オペレーショナルリスク

業務の遂行過程で生じるリスクの総称。事務処理の誤り、システム障害、内部不正、外部からの攻撃など、業務プロセス・人・システム・外部事象に起因する損失の可能性を指す。

業務の過程、人、システムが不適切であったり機能しなかったりすること、または外部の事象によって損失が生じるリスク。事務処理の誤り、システム障害、従業員の不正、災害などが該当する。もとは金融機関のリスク管理で使われてきた区分である。

内部の業務手続や人、システムの不備、あるいは外生的事象によって損失が生じるリスク。事務ミス、システム障害、不正行為、災害などが含まれ、市場リスクや信用リスクと区別して管理される。

業務プロセスや人、システム、外部事象の不備によって損失が生じるリスク。情報システムの障害、事務ミス、不正行為、災害などが含まれ、金融機関の自己資本規制でも管理対象とされている。

業務を適正に進めるための統制の仕組みが欠けていたり、有効に機能していなかったりする状態。職務が分離されていない、承認や点検の手続が形骸化しているといった状態は、内部不正や誤りを防げない組織的な脆弱性となる。

人が不正行為に及ぶのは「機会」「動機」「正当化」の3要素がそろったときであるとする理論で、米国の犯罪学者クレッシーが提唱した。内部不正の防止では、アクセス制御や監視で機会を減らし、処遇や職場環境の改善で動機を抑え、規程の周知で正当化させないようにする。

割れた窓が放置された建物は管理されていないとみなされ、やがて地域全体の秩序が乱れるとする、軽微な違反の放置が重大な犯罪を招くという理論。情報セキュリティでは、小さな規程違反や職場の乱れを放置しないことが内部不正の抑止につながる、という考え方に応用される。

製品やサービスの調達、製造、提供に関わる取引先や委託先、利用しているソフトウェアやクラウドサービスなどを経由して、自組織が損害を受けるリスク。セキュリティ対策の弱い取引先が攻撃の踏み台にされる事例や、供給の停止による事業の中断などがあり、委託先の管理や評価制度の活用で対策する。

クラウドサービス、SaaS、外部の生成AIサービスなどを業務に使うことに伴うリスク。事業者側の障害やサービスの終了、入力した情報の学習への利用や漏えい、データの保存場所や管理状況が見えにくいことなどがあり、責任共有モデルや契約・利用規約の内容を確かめて管理する。

組織や従業員がSNSで情報を発信することに伴うリスク。機密情報や個人情報の書込み、写真に写り込んだ情報からの所在地や社内の状況の特定、不適切な投稿による炎上や信用の低下などがあり、ソーシャルメディアポリシーで発信のルールを定めて教育する。