今月の右脳インタビューはKrollの影山正さんです。まずは日本と欧米のリスクマネジメントにおける違い等お伺いしながらインタビューを始めたいと思います。
 

　日本の会社はトップから従業員一人一人まで全方位でリスクマネジメントを行っていて、社員の意識と対応能力はけっして低く無いと見ています。例えば日本企業の防災訓練は世界的に見ても突出したものです。勿論、欧米の企業も東日本大震災のような危機を想定したBCP(Business Continuity Plan)を検討し導入していますが、末端の社員の行動力という意味では「防災」というリスクに対して日本企業が進んでいるのかもしれません。但し、これは人の努力に強く依存していますし、また有事はトップが陣頭指揮を執るものであり、組織防衛という意味では日本企業のリスクマネジメントはまだまだ課題が多くあります。更に日本企業の特徴として（1）自前主義が強い、（2）インテリジェンスの活用能力が弱い、そして（3）、人と予算が少ない点があげられます。こうした問題を変えていかないと、更にグローバル化を進める上で様々なリスクに対応出来ない懸念があります。
　一方、欧米の企業は、リスクを評価し、リスクを取ったり経済的に転換する、または第三者に転嫁する、そういう判断を少数の意思決定者が迅速に行います。更に外部専門家を必要に応じて委託し速やかに有事のコントロールをします。例えば911同時多発テロのあと、欧米の会社は、多種多様なコンサルタントを使って、自分たちが置かれている立場、能力、そして欠如している部分、それを補うためにどういうことが必要かなどを莫大なコストを掛けて検証し、リスクマネジメント能力の向上に努めました。
　アルジェリアのイナメナスで日揮のプラントで襲撃事件が起こりましたが、その後数ヶ月間くらいは日本企業からも問い合わせが相次ぎました。その中で複数の日本企業から類似する危機対応のために「マニュアルが欲しい」という種類の相談が多くありました。勿論、汎用性の高い「マニュアル」がいけないと言う訳ではありませんし、書店や外務省や業界団体でも参考となる資料を入手して勉強することは大切です。しかし、組織と社員を深刻な危機から防衛するためには、一般的なマニュアルに依拠せず、自社のリスクにあった体制、計画、対応プランを構築する必要があり、まとまった予算と人員が必要となります。911後、グローバルに展開している大企業に限って調べてみたのですが、欧米の同じような展開と売り上げ規模の企業で比較すると社員の安心安全にかける予算が数分の一程度しかありませんでした。日本企業は社員の生命が関わるリスクには比較的機敏に反応しますが、経済事案のリスクマネジメントにかける資源については物理的危機の対応と比べると更に問題があると見ています。
 

　経済事案ではどういったリスクが今、注目されていますか?
 

　グローバルに展開する企業が今、一番心配しているリスクは汚職、贈収賄、不正リスクです。15年程前にOECD贈賄防止条約が発効し処罰は厳罰化し、執行も厳格になってきています。更に英国贈賄禁止法（UKBA）と米国海外腐敗行為防止法（FCPA）は同国企業に限らず、世界中をその適応範囲に含み、グローバルなインパクトを持ちます。この分野でのリスクの度合いが凄い確度で高くなっているということを経営者は理解しなければなりません。
　日本の経営者の多くは「まだ国内の売上が半分以上です」「利益の大半が国内です」「日本の事は私たちが分かっています」と…。しかし、多くの日本企業は様々な形でグローバルな活動をしており、日本国内のルールや慣習の範囲でものを考えては大きな問題に直面するリスクがあります。実際にブリジストン、丸紅、日揮、双日…などのトップ企業も数多く腐敗行為によって摘発されています。このような時、よく言われるのは、トップが明確な意思を示し、その下に検証する組織や方針、規定といった枠組みを作り、社員と下請けを教育して運用していく。運用の中には監視、検査、調査等も含まれます。このように全方位的に不正や汚職リスクに対して活動している日本企業を私は数える程しか把握していません。たいてい方針と外形的なフレームワークを作る程度に留まっています。
　難しいのは、贈収賄や汚職問題は欧米が勝手に決めたルールで、本来アジアの「文化」には向いていないというような意識の経営者が未だ多くいることでしょう。今、日本交通技術（JTC）がベトナム、インドネシア、ウズベキスタンの贈賄を問われていますが、アメリカのFCPA違反のような厳しい罰を受ける可能性があるのかは疑問です。米国でたくさん事業をやっている会社などは違反をすれば当然、米国の厳しい規制や法律によって処罰され幹部や社員が逮捕されることがあります。しかし日本の経営者の多くは、会社が行った組織的な不正は、自分の責任と認識していない人が多く、欧米企業の経営者と比較して当事者意識が低いと感じることが多くあります。また、リスクマネジメントと有事対応にかけるコストも比べ物にならない程少ないのが現状です。更に日本の会社は元々自浄効果が効き難い構造になっている点も注目しないといけません。大卒後入社して退職まで、一つの会社に勤めあげることも多い…。どんな組織でも、自分の同僚や上司、部下を調べないといけないような不正調査はやり難いものです。まだ欧米の会社は人の出入りが激しいうえ、第三者をうまく使いますので…。
 

　日本企業は、仮に調査をして問題を見つけても、根本的な対処も出来難いことが分かっている。だから見たくないし、調査もしたくない…。
 

　そうです。だから何年も不正を重ね、ある時に、それ以上続かなくなってポキッと折れて表面化するケースが多い…。
 

　産業スパイなど情報漏洩対策については如何でしょうか?　情報漏洩は、起きてしまうと回復はとても難しい。予防的なものにお金を使っていくべきですね。
 

　その通りです。情報が漏洩したことが分かった時にはもう遅い。社員が辞めて、海外の競合先に技術を持っていかれたという相談が多いのですが、マーケットシェアをとられてしまったら、知財の問題は回復するのがかなり大変です。日本では、年商何千億円の大手企業でも、IT部門は別としても、知的財産保護、機密情報管理、漏洩後の処理を一人から数人程度の規模で対応している会社があります。信じられないかもしれませんが、これが現状です。特に予防に関わる人員と予算は欧米企業と比較して極めて限定的です。当社への相談は9割が漏洩後の調査や訴訟支援のサポート、1割が漏えいしないための様々な予防的なコンサルティング活動です。本来はこれが逆転して欲しいと思いますが、結局、事故があってようやく重い腰を上げるのが現状です。
　一方、欧米の会社からは知財漏洩リスクの評価のプロジェクトを行う事が増えています。中でも化学品や特殊繊維、バイオの分野等は特にノウハウが詰まっていて、しかも知財リスクが高い中国等でハイエンドの高いものを開発製造する時代になって来ている事がその背景にあると考えられます。我々も工場や研究所、事務所の構造や運用、ITセキュリテイー、社員の意識などを評価して、脆弱な点を把握し、改善策のアドバイスをします。その中で、顧客の依頼によってハッキングをしたり、潜入し重要資産を持ち出すテストを行うこともあります。日本の会社にそういう話をすると、「必要ですよね」といいますが、実際に行う企業は多くありません。そういうことができ、自分のリスク、穴がどこにあるのか分かるのにやらない…。この点についてもやはり予算が無い事が大きな足かせになっているのではないかと考えています。
 

　企業に限らず、弁護士事務所、特許事務所、或はコンサルティング・ファームなども、ハッカーや産業スパイの格好のターゲットとなっているそうですね。
　さて、次に相手の会社を調べるサービスについてお聞かせ下さい。
 

　例えばM&Aの際のリスクの見極め、海外に進出する際、金融機関が高額の融資をする際などの様々な経済活動をする上での取引上のリスクです。欧米の会社と比べると、ここでもかなりの隔たりがあります。例えば、欧米の会社がインドで数百億円規模の投資を行うとします。企業の属性、投資先、投資形態によって異なりますが、一般的に数百万円を超える費用を使って入念にリスクデユーデリジェンス調査を投資先企業やパートナーに対して行います。それに対して日本の企業の多くは相手先のリスク調査に十分な時間と予算をかけない傾向にあります。グローバル化が進みリスクも飛躍的に増大しているにもかかわらず、数万円で購入できる民間データベース会社が発行する企業レポート、相手先企業から提供される情報と、ファイナンシャルアドバイザーから得た断片的かつ一方的な情報で投資委員会に報告することが良くあります。リスクは自分でインテリジェンスを収集して評価するというプロセスが極めて重要であることは言うまでもありません。
 

　どういう情報を収集し、レポートするのでしょうか?
 

　個別具体的な依頼がない場合、M&A等ではまず会社の全体の姿をきれいに整理します。というのはインドネシアや中国等の外国の会社は所有権関係が不透明で複雑だからです。そして会社の歴史、経営者の履歴と人脈、富の源泉、つまりどういうふうにしてここまで来たか、を整理します。あとは各事業の中に隠れた瑕疵や紛争、違法行為、不法行為がないか。また会社の倫理、財務体質等の調査を行います。更に代表取締役若しくはビジネスのオーナー等の背景調査をきっちり行います。
　以前、ある日本企業から、「外国の会社を買収します。財務、法務のデューデリジェンス等も終わっていますが、この段階になっても簿外債務が…と嫌な噂が聞こえてきます。だから調べて欲しい」と依頼されたことがあります。既にLOI（Letter Of Intent）つまり内示の書類を出して、来週正式の調印をしてデイールを締結するという段階でした。実はこれは日本の一部上場会社の話です。通常は4週間くらいかけて調べ上げるもので、1週間ではとても引き受けられるものはありません。しかしクロールの海外事務所と連携し不眠不休で情報収集しました。勿論、それは1週間なりの情報しか出せません。我々としても怖いところでしたが、この時は複数の通貨で数百億円の簿外債務がある事が判明しました。報告を受けて、その企業は「財務デユーデリジェンスを行った監査法人がきちんと作業をしていなかった」と主張しましたが、監査法人の報告書を良く読むと数々の懸念事項（Red Flag）が記されており、本来であれば、企業がそれらの懸念事項を独自に検証すべきだったと考えるべきです。しかし、日本企業の多くは「これから握手をして一緒にビジネスをしていこうという相手に根掘り葉掘り聞くのは失礼ですから…」といい、懸念事項を追求しないケースがあります。デューデリジェンスをするということが、悪いことだという感覚があります。欧米企業は、自分がこれから投資をする大切な相手をきちんと調べるのは当然で、相手が出してきたものをそのまま信じることはありえません。
 

　所謂有事サービス、例えば対敵対的買収対策等は如何でしょうか。
 

　我々は買収する側よりは防衛側につくことが多いのですが、その際は、敵対的買収者に対する瑕疵を徹底的に探し有効に情報を活用します。状況によっては当局やメデイアにも情報を提供して敵対的買収者が思ったように買収を進められないような環境を作っていきます。このサービスは敵対的買収や委任状争奪戦などが多く起こるアメリカで提供されることが多く、それに比べて日本ではまだ少ないと思っていますが、ここでもコストのかけかたや意思決定のスピードで欧米企業と大きな違いがあります。このような危機ではスピードが命になり、一歩間違えると大変なことになります。日本企業とはこのような緊急性が高い状況でも購買部門による煩雑で時間のかかる調達契約手続きに謀殺されたり、値引き交渉に遭遇することが珍しくありません。これは誘拐事件などでも同じです。「今、貴方の社員はジャングルからジャングルに移動させているかもしれない。こんなことやっている場合ではないのでは?」というと、「値引き交渉していないと上に伺い書を上げられないので…」と。このあたりの感覚が日本の会社のリスクマネジメント能力の低さの原点ではないかと思います。これが日本の社会だとすると、国家的な有事となった時に恐ろしい。状況に応じた臨機応変な対応、適切な対応が可能となる人員と予算、そしてインテリジェンスの収集と評価の能力を高める必要があります。
 

　情報はギブ・アンド・テイクが基本ですから…。
 

　我々もこういう産業にいますので、お金をかけて情報収集を行うこともありますが、そういう情報はだいたい弱い情報です。
 

　貴重なお話を有難うございました。