ましい方向又は好ましくない方向に乖離”とあるように、「リスク」という単語には良い意味も悪い意味も含まれています。

そして、両方の意味をまとめて「リスク」と呼んでいては区別がつかないので、ISO9001: 2015 では、

良いリスク           機会 Opportunity
悪いリスク           リスク Risk

と呼ぶことで区別しています。

PMBOKでの定義

PMBOKではリスクを次のように定義しています。

リスク (Risk). 発生が不確実な事象または状態。発生した場合、ひとつ以上のプロジェクト目標にポジティブあるいはネガティブな影響を及ぼす。

An uncertain event or condition that, if it occurs, has a positive or negative effect on one or more project objectives.

引用: PMBOK GUIDE 6th Edition

ISO同様、PMBOKも”リスク”という単語に良いリスクと悪いリスクを含ませて定義しています。そして、次のように呼ぶことで”良い/悪い”を区別しています。

良いリスク           好機 Opportunity
悪いリスク           脅威 Threat

リスクの定義をまとめると、次のようになります。
「良いリスク」の英語表記が”Opportunity ”という点は共通しています。

	ISO	PMBOK
良いリスク	機会 Opportunity	好機 Opportunity
悪いリスク	リスク Risk	脅威 Threat

ISO 9001: 2015 “リスクに基づく考え方”(Risk-based thinking) とは

箇条0.3.3に、”リスクに基づく考え方”(Risk-based thinking)の定義が書かれています。

Clause 0.3.3リスクに基づく考え方(Risk-based thinking)

組織は，この規格の要求事項に適合するために，リスク及び機会への取組みを計画し，実施する必要がある。リスク及び機会の双方への取組みによって，品質マネジメントシステムの有効性の向上，改善された結果の達成，及び好ましくない影響の防止のための基礎が確立する。機会は，意図した結果を達成するための好ましい状況，例えば，組織が顧客を引き付け，新たな製品及びサービスを開発し，無駄を削減し，又は生産性を向上させることを可能にするような一連の状況の結果として生じることがある。機会への取組みには，関連するリスクを考慮することも含まれ得る。リスクとは，不確かさの影響であり，そうした不確かさは，好ましい影響又は好ましくない影響をもち得る。リスクから生じる，好ましい方向へのかい（乖）離は，機会を提供し得るが，リスクの好ましい影響の全てが機会をもたらすとは限らない。

引用: ISO9001: 2015

目的の達成のためのプロセスに影響を与える要因（リスク）を抽出し、それらの影響を明確にして、組織が決定した基準に従って対策を施し、目的達成の可能性を高める方法です

ISO 9001:2015とリスク

ISO9001: 2015では、”リスクに基づく考え方”はPDCAサイクルのすべてのプロセスで用いられています。
概要は次の通りです。

では、ISO9001: 2015の中ではリスクに対して、どのように要求しているのかを確認しましょう。

ISO 9001: 2015 リスクに関する箇条

上記は、実際に”リスク及び機会”という用語が使用されている箇所を抜粋しました。
”リスク及び機会”をコントロールするために、PDCAサイクルを回し、常に情報を最新に保つことが要求されていることが読み取れます。

「予防処置」要求は消えていない！

ISO 9001 が2008年版から2015年版にアップデートした際の「違い」として、「予防処置要求がなくなった」という意見がありますが、どうでしょう？

「「予防」はしなくてよいの？」、結論は「予防処置」は必要です。

これは、ISO 9001 2015 にも明確に記述されているんです。
それが本文ではなく付属書 A に、こんなにも重要なことが書かれています。

A.4 リスクに基づく考え方 

リスクに基づく考え方の概念は，例えば，計画策定，レビュー及び改善に関する要求事項を通じて，従来からこの規格の旧版に含まれていた。この規格は，組織が自らの状況を理解し（4.1参照），計画策定の基礎としてリスクを決定する（6.1参照）ための要求事項を規定している。これは，リスクに基づく考え方を品質マネジメントシステムプロセスの計画策定及び実施に適用することを示しており（4.4参照），文書化した情報の程度を決定する際に役立つ。

品質マネジメントシステムの主な目的の一つは，予防ツールとしての役割を果たすことである。したがって，この規格には，予防処置に関する個別の箇条又は細分箇条はない。予防処置の概念は，品質マネメントシステム要求事項を策定する際に，リスクに基づく考え方を用いることで示されている。

引用: ISO9001： 2015

“リスクに基づく考え方” をとるためには、必ず最初に組織のリスクを考えなければなりません。
望ましくない影響(リスク)を予防又は削減する上で、早期のリスク特定・取組みをすることは後追いではなく、先取り、「つまり、予防処置」をするようになります。
品質マネジメントシステムがリスクに基づいたものとなると、自然と予防処置が備わるようになります。

つまり、

予防処置 = “リスクに基づく考え方”を用いて品質マネジメントシステムを運用すること

と言えます。

PMBOK におけるリスク・マネジメント

ISO 9001: 2015では、「リスクに基づく考え方」という概念の説明はありますが、具体的にどのように取り組めばよいかの記述はありません。

そこで、PMBOK Guide 6^th Edition の記述を参照して、どのように取り組むのかを説明します。

リスク・マネジメントの全体の流れ

11.2 リスクの特定、11.3 リスクの定性的分析、11.4 リスクの定量的分析、11.5 リスク対応の計画 について、キーとなる項目を説明します。

11.2 リスクの特定

リスクを特定するために使用されるツールに、「SWOT分析」があります。
SWOTとは、Strength（強み）、Weak(弱み) 、Opportunity (好機)、Threat (脅威)の頭文字をとったワードで、「スウォット」と読みます。
組織の内部環境と外部環境に関するSWOTを洗い出し、企業や事業の現状を把握するためにし要される手法です。

(内部環境と外部環境) × (プラス要因とマイナス要因)の、2 ×2のマトリクスで組織の状況を洗い出して整理します。

	プラス要因	マイナス要因
内部環境	強み（Strength） 強みや長所、得意なこと	弱み（Weakness 自社の持つ弱みや短所、苦手なこと
外部環境	機会（Opportunity） 社会や市場の変化などでプラスに働くこと	脅威（Threat） 社会や市場の変化などでマイナスに働くこと

この項目すべてが「リスク」となります。

11.3 リスクの定性的分析

洗い出したリスクをザックリとしたグループ分けをするための分析をおこないます。
ここで使用されるのが「発生確率・影響度マトリクス」です。

どの組織でも発生確率には「%」が使用されますが、影響度は異なります。

• コストが予定よりも「xx%」増える
• スケジュールが予定よりも「xx %」伸びる

といった、割合で定義する場合もあれば、具体的に「xx円」、「xx日」と定義する場合もあります。

また、スケジュール延長によって増えるマンパワーコストや、機会損失を算出して、一括して「コスト」でリスクの影響を評価する場合もあります。

このようなマトリクスであらわせます。

ここでは、説明を簡単にするため 3×3で説明しましたが、4×4、5×4、100×100、何でも構いません。
それぞれのリスクがどこに位置するかでグループ分けをします。

• 赤 : 高重要度
• 橙 : 中重要度
• 緑 : 低重要度

そして、高・中重要度リスクは定量的分析をし、低重要度リスクは監視するのみ、といったプロセスにつなげます。
「組織のリスク許容度」に依存するため、「高重要度リスクのみ定量的分析をする」と判断する組織もあります。

リスク・マネジメント計画書で定義しておくことの例を挙げておきます。

• マトリクスの縦軸と横軸の単位と分割数
• グループ分けの区切り
• 法令要求は、低重要度でも対応すること
• 人命にかかわるリスクは、発生確率を下げること

11.4 リスクの定量的分析

リスクの定性的分析の結果、より詳細な分析が必要と判断したリスクを定量的に分析し、優先順位を決定します。

「定量的に分析」することで、リスクの影響を具体的な数字で表すことができます。
そして、リスクの優先度を客観的に決めることができます。

トルネード図

トルネード図は、基準値を軸にして項目ごとの不確実性の幅を表示した棒グラフです。
目的や目標に影響を与えるリスクが、「どの程度」影響を与えるのかを定量的に分析する手法です。
一般的に、軸からの変動幅が大きい(影響度の高いリスク)順に並べます。
その見た目が「竜巻 (トルネード)」のように見えるため、この名前がつきました。
変動幅が分からない場合は一定率（±5～10%）を用います。

この例では、市場規模の変動幅がNPVに与える影響が最も大きいことがわかります。
これより、「市場規模」の予測に注力し、その結果を組織のアクティビティにフィードバックするべき、ということがわかります。一方、「固定費」に対する取り組みの優先度は低くなります。

デシジョンツリーダイアグラム

意思決定の各段階の選択肢を樹木構造で示し、最適な結果を得るための経路を視覚化した図です。
各段階で、影響(コスト、利益)と発生確率から期待値を算出し、期待値を足し合わせることで、全体の期待値を算出します。

この例では、設備Aを購入するほうが投資効果が高いことがわかります。
ただし、設備Bの投資効果との差は300万円ですので、初期投資を抑えるためにあえて設備Bを購入する、という判断もありえます。

11.5 リスク対応の計画

このプロセスでは、リスクへの対応方法を定義します。
PMBOKではリスクを全体リスクと個別リスクに分類しています。

また、先ほど説明したように個別リスクは好機のリスクと脅威のリスクに分けられます。
好機のリスクへの戦略、脅威のリスクへの戦略、全体リスクへの戦略をまとめたのが次の表です。

まとめ

日常では、リスクという言葉をあまり意識せずに使用していると思いますが、本記事を読むことによって、「リスク」の概念や対応策を深く知ることができたのではないでしょうか。

日ごろの生活でもリスク評価、対応策は無意識のうちに考えているはずです。

• コロナワクチンを打つという行動 : 脅威のリスクへの「軽減」
• コロナワクチンを打たない行動 : 脅威のリスクへの「需要」
• 外界との接触を完全に遮断する : 脅威のリスクへの「回避」

赤信号を渡る、曇っていて傘を持っていく/持っていかない、100円拾った、などなど、様々なリスクに囲まれて生活しています。

このような、リスク・マネジメント手法をまとめて文章化したものがPMBOKの内容です。