レピュテーションというもう一つの危機
2024年1月5日、アラスカ航空1282便は高度1万6000フィートを飛行中、ボーイング737 MAX 9の胴体からドアプラグが吹き飛んだ。偶然にも、開口部に隣接する2席は空席だった。この幸運こそが、ボーイングにとって大量死傷事故にならなかった唯一の理由である。ボーイングは、346人の命を奪った2度の墜落事故からまだ立ち直おらずにいた最中だった。
数時間後にこのニュースは世界中の報道を席巻した。ボーイングの株価はその後数週間で18.9%下落し、時価総額は280億ドル（約４兆円）以上も失われた。FAA（連邦航空局）はドアプラグ付きの737 MAX 9全機を3週間運航停止とし、既に傷ついていたボーイングの評判はさらに深刻な打撃を受けた。
6カ月後、CrowdStrike社は別の種類の危機に直面した。定期的なソフトウェアアップデートが原因で、世界中の約850万台のMicrosoft Windows搭載デバイスがクラッシュしたのだ。航空会社は運航を停止し、病院のシステムは麻痺し、銀行はオフラインになり、緊急サービスは深刻な障害に見舞われた。この事件により、保険会社は推定15億ドルの保険金支払いを強いられ、デルタ航空からは5億ドルの訴訟を含む法的措置が取られた。
*) 訳者注：CrowdStrike（クラウドストライク社）とは、米国テキサス州オースティンに本社を置く、世界最大手のサイバーセキュリティ企業の一つ。2011年に設立され、特に「エンドポイント（PCやサーバーなどの末端デバイス）」の保護において革新的な技術を持ち、NASDAQに上場している。
これら2つの事例は、リスク管理の担当者にとって教訓となる。なぜなら、危機管理における重要な断絶を浮き彫りにしているからだ。両社とも危機管理計画は策定していたものの、実際に事態がどのように展開するかについては、どちらも準備不足だったのだ。
従来の危機管理計画が不十分な理由
ほとんどの危機管理フレームワークは、業務上の対応に重点を置いている。問題の特定、被害の封じ込め、通常業務の復旧、状況報告。これらの要素は重要だが、決定的に重要な点が欠けている。それは、「ニュースの見出しは事案の進行速度よりも速い」という現実である。
重大な事態が発生した最初の数時間、組織は世間の目に映る情報をコントロールできない。当事者が危機対応チームを編成している間にも、ジャーナリスト、ソーシャルメディアユーザー、従業員、そして競合他社が、状況を語り始めている。組織内部で起きていることと外部に報道されていることの間の情報ギャップが、危機が管理可能なものになるか、壊滅的なものになるかを左右する。
ボーイング社のドアプラグ事故への対応は、この問題を如実に示している。同社は技術的には正確な声明を発表したが、その声明は手遅れになり、世間の印象は既に形成されてしまった。後にCEOのデビッド・カルホーン氏が上院小委員会で「ボーイング社の安全実績を誇りに思う」と述べた際、その発言自体が評判を左右する出来事となり、既存の否定的なイメージを払拭するどころか、むしろ悪化させる結果となった。
CrowdStrike社も同様の課題に直面した。CEOのジョージ・カーツ氏の最初の声明は「問題点を特定し、影響を受けた人や会社を公表」したが、謝罪が含まれていなかった。この「謝罪の欠如」が大きな話題となり、同社の迅速な技術的対応はなりを潜めてしまった。ある広報専門家が指摘したように、広く伝わる最初の声が人々の記憶を形作るのである。
「レッドチーム」モデルを導入せよ
軍事組織は長年、戦略のストレステストに敵対シミュレーションを活用してきた。この概念は一般的に「レッドチーム」と呼ばれ、敵対者の立場に立って計画を検証するグループを配置するものだ。レッドチームの役割は、実際の敵対者よりも先に弱点を見つけることにある。
レピュテーションリスクの文脈では、レッドチームの使命は、（危機が）現実となる前に、現実的なメディアシナリオに対する危機対応をテストすることである。目標は、何が失敗になるかを正確に予測することではない。真の目的は、あらゆる危機におけるナラティブ（物語）に対応するための組織的な能力を構築することである。
従来の机上演習では、「我々は作戦対応を実行できるか？」という問いが投げかけられる。一方、レッドチーム演習では、「最初の48時間のメディア報道はどのような展開を見せるか？そして、我々は情報発信の主導権を巡る競争に備えているか？」という問いを投げかける。
競争優位性を目指せ
レピュテーションリスクの管理は中立的なものではない。競合他社もまた、自社の情報発信を仕掛けており、ある企業にとっての危機は、別の企業にとってはチャンスとなる可能性があるのだ。CrowdStrike社のシステム障害発生時、マイクロソフト社の広報チームは、顧客とメディアに対し、問題の原因はマイクロソフトではなくCrowdStrike社にあることを理解してもらうよう動いた。この戦略的な姿勢は理にかなっていたが、同時に、CrowdStrike社にとっては、より規模が大きく、メディアとの関係もより強固なマイクロソフトを相手に、情報発信の場を巡って争わなければならなかったのだ。
レッドチーム演習には、競争要素を含めるべきだ。競合他社はあなたの危機をどのように描写するか？共通の顧客には何を伝えるか？異なる情報に触れているステークホルダーとの関係をどのように維持していくか？
レッドチーム演習を設計する
レピュテーションに関するレッドチーム演習を効果的に行うには、通常の危機対応訓練とは異なる参加者、シナリオ、そして成功指標を必要とする。
1. 参加者の選定
まずは参加者リストの作成から始めよ。従来の演習では、業務・法務・広報担当者などが含まれるのが一般的である。レッドチーム演習では、外部からの圧力をリアルにシミュレートできる人材、例えば、厳しい質問を投げかける懐疑的なジャーナリスト、現実的なコメントを投稿するソーシャルメディアのコメンテーター、懸念を抱くアナリストや投資家の代表者などで構成するべきである。
これらの役割は、他部署の社内スタッフや外部コンサルタントが担うこともあるが、その場合、危機対応チームから十分な距離を保ち、真に効果的な反論ができるようにする必要がある。
2. 現実的なシナリオの策定
次に、運用上の複雑さよりも「物語の複雑さ」を優先したシナリオを構築せよ。最も効果的な演習は、事実関係が曖昧な場合、利害関係者の利害が対立する場合、あるいは企業が結果に対して部分的な責任を負うものの、単独の責任ではない場合など（複雑なケース）を想定したシナリオである。
CrowdStrike社の危機は良い事例である。問題を引き起こしたのは企業であったが、その影響は顧客がシステムをどのように構成していたかに完全に依存していた。この物語における悪役は誰なのか？答えは、誰が最初にその物語を語るかによって変わるのだ。
3. タイムラインを重視する
シナリオのタイムラインは、メディアの動向に合わせて構築せよ。例えば、最初の試練は、基本的な事実を確認する前に記者がコメントを求めてくることかもしれない。2番目の試練は、影響を受けた顧客によるソーシャルメディアへの投稿が拡散することかもしれない。3番目の試練は、競合他社が同情を示しつつ、自社の慣行をさりげなく強調する声明を発表することかもしれない。
こうした障害が増えるたびに、チームは「不完全な情報で今すぐ対応する」か、それとも「待って状況の主導権を失うリスクを冒すか」という決断を迫られる。
演習の実施方法
レッドチーム演習の具体的な手順よりも、その緊張感こそが重要だ。組織によっては、現実的な経路を通して時間制限付きの指示を出す詳細なスクリプトを用いる場合もあれば、参加者の反応に応じてファシリテーターがシナリオを調整する、より柔軟なアプローチをする場合もある。どちらの方法も、演習が真の意思決定ポイントと現実的なリスクを伴うものであれば有効である。
演習中は、あらゆることを記録に残せ。記録を残すことで、チームは後から意思決定プロセスを振り返り、どこで躊躇したのか、どこで誤った前提に基づいて行動したのか、そして内部の意見の相違が対応時間を遅らせたのかを特定できる。
演習後には
シナリオ終了後、以下の3つの主要分野に焦点を当てた構造化されたデブリーフィングを実施せよ：
・演習中に作成された声明文をレビューせよ。声に出して読み上げ、内部事情を知らない人からどのように聞こえるかを検討せよ。ステークホルダーが実際に尋ねるであろう質問に答えているのか、それとも企業が回答したい質問にのみ答えているのかを確認せよ。
・意思決定のスピードを検証せよ。危機コミュニケーションでは、確実性を待つよりも80%の確信度を受け入れることが求められる場合が多くある。このトレードオフに苦慮するチームは、通常、演習中にその問題点を露呈する。
・連携を評価せよ。声明文を承認する権限は誰にあったか？適切な人材が会議に参加していたか？法務部門と広報部門は生産的に連携したか、それともレビュープロセスがボトルネックを生み出したか？
レッドチーム演習で明らかになること
これらの演習を定期的に実施している組織は、いくつかの共通の知見が得られている。
多くの企業は、自社の声明文があまりにも一般的すぎて役に立たないことに気づく。「この問題を深刻に受け止めています」「現在調査中です」といった表現では、誰も納得しない。効果的な声明文は、ステークホルダーの具体的な懸念事項を認め、具体的なフォローアップ措置を約束するものなのだ。
また、広報担当者が厳しい質問への対応に慣れていないという問題もある。用意された声明文を読み上げるのと、事件後にジャーナリストから「あんな事故を起こしたというのに、なぜ顧客は御社を信頼すべきなのか」と問われた際に答えるのとでは全く異なる。こうしたスキルを身につけるには、練習が必要なのである。
中には、エスカレーション手順が業務上の意思決定には有効でも、コミュニケーションに関する意思決定には不向きであることに気づくケースもある。CEOは重大なインシデント発生後、数時間以内にカメラの前に姿を現す必要があるかもしれない。組織が幹部の発言を促すトリガーを明確に定義していない場合、意思決定プロセスが著しく遅延する可能性もあるのだ。
組織的能力を構築する
単発の演習は洞察をもたらすこともあるが、定期的な演習こそが組織能力を構築する。レッドチーム演習を年間計画に組み込む組織は、実際の危機発生時に、その場しのぎの推測ではなく、訓練された反射神経で対応できるチームを育てる。
様々な規模の演習を計画的に実施することを検討せよ。四半期ごとの机上演習は、危機対応チームの中核メンバーのみで行い、メッセージ作成やメディア対応技術といった特定のスキル分野に焦点を当てることができる。一方、年1回の本格的な演習では、経営幹部、外部ファシリテーターを招き、複数日にわたるシミュレーションシナリオを実施する。
様々なリスクカテゴリーを網羅できるよう、シナリオの種類を回せ。製品の欠陥やサービス停止といった運用上の問題に対処するシナリオもあれば、規制当局の調査や活動家によるキャンペーンといった外部要因を検証するシナリオも入れよう。さらに、経営幹部の不正行為疑惑や突然の退任といった、リーダーシップ危機への対応を検証する演習も加えることも出来る。
各演習後には、学んだことを基に危機対応プレイブックを更新せよ。プレイブックには、さまざまなインシデントの種類に合わせて調整できる段階的な（何種類かの待機した）声明文、事前に承認されたメッセージングフレームワーク、明確なエスカレーション基準、そして危機管理広報会社など、プレッシャーのかかる状況で頼る必要のある外部リソースの連絡先情報を含める必要がある。
どこから始めるか？
組織がレピュテーション・レッドチーム演習を実施していない場合は、同業他社に実際に影響を与えたインシデントを題材とした、焦点を絞ったシナリオから始めよう。そのインシデントに関する報道を参考に、現実的なタイムラインを作成する。少人数の参加者を集め、最初の24時間を想定して、単に何をすべきかを議論するのではなく、実際に声明案を作成する作業に取り組む。
この最初の演習は、現在の準備状況におけるギャップを明らかにする。その結果を基に、より包括的な演習を設計し、より多くの参加者を集めよ。時間をかけて、実際に何が起こったかだけでなく、人々が「何が起こったと認識するか」という点においても、組織の対応能力をストレステストする演習へと発展させていくのである。
危機を最も効果的に乗り越える企業には共通点がある。それは、訓練を積んでいるということだ。単なる運用上の対応だけでなく、ストーリーテリングの対応も訓練している。彼らは、ニュースの見出しが出る前に、見出しを想定して準備していたのだ。こうした準備が必ずしも良い結果を保証するわけではない。中には、本当に制御不能な危機もあるからだ。しかし、組織に損害を与えるだけの危機と、組織のイメージを決定づける危機との分かれ目となるのである。
キーワード
事業中断、危機管理、災害対策、企業リスク管理、評判リスク、リスク評価、リスク管理
（＊）この記事は、”Reputation Red Teaming: How to Design Immersive Crisis Response Exercises,” Ted Skinner | March 5, 2026, RIMS Risk Management Site
https://www.rmmagazine.com/articles/article/2026/03/05/reputation-red-teaming--how-to-design-immersive-crisis-response-exercises
RIMS日本支部が翻訳したものである。原文と訳文に差異がある場合には原文を優先します。
原著者のテッド・スキナー氏は、Fullintel社のマーケティング担当副社長であり、経験豊富なマーケティングおよびPR戦略家であり、『予測可能な結果：成功する企業はいかにして成長の課題に取り組み、勝利を収めるか』の著者として知られている。
翻訳者鈴木英夫はRIMS日本支部主席研究員。
