デロイト トーマツ調査、国内で優先的に対処すべきリスクは1位「人材不足」、2位「原材料・原油価格の高騰」、3位「サイバー攻撃などによる情報漏えい」

2024年4月2日

デロイト トーマツ グループ（東京都千代田区、CEO：木村研一）は、日本の上場企業を対象とした「企業のリスクマネジメントおよびクライシスマネジメント実態調査」2023年版について、調査結果を発表します。

主な調査結果

• 国内で優先的に対処すべきリスクは1位「人材不足」、2位「原材料・原油価格の高騰」、3位「サイバー攻撃・ウイルス感染などによる情報漏えい」

第1位は昨年同様、「人材不足」となり、前年と比較して多くの業種で、人材不足への懸念が上昇しています。背景としてはデジタル人材などの継続的な不足に加えて、特に小売り・流通では、人材不足への懸念が昨年より15.7ポイント増加しており、物流の2024問題（2024年4月からのドライバーの労働時間の上限設定）の影響も考えられます。第2位も昨年同様「原材料・原油価格の高騰」であり、原材料の供給不足と需要増加が相まっての価格上昇、産油国の政治的な不安定さや自主減産、円安の影響などから、多くの企業がリスクとして注視していると考えられます。また今年は、昨年第5位であった「サイバー攻撃・ウイルス感染などによる情報漏えい」が第3位に上昇しています。COVID-19後に新たな働き方としてテレワークなどが定着し、社外から社内システムにアクセスするケースも多くなったことでサイバー攻撃の被害件数が増加したことや、生成AIを悪用したサイバー攻撃の可能性なども背景に、懸念が高まっていると考えられます。一方で、前回第3位の「異常気象、大規模な自然災害」は第4位と下降しているものの、災害リスクに対する企業の意識が引き続き高いことが分かりました（図表1）。

図表1 日本国内における、優先して着手が必要と思われるリスクの種類

• 海外で優先的に対処すべきリスクは1位「地政学リスク」、2位「人材不足」、3位「グループガバナンスの不全」

近年の国際情勢が一段と不安定化していることから、地政学リスクの高まりを背景として、昨年同様「中国・ロシアにおけるテロ、政治情勢」が第1位となり、続いて人材獲得の競争激化を背景に、第2位は「人材不足」となりました（図表2）。また、昨年第8位であった「サイバー攻撃・ウイルス感染等による情報漏えい」が今年は第4位に上昇したことから、国際的なサイバー攻撃への懸念が見られました。

図表2 海外拠点における、優先して着手が必要と思われるリスクの種類

• 日本国内で企業が経験したクライシスは、人材・労務関連のクライシスは増加した一方、自然災害関連のクライシスは落ち着きを見せ、経済環境関連は減少しているものの、引き続き高い傾向にある

国内本社が2022年から2023年にかけて経験したクライシスの種類は、「人材・労務関連」が2022年の8%から2023年は9.5%と上昇しました(図表3)。長時間労働やサービス残業、ハラスメントといった労務課題に加え個人の労働観の多様化などが背景として考えられます。「経済環境関連」は2022年の7.4%から2023年は6.8%と若干減少したものの、国際情勢は不安定化しており、不確実性が高まっていることも背景に、引き続き高い傾向にあります。一方、「自然災害関連」は2022年の14.2%から2023年は7.7%と減少傾向にあります。

図表3 2022年・2023年にクライシスを経験した企業において経験したクライシスの種類と発生時期

• 特定のクライシスに係るプラン策定は50％強の会社が対応しているものの、リスクマネジメントと連動した体系的なプランを策定している企業はわずか

「BCPや不祥事マニュアルなど、特定のクライシスを対象としたプランを策定済み」と答えた企業は51.4%と、約半数の企業が対応していることがわかりました（図表4）。一方で、「クライシスマネジメントプランは未策定で今後策定予定または策定中である」と回答した企業は、本社で18.2%、国内子会社では20.0%、海外拠点は17.5%と、策定には至っていない企業も一部存在することがわかりました。また「リスクマネジメントと連動した体系的な枠組みで整理されたクライシスマネジメントプランを策定済み」と答えた企業は本社では4.0%、国内子会社2.2%、海外拠点1.8%と著しく低い結果となりました。近年の自然災害の発生や感染症の流行、戦争の勃発なども踏まえ、非常事態時に陥った際に、円滑な平常時への復旧を実現するためにも、クライシスに係るプラン策定に加え、リスクマネジメントと連動したプラン策定の検討も多くの企業で推進する必要があります。

図表4 「クライシスマネジメントプラン（リスクが顕在化した場合に被害を最小限にするための基本方針や対応計画）」の策定状況

【デロイト トーマツ グループ パートナー松本 拓也の見解】

国内・海外ともに人材の獲得競争が、日本国内のみならずグローバルで激化しています。海外では引き続き、昨今の不安定な国際情勢を踏まえ、地政学リスクへの対応に課題があると回答した企業が多く見受けられました。また、AIやDXの進展を背景に、サイバーセキュリティのリスクが再び注目されています。不確実な経営環境が続く中で、とるべきリスクテイクを検討・実行するなどリスクマネジメント・クライシスマネジメントのあり方が問われています。調査においては、実施に際して定期的にリスクおよびクライシスの分類を定期的に見直しており、今回は新たに3つのリスクが加わっています。リスク分類も含めて、本調査結果をベンチマーキングとしてリスクマネジメントの見直しの際の参考となれば幸いです。

図表5　リスクおよびクライシスの種類とその分析

調査概要

2023年10月中旬～10月末に、デロイト トーマツ グループが日本の上場企業を対象にアンケート形式で調査を実施し、有効回答数325社の結果を分析しました。詳細な調査結果は「企業のリスクマネジメントおよびクライシスマネジメント実態調査2023年版」を参照ください。なお、本調査における「リスクマネジメント」と「クライシスマネジメント」の用語については、以下のとおり定義しています。

○リスクマネジメント：
企業の事業目的を阻害する事象が発生しないように防止する、その影響を最小限にとどめるべく移転する、または一定範囲までは許容するなど、リスクに対して予め備え、体制・対策を整えること

○クライシスマネジメント：
どんなに発生しないよう備えても、時としてリスクは顕在化し、企業に重大な影響を与えるクライシスは発生し得ることを前提に、発生時の負の影響・損害（レピュテーションの毀損含む）を最小限に抑えるための事前の準備、発生時の迅速な対処、そしてクライシス発生前の状態への回復という一連の対応を図ること

※本調査ならびに本ニュースリリース中の数値は小数点第2位を四捨五入しているため、合計値が100％にならないことがあります。

あわせて、2023年11月～12月に、デロイト トーマツ グループがアジア地域(インドネシア、シンガポール、タイ、フィリピン、マレーシア、ベトナム、ミャンマー、中国、台湾およびインドなど) に進出している日系企業に対して、リスクマネジメントの対応状況、不正への取組み状況についての調査を実施しました。詳細な調査結果は「アジア進出日系企業におけるリスクマネジメントおよび不正の実態調査 2023年版」をご参照ください。

デロイト トーマツ グループは、日本におけるデロイト アジア パシフィック リミテッドおよびデロイトネットワークのメンバーであるデロイト トーマツ合同会社ならびにそのグループ法人（有限責任監査法人トーマツ、デロイト トーマツ リスクアドバイザリー合同会社、デロイト トーマツ コンサルティング合同会社、デロイト トーマツ ファイナンシャルアドバイザリー合同会社、デロイト トーマツ税理士法人、DT弁護士法人およびデロイト トーマツ グループ合同会社を含む）の総称です。デロイト トーマツ グループは、日本で最大級のプロフェッショナルグループのひとつであり、各法人がそれぞれの適用法令に従い、監査・保証業務、リスクアドバイザリー、コンサルティング、ファイナンシャルアドバイザリー、税務、法務等を提供しています。また、国内約30都市に約2万人の専門家を擁し、多国籍企業や主要な日本企業をクライアントとしています。詳細はデロイト トーマツ グループWebサイト、（www.deloitte.com/jp）をご覧ください。

Deloitte（デロイト）とは、デロイト トウシュ トーマツ リミテッド（“DTTL”）、そのグローバルネットワーク組織を構成するメンバーファームおよびそれらの関係法人（総称して“デロイトネットワーク”）のひとつまたは複数を指します。DTTL（または“Deloitte Global”）ならびに各メンバーファームおよび関係法人はそれぞれ法的に独立した別個の組織体であり、第三者に関して相互に義務を課しまたは拘束させることはありません。DTTLおよびDTTLの各メンバーファームならびに関係法人は、自らの作為および不作為についてのみ責任を負い、互いに他のファームまたは関係法人の作為および不作為について責任を負うものではありません。DTTLはクライアントへのサービス提供を行いません。詳細は www.deloitte.com/jp/about をご覧ください。

デロイト アジア パシフィック リミテッドはDTTLのメンバーファームであり、保証有限責任会社です。デロイト アジア パシフィック リミテッドのメンバーおよびそれらの関係法人は、それぞれ法的に独立した別個の組織体であり、アジア パシフィックにおける100を超える都市（オークランド、バンコク、北京、ベンガルール、ハノイ、香港、ジャカルタ、クアラルンプール、マニラ、メルボルン、ムンバイ、ニューデリー、大阪、ソウル、上海、シンガポール、シドニー、台北、東京を含む）にてサービスを提供しています。

Deloitte（デロイト）は、監査・保証業務、コンサルティング、ファイナンシャルアドバイザリー、リスクアドバイザリー、税務・法務などに関連する最先端のサービスを、Fortune Global 500®の約9割の企業や多数のプライベート（非公開）企業を含むクライアントに提供しています。デロイトは、資本市場に対する社会的な信頼を高め、クライアントの変革と繁栄を促し、より豊かな経済、公正な社会、持続可能な世界の実現に向けて自ら率先して取り組むことを通じて、計測可能で継続性のある成果をもたらすプロフェッショナルの集団です。デロイトは、創設以来175年余りの歴史を有し、150を超える国・地域にわたって活動を展開しています。 “Making an impact that matters”をパーパス（存在理由）として標榜するデロイトの45万人超の人材の活動の詳細については、（www.deloitte.com）をご覧ください。