米国に本拠地を置く非営利団体である、DRI International（注1）は、2020年12月に「6th Annual DRI International Global Risk and Resilience Trends Report」という調査報告書を発表した。これはDRI International内に設置された「DRI Future Vision Committee」（以下「FVC」）（注2）が中心になってまとめられたもので、2020年におけるリスクに関するさまざまなトレンドを把握しつつ、これが今後どのように変化し得るかを考察したレポートである。
タイトルからも分かる通り本報告書は毎年発表されており、今回が6回目とのことである。筆者もこの報告書を毎年追いきれているわけではないが、2017年版については本連載で紹介させていただいた（注3）。
調査に当たっては、まずFVCのメンバーによって20の主要なリスク（key risks）が設定され、回答者はこれらが発生する可能性（probability）と、発生した場合の影響の大きさ（impact）とをそれぞれ1～5の5段階で評価するという形がとられている。つまり、回答者に提示された20の主要なリスクのリストには、さまざまリスクに関するFVCメンバーの認識が既に反映されていると考えられる。
なお本報告書には回答者に関する情報があまり具体的に記載されていないが、多くはDRI Internationalの会員だと思われる。回答者の役職を見ると、実務担当者が約38%、マネジャーが約37%、役員（Director）が約14%となっている。部署については、事業継続の担当部署に所属している人が約36%を占める。また本報告書中の記述によると、回答者は米国だけでなく世界中に分布しているが、オーストラリア、ニュージーランド、アフリカからの回答は少なかったとのことである。
20の主要なリスク
今回の調査でFVCによって設定された主要なリスクは次の通りである（注4）。
・Pandemic（パンデミック - 全ての種類の感染症の世界的流行や地域的流行）
・Operational Incidents（操業中のインシデント - 大規模な火災、爆発、衝突など）
・IT Long-term Outages（長期的なITの途絶 - 不可欠なITサービスに対するDoSなど）（注5）
・Severe Weather Events（深刻な気象現象 - ハリケーン、竜巻、台風、サイクロンなど）
・Economic Failure（経済的な破綻 - 恐慌、不景気、倒産、破産）
・Serious Supply Chain（深刻なサプライチェーン途絶 - 原材料の不足、サプライヤーの倒産、供給ルートの途絶など）
・Wildfires（山火事 - これの原因および結果としての事象を含む）
・Theft of Proprietary Data（情報の盗難 - データを盗むためのサイバー攻撃やマルウェアの使用）
・Social Media Attack（特定の組織を標的とした、ソーシャルメディアによる攻撃）
・Civil Unrest, Protests（市民の暴動や抗議活動）
・CNI State Sponsored Attack（重要な社会インフラへの国家主体の攻撃）（注6）
・Misuse of Data（データの悪用 - 営業面、財務面、およびレピュテーションに対する損失）
・Concentration of Risk（都市の中心部へのリスクの集中）
・Political Leadership Failure（政治的リーダーシップの失敗 - リーダーシップやガバナンスの地政学的失敗）
・Climate Change（気候変動 - 短～中期における破壊的インパクト）
・Management Failure（経営層の失敗 - 危機的状況における効果的なリーダーシップの欠如）
・Terrorism（CBRNを含む全ての物理的攻撃によるテロ）（注7）
・Seismic Incidents（地震関連のインシデント - 火山噴火、地震、津波）
・Ethics and Trust（倫理や信頼 - AI（人工知能）やバイオテクノロジー、遺伝子工学などの悪用）
・Regulatory Penalties（規制によるペナルティー - 罰金や操業ライセンスの喪失など）
そして、これらに対する評価結果の平均値を掛け合わせたものを本報告書では「レジリエンス指数」（resilience index）と定義している（注8）。このような方法で算出されたレジリエンス指数を大きい順にまとめたのが図1である。
「パンデミック」が1位となっているのは当然であるが、これ以外に関しても2019年の結果と比べて大幅な変動がある。例えば2019年の第1位だった「深刻な気象現象」は第7位に、また第2位だった「地震関連のインシデント」は第16位、第3位だった「山火事」は第10位となっている。
高まるIT関連リスクへの懸念
本報告書ではこのような変化の背景について、多くの組織が新型コロナウイルスのパンデミックによる危機に直面した結果として、次の2つが指摘されている。
・これらのリスクに対する見方が、状況観察やエビデンスに基づいた、より正確なものになった
・パンデミック以外のリスクに関して想定されていた、影響の最大レベルが更新された
なお、図1はこれらのリスクが発生する可能性と影響の大きさとを掛けたものであるが、これらを掛ける前のデータも本報告書には掲載されている。興味深いことに、影響の大きさにおいては「長期的なITの途絶」（評価平均値3.46）が「パンデミック」（同3.38）を上回っている。これはパンデミックによる在宅勤務やリモートワークの普及によって、ITへの依存度が高まったことが関連しているのかもしれない。
新型コロナウイルスのパンデミックが今後どのくらいの期間で収束するのか、なかなか見通しが立たないが、今回の調査結果がパンデミックの影響による一時的な変化なのか、それともパンデミックによって塗り替えられた認識や問題意識が当分持続するのか、大変興味深いところである。今後数年は継続的にこの調査結果をウォッチしていきたいと思う。
本報告書にはこれらのリスクに関する調査結果の、地域や業種ごとの特色や、新型コロナウイルスのパンデミックに対する回答者の準備・対応状況に関する調査結果なども掲載されている。DRI Internationalのウェブサイトへのユーザー登録（無料）さえ行えば無償で入手できるので、ご興味がおありの方はぜひダウンロードしてお読みいただければと思う。
■ 報告書本文の入手先（PDF 27ページ／約3.3MB）
https://drii.org/crm/presentationlibrary
（上記URLにアクセスした後、DRI International ウェブサイトのユーザー番号とパスワードを用いてログインすると、会員専用のライブラリーから無料でダウンロードできる。DRI Internationalのウェブサイトへのメンバー登録は無料）
注1）DRIとはDisaster Recovery Instituteの略で、米国を本拠地とする国際的な非営利団体。BCMに関する資格制度を運用しており、その有資格者は1万5000人を超える。 https://drii.org/
注2）ちなみにDRI Future Vision Committee議長のLyndon Bird氏は、2015年まではBCIのテクニカルディレクターを務めており、BCI Horizon Scan Reportの作成などにも深く関わっていた。なお名古屋工業大学の渡辺研司教授も、Future Vision Committeeの10人の委員のひとりとして参画している。
注3）本連載ではかつて「DRI 2017 Global Risk and Resilience Survey」という報告書を紹介している（下記リンク先参照）。タイトルが若干変わっているが内容が類似しており、こちらもFVCが中心になって作成されているので、本報告書はこれの2020年版と考えてよいであろう。
「上位6位までがIT関連リスク／DRI 2017 Global Risk and Resilience Survey」
https://www.risktaisaku.com/articles/-/2772 （2017年5月2日掲載）
注4）カッコ内の日本語部分は本報告書中の説明に基づいて記述しているため、英語部分の訳とは一部異なっている。
注5）DoSはdenial of serviceの略で、大量のデータを短時間のうちに送りつけるなどの方法でサーバーなどを機能不全に陥れる攻撃方法。
注6）CNIはcritical national infrastructureの略。
注7）CBRNはChemical（化学）、Biological（生物）、Radioactive（放射性物質）、Nuclear（核）を使った兵器の総称。
注8）筆者の主観だが、これらは何かのレジリエンスを表すものではないので、これらを「レジリエンス指標」と呼ぶのは若干ミスリーディングなのではないだろうか。ちなみに2017年にDRIから発表された同種の報告書（注2）では、同じものを「リスク・スコア」と呼んでいた。
