リスク管理の専門家は、COSO ERMやISO 31000といったフレームワークに安心感を覚えることが多い。なぜなら、これらのフレームワークは組織とその保証機能に構造・規律、そして秩序感を与えてくれるからだ。しかし、どのようなフレームワークでも、またそれが提供する構造のレベルに関わらず、リスク管理プロセスから排除できない重要な要素が一つある。それは、人間のバイアスである。
バイアスは思考における近道であり、迅速な意思決定を助ける。しかし残念ながら、それによる意思決定が常に正しいとは限らない。バイアスは不確実な状況において迅速な意思決定を助ける一方で、判断を歪めることもある。重要なビジネス上の意思決定のような利害問題では、わずかな歪みでさえ戦略上の盲点、リソースの浪費、あるいは深刻な影響を与える事態につながりかねない。
バイアスはERMのあらゆる段階で発生しうる
バイアスは、プロセス設計からリスクの特定と評価、リスクの監視と報告に至るまで、ERMプロセスとそのライフサイクルのあらゆる段階で発生しうる。認知バイアスは様々な形で現れる。例えば、取締役会が一見すると「これしかない」ような（愚）策を選択したり、リーダーがミスを弁明して他者に責任を押し付けたり、あるいはチームメンバーが自らの見解を表明せず、グループに同調したりすることなどが挙げられる。
リスク管理プロセス全体にバイアスが存在することを認識するだけでは不十分だ。リスクリーダーにとって真の課題は、バイアスを積極的に特定し、バイアスに基づく意思決定を最小限に抑え、リスク情報に基づいた意思決定のための緩和戦略を策定しなければならない。今日のERMを形作る最も蔓延している8つのバイアスは、複雑性・イノベーション・自己中心性・過信・アンカリング*1)・確証・フレーミング＊２）、そして集団思考である。これらのバイアスとそれらが現れるシナリオを探求することで、リスク専門家は、それらの影響に対抗し、ビジネス上の意思決定への影響を最小限に抑えた手法をより効果的に開発することができる。
＊1）訳者注：「アンカリング」（anchoring）とは、最初に示された数値または条件を基点に物事を考えてしまうという心理学用語。
＊２）訳者注：「フレーミング」（framing effect）とは、同じ内容の情報であっても、その提示の仕方（枠組み＝フレーム）によって、受け手の判断や意思決定が大きく変わる現象のこと。これは、情報の「伝え方」や「表現方法」が、その情報そのものの事実よりも、人々の印象や選択に強く影響を与えることを示している。
複雑性バイアスとイノベーションバイアスは対になっている
架空のシナリオを考えてみよう。ある企業の取締役会が、企業の能力と成熟度を向上させるために、外部のリスク管理コンサルタントを雇用したとしよう。コンサルタントは契約を完了し、複数の分類法を含む複雑で専門用語に満ちたCOSO準拠のフレームワークを提供したが、実用的なアドバイスやリソースはほとんど提供しなかった。これは、企業がコンサルタントの推奨事項を実施し、社内のステークホルダーからの賛同を得るためのものであった。（往々にして）リスク特定が行き詰まるのは、フレームワークが現場の従業員にとってあまりにも複雑すぎるためだ。複雑であればあるほど良いという思い込みが蔓延している。これが「複雑性バイアス」というものだ。
複雑性バイアスは、組織が「実用的なソリューション」よりも過度に「複雑なソリューション」を好む原因となっている。このバイアスは、しばしば「イノベーションバイアス」＊）を伴い、COSO ERMのようなフレームワークの最新バージョンは、既存の能力を実際に向上させるかどうかに拘らず、本質的に優れていると（無批判に）理解されているのだ。
＊）訳者注：「イノベーションバイアス」（innovation bias）とは、新しい技術・発明、または仕組みを、その限界や欠点を十分に考慮せずに採用すべきだと過大に評価し、過剰に推進しようとする認知バイアスのこと。
これらのバイアスはリスクガバナンスに大きな影響を与える。物事を複雑にしすぎると、現場の従業員が混乱し、進捗が遅れ、ステークホルダーにリスク管理能力が実際よりも進んでいるという誤った印象を与えることになる。これらのバイアスにより、フレームワークが現場チームにとって使いにくくなり、ガバナンスを過度に複雑化し、リスクの特定を阻害し、リスクフレームワークとリスク体制の構築を困難にしかねない。
複雑性バイアスとイノベーションバイアスを克服するには、シンプルさを保つことが重要だ。リスクガバナンスに関する議論では、「このフレームワークを新入社員に2分以内で説明できるか？」と自問自答してみよう。もし答えが「No」なら、フレームワークは複雑すぎだ。複雑性バイアスが働いている可能性がある。このバイアスに対処するには、余分なものを削り、本当に重要な点に焦点を当てよう。具体的には、リスクガバナンスの構造とフレームワークを「1ページのリソースドキュメント」にまとめる。そして、組織のエコシステム＊１）全体に配置されたリスクチャンピオン＊２）に確認し、ドキュメントが理解しやすく、アクセスしやすいかどうかを確かめよう。
＊１）訳者注：「組織のエコシステム」とは、自社を取り巻く、相互に依存し、価値創造を共に行う内外のすべての 主体（組織や個人、環境）からなる動的なネットワーク全体を表す。
＊2）訳者注：「リスクチャンピオン 」(Risk Champion)とは、組織全体でリスクマネジメントの意識と実践を推進する役割を担う人を指す。
自己奉仕バイアスの罠に陥る
新製品を発売しようとしている企業を想像してみよう。成功すれば、リーダーは先見の明を自賛する。失敗すれば、規制当局や「予期せぬ」市場の変化を理由に挙げて弁解する。事後報告は内容が薄く、得られた教訓がERMプロセスに統合されることはほとんどない。これは「自己奉仕バイアス」＊）といい、成功は自分の責任、失敗は外部要因の責任と捉えてしまいがちだ。
＊）訳者注：「自己奉仕バイアス」（Self-Serving Bias）とは、良い結果（成功）は自分の内的な要因（能力や努力）によるものだと解釈し、悪い結果（失敗）は外部の要因（環境や運）によるものだと解釈する、自分に都合の良いように原因を帰属させる傾向を指す認知バイアス。
戦略に関する議論において、自己奉仕バイアスは選択的なストーリーテリングにつながる可能性がある。リーダーは成功の功績を過大評価し、外部要因を軽視してしまうことになる。これは誤った自信を生み出し、企業が失敗から学ぶことを妨げ、最終的には組織全体の戦略と将来の意思決定プロセスを弱体化させる。
「過信バイアス」はこの問題を悪化させる。意思決定者はしばしば自身の予測能力を過大評価し、下振れリスクを過小評価する。客観的なデータに基づいたバランスの取れた分析ではなく、楽観的な見方に基づいて資源を配分することになる。例えば、CFOは規制の逆風の兆候を無視し、最良の市場成長を予測することにもなる。
利己的なバイアスは、ERMプロセスの管理を困難にする。戦略的選択が、最終的には経営行動へと繋がり、資源配分・業績評価・教訓などにつながるからである。利己的な判断は説明責任を歪め、組織が失敗をリスク管理プログラムに組み込むことを妨げることになる。
このバイアスに対抗するには、すべての主要な意思決定と事後検証において、独立した客観的な反論者を関与させ、批判する権限を与える必要がある。この客観的な反論者は、反対意見を持つ取締役、物言う株主、あるいは外部アドバイザーなどである。バランスと説明責任を確保するために、レビューをする前に、チームに「経営管理要因」と「外部要因」の両方を文書化するよう求める。目的は、妨害したり批判したりすることではなく、客観性を獲得し、改善の機会を特定することである。
第一印象への過剰なアンカリング
リスク評価において、最初に提示された概念やアイデアは、たとえそれが恣意的なものであったとしても、議論の残りの部分を「固定」してしまいがちだ。例えば、ある企業が、サイバーディスラプションの潜在的なリスクへの懸念に対処するため、経営陣向けのリスクワークショップを開催したとする。CISOは、サイバーディスラプションの発生確率は25%であるとグループに伝えたとしよう。客観的な証拠によれば実際の確率はそれより高いとしても、恣意的に提示された数字が議論の雰囲気を決めてしまう。これが「アンカリングバイアス」である。
アンカリングバイアスは、リスク評価ワークショップや予算配分会議で頻繁に発生する。最初のアンカーが設定されると、より良いデータが得られたとしても、参加者はなかなか切り替えが効かない。最初のアンカーは予測を歪め、判断に影響を与えるため、アンカリングバイアスはリスク評価を困難にさせるのだ。
ワークショップや会議を運営する際にアンカリングバイアスを防ぐには、プロセスや評価・議論の対象となる具体的なリスクに関する資料を事前に参加者全員に配布すること。財務・オペレーション・法務など、複数の視点からの匿名の意見を求める構造化された資料を使用すること。また、検証セッションで結果を調整し、最初に提示された数値へ過度に依存しないよう工夫することである。
見たいものしか見ない
最高リスク管理責任者（CRO）が四半期ごとの「リスク評価一覧表」をレビューしている企業を考えてみよう。ほとんどの指標は安定しているとしたら、第三者の新たな脆弱性を示唆する意見は、自分たちの主張と矛盾するため無視される。これが「確証バイアス」＊）、つまり既に信じていることを裏付ける情報を優先するバイアスである。
＊）訳者注：確証バイアス（confirmation bias）とは、自分の信念や思い込みが正しいかどうかを判断するための情報を集める際に、自分の信念に反する、または自分にとって都合の悪い情報を無視する傾向のこと。
確証バイアスは、情報源や入手可能性の如何に関わらず、代替データや情報が考慮されない状況で顕著に表れる。この確証バイアスを放置すると、リスク管理チームは新たな脅威を見逃すことになる。時代遅れのリスク評価一覧表が維持され、エスカレーションが阻害され、組織が深刻なリスクに対してより脆弱になる。確証バイアスは、データと指標を追跡するリスクモニタリングにも悪影響を及ぼす。組織が「矛盾するシグナル」を無視すると、エクスポージャーの変化や新たなリスクを検知できなくなる。
確証バイアスを避けるには、個人の見解を裏付ける証拠を探すだけでなく、その誤りを証明する可能性のあるものを探すこと。前提に異議を唱える役割を担うチームを選び、ローテーションさせよう。彼らは、組織の防御における盲点を明らかにし、内部統制メカニズムの有効性に疑問を投げかける敵対者として行動するのだ。組織に内部監査部門がある場合は、そのチームもこの洞察を提供するのに適している。あらゆる意思決定の議論において、リーダーに現在の考え方に異論を差しはさむ事実、または例を少なくとも 1つ提示することを求め、各会議中に少なくとも 1つの反対の事実または例を検討しよう。
同じデータから異なる意思決定を行う
リスク評価を実施した後、ある企業のCISOが取締役会にシステム稼働率が95%であると報告した場合を考えてみよう。取締役会と経営陣は、目標とするシステム稼働率は適切であると判断し、このデータを用いてITビジネス機能へのリソース配分を削減しようとするであろう。
逆に、CISOが取締役会に、システムのダウンタイムが年間18日であると報告したとしよう。その結果、取締役会と経営陣はITビジネス機能への緊急のリソース配分を求めるかもしれない。
どちらも正確な数字だとしても、年間18日間のダウンタイムよりも、システム稼働率95%の方が企業の意思決定者にとってより肯定的な印象を与える。このバイアスは「フレーミング効果」として知られており、同じデータであっても、単にパッケージングや提示方法を変えるだけで、認識や意思決定が変化することになる。
フレーミングバイアスは、リーダーが同じデータを解釈する方法に影響を与える。肯定的なフレームは一般的にリスクテイクを促し、否定的なフレームはリスク回避を促す。データの提示方法は、リーダーの選択に直接影響を与えることが多いため、フレーミングの変化は数百万ドル規模の投資決定を左右することになる。
図表などを標準化し、レポートでは中立的な言葉遣いを用いることで、フレーミングバイアスを回避することができる。これにより、無意識のうちに結論を導き出すリスクを減らし、メリットとデメリットの両方を明確に示す形でリスク情報を提示できるのだ。意思決定者には、結論を出す前にデータについてじっくり考えるよう促そう。
直感に頼りすぎるな
別の企業を考えてみよう。経営陣は、チームが過去にプロジェクトを成功させてきた経験があるため、クラウド移行はシームレスに完了すると確信しているかもしれない。しかし、予備費は最小限しか配分していないため、数ヶ月にわたる遅延や予期せぬセキュリティギャップに遭遇することになるかもしれない。これは、レジリエンスを損なう「過信バイアス」だ。
過信バイアスは、組織が複雑性を過小評価し、早期の警告を無視し、過去の成功事例に過度に依存することで、野心的なタイムラインに過度にコミットすることにつながる。リスク評価においては、これがしばしば非現実的なほど楽観的なスコアにつながり、組織のリソース配分、タイムラインの設定、リスク対応の実行方法に直接影響を与えることになる。
過信バイアスに対抗するには、すべての取り組みの前に、「失敗した」と仮定し、そこから遡って原因を問うプレモーテム＊）を実施することが有用だ。この「何がうまくいかない可能性があるか」という検証は、意思決定の前に、盲点や隠れたリスクを明らかにするのに役立つ。企画の責任者は、なぜ失敗する可能性があるのかを説明できなければならない。予測されたプロジェクト結果と実際のプロジェクト結果の差異を追跡することで、将来の想定を再調整し、適切なリソースを割り当てることができる。
＊）訳者注：「プレモーテム」 (premortem)とは、プロジェクトや計画の開始前に、「既にそのプロジェクトは失敗してしまった」と仮定し、その失敗の架空の原因を分析する、リスクマネジメントの手法。
率直さよりもコンセンサスを優先する愚
取締役会はしばしばコンセンサスを誇りとするが、調和が行き過ぎると、プラス面のリスクとマイナス面のリスクの両方が容易に隠れてしまうことになる。ある企業を例に考えてみよう。取締役会の議論がしばしば緊張状態になる中で、CEOが自信を持って自分の見解を主張すると、反対意見を持つ役員たちはCEOに異議を唱えたり、反対意見を述べたりすることをためらう。彼らは「波風を立てる」ことを避けるため、他のメンバーと同意を示す方に頷く。決定は全会一致で行われ、重要なリスクへのエクスポージャーは無視されることになる。これが「集団思考」、つまり率直さよりもコンセンサスを優先する愚だ。
集団思考は報告と監督の質を低下させる。少数意見を封じ込め、視野を狭め、（結果として）取締役会が多様なステークホルダーの利益を守る役割を果たせなくなる。集団思考は、リスク情報が経営陣や取締役会に議題をあげる「リスク報告プロセス」を阻害させる。報告に対する異議申し立てを抑圧することは、監督体制を弱め、リスクを隠蔽することにつながるのだ。
集団思考を克服するには、あらゆるレベルの社内ステークホルダーが報復や懲罰を恐れることなく自由に発言できるよう、公式の「声を上げる」慣行を導入する必要がある。組織化された異議申し立てプロセスを導入し、毎回の会議で「何か欠けているか？」という議論を繰り返すようにしよう。匿名での代替意見の提出を認め、今後の会議で提示することで、率直な意見交換と異議申し立てを当然のものにしよう。異議申し立てを罰するのではなく、報いることで心理的安全性を確保することである。
ERMの人間的側面
バイアスにリアルタイムで対処できるリーダーは、組織を競合他社よりも優位に立たせることができる。フレームワーク・リスク評価一覧表・内部統制は不可欠であるが、ERMプログラムにおいて最も予測不可能な変数である「人」を排除することはできない。バイアスは、戦略に関する議論・リスク評価・取締役会への報告に潜り込んでも、多くの場合、誰もそれに気付かない。
人間のバイアスは決して消えることはない。そのため、リスクリーダーは、ERMプロセスのあらゆる段階にバイアスへの意識を根付かせる必要がある。これは、単なるアカデミックな演習ではなく、日々の実践として行う必要がある。まずは、フレームワークの簡素化、事前検証の実施、視点や前提に疑問を投げかけるチームのローテーション、そして異議を標準化し、それを奨励することから始めよう。これらの実践は、時間の経過とともに、公正なリスク文化、健全なガバナンス、そしてより効果的なリスク監視の構築に役立つことになる。
＊）この記事は、” How to Overcome Cognitive Biases in Risk Management,” Shreen Williams , Jason Rosenberg , Lisanne Sison | RIMS Risk Management Site, November 6, 2025,
https://www.rmmagazine.com/articles/article/2025/11/06/how-to-overcome-cognitive-biases-in-risk-management
をRIMS日本支部が翻訳したものであり、原文と翻訳に差異がある場合は原文を優先します。
シュリーン・ウィリアムズはRisky Business SW, LLCの創設者兼CEO、ジェイソン・ローゼンバーグはAutodeskのリスクおよびレジリエンス担当シニアディレクター、リサンヌ・シソンはGallagherのERM担当マネージングディレクター。鈴木英夫はRIMS日本支部主席研究員。
