リーガルリスクマネジメントに関する国際規格ISO31022が発行 企業、弁護士が活用するポイントは

企業の法的リスクを管理する標準規格「ISO31022:2020 リスクマネジメント－リーガルリスクマネジメントのためのガイドライン」が本年5月に発行、11月2日には日本語訳も公表された。

弁護士、企業法務担当者から高い関心が寄せられている同規格だが、有効に活用するポイントはどこにあるのだろうか。

日本規格協会グループの中川 梓理事（規格開発担当）、吉川 勝也取締役（研修担当）、ISO/TC262 国内委員会作業グループ委員を務めたAirbnbリードカウンセル、日本法務本部長の渡部 友一郎弁護士に聞いた。

不確実性の高まりがリーガルリスクマネジメントへの関心につながった

ISO31022作成の経緯と日本規格協会の役割について教えてください。

中川梓氏：
私ども日本規格協会グループは「標準化および管理技術に関して、その開発、普及および啓発などを図り、もって社会経済の健全な発展と国民生活の向上に寄与する」というミッションを掲げて事業を推進しております。

JIS規格（日本産業規格）の開発・普及に加え、ISO、IECなど国際規格作成の事務局も務めています。

2009年にリスクマネジメントの国際規格であるISO31000が開発され、2018年に改訂されています（ISO31000:2018）。これは汎用規格で、特定の産業や部門に限らずあらゆる種類のリスクマネジメントを行うための共通の枠組みを提供するものです。

ISO31022は2015年に中国から提案された、リーガルリスクという特定分野におけるリスクマネジメントを効果的に行うための国際規格です。

なぜリーガルリスクマネジメントの規格が作成されたのでしょうか。

中川梓氏：
ISO31000は「リスク」を「目的に対する不確かさの影響」と定義しています（2.3.1）。

「リスク」というとマイナスの面ばかりが強調されるイメージがありますが、不確かさが及ぼす影響には好ましいもの、好ましくないものの双方を含みます。何が起こるかわからない世の中で、組織の目的を達成するための判断手法がリスクマネジメントです。

ISO（国際標準化機構）では、2030年に向けた戦略を策定したところですが、増大する不確実性は大きなテーマとして扱われています。

リスクマネジメントは、不確実性が高まるなかで非常に重要な判断の枠組みとなります。また、昨今の国際情勢の中で、法律を守っていない会社は競争のスタート地点にも立てません。ISO31022の枠組みを活用していることが国際社会で信用されるためのパスポートとして使われることを期待しています。

渡部先生はISO31022の公表を、どのように受け止めましたか。

渡部友一郎弁護士：
日本の法務全体のレベルを押し上げる重要イベントだと受け止めました。

また、規格について謙虚に学ぶスタートラインであるとも感じました。自戒も含めてですが、ISOやJISといった規格に対して一般の弁護士や法務部員の意識はそれほど高くなかったと思います。名称を知っていたとしても、組織のリスクマネジメントとの関わりまで踏み込めていた方は少なかったのではないでしょうか。

また、中川様がおっしゃったとおり、世の中の不確実性が増しているなか、複雑なリスクへ対応するには組織内で共通した判断の枠組みが必要です。法務部門の属人化、タコツボ化を防ぐフレームワークとしてISO31022に期待しています。

公表後の反応はいかがでしょうか。

吉川勝也氏：
7月に日本経済新聞からISO31022に関する記事 ¹ が掲載され、非常に大きな反響がありました。記事中では渡部先生にも講演いただいた規格の説明会についても触れられ、多くのお申し込みがありました。規格の原文であるISO31022（英語版）の販売も好調で、かなり高い関心が寄せられています。

関心の高さをどのように分析しますか。

渡部友一郎弁護士：
ビジネスや会社のあり方が大きく変化したことがあげられます。従来の護送船団方式から、各企業が法律を含めたルールを解釈し、ビジネスを展開しなければいけなくなりました。

また、産業構造の中心が製造業からITに移行したことも考えられます。ITの分野では事業展開のスピードが早く、法律に書いていないことにも挑戦しないと成長できません。官庁に聞いても、本を調べても答えが出ない問題が生じた場合には会社の目的に沿ったリスクテイクが要求されます。

リーガルリスクマネジメントの外国有識者も、法律自体が解釈に幅があり不確実性を持つものだと指摘しており ²、リスクテイクのためにもISO31022は活用できます。

法務の役割はリスクを抑えるだけではなく、良いチャンスを増やすこと

渡部先生はISO/TC262国内委員会 作業グループ委員として関与されています。

渡部友一郎弁護士：
ISO31022の普及にコミットしようと思ったのは、前職でのある出来事が影響しています。当時、私は新規事業の法務担当でした。考えを尽くしても事業の実現は難しいと判断し、NOの意見を出しかけたことがあります。

最終的には幸運が重なり新規事業は始動しました。その後、5年間で100億円の事業価値を持つほどに育ちました。そのときに「私がNOを出していたら、100億円分の未来が失われていた」と痛感したのです。

法務はダメ出しによって事業が生まれなくても責任を負いません。法務は「リスクがあるのでできません」と言っていれば仕事をしているように見える、という笑い話もあるくらいです。

法務に限らず、企業のなかでは様々なリスクに対して安易にNOの助言・判断をして、現状維持し、結果、多くの経済価値が失われている、という仮説を私は持っています。「不必要なNO」を私達法務部門がゼロにする精緻かつ傑出したサービスを提供し続ければ、日本企業のリスクテイク力は向上すると信じております。

海外は判断の仕方が異なるのですね。

渡部友一郎弁護士：
私が知る限り、外資のIT企業ではダメ出しだけして、事業を前に進める代案を出さない法務は価値を認められません。

たとえば、海を陸から眺めただけでは「あの海は深くて潜れないから、泳ぐのをやめましょう」と判断してしまうかもしれませんが、海ダイビングのプロガイドがそばにいて、酸素ボンベを付けていれば「この能力だったら20メートルまで潜れます」と助言を受け判断できますよね。

ISO31022はまさにプロのガイドのようなもので、活用すれば事業を進める「情報に基づく意思決定」に役立ちます。日本中の法務から、「不必要なNO」を取り去るお手伝いをしたい、日本企業の価値を取り戻すきっかけにしたい、という強い思いがあります。

Airbnbでは、リーガルリスクマネジメントについてどのような取り組みをしているのでしょうか。

渡部友一郎弁護士：
Airbnbでは「法務はenableさせる部門」と言っています。リーガルリスク・マトリックス（5×5のマトリックス）を使用して ³、事業部門と協働しながら「代案」や「リスクの低減」について議論しています。

5×5マスの縦軸に「Risk Impact（リスクから生じる影響）」、横軸には「Risk Likelihood（リスクの起こりやすさ）」を置き、法務部門は寄せられる相談に対してスコアを付け、スコア決定の根拠となった事実や思考過程を伝えることができるものです。

リーガルリスク・マトリックス

社内でマトリックスの由来を訪ねてみても、誰からも明快な答えが返ってきませんでしたが、海外の文献を調べてみると、ISOやリスクマネジメントを源流にしていたことがわかりました。

吉川勝也氏：
日本企業の経営は海外と比較して、リスク分析に基づく意思決定が不十分なのでしょうか。

渡部友一郎弁護士：
外資で仕事をしていると、リスクは機会利益につながるもの、リスクがなければリターンはない、という会話が経営陣から聞こえてきます。法務部門は法律のプロとして、経営陣をスマートなリスクテイクのためにサポートする役割が求められるのです。

吉川勝也氏：
ISO31000ではリスクには「好ましいもの、好ましくないものの両面がある」と定義されていて、「好ましいリスク」のイメージが理解しにくい、と企業の方からご相談を受けることもあります。

渡部友一郎弁護士：
ISOのフレームワークを導入した企業は、法務の役割はリスクを抑えるだけではなく、良いチャンスを増やすことである、と改めて気付きます。法務部門を活かしきれていない場合、企業がそこに気付くことは大きな変化だと思います。

重要案件を止められない法務が経営陣とコミュニケーションを取る契機に

国内企業では法務部門が重要案件を止められない、NOも言えないケースがあるようです。

中川梓氏：
品質マネジメントシステムの規格であるISO9001の研修などで企業の実態を伺うこともありますが、品質管理部門がNOと言えない状況と同じですね。

吉川勝也氏：
品質管理部門としては出荷したくない品質でも、経営や営業部門の判断や社内力学が働き、やむを得ず出荷してしまうことがあります。経営者の方々が品質に関わる担当部門の方との十分なコミュニケーションができていないことが一因であると思います。

渡部友一郎弁護士：
ISO31000、31022で定める「リスクマネジメント」は「組織目的を達成するための活動」です。規格の文言には目的を設定する方法は書いていないので、ISOのフレームワークを導入する場合は、経営陣と目的設定に向けたコミュニケーションを取る必要があります。

「リーガルリスクマネジメントの仕組みが他社で導入されています。社長、当社でも導入しましょう」と提案するところから、リスクマネジメントの目的を経営に考えてもらう。こういう使い方もあると思います。

重要案件にNOが言えない状況でも、ISOの考え方をブラッシュアップしていけば経営陣とコミュニケーションをとることができるかもしれません。

たとえば「法務は契約書の審査をする部門」と位置づけられていて、全社でのリスク管理を求められていない場合でも規格を活用できそうでしょうか。

渡部友一郎弁護士：
ISO31022は全社に導入しなくても、法務部門だけで実践してみることも有効です。たとえば、リスクのアセスメントはやっていたけれども、リスクの対応についてはあまりアドバイスをしてこなかった。このような場合、法務部門から事業部に対して質の良いサービスを提供していくと、周りの反応も変わってくると思います。

親身になって良いアイディアを出してくれた、結果として良いプロジェクトになった。ISOのニーズを満たすようなアドバイスをしていると、このような結果につながる可能性があります。法務に対する信頼も変わってくるはずです。

ISO31022は事業だけではなく、弁護士の価値も最大化する

吉川勝也氏：
品質マネジメントシステム規格であるISO9001も、環境マネジメントシステム規格であるISO14001も運用する際には企業活動の実態と乖離しないことが大切なのですが、ISO31022を組織に浸透させるポイントがあれば伺えますか。

渡部友一郎弁護士：
ISOのマニュアル的解釈（チェックボックス化）は、かえってリスクマネジメントを危殆化させるそれがあり、危険と考えます。組織全体でリスクを扱うための動的なフレームワークと捉えた方がよいと思います。「ISO31022のやり方を実践している、あの企業みたいにリスクがとれたら良いよね」という実例が今後積み重なってほしいですね。

中川梓氏：
多種あるISOのマネジメントシステム規格は、共通の構造となっているので、既存の品質、環境のISOを導入している企業の場合、それらに追加して、いいとこ取りで各種のマネジメントシステム規格を活用するというように考えていただければと思います。

渡部友一郎弁護士：
企業内に存在する仕組みとの併用を支援できるようにつくられていますよね。ISO31000は、既存のコンプライアンスプログラムや内部統制のシステムとも併用できます。

ISO31022に興味を持った方は、どのように学べばよいでしょうか。

渡部友一郎弁護士：
「ISO 31000:2018（JIS Q 31000:2019）リスクマネジメント 解説と適用ガイド」（日本規格協会）は「マストバイ」です。また、11月2日にはISO31022の日本語版が発売されました。まず法務部門でご入手いただくことをおすすめします。

中川梓氏：
たとえば、中小企業などでリーガルリスクは大事だという認識はあるが、法務機能はない、法的な素養もない方がいきなりISO31022の原文を見るのはハードルが高そうです。

渡部友一郎弁護士：
その場合には、研修が有効ですね。

吉川勝也氏：
ISO31000のセミナーは年2回ほど提供しています。まだ大手企業の方の参加が多いので、中小企業の方にもぜひ参加いただきたいですね。また、ISO31022の説明会のアーカイブ配信もご利用いただければと思います。

渡部友一郎弁護士：
弁護士や司法書士など法律の専門家によるアドバイスから学ぶことも有効です。

中小企業経営者から相談を受けたとき、リスクマネジメントの考えを身につけていれば、法令や判例の解釈だけでなく、「こういうリスク管理策を実行しましょう。リスクはとれると思います。あとは社長の判断です」という提案もできます。

弁護士に限らず、司法書士、行政書士など様々な士業の先生にリーガルリスクマネジメントの考え方が広がれば、中小企業へも浸透し、日本の経営に厚みが出てくるはずです。

リーガルリスクマネジメントの考えを組織のなかに取り入れ、運用していく際の課題と解決に向けたアドバイスを伺えますか。

吉川勝也氏：
研修を通じて企業の方とお話をしていると、例えば、品質の場合、経営トップの品質保証に対するコミットメントとそれを浸透させるための現場とのコミュニケーションが大切であることを強く実感します。

トップが品質を重要視していない組織では、品質問題を起こしやすく、長期的に事業を継続することは難しいのではないかと思います。
以前は、「品質管理」と言っていましたが、今は「品質マネジメント」という用語を用いるのが一般的です。「マネジメント」は経営トップが主体的に実行していく必要があります。

「管理」であれば、品質不良がなければ問題はないでしょうが、品質を通じて顧客価値創造に寄与するためには、経営層の品質に対するコミットメントと、スタッフ部門・担当部門から重要情報を上げる体制づくりなどが不可欠であると思います。

リーガルリスクマネジメントについても同様で、担当部門だけではなく、全社的運営が求められるのではないかと思います。

渡部友一郎弁護士：
ISO31000、31022には「コミュニケーション及び協議」の項目が入っています。ISOの規定に沿って試行していけば「法務部門だけで止まっていないかな」「トップと協議はできているのかな」と、思いが至るはずです。

これまで法務は聖域、職人の世界という側面がまだ一部ありました。グローバルスタンダードの考えを取り入れ、できている部分を評価し、足りない部分は改善していくことが、課題解決に繋がると思います。

ISOの考え方が組織内で浸透するには、教育も重要な要素だと思います。

吉川勝也氏：
経営層、管理層、担当レベルの3層への教育が行われないと活用は難しいと思います。先ずは組織内で内製できるところからやりつつ、私どものような外部教育機関を活用することで、効果的・効率的な教育ができると思います。

企業様と個別に面談を行い、お客様のニーズに即した教育プログラムを提供していますので、ISO31022についても、同様のご支援をしたいと考えております。

渡部友一郎弁護士：
現場の最前線がトップとゆっくりお話する機会も乏しい場合も多く、ぜひ日本規格協会の経営トップの教育のさらなる推進をお願いしたいです。

中川梓氏：
私は審査員をやっていたことがあるのですが、規格の文言を審査先の企業の言葉に合わせて翻訳、言い換えをしないと、審査もうまくいかないし、企業の皆様にも理解してもらいにくかったことをおぼえています。ISOの文言を自分たちの言葉に直して咀嚼することが、自社に浸透・普及させるためには必要です。

今後、規格の普及へ向け、どのような展望をお持ちでしょうか。

吉川勝也氏：
日本規格協会では、ISO31022の日本語版を11月2日に刊行いたしました。ISO31000の関連書籍も合わせてご覧いただきたいですね。また、合わせてISO31022の説明会の模様を収録した動画の提供も開始いたしました。

少し先のことで言えば、各社の個別課題に対する勉強会の開催、関連情報の提供を通じて法務・弁護士の方々の課題やニーズを吸い上げ、議論・意見交換ができるコミュニティを形成できればと考えております。

中川梓氏：
まずは企業の方にリーガルリスクマネジメントに慣れていただくところからだと思います。
すでにISO9001やISO14001、BCMS（事業継続マネジメントシステム）を導入されている場合は、一緒に使っていただければ良いなと思っています。

渡部友一郎弁護士：
私は、六法と同じく、リーガルリスクマネジメントが弁護士・法律家・法務部員の基本的なスキルになってほしいと思っています。弁護士でも、法務部員でもリーガルリスクマネジメントのスキルは上司や先輩からの指導によって感覚的に身につけていく状況であり、非効率です。

法科大学院の実務家教育のなかでも、ISO31022の枠組みを習ったほうが、学生としては有益なはずです。法務部員、弁護士となった時にリーガルリスクマネジメントの枠組みが頭に入っていると、まったく違ったリーガルサービスを皆が提供できるようになります。

ISO31022は事業だけではなく、弁護士の価値も最大化するはずです。私自身、まだ学びの途上で盲点も多くありますが、引き続き、謙虚に日本の法務全体に貢献できることを見つけて参りたいです。

（写真：弘田 充、取材・編集：BUSINESS LAWYERS 編集部）