AI時代、リスクは企業の未来を選ぶ起点になる

2026年8月20日 11時40分デロイトトーマツグループ

1年に一度、重要リスクを棚卸しする。それだけで企業が不確実性に備えられる時代は、終わりつつある。サプライチェーンは国境を越えて複雑につながり、サイバー攻撃は情報漏えいにとどまらず事業停止に直結するようになった。地政学や経済安全保障の変化は、調達・生産・販売・投資判断に影響を及ぼす。さらにAIの活用が急速に進む現在、企業は「AIを使うリスク」と同時に、「AIを使わないリスク」にも向き合わなければならない。

では、この10年で企業リスクの何が変わったのか。そしてAI時代に、企業は何に備えるべきなのか。デロイトトーマツでリスクマネジメント支援に携わる3名——企業リスクの変遷と調査の意義を俯瞰する松本拓也、サステナビリティ・人的資本/人権・人材不足を見つめる新納麻理佳、サイバー・テクノロジー・地政学・経済安全保障の最前線を語る河崎玄志——が、それぞれの専門領域から語った。

リスクは、一つの部署では完結しなくなった

「10年前は、個々の事象を捉えたリスク対応が多かったと思います。」松本はそう振り返る。

当時、日本企業のリスク認識の中心にあったのは、海外進出に伴う海外事業管理、BCP・自然災害対応、個人情報保護などだった。いずれも重要なテーマであることに変わりはない。ただ、多くは特定の部署や機能が中心となって対応する性格の強いものだった。

いまは状況が異なる。不確実性が高まり、グローバル化でサプライチェーンが広がるなかで、リスクは複雑化し、複合化している。自社だけでは予見できず、一つの部署では完結しない。松本は、リスクが「経営アジェンダに近いテーマ」になっていると語る。

合同会社デロイトトーマツ GRC パートナー　松本拓也

「象徴的なのがパンデミックです。出社できないという人事上の問題にとどまらず、委託先が止まり、物流が乱れ、調達や販売にも影響が及びました。一つの危機が複数部門と取引先を巻き込んで連鎖する——それが現在の企業リスクの姿です」と松本は言う。

デロイトトーマツグループが2003年から毎年実施している「企業のリスクマネジメントおよびクライシスマネジメント実態調査」の2025年版でも、この変化は明確に表れている。国内では「人材流失、人材獲得の困難による人材不足」が4年連続で最大リスクとなり、サイバー攻撃・ウイルス感染等による大規模システムダウンと情報漏えいが同率2位となった。海外拠点では、グループガバナンスの不全に続き、経済安全保障上の関税・規制・制裁の強化が上位に入った。

人材、サイバー、地政学、経済安全保障、サステナビリティ、AI。いずれも特定部門の課題ではなく、経営戦略、事業運営、組織設計、投資判断に関わるテーマだ。それゆえ、目まぐるしく変化する外部環境を適時・的確に把握したうえで、企業グループにどのような影響を及ぼすかという視点でリスクを捉える必要がある。

「守り」から、意思決定の質を高める仕組みへ

従来、リスクマネジメントは「守り」の活動として捉えられがちだった。起きた危機に対応する。事故や不祥事を防ぐ。損失を最小化する。それらは今も不可欠だ。

ただ、不確実性の高い時代に、企業は守りだけで成長することはできない。

「企業は持続的に成長していかなければならない。だからこそ、守るだけでなく、ある程度リスクを取ることも必要になります」と松本は話す。そして重要なのは、リスクを無条件に避けることではなく、中身を見極めることだと続ける。

外部環境の変化が自社にどんなリスクシナリオをもたらすのか。どこまでなら取れるのか。どのリスクは取ってはいけないのか。その判断を、経営の意思決定プロセスに組み込む必要がある。

松本は、リスクマネジメントの意義を「意思決定の質を高めること」と表現する。リスクを見える化し、経営判断に反映することで、事業計画の達成可能性は高まる。想定外の変化が起きても、すぐに打ち手を選べる。結果として、事業計画の堅牢性や経営のレジリエンスが高まる。

リスクマネジメントは、企業価値を毀損しないための仕組みであると同時に、企業価値を高めるための仕組みへと変わりつつある。

サステナビリティは、持続性を阻害するリスクを取り除くこと

現在のリスクマネジメントを考えるうえで、サステナビリティは避けて通れない。サステナビリティを専門とする新納は、それを環境対応や社会貢献活動に限定して捉えるべきではないと指摘する。

「サステナビリティは、企業活動や価値創造のストーリーの中で考えるものです。企業の持続性を阻害するリスクを取り除き、社会や環境とどう付き合っていくかを考えることで、企業の持続可能性を高めていく。リスク対応と成長の両面があります」

合同会社デロイトトーマツ GRC マネージングディレクター　新納麻理佳

気候変動、人権、サプライチェーン、人的資本、人材不足。これらは企業の外側にある社会課題であると同時に、企業価値に影響するリスクであり、経営課題でもある。投資家やステークホルダーは、企業がこれらをどう認識し、どう対応しているかを見ている。

とりわけ人材不足は、日本企業にとって構造的なリスクだ。新納は、「『人的資本』という言葉そのものが、企業における人の位置付けの変化を示しています」と言う。人はコストではなく、資本として捉えられるようになってきた。人という資源をどうマネジメントするかが、経営に強く影響するようになっている。

「人材不足は、単なる採用課題ではありません。事業戦略と人事戦略が結びついていなければ、中期経営計画で描いた成長領域に、必要なスキルを持つ人材がいないという事態が起こります。DX、サステナビリティ、サイバー、グローバルガバナンス。求められる専門性が広がるほど、スキル人財の不足は経営リスクそのものになるのです」

新納が見落とされがちな点として挙げるのが、組織のサイロ化だ。

「人的資本は人事部門、サプライチェーンの人権・環境リスク低減は調達部門など、機能ごとに細分化された状態では、人やサステナビリティをめぐる課題を経営全体で捉えることが難しくなります。」

サステナビリティは、規制対応や開示対応で終わるものではない。企業理念・文化に根付き、従業員一人ひとりが自律的に判断できる状態をつくって初めて、企業の持続可能性を支える力になる、と新納は強調する。

サイバーは、情報漏えいから事業継続の問題へ

サイバーリスクも、この10年で性質を大きく変えた。

「10年前の個人情報漏えいと、現在のサイバーセキュリティリスクは、近しい言葉で語られることもありますが、影響の範囲が大きく変わっています」と10年以上この分野を専門としてきた河崎は説明する。

合同会社デロイトトーマツ GRC ディレクター　河崎玄志

かつては、個人情報が何件漏れたのか、どう補償するのかが主な論点だった。いまは、サイバー攻撃で事業が停止し、顧客・取引先・投資家などへの説明が必要になり、サプライチェーンへ影響が波及し、レピュテーションリスクにもつながる。例えば製造業であれば、技術情報や企業機密の流出が、競争力そのものを損ないかねない。

「ただの情報漏えいではなく、企業全体に影響するリスクとして捉える必要があります」と河崎は強調する。

「だからこそ、サイバー対応は『完全に防ぐ』だけでは不十分です。攻撃を防ぐ対策は必要ですが、手法が日々進化する以上、インシデントの可能性をゼロにすることは難しい。最大限リスクを潰しつつ、もし起きた場合にどう対応すべきかを、あらかじめ想定しておくことが欠かせません」

そのためには、自社のシステムを把握し、どこに重要な情報があるかを定義し、取引先や委託先まで含めて影響範囲を捉える必要がある。シャドーIT・シャドーAIのように、自社でも把握できていないシステムがあれば、リスクは見えないまま残る。

「経済安全保障や地政学の観点も欠かせません。どの国・地域のシステムやクラウドを使うのか。どの情報をどこに置くのか。自社にとって絶対に守るべき情報は何か。これらはIT部門だけで決められるテーマではありません。サイバーは、もはや情報管理の問題ではなく、事業継続、経済安全保障、経営戦略に関わる問題です」

AI時代、リスクはリアルタイムに変化する

今後、企業のリスクマネジメントを大きく変える要素がAIだ。AIは、人が認識するより広く網羅的に情報を収集し、外部環境の変化をタイムリーに捉えることができる。松本はAIの特徴を「良くも悪くも忖度しない」と表現する。客観的にリスクを示すことは、経営者の意思決定の支えになり得る。

一方で、AIの活用そのものが新たなリスクを生む。

「AIを活用すれば効率化できる部分は多い一方で、AIを活用することによるリスクも増える」と河崎は言う。外側からのリスクだけでなく、AIを社内で使うことによる内側のリスクも生じるため、ガバナンスの観点で見ていく必要があると続ける。

「AIを使わないことは、それ自体が競争力低下のリスクになり得ます。一方で、情報漏えい、判断の誤り、説明責任、倫理、など新たな課題も生じます。難しいのは、AIの技術や活用方法が常に変化している中で、企業が利用ルールを継続的に見直していく必要があることです」

地政学、経済安全保障、サイバー、サステナビリティといった外部環境も、リアルタイムに近い速度で変化している。松本も「一カ月後には景色が変わっているかもしれない。その時々の判断が必要になります」と補足する。

これからのリスクマネジメントは、年次の棚卸しではなく、リアルタイムに変化する外部環境を捉え、経営判断につなげる仕組みへと進化していく。

「リスクマネジメント起点の組織経営」へ

取材のなかで、3名の話から浮かび上がってきた言葉がある。「リスクマネジメント起点の組織経営」だ。

リスクマネジメントは、何かが起きたときに対応するための仕組みではない。経営戦略や事業計画の段階から不確実性を見極め、意思決定に織り込んでいく。そうした考え方が、これからの企業に求められる。

その実現には、専門性だけでなく、客観性と中立性も必要だ。「客観的に見たときにどう見えるかを企業に伝えることも、私たちの大事な役割です」と松本は言う。

社内では見えにくい部門間の分断、企業文化、海外子会社との距離、現場の巻き込み方。これらは外部の第三者だからこそ見えることがある。新納も、「サステナビリティや人的資本の支援では、企業文化を理解し、どの部署を巻き込むべきか、どの文脈で伝えれば動きやすいかを見極めることが重要です」と語る。

河崎は、サイバーやAIの領域について、「答えがないところで、クライアントと答えを出していくこと」が支援の価値だと話す。法律やガイドラインが整う前から意思決定を迫られる時代だからこそ、専門知見と客観的な視点を掛け合わせながら、自社に合った答えを探していく必要がある。

日本企業の「実感」が表れるリスクレポート

こうした3名の議論の土台には、記事冒頭にも引用した「企業のリスクマネジメントおよびクライシスマネジメント実態調査」がある。3名も携わるこの調査の23回目となる2025年版は、日本の上場企業283社の回答をもとに、企業が注視するリスクと危機対応の現状を分析した。特徴は、世界的なリスク予測ではなく、日本企業の実感が反映されている点にある。

「企業が実際に何をリスクと感じているのかが如実に表れます」と松本は話す。新納も「日本企業特有の課題が浮かび上がる点に価値があります」と語る。

他社は何に危機感を持ち、自社はその変化に気づけているのか。このレポートは、経営層やリスク管理、サステナビリティ、サイバー、海外事業の担当者が、自社のリスクを見つめ直すためのベンチマークとして活用できる。

リスクは、企業の未来を選ぶための視点になる

リスクは、これからも形を変え続ける。AIの進化、国際情勢の変化、サイバー攻撃の高度化、サステナビリティ規制の広がり、人材不足の深刻化。企業を取り巻く不確実性は、静的に管理できるものではなくなっている。

だからこそ、リスクマネジメントは「守り」の活動にとどまらない。リスクを早く捉え、経営の意思決定に組み込み、取るべきリスクを見極める。それは企業価値を守るだけでなく、成長の機会を選び取るための視点だ。

この調査が映してきたのは、企業が時代ごとに何をリスクと捉えてきたのかという変遷そのものだ。そしてその変化に合わせて、デロイトトーマツの支援も、調査、体制・プロセス整備の助言から実装、運用、AIやインテリジェンスを活用した意思決定支援へと広がっている。変化するリスクに向き合う企業を支えるために、支援する側もまた変わり続けなければならない。

取材の終わりに、3名にリスクマネジメントにかける思いを聞いた。

「リスクは、経営の礎です。リスクを賢くマネージすることで、経営は健全になっていく。その時々のリスクにしっかり対応することが、私たちが経営をサポートする意義だと思っています」（松本）

「『最低限の対応でいい』とおっしゃっていた方が、企業価値向上というゴールを一緒に見据えるなかで、『我が社の企業価値向上のために』と語り始める。それが、心の中でサステナビリティ経営を目指す仲間が増えたと、最も嬉しくなる瞬間です」（新納）

「サイバーセキュリティリスクの重要性は、高まり続けています。学ばなければならないことも増え続けますが、だからこそ、この領域でコンサルタントとして向き合う意義も大きくなっている。それが私のモチベーションです」（河崎）

リスクは、避けるためだけにあるものではない。企業がこれからどの未来を選ぶのか。その意思決定の質を高め、持続的な成長へつなげるための視点だ。