Risk Assessment

HOME
Risk Assessment
もっと活用しよう、ISO Std of ISMS, MGT System Audit, Risk MGTなど……

/ 最終更新日時 : ATSUSHI YOSHIDA Risk Assessment

もっと活用しよう、ISO Std of ISMS, MGT System Audit, Risk MGTなど……

https://wp.me/pglP3s-Po

ちょっとコラムから始めます。

1978年にノーベル経済学賞受賞のハーパード·サイモンが書いた『システムの科学』（1969年出版）本の中に、「サイモンの蟻」という話があります。

ある日、サイモンは砂浜を歩く蟻の軌跡の複雑な模様を見ながら考えました。

「砂浜を一匹の蟻が歩いている。その後に延々と続く蟻の足跡。この蟻の残した足跡が複雑な絵模様を描くのはなぜだろうか？」

こういう疑問がわいたとき、私たちは、足跡の複雑さを生み出した原因を蟻の側に求めてしまうことが多い。

例えば
「餌を探しながら歩いていた」
「疲れてよたよたしていた」
「迷い迷いだったのか」など。しかし、
サイモンは複雑な軌跡は、蟻の認知能力の複雑さではなく、単に海岸線が複雑であるからだと考た。

つまり、蟻は、自分の巣の方向は知っている。が、途中の障害物を予測できないため、物にぶつかる度に方向を変えなければならない。結果、複雑な軌跡になった。

人のする様々な行動の実践も、現場における多様な困難さに対して、単に、個人の障害や個人の能力の視点だけから課題を定義、あるべき姿との間にあるギャップを問題化してその問題を解決することはできません。

また、問題を個人を取り巻く複雑な環境だけに帰属しているとしてしまうことにも納得はできません。課題の複雑から出てくる問題点は、個人の行為とその環境の中から結果として出てきたものです。

問題解決をするとき、個人及び組織環境の特性、環境条件、課題内容などをマインドセットの視点から分析する必要があります。

組織の業務実践の場では、予測できない障害物に出くわし、バリアーにぶつかること課題が発生しています。障害物は、思考様式、固定されたものの見方、固定された考え方、無意識の習慣、好みです。人間、組織が持つ無意識の思考・行動パターンや固定観念、物事を捉える時の思考の”くせ”のことです。

なにかを考えるときにどんな癖（クセ）を持っていますか、その癖や習慣に気づいていますか、

例えば、早く結論をだそう、じっくり考えてから結論を出そうとする、すぐペンをもって紙に書き出してしまう、まず腕組をするとか。私生活や会社仕事での行動は、その人物のマインドセットにより形成され、さらに長年積み上げられた組織の癖となっています。癖による行動を変えるには、あなたの考え方やあなたのモノの見方を変えていくことです。

組織行動は、子供の時代、小中高、大学生に培ったクセ、及び入社した会社で培ったクセが総合化されたクセが今とる行動を決めています。会社の中で働く仲間は大なり小なり「考え方」や「モノの見方」の思考様式は似たり寄ったり。

テーブルからボールが落ちそうになった、あなたはすぐ手を出しますか？出しませんか？

軌道修正をしながらゴールを目指すには、ゴールに到達できた成功事例と失敗事例について相互対話、コミュニケーションの場を持ち、いい点はコピペ、まずい点は修正で事例を活用します。失敗事例から学ぶことは多く、その組織ワークの積み重ねが成功に導くための貴重なコミュニケーションを経てフィードバック研究から得られたフィードフォワードとなります。

サイモンは、「人間には情報処理の限界があり、限界を克服するために組織を構築することが必要」と述べています。

1969年の考え方に最近の考え方を加えると、『人間には情報処理の限界があり、限界を克服するために硬直した組織ではないpsycological safetyな組織を構築し、well-beingとすること。さらに「莫大なdata（世界中の全図書館）から知識を解析してInteligence化し支援してくれるAI Chatを使いまくること」が最低の必須事項とAIの生みの親といわれるサイモンは伝えてくるでしょう。この先は、きっとすでにお読みになっていると思います。

組織戦略成功のカギ、ISO標準を活用して、イノベーションを進める

Table of Contents（コンテンツ目次）

ISOの一般的な読み方は、「アイ・エス・オー」、「イソ」、「アイソ」が一般的です。いずれも通用します。ここでは「イソ」としています、

出典：IPA 記事
https://www.ipa.go.jp/publish/wp-security/2025.html

概要”　情報セキュリティ白書2025（サブタイトル：“一変する日常：支える仕組みを共に築こう”）

「情報セキュリティ白書2025」において掲載している主な、2024年度のサイバーセキュリティの情勢は以下の通りです。

2024年以降も引き続き、ランサムウェア攻撃、標的型攻撃、DDoS攻撃などが国内外で多数観測されるとともに、攻撃の手口の巧妙化・洗練化も確認されるなど、サイバー空間における脅威はますます増大しています。また、国際情勢が一層厳しさを増す中で、地政学リスクに起因するサイバー攻撃や偽情報の拡散など認知領域における情報戦なども観測されています。
生成AIをはじめとするAI関連技術の進展は著しく、サイバー攻撃・防御の双方でAIの利用が進んでいるとともに、サイバー攻撃によるAIシステムへの攻撃や悪用、認知領域への攻撃が懸念されています。
国内では、サイバー対処能力強化法及び同整備法、国家サイバー統括室の設置等、「国民生活や経済活動の基盤」と「国家及び国民の安全」をサイバー攻撃から守るための能動的なサイバー防御を実施する体制の整備が進められています。
また、システムの設計段階から脆弱性を除去し、攻撃を未然に防ぐための「セキュア・バイ・デザイン」に向けた取り組み、例えばJC-STAR（セキュリティ要件適合評価及びラベリング制度）の運用開始や、サプライチェーンのセキュリティ強化に向けたセキュリティ対策評価制度などについても進展が見られました。”

ISOマネジメントシステム監査のための指針（ISO19011）及び、リスクマネジメント指針（ISO31000)

サイバーテロ防衛は白書を参考にして、経営マネジメントはISOマネジメントシステム監査のための指針（ISO19011）及び、リスクマネジメント指針（ISO31000)を使い、AIを社員に採用、人財を豊富にする。そして、AIに社内の大量な資料を情報としてレポート作成、そしてプレゼンテーション化までまかせれば、組織のあり方や人財の活用を振り返りのレポート、研究開発や技術開発をさらに重視するためのレポート、以降は企業のあるべき方向に進んでいく。コンピュータは私たちの今の生活を気づかないところから作り上げてきました。今のAIの波は非常に身近なところにいます、プロンプトって言葉を聞いたら、見たらちょっとPC、スマホにChatGPT,Geminiなどのアプリのダウンロードして使ってみることをお勧めします。

ハイリスク & ハイコンテクストな状況

日本だけではないがハイリスクな社会。ハイコンテクストな文化の日本社会。組織は海外のグループ会社とともに、” ビジョン・ミッション”の展開のためにISO認証を目的にすることだけでなく、ISO規格の考え方を使い展開する、そうすることはハイコンテクスト文化の日本組織がローコンテクスト文化社会の海外で事業を進めるためにうってつけ。

箇条に要求されている、箇条5リーダーシップ・コミットメントはいかがですか？要求されるまでもなくリーダーには最低限の力量、技量、包容力です。まずこれを確立して事業運用の車軸にすればすべてが回りだす、すべてが始まります。

ええ、質問ですか。ハイコンテクストについて説明してくださいです_ネ？

さて、ハイコンテクスト文化社会とは、

新入社員教育では、多くの時間を行儀、作法、思考方法（ロジカル·シンキング、システム・シンキング）、資料作成、プレゼンテーション、コミュニケーションスキルについて一から十に近い研修をします_ネ。私の海外経験から、このような教育は日本以外の国では少ない。外国では、最近は多少少なくなっていますが、学校で先生にはSir,Ma’amをつけます。新社員は一括の年度ごとの入社ではなく、随時採用入社です。業務に必要な専門教育研修後にすぐに現場に配属するのが一般的。日本は、6か月かけて教育研修後、一人前と認めるため、さらに半年かけOJTで登用論文を書く。「議事録を、くらいは書ける。現場の専門的言語·知識·体験をする、など」を学んで事務系、技術系は仕事ができるようになる。そして新社員はいつも最初は受け身で仕事の支持を待つ。教育は一を聞いたら十を知る、背中で教える、背中を見て学ぶことが主です_ネ。

一を聞いたら十を知ることは、日本的なハィコンテクスト文化です。

コンテクストとは、「共通の言語·知識·体験·価値観·嗜好性」を共有していること。ハイ・コンテクスト文化とはコンテクストの共有性が高い（ハイ）である文化のこと。納得するまで教えなくても、お互いに相手の意図を察し合うことで、1を聞けば10を知る、1を言えば10を知る、そしてなんとなく３つ４つを知っただけでも通じたと思い込む環境に慣れていく。

逆に、ローコンテクスト文化の欧米は、共有するコンテクストが基本的には少なく、言葉や文章、言語により、１から10までを明記し、プレゼンテーションで質疑応答を随所に入れインタラクションしながら、意思を伝え疎通を図ります。

このため、教える側はコミュニケーションの論理的思考力、表現力、說明能力が必要となり、必然的に能力は高くなっていきます。グローバルビジネスの環境は、ローコンテクスト文化どっぷりの社会です。さらに、日本国内も、世代間でα世代、Z世代、平成人間、昭和人間、と共有できるコンテクストはますます少なくなり、狭くなっています。たとえ世代が同じでも一般社員、管理職、幹部社員を価値観は多様化しています。これは、ハイコンテクスト文化の”1を聞けば10を知る”、”1を言えば10を知る”、コミュニケーションが成立する範囲が非常に狭くなっていることを示します。

ローコンテクスト社会での武器は、やはり論理的に物事を伝える力です。論理的に考え表現することができれば、英語が流暢でなくてもコミュニケーションが成立します。話し言葉の問題ではなく、相手に伝えるべきことを伝えるスキルはますます重要性が高くなっています。ISO Standardはコミュニケーションのために使える経典、聖書、仏典のような個人個人のバックボーンのような価値文書です、そして世界共通のスタンダードは共有しやすい、箇条をコミュニケーションの原点にすれば、今討議しているのは箇条XXですと話すと、はい。あの箇条ですね、と共通意識の向上になり、共通認識がうまれ、組織全員の発言を得やすくなりお互いの背中を後押しできます。

一言でいえば、International Standard(国際規格)を活用し、イノベーションを進めることは、各社の取り組みに、うってつけです。

PDCAサイクルは形骸化させずに使い込んでいますよ_ネ。ISO規格の構造はPDCAサイクルが構成要素のベースです。

規格は箇条4から始まり箇条10まで、PDCAサイクルです。

各社取り組んでいる主要なISO国際規格は
・下の３規格及びISO 22000 食品に関わる組織が取り組むべきマネジメントシステム規格
・上の規格に加え、2018年3月に発行されたISO45001:2018 OHSMS(労働安全衛生マネジメント規格）
・他の国際ISO規格はISO Standard webを、ごらんください


2021年日本の認証数：40,834	2021年日本の認証数：21,976	2021年日本の認証数：6,587	2021年日本の認証数：1,685
2021年世界の認証数：988,305	2021年世界の認証数：387.780	2021年世界の認証数：52,397	2021年世界の認証数：276,941

日本の情報セキュリティー、サイバーセキュリティーISO/IEC2701,及び労働安全衛生マネジメントシステムISO45001認証数も取り組みもまだまだ低い。

ISOマネジメントシステム監査のための指針（ISO19011）及び、リスクマネジメント指針（ISO31000)の指針の活用も低い。

多数のISO規格があります。上に挙げた4つのスタンダードの要求事項を整理し以下に、４つの主流ISO Standard 安全、環境、品質、情報のマネジメントシステムの要求事項を対比図にしています。

ISO45001では、安全文化を要求しています。5.4 働く人の協議及び参加を要求しています。組織をオープンにして活性化した職場文化を築き取り組むために、ほかのStandardsも「働く人の協議及び参加」が必要だと感じます。

ISO規格を使い改革につなげる

どの標準も使うためには、危険源からリスクアセスメント、分析・評価のアプローチ、プロセスや手順を整理するシステム技術的なソリューションまで、ほぼすべての主題をカバーする必要があります。

リスクアセスメントについては、

ISO12100:2010 リスクアセスメント

ISO 12100:2010は、機械設計をするときに安全性を確保、達成するための基本的な用語、原則、および方法論を指定しています。設計者がこの目的を達成するのに役立つように、リスク評価とリスク低減の原則を指定、これらの原則は、機械に関連する設計、使用、事件、事故、およびリスクに関する知識と経験からつくられています。機械のライフサイクルのそれぞれの段階での危険、ハザードを特定し、リスクを推定および評価し、危険の排除または十分なリスク低減のための手順について説明しています。リスク評価とリスク削減プロセスの文書化と検証に関するガイダンスが提供されています。

IEC/ISO31010（リスクマネジメント－リスクアセスメント技法）国際規格, 箇条6：リスクアセスメント技法の選択に全部で31のリスクアセスメント技法の技法が掲載されていますが、ブレーンストーミング、WHAT IF/ チェックリスト, 予備的ハザード分析（Preliminary hazard analysis: PHA）, HAZOP(Hazard and Operability）, 根本原因分析（Root cause analysis: RCA）, 故障モード・影響解析（Failure mode and effects analysis: FMEA）, フォールトツリーアナリシス（故障の木解析: FTA）が設備・機械の危険を分析・評価し、リスクを減らすことが必要とあります。そのためのリスクアセスメントとリスク低減の手順はISO12100規格に定められ、安全性を確保するための規格です。「基本用語、方法論」「技術原則」の2つの規格から成り、設備・機械の危険源やリスクレベルは設計、製造、改造、遊休設備・機械、運搬や解体、廃棄に至る設備機械のライフサイクルの各段階によって使い分けられ異なります。各段階のライフサイクルすべてにおいて設備・機械が安全であるように設計・製造・製作・設置据え付け・・・される必要があります。