タグ: リスク管理

話題のCM『UQUEEN』のワンフレーズ『リスクを取らない事が最大のリスクだ』は、マーク・ザッカーバーグの名言を捩ったものであり、リスク管理の視点では究極の課題でもある。

実は、巷で吹聴される『ゼロリスク』志向の問題は、このリスクを取らない事によるリスクなのである。リスクというと後ろ向きのイメージを持ちがちだが、チャンスを掴むためにはリスクは必ず付随し、リスクゼロは、即ちチャンスゼロを意味する。また、リスクは一通りでなく、複数のリスクが共存し、そのバランスで全体最適を図る必要がある。一つのゼロリスクで語るのは愚の骨頂なのだ。

国家運営や企業、組織経営において、リスクは決して単一ではない。複雑に絡み合った環境で複数のリスクが相互関係も持ちながら存在するのである。従って、単一のリスクをゼロ化した所で、その結果生じる他のリスク増要因も現実に存在するのだ。本来であれば全体最適思考で全リスクを総合評価し、バランスが取れたリスク対応計画が必要になるのだ。

＜ゼロリスクの弊害実例＞

現在の新型コロナ対策を前に進ませない最大の負の要因が『ゼロコロナ』思考と言われている。政府分科会は、感染リスクばかり殊更喧伝し、行動制限、私権制限、自粛の必要性ばかり吹聴するが、一方で発生する経済リスクに関して一切論じない。言葉を選ばず言うと、『自粛させても金さえ渡しておけば良い』とでも言わんばかりに聞こえる。

実際、政府分科会は経済リスクなども総合的に分析する為に、経済の専門家も途中から加わっている。筆者は、この経済専門家が巷に発信するのが感染抑止策ばかりで、経済影響等の発信が無い事を批判してきた。しかし、最近になってこの経済専門家より、分科会で経済リスクに関して発言すると、「それは他でやって欲しい、ここは感染リスクを話し合う場だ」と言われ相手にされなかったと漏らしている。つまり、経済専門家は加わっていても意見の言えない状態で検討のバランスを欠いていたのだ。

経営の立場で考えて欲しい。自らの経営判断を行う為の、情報分析、整理する部門が偏った志向でバランスを欠く状態であれば、信頼できる情報とならず経営判断を誤るだろう。偏っている事を問題視し、バランスを図る為の人材を投入する人事を発動しても、抵抗勢力に囲われ期待の働きが出来ない状態であれば次に何をするべきか。

この抵抗勢力への対峙の仕方は、それだけで何冊も本が書ける内容でもあり、簡単に語れる訳では無いが、どちらにしても対峙して解消するのが最大の経営課題となる。

そして、休業した場合のリスクは決して金銭だけで賄えるものではない事ぐらい素人でも分かるはずだ。固定客の離反や取引先との信頼関係、設備の保全や老朽化防止、事業しているからこそ見える課題も埋もれてしまう等、事業を回しているからこそリスク対応ができる事項も多いのである。

政府分科会に話を戻すと、『コロナ感染リスク』だけを検討するだけでなく、『経済リスク、経済死』等もバランス良く評価する機能が必要になる。今の分科会がその機能を果たせないなら、権限者の行うべきは、人事刷新か組織改革でしかない。ましてや現組織構成員の様々な不正疑惑と説明責任を果たさない不誠実な姿勢が露呈しており、私であればスクラップアンドビルドして、判断できる分析情報が上がる状態に舵を切るだろう。

＜日本型マネジメントＰＤＣＡがリスク管理でも必要＞

リスク管理とは、考えられるリスクを評価する所から始まる。重要なのは、発生確率と発生時の被害であり、出来うる限り数値で夫々算定し、その積をリスクスコアとする。リスクスコアが一定数値を上回った時点で自動的にリスク対応計画を求め、リスク低減策が実行される。このリスク低減策には、当然ながら発生確率を下げる策と、発生時の被害を縮小する策と二通り存在する。低減策が実行された結果として、実際にリスクがどの様に変化したか再評価し、残ったリスクを残留リスクとして更なる低減策が必要か判断する。これがリスク管理のマネジメントサイクルでありＰＤＣＡなのだ。

勿論、これはマネジメントであるので、要所要所での経営判断、経営レビューが必要となり、時には経営の意思として、リスクスコアが低く評価されていてもリスク対応計画を求める事もある。これは経営の方針であるので、その様な判断がある事が寧ろ健全なのである。

この観点で新型コロナ対策を考えると、最大の間違いは、リスク評価を誤っている事だろう。特に問題なのは、発生確率を一切評価していない事だ。『かもしれない』ばかりで、可能性があるだけで、あたかも発生確率が高い様に訴え続けている事。これではリスク評価を間違いなく誤る。

同時に、リスク低減策を実行した場合の新たな発生リスク（経済リスク等）を同じテーブルで評価していない。そして極めつけは、ＰＤＣＡのＣ、チェックを一切実行できていない事だろう。

実は、このPDCAサイクルとは日本的マネジメント手法である。それは、終わりなく、常に改善しながら回り続ける、季節感で言う春夏秋冬、死生観で言う輪廻転生なのだから、文化的にも日本文化が馴染みやすい筈である。大局的にある、終末思想、マルクスなど究極の理想郷を追求する思考とは根本的に異なるのである。

巷では、エドワーズ・デミングが提唱したとされているが、実態は、日本科学技術連盟が確立し、品質保証などの分野で日本型経営として定着させ、トヨタ生産方式、カイゼンを普及させ、『ＪＡＰＡＮａｓＮＯ１』で激賞されるなど世界の先頭を走ってきた。

その後、ＩＳＯ認証取得の運用形骸化という問題もあったが、マネジメント運用に問題がある訳ではなく、マネジメントサイクルを回す事自体は見直されてきている。

資本主義社会として、成長を続けるために、経営の意思を込めたＰＤＣＡを回し続ける事こそ、新たなイノベーションも生み出し、継続成長を促し、同時にリスク対応も確実に行える基礎となるだろう。

危機管理とリスク管理の違いを理解しない、間違った認識が拡散されている事に大きな危機感を感じていると以前より申し上げて来た。繰り返し言うが、危機管理とリスク管理は根本的に違うのだ。

リスク管理とは、将来発生しうる危機状態を予め予測し対策を講じてリスクを受容レベルに低減する事を言う。発生しうる危機状態はリスクを何らかの数値化をする事で評価されるが、一般的には、危機が発生しうる確率と発生してしまった場合のダメージ度合いの積で表される。そして、リスク評価値が取り決めた閾値を上回る状態が確認された場合に、リスク低減対策を実施し、閾値以内に抑える状態を維持するのだ。

従って、対策は発生確率を低下させる策と発生した際のダメージを軽減する策と二通りあり、目的を明確にする必要がある。

そして重要なのが発生しうる危機状態としてどこまでを想定するのかという観点である。考えられる最大限というのは根本的にあり得ない。最大限というのは際限がないからだ。記憶に新しいのは東日本大震災時の津波が想定外だったという言質に対しての様々な批判だ。この件も正確に検討経緯を確認すると、決して想定外ではなく、科学的に検討した結果、発生確率や対策内容等の条件より想定しないという判断をしている。つまりリスクとしては受容したというのが正確だろう。極論言えば、巨大隕石の衝突を想定する訳も無く、リスクとしては受容せざるを得ないのと同じだ。

一方で、危機管理とは、今現在発生している危機事態に対して対応する事である。

即ち発生してもいない危機に、かもしれないと可能性で対策を打つ事は危機管理ではあり得ない。

危機事態と認識、判断された時点で、最初に行うのはその危機の波及範囲、実態の確認である。事実何が起こっているのか、どこまで。そして次に、その危機を危機状態でなくすための具体策を実行する。危機を回避する事が最優先される為、危機状態である事の宣言が必要不可欠になる。

例えばの事例で説明しよう。

大切なお客様とのゴルフの約束が明日。日常よりかなり早起きが必要だが、連日の激務やプライベートのトラブルもあって疲労困ぱい、寝坊の可能性もある。寝坊すれば、大切なお客様を怒らせてしまうので、リスク管理策を実行する。強力な目覚ましを用意、出来うる限り早く寝る等は発生確率を低下させる策。万が一の場合に備え、緊急時にお客様に連絡が出来る様に携帯番号を確認しておくのは発生時のダメージ軽減策。そして、不幸にも寝過ごしてしまった時点で、危機事態発生となる。時間を確認し、スタートに間に合うか否か状況を整理し、予め準備した連絡手段で状況を連絡し、あらゆる手段を使って現地に向かい、謝罪から入り、先方に対して最大限の誠意を示す。そうやってお客様の怒りを鎮めるのだ。

参考までに、よく言われる事業継続計画（ＢＣＰ）とは、事業が継続困難になる危機事態をリスクとして想定し平時より対策を実施、危機事態発生時に事業として何を優先して継続し、何をやめるか、予め方策含めて計画しておく事である。

実は、東日本大震災後、事業継続計画の取り組みの遅れを認識し、経営課題として多くの企業が取り組み始めている。政府も同様の戦略を持ち、特に医療介護業界に対しては、大きなリスクになり得るとして取り組み強化を業界に訴えかけていたが、業界として殆ど対応してこなかったのが現実である。医療逼迫や医療崩壊はこの事業継続困難事態に当たるので、取り組んでいれば、今の事態は未然に防げていたと残念でならないのだ。

＜リスク状況が変化すれば対策も変化する＞

さて、リスク管理の視点から、政府の発信した対策変更、自宅療養へのシフトに関して考察してみる。

医療崩壊という危機事態を発生させない為に、直接の管理指標値としては病床使用率がある。正直に申し上げて、現時点で５０％前後であれば決して危機事態とは言えず、リスク管理策の実効性を高める時期である。

本来資源として５０%も余らせるのは、経営視点からも疑問ではあるが、それは置いておくとして、この数値を低減する施策を検討する。真っ先に考える必要があるのが、分母の数字を増やす事、即ち医療資源を増強する事なのだが、この１年以上国家予算を潤沢に用意して要請しても大きな成果は得られていない。原因は追究必要だが、事ここに及んで分母拡大が期待できない前提に立つと、分子の数値を減少させる以外に方法が無い。

つまり入院患者数を減少させる方法になる。これまでは、陽性者数を減少させる方策に拘っていたが、本来のリスクである死者数や重症者数の減少にも繋がる事もあり、今まではそれでも良しと出来たかもしれない。しかし、重症化数、死者数激減により、リスクの構造が大きく変わってきている。つまり、陽性者が多くても、本質的なリスクは高まらない状況になってきた。

新型コロナの直接的リスクは大幅に低下したのが現実なのである。ワクチン効果や変異による症状軽減などの要因が考えられる。

しかし、残存リスクもある。陽性者が急増する状況で、陽性者が原則入院となると病床使用率の分子を拡大させ、病床の逼迫が生じ、医療の負荷を高め、間接的に医療崩壊に向かうというシナリオである。従って、大半を占める無症状者、軽症患者で病床を埋めるのは得策ではないという判断は適切であろう。

但し、であるならば本来は、２類相当から５類に変更するべきなのだ。現実的には１歩前進の策ではあるが、政治的折衷案としての妥協であり、本質的には誤魔化しの感は否めない。

野党や過激な専門家は猛批判、暴言まがいの発言を繰り返しているが、では対案はどうしようというのだろう、論理的で具体的な説明もない。特に確保病床など医療資源の拡充を図るのは、医療業界の役割なのだがその策を棚上げにしての批判はあり得ない。また、中等症の解釈など、騒動のきっかけとなった毎日新聞が誤報と認め訂正しているにもかかわらず、いつまでも揚げ足を取っているのは、あまりにも酷く嘆かわしい。

危機事態ではないので壊滅状態に至っていないが、もし危機事態であれば大変な事に成り兼ねない。もしかすると、今の日本の国家としての最大のリスクかもしれない。

大規模接種センターの予約システムに朝日新聞出版と毎日新聞の記者が架空の接種券番号などで虚偽の予約をしたとして、防衛相が抗議した。

これに対して立憲民主党の枝野氏、福山氏などは、各メディア記者の行為を擁護し、防衛相を「システムの欠陥を指摘したメディアに『早い段階で気付かせてくれてありがとう』というのが本来の姿だ。意味不明な対応をしている」等と批判した。

筆者はセキュリティ管理の専門家として、この件に対して複数の観点から指摘させて頂く。

＜サイバー攻撃は許されない行為＞

まず、両社記者の行為だが、端的に申し上げて『サイバー攻撃』であり、違法行為である。誤って申し込めてしまった、とかではなく意図的にシステムの脆弱性を突こうとした行為である事。脆弱性を検出した結果を、システム運営当事者に通達せずに、記事にして公表した事も、所謂ハッカーがダークサイトに脆弱性を公表するのと同等の行為である。

そうやって考えると、防衛相の抗議は、実は甘く、訴えても少しもおかしくない事案なのである。国民に知らしめ、知る権利を守る為、政府の監視という正義の大義名分があれば何でも許されると考えるのは異常である。

そして、サイバー攻撃を是として容認し、防衛相の抗議を批判する国会議員が世の中に存在する事自体筆者には信じがたい事実である。政府を攻撃する事が絶対正義で、その為の手段は全て容認される事を貫く思考回路は、法治国家として決して許されない。

＜システムの脆弱性はどこにある＞

次に、この脆弱性の発生原因と対応策の方向性に関して考察したい。但し、筆者はシステム設計の全容を把握している訳ではないので、想像の部分が多分に含まれる事はご容赦願いたいが、大きな間違いは無いだろうと考えている。

まず、『早い段階で気付かせてくれて・・』というのは根本的な認識違いだろう。この脆弱性に関してシステム設計者は把握していただろうし、設計レビューで承認を受けている筈だ。このリスクに気付かないシステム設計者は世の中に存在しないと言っても過言ではない内容なのだ。

本リスクを受容した判断理由は、各方面からも既に発出されており、早期システム立ち上げ、防衛相への個人情報、個人データの提供を最小限に抑え様とした結果であり、地方自治体の分散システムに接続するには、スケジュール感もコスト感も現実的でなかったのだろう。それでも本脆弱性を看過するのではなく、何らかのリスク低減策は検討すべきだっただろう。

更に問題の主要因は、接種券番号の設計思想だと考えられる。クーポンの画像がネットに上がっているが、予想通り、見事にバラバラなのである。せめて、番号体系は国側の全体設計が必要なはずだが、その点の実態は不明であり、セキュリティ面の機密事項であろう。システム連携による照合が無く、誤入力や正統性・正確性を確認する為には、不充分であったと言わざるを得ない。

通常例えばクレジットカード番号の様に、不正入力や誤入力防止にはチェックでジットを番号に組み込む方法がある。また、ランダムに入力する不正に対応するには、飲料メーカーのべた付けキャンペーンで缶などに貼ってあるシールを剥がした際の番号の様に、確率的に不正入力を抑止する技術も存在する。その他にも多種多様の番号設計は存在し、それ程高度でもないのだが、残念ながら、省庁の壁を超え、トータルで考える全体最適設計思想と技術的工夫が不足していると言わざるを得ないだろう。

日本らしさというのだろうか、不正やいたずらの無い様に、良心に委ねる形でのアナウンスが為されている。実際の接種まで含めたリスク対応策は講じられているとはいえ、システムとして脆弱だとの誹りは免れないだろう。

＜脆弱性対策の方向性＞

では、対策の方向性はどう考えるべきか。デジタル担当大臣はデジタル庁設置による対策推進を語っているが、まさにその通りであろう。

まず、マイナンバーをキーとした接種情報管理を言う人が多いが、これは特定個人情報の取り扱いを知らない人の空論であろう。あくまでマイナンバーカードによるシステムへのログイン認証に留め、接種情報自体は個人番号と紐づけ可能な状態で発番した接種券番号で管理するべきだろう。そうしないと、影響が大きく、管理運用体制も不必要に莫大になってしまう。この点が、マイナンバーを必要以上にセキュリティ面の問題を語りたがり、システム実装上の現実に知見が無さすぎる証拠だろう。個人情報管理と特定個人情報管理を分けて考えるべきだからだ。

では何が対策の入り口かというと、省庁や自治体など含めて壁を越えた全体最適設計を可能とする機能であろう。正に、デジタル庁の真価が問われる部分だ。その上で、今回の脆弱性は古典的な番号設計に起因する部分も多分に含まれるが、もしその機能が無いなら補完する必要がある。

筆者の疑念事項が杞憂であれば、このチェックロジックを付け加えるだけで一定レベルのセキュリティ性向上は見込めるのだが、そうでなければ、次期システムまで本質的な改善は困難なので心配だ。

今後に向けての抜本策として、セキュリティの基本である『機密性』『完全性』『可用性』で設計する必要があるだろう。認証は、手っ取り早くマイナンバーカードによる認証であろう。これで不正アクセスは防げる。

そして、接種券番号をキーとするDB構築は細心の注意を要するだろう。接種予定と接種日時、副反応履歴情報などが全国一元管理できる様にしなければならないからだ。あくまで接種番号を主キーとして、個人を特定する属性情報は最小限にする、政府が閲覧できるのは匿名加工化した切り離された情報に限定するなど、様々な対応策の検討が必要だろう。そしてブロックチェーン等の技術利活用は必須である。

セキュリティの要点は『機密性』『完全性』『可用性』で語られるものであり、リスクとのバランスで検討しなければならない。

リスクとはゼロリスクで語った瞬間、全ての検討が無となってしまう。リスク対策とは、考えられるリスクを評価し、受容できないリスクに対して低減策を検討するものであるが、それでも低減でありゼロ化ではない。

殊更、感情的にゼロリスクを唱える風潮が未だ支配的だが、その事で寧ろリスクに向き合い対応策を講じる事を阻害してしまい、結果としてリスクが増大してしまうのだ。

心配だ、心配だと言い続けても、心配は解消されず、寧ろリスクが高まってしまう。その人間心理を政治利用して足を引っ張る行為は、国益を損なう結果に繋がる事を理解し、その様な行為に対して異議を唱え、合理的な範囲のリスクは納得する事も重要なのだ。

新型コロナ感染拡大の危機事態に医療、メディアは反政府活動を強めている様にしか見えない。これでは、危機は乗り越えられない。

危機管理の基本は、発生している危機事態を正確に把握し、刻一刻と変化している状態に対して、適切な対応策を次々とタイムリーに打っていくことだ。誰が言い始めたか巷で言われる、最初に最大の策を実行するというのは愚策であり大きな勘違いなのだ。極論を言えば、巨大隕石の地球衝突に備えないし、ガミラス船団の襲来に備えて宇宙戦艦ヤマト建造もしない。あくまで、実際に発生している危機事態に対して対応するのが危機管理だ。

一方で、リスク管理は、平時から発生しうるリスクを大小、確率の高い低い、様々に想定し、どこまでそのリスクに対応するか事前に低減策を講じ、発生した場合の対策を計画する。リスクは一般的に、発生確率と発生時のダメージの大きさの積で評価されるので、ガミラス船団襲来の確率は限りなくゼロに近いので、平時に莫大な費用を伴うリスク対応策は実行しない。それは即ち、万が一発生した場合は、絶滅や征服など最悪のシナリオも受容するという判断なのだ。

政府の新型コロナに対するリスク管理は、外部から想定する範囲では、欧米諸国の水準は想定外として、例年のインフルエンザ関連死をＭＡＸとする想定で描かれている様に思える。意識しているかは別にして、ステージ４の数値設定自体がこの水準を前提にしている。感染者数自体はインフルエンザより低く設定し、最悪の死者数を年間１万人以下に抑える計画であれば、感染者数抑制も重要だが、病床占有率は更に重要なのだ。

モノづくり品質保証の基本は『発生源対策』と『流出防止対策』である。前者は、品質を安定させコスト効果も高いが、後者が伴わなければ市場品質を保証できない。感染症でも同様に後者の医療対策が最重要なのだ。つまり、病床占有率の分母の病床確保数を増やす事が絶対必要なのだが、春からこの対策で聞こえてきたのは、大阪コロナ重症センターぐらいではないだろうか。そのセンターですら、人的資源が集まらず苦労しているのである。これは、政府の責任なのだろうか。

世界に胸を張れる医療体制を誇る日本だが、平時のポリシーは皆保険制度と地域医療に根差したきめ細かなサービスの拡充だ。その為に、中小の開業医やクリニックを充実させ、人材資源が集中している。しかし、感染症有事には中小開業医・クリニックに資源が集中していることが仇になっている。本当は、緊急事態において、この中小クリニックの人的資源を大胆に再配置すれば医療崩壊など発生しない。少なくとも、自宅療養者に対するケアを、この豊富な資源で対応するべきだが全く進む気配すら見えない。

飲食店の時短、休業要請に強制力を持たすのなら、開業医やクリニックの半分を休業や時短して、それで浮かした人的資源を活用すれば良い。街を見渡して欲しい、数多くの医院・クリニックが存在するのだから、一時的なかかりつけ医体制のカバーは可能だろう。この策は、医師会がリーダーシップを発揮すれば出来るはずだ。医師会の構成会員は、大病院よりも、中小開業医・クリニックの会員で多数を占めるのだから。

しかし医師会は、医療資源の再配置に消極的だ。日本医師会長は昨年の選挙で政府に物申すと公約して、政府寄りの前任を破って当選した。東京都医師会長の支持を受けた結果だが、次期会長ポスト禅譲の密約が噂される程なので、同様に政府に協力的とは思えない。

誤解されない様に言うが、新型コロナに対応している医療の現場は本当に厳しい状態で、日夜奮闘して頂いている。だからこそ、その現場に必要な資源を投下するのが、リーダーの務めなのだ。ところが、電波に乗って発信されるのは、人材資源の再配置は不可能、医療崩壊から医療壊滅と、命のトリアージが必要になってくると。ある意味、国民の命を出しに強迫めいて聞こえるのは私だけだろうか。

弁護士の八代英輝さんが、日弁連会長の例を挙げて、組織のトップの発言が、その組織の総意を示さない事が多いと語っていた。同様の事を、北村晴男弁護士も以前語っていた。最近の医師会長、ＴＶで発言する医療専門家も医療従事者の総意を語っているとは限らない。

政治家の会食など非難しなくても良い。実際、私は、平時に一晩５人と会食しているのなら、今は１０人以上と会食して、情報をより豊富に得て、政策決断に活かして欲しいとすら思う。会議で得られる情報とは種類の異なる本音の情報は絶対必要なのだ。何より、その様な非難の前に、使命を果たす事に全力を尽くすべきではないのか。

危機事態において、政府のメッセージ力が足りないと云うのであれば、それはメディアが補うべきだ。どんなに強く正しいメッセージも、朝から晩まで否定され続ければ、メディアの露出の方が圧倒的に多く、メッセージ性は弱まるのは当たり前だ。有事には、緊急事態に沿った、一致協力の情報発信が国家のためなのだ。政権の監視、政府への提言が使命というのなら、収束後に総括し糾弾すれば良い。今は、危機事態なのだから、考え直すべきだろう。

政府と医療、メディアが反目する状態。危機事態では絶対にあってはいけない状態なのだ。これは、日本が危機事態に対応する国力が無いと海外に露呈してしまう。即ち、国益に反するのだ。いや、この反目した状態が継続できるという事が、本当の危機事態ではない証左なのかもしれない。海外からは、その様に見えても不思議ではないだろう。