リスク管理規程の作り方｜リスクの洗い出しと委員会の運営

執筆　公認会計士・税理士 鈴木佑也

※本記事は2026年10月7日時点の公表資料に基づきます。

リスク管理規程の目的と上場審査での位置づけ

リスク管理規程の出発点は会社法の内部統制システムです。会社法第362条第4項第6号は、取締役会が決める事項として業務の適正を確保するための体制の整備を挙げ、会社法施行規則第100条第1項第2号は、その体制の一つとして「損失の危険の管理に関する規程その他の体制」を定めています。大会社である取締役会設置会社では、この体制の決定が義務とされています（会社法第362条第5項）。上場準備会社は大会社でないことも多いのですが、上場審査では内部管理体制の有効性が問われるため、規模にかかわらず基本方針を決議し、その中でリスク管理の体制を定めておくことが一般的です。

基本方針は取締役会で決める「方針」で、具体的な手続までは書きません。そこで、方針の「損失の危険の管理」の部分を受けて、全社の仕組みを定めるのがリスク管理規程です。災害や事故が起きたときの対応は危機管理規程やBCPに、法令違反の防止はコンプライアンス規程に、といったように、テーマごとの規程がその下に並びます。

図1　取締役会で決議する基本方針の「損失の危険の管理」を受けて、リスク管理規程が全社の仕組みを定め、個別の規程がテーマごとの手続を定めます

上場審査との関係では、東京証券取引所のグロース市場の新規上場ガイドブックにおいて、独立役員との面談でビジネスモデルを踏まえた事業リスクの認識とその対応状況の評価が確認事項として挙げられています。また、グロース市場の会社は「事業計画及び成長可能性に関する事項」の開示で、認識するリスクと対応策を説明することになります。さらに、有価証券報告書やⅠの部の「事業等のリスク」では、金融庁の「記述情報の開示に関する原則」が、リスクが顕在化する可能性の程度や時期、影響の内容、対応策を説明することを求めています。つまり、社内でリスクを評価する仕組みがなければ、開示の内容にも根拠がないことになります。

このように、リスク管理規程は内部統制の土台であると同時に、開示の裏付けにもなる規程です。規程体系全体の考え方は内部統制システムの基本方針と規程の関係｜会社法の決議から規程への落とし込みで、上場準備で整える規程の全体像は上場準備で整備する規程類｜内部統制の根拠となる規程一覧で解説しています。

図2　リスク管理委員会は経営の執行側の会議体で、取締役会が監督し、監査役会と内部監査が独立した立場から確かめます

会議体の役割分担も整理しておきます。取締役会は方針を決め、リスク管理の状況について報告を受けて監督します。社長はリスク管理の最高責任者として、リスク管理委員会を設けて執行の側で運営します。各部署の長は自部署のリスクの「持ち主（リスクオーナー）」として、洗い出しと対応を担います。監査役会と内部監査室は、運用の状況を独立した立場から確かめます。経営会議と委員会の関係は、経営会議規程の作り方｜取締役会との役割分担とあわせて決めておくと重複が生じません。

リスク管理規程で定めるべき主な事項

リスク管理規程に書く内容は、会社の規模や業種で多少変わりますが、次の項目を押さえておけば審査で説明できる骨格になります。

項目	定める内容	ポイント
目的・適用範囲	規程の目的、対象となる会社（子会社を含むか）	グループ全体に適用するかを最初に決める
定義	リスク、リスクオーナー、重大リスクなどの用語	重大リスクの判断基準は別表にすると改定しやすい
責任と体制	最高責任者、委員会、事務局、各部署の役割	名前だけの委員会にしない
リスク管理の手続	洗い出し・評価・対応・モニタリング・報告	年間の時期と頻度を書く
報告	定期報告と即時報告の基準と経路	取締役会への報告の頻度を明記する
危機への移行	危機管理規程・BCPとのつなぎ	どの時点で対策本部に切り替えるか
記録と改廃	記録の保存、規程の改廃手続	保存期間は文書管理規程とそろえる

図3　洗い出しから報告までを年に1回以上まわし、重要な変化があれば随時見直します

サイクルの各段階は、規程の本文では簡潔に書き、具体的な様式や評価の基準は細則や別表に回すのがよい方法です。評価の基準を規程本体に書き込んでしまうと、基準を少し見直すだけで取締役会決議が必要になり、運用が硬直します。規程と細則の分け方は規程体系の作り方｜定款・基本規程・業務規程・細則・マニュアルの階層を参考にしてください。

リスクの洗い出しと評価の方法

洗い出しでは、まず分類の枠をつくり、部署ごとに具体的なリスクを書き出してもらいます。分類の枠があると、営業部は売上や顧客、管理部は法令や資金というように、部署の目線だけに偏ることを防げます。

図4　分類は目安です。自社の事業に合わせて分類と例を作り、抜け漏れの確認に使います

上場準備会社で見落とされやすいのは、労務と許認可です。未払残業や名ばかり管理職の問題は、上場審査で重点的に確認されることが多い論点であり、許認可の取消しは事業の継続そのものに関わります。社長の個人的な信用や特定の役員に頼っている取引も、ガバナンスのリスクとして登録簿に挙げておくべき項目です。

図5　点数の基準（金額や日数）を先に決めておくと、部署の間で評価がぶれにくくなります

評価は、影響度と発生可能性をそれぞれ3段階か5段階で点数にするのが一般的です。大切なのは、点数の基準を言葉ではなく数値でも決めておくことです。たとえば影響度の「大きい」を、営業利益への影響が一定額以上、または業務の停止が一定日数以上、のように決めます。基準があいまいだと、部署ごとに評価が甘くなったり厳しくなったりして、全社で比べることができません。

図6　1つのリスクを1行で管理し、評価・対応・見直しの日付を残すことで、そのまま運用の証跡になります

評価の結果はリスク登録簿（リスク一覧表）にまとめます。1つのリスクを1行で管理し、評価、対応策、担当者、期限、見直し日を記録します。この登録簿は、審査で「どのようにリスクを把握しているか」を説明するときの中心的な資料になり、内部監査でもそのまま検証の対象になります。

図7　すべてを減らす必要はありません。受容する場合も、誰が判断したかを記録します

対応策は、回避・低減・移転・受容の4つの型から選びます。上場準備会社では、すべてのリスクに統制を加えようとして手が回らなくなることがあります。影響が小さいものは受容と決めてよいのですが、その場合も、誰がいつ受容と判断したかを登録簿に残しておくことが運用の証跡になります。不正のリスクの考え方は不正リスクと内部監査｜不正の3要素と兆候の見つけ方もあわせてご覧ください。

主要条文の例と解説

ここでは監査役会設置会社を前提に、主要な条文の例を示します。条文は説明のために作成したもので、自社の組織や会議体の名称に合わせて調整してください。

条	条文例
第1条（目的）	この規程は、当社グループの事業を取り巻くリスクを適切に把握し、その発生の防止と発生時の損失の最小化を図るため、リスク管理の体制及び手続を定めることを目的とする。
第3条（適用範囲）	この規程は、当社及び関係会社管理規程に定める子会社に適用する。ただし、海外子会社については、現地の法令に反しない範囲で適用し、必要な事項は細則で定める。
第5条（最高責任者）	代表取締役社長は、リスク管理の最高責任者として、この規程に基づく体制を整備し、運用する責任を負う。
第6条（リスク管理委員会）	社長は、リスク管理委員会を設置し、自ら委員長となる。委員会は原則として四半期に1回開催し、常勤監査役は委員会に出席して意見を述べることができる。
第9条（評価）	リスクオーナーは、毎年4月に所管するリスクを洗い出し、別表に定める基準により影響度及び発生可能性を評価して、事務局に提出する。
第12条（取締役会への報告）	委員長は、少なくとも年2回、リスク管理の状況及び重要なリスクへの対応状況を取締役会に報告する。
第14条（重大リスクの即時報告）	役員及び従業員は、別表に定める重大リスクの兆候を知ったときは、直ちに所属長を経て事務局及び社長に報告しなければならない。社長は、必要と認めるときは、危機管理規程に基づき対策本部を設置する。

この条文のポイント　第3条で子会社への適用を最初に決めておくと、後で子会社ごとに規程を作るかどうか迷わずに済みます。第5条と第6条は責任者を明確にする条文で、委員長を社長にするのは、部署をまたぐ対応策を決める権限が必要だからです。担当役員を委員長にする場合は、社長への報告の経路を別に書きます。

第6条で監査役の出席を定める理由　監査役は業務執行に加わらない立場ですが、会議に出席して意見を述べることで、リスク管理の運用状況を直接把握できます。議決権を持たせないことで、監査の独立性も保てます。監査等委員会設置会社であれば、常勤の監査等委員が同じ役割を担います。

第9条と第12条で頻度を数字で書く理由　「適時に」「定期的に」といった表現だけでは、運用されているかどうかを確かめられません。年に何回、何月に、と書いておけば、議事録や報告資料と照らし合わせて運用を確認できます。上場審査や内部監査で見られるのは、まさにこの照合です。

図8　平時は定例の委員会で扱い、重大なものは委員会を待たずに社長へ報告し、危機管理規程の手続に移ります

第14条は、平時の手続と有事の手続をつなぐ条文です。どの時点で危機管理規程に切り替わるのかがあいまいだと、事故が起きたときに誰が判断するのかが決まらず、対応が遅れます。重大リスクの基準（人身事故、大規模なシステム停止、行政処分、報道の可能性など）を別表で具体的に示し、詳細は危機管理規程・BCPの作り方｜緊急時の対応体制と連絡網で定める構成にするとわかりやすくなります。

委員会の運営と運用の証跡

規程を作っただけでは審査の評価にはつながりません。主幹事証券会社の引受審査や東京証券取引所の審査では、規程に書かれた手続が実際に行われているかが、議事録や資料で確かめられます。リスク管理では、次のような年間スケジュールで委員会をまわすのが一般的です。

図9　有価証券報告書の「事業等のリスク」の見直しと時期を合わせると、開示と社内の評価がずれにくくなります

委員会の議事録には、出席者、議題、配布資料、議論の要点、決定事項、次回までの宿題を記録します。「リスクについて報告があった」の1行だけでは、議論が行われたかどうかがわかりません。重要なリスクについて、どの対応策を採ったか、誰がいつまでに何をするかが読み取れるようにしておきます。

図10　規程・登録簿・議事録・報告の日付と内容が一致していることを、審査や内部監査で確かめられます

証跡は一つひとつが独立しているのではなく、つながっていることが大切です。規程に定めた時期に部署の評価シートが提出され、それが登録簿に反映され、委員会で議論され、取締役会に報告される、という流れが日付と内容でつながっていれば、規程どおりに運用されていると説明できます。証跡の残し方の全般は上場審査で見られる「規程どおりの運用」｜運用の証跡の残し方で詳しく扱っています。

委員会に提出する資料も、毎回同じ形式にしておくと運用が安定します。たとえば、前回からの変化（新たに加わったリスク、評価が上がったリスク、対応が完了したリスク）を1枚にまとめ、その後に重要リスクの対応状況を一覧にする構成です。変化を中心に議論すれば、毎回同じ説明を繰り返す形骸化を防げますし、議事録にも具体的な議論の内容が残ります。

図11　直前々期（N-2期）の早い時期には規程と委員会を動かし、申請までに1年以上の運用記録をつくるのが一般的です

時期については、直前々期（N-2期）の早い段階で規程を制定し、委員会を動かし始めるのが一般的です。申請の時点で少なくとも1年分の委員会の記録と、1回以上の見直しの記録があれば、運用の実績として説明しやすくなります。財務報告に係る内部統制の基準と実施基準は2023年に改訂され、2024年4月1日以後に開始する事業年度から適用されていますが、この改訂でもリスクの評価と対応の重要性が改めて示されています。全社的な内部統制の評価でもリスク管理の体制は確認の対象になるため、J-SOXの準備と並行して整えておくと効率的です。

監査等委員会設置会社の場合

監査等委員会設置会社では、取締役会は会社の規模を問わず内部統制システムの基本方針を決定しなければなりません（会社法第399条の13第1項第1号ハ、第2項）。対象となる体制の中に「損失の危険の管理に関する規程その他の体制」が含まれる点は監査役会設置会社と同じです（会社法施行規則第110条の4第2項第2号）。

図12　リスク管理の仕組みそのものは同じで、内部統制の決議の要否と、監督・監査の担い手が変わります

規程の条文では、「監査役」を「監査等委員」に、「監査役会」を「監査等委員会」に読み替えるのが基本です。監査等委員会は内部監査部門を通じて監査を行う形が多いため、内部監査室からの報告ルートに監査等委員会を加えておくと、実態に合った規程になります。

子会社への展開

子会社がある場合、リスク管理はグループで行うのが基本です。会社法施行規則第100条第1項第5号ロは、子会社の損失の危険の管理に関する体制も、企業集団の業務の適正を確保する体制として挙げています。子会社で起きた事故や不祥事は、連結の業績にも会社の信用にも直接影響します。

図13　子会社の規模が小さい場合は、子会社の担当者を親会社の委員会に参加させ、登録簿もグループで1つにまとめる方法があります

方法は大きく2つあります。一つは、リスク管理規程をグループ共通規程として子会社にも適用する方法で、国内の子会社にはこの方法が一般的です。子会社の取締役会でも親会社の規程を準用する決議をしておくと、子会社の規程としての効力がはっきりします。もう一つは、子会社ごとに規程を定める方法で、規制業種の子会社や海外子会社など、事情が大きく異なる場合に使います。

図14　承認・報告の範囲は関係会社管理規程とそろえて定め、リスク管理規程では報告のルートを示します

どちらの方法でも、子会社から親会社への報告事項と、親会社の承認を要する事項を明確にしておくことが重要です。リスク管理規程では報告の経路と頻度を定め、承認事項の範囲は関係会社管理規程と一致させます。グループでの規程の適用方法はグループ共通規程の作り方｜子会社に適用する方法と範囲、子会社の承認事項と報告事項は関係会社管理規程の作り方｜子会社の承認事項と報告事項で詳しく説明しています。

よくある不備

リスク管理の仕組みで審査や内部監査から指摘されやすいのは、形はあっても中身がない状態です。代表的なものと直し方を整理します。

図15　仕組みが形だけになっていないかは、議事録と登録簿の中身で判断されます

とくに注意したいのが、開示との不一致です。Ⅰの部や有価証券報告書の「事業等のリスク」に書いたリスクが、社内のリスク登録簿に載っていない、あるいは評価が大きく違うと、開示の根拠を問われます。開示の原案を作る段階で、登録簿の上位のリスクと突き合わせる手順を入れておきましょう。

図16　開示の内容は取締役会や経営会議での議論と整合している必要があります

もう一つの不備は、委員会が経営会議と同じメンバーで、議題もほとんど重なっているのに、別々に議事録を作っている状態です。小規模な会社では、経営会議の中でリスク管理の議題を扱い、その部分をリスク管理委員会として記録する方法でもかまいません。大切なのは規程に書いた運営と実態が一致していることです。

よくある質問

最初の一歩は、部署長に自部署の「困りごと」を3つ書いてもらうことです

いきなり分類表や評価基準を作るより、部署長に「この1年で起きたら困ること」を3つずつ挙げてもらう方が、具体的なリスクが集まります。集まったものを分類の枠に当てはめ、抜けている分類を確認すれば、最初のリスク登録簿ができます。そこから委員会の初回を開き、評価の基準と年間スケジュールを決めていくと、規程と運用を同時に立ち上げられます。

まとめ

リスク管理規程は、会社法の内部統制システムで求められる「損失の危険の管理に関する規程その他の体制」を具体化する規程です。目的・適用範囲・責任体制・手続・報告・危機への移行を定め、評価の基準や様式は細則や別表に回します。審査では、条文そのものよりも、リスク登録簿、委員会の議事録、取締役会への報告が規程どおりにつながっているかが見られます。子会社を含めたグループでの運用と、開示の「事業等のリスク」との整合も意識して、N-2期の早い段階から運用の記録を積み上げていきましょう。

本記事の根拠

• e-Gov法令検索「会社法」（第362条、第399条の13）
• e-Gov法令検索「会社法施行規則」（第100条、第110条の4）
• 日本取引所グループ「新規上場ガイドブック（グロース市場編）」
• 金融庁「記述情報の開示に関する原則」
• 金融庁「財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について（意見書）」の公表について

免責：本記事は一般的な情報提供を目的とし、個別案件に対する法務、会計、税務その他の専門的助言を構成するものではありません。実際の対応は、最新の法令・取引所規則・公表資料を確認し、必要に応じて専門家へご相談ください。