今日の文書 — リスクアセスメント資料
リスクアセスメント資料（部門のリスク評価シート） — 起こりうる悪い出来事を洗い出し（特定）、どのくらいの頻度で起き、起きたらどれだけ損をするかを見積もり（分析）、どれから手を打つかを決める（評価）ための文書。全社のリスク管理では、各部門が年1回これを出し、委員会が全社の重要リスクと対策の予算を決める。
| 比べる文書 | いつ書くか | 本体 |
|---|---|---|
| BCP（カテゴリ11の1本目、Day011） | 起きたときの動き方を決める | 発動基準と、止める・続ける業務 |
| リスクアセスメント資料（今日） | 起きる前に、どれに手を打つかを決める | 頻度と損失の見積もりと、その根拠。手を打つ／受け入れるの判断 |
| インシデントレポート（カテゴリ11の3本目） | 起きた直後 | 確定事実と未確定 |
| ポストモーテム（カテゴリ11の4本目） | 起きた後 | 仕組みの原因（blameless） |
世界で広く使われている枠組みは ISO 31000（リスクマネジメントの指針）と、その手法集の IEC 31010（リスクアセスメントの技法）で、リスクを「特定→分析→評価」の順に扱う。日本の会社の全社リスク管理（ERM）では、分析を5×5のリスクマトリクス（発生可能性×影響度のヒートマップ）で行うのが定番である。
ただし、リスクマトリクスには よく知られた弱点がある。Cox（2008, Risk Analysis 28(2)）は、マトリクスが量的には大きく違うリスクに同じ点を付けたり、小さいリスクに高い点を付けたりしうること、入力（可能性・影響の区分）の当てはめが主観に頼ることを示した。マトリクスを使うなら、点の裏にある判断（何を根拠に何点にしたか）を一緒に書くしかない。
この文書の勝負どころ: 発生確率の根拠が示されているか。
今日の題材では、もう一段深い問いがある。「過去に一度も起きていない」は「起きる確率が低い」の根拠にならない。 0件の実績が言えるのは「確率は、ある上限より小さい」ということだけで、その上限は試した回数が少ないほど大きい。0件を「1点」と読むと、データの少ないリスクほど評価が低く出る。
シナリオ
株式会社ノヴァストア 販促システム部（MOps）の宮田さん。Day027 の監査報告書から3週間後の話。
| 日付（2029年） | 出来事（数字はシナリオ内の設定） |
|---|---|
| 10/22（月） | 総務部リスク管理グループ・岡田さん（Day011）から、全社リスクアセスメント FY2030 の依頼。各部門が上位リスク最大5件を全社様式（5×5、発生可能性×影響度、スコア＝掛け算）で出す |
| 11/9（金） | 部門の提出期限（高梨部長の確認後） |
| 11/29（木）15:00 | 危機管理委員会。13部門を2時間、1部門5分。スコア15点以上を「全社重要リスク」として12月の取締役会に報告し、対策の予算を FY2030 予算に入れる |
| 12/14（金） | FY2030 部門予算の締切 |
去年（FY2029）の MOps のシートは前任者が書き、「Gmail等で迷惑メール扱いになる」が12点で最上位、「個別配信に他人の情報が載る」は「過去に発生なし」で1×5＝5点・最下位だった。宮田さんは今年、可能性の点の根拠を調べ直した。
過去2年（2027/11〜2029/10）の実績:
| リスク | 実績（シナリオ内の実測） |
|---|---|
| R1 Gmailで迷惑メール扱い | 迷惑メール報告率が1日でも0.3%（Googleの上限）を超えたのは2回（2027/12/3 0.41%、2029/2/9 0.33%）。2回とも1週間以内に0.2%未満へ戻り、Gmail宛てのクリックは翌2週で12%・18%減っただけ。T1（Day024）以降の4か月は7日平均0.08〜0.12% |
| R3 配信基盤の30分超の停止 | 3回（最長4時間10分）。予約配信は遅れて出ただけで、取り消した配信はない |
| R4 災害時に配信を止められない | 部門BCP（Day011）の発動条件＝震度5強以上は年5.1回（Day011 で消防白書から計算）。BCP以降、停止の訓練6回＋実際の発動3回の計9回で、止め損ねは0回 |
| R5 個別配信に他人の情報が載る | カート放棄リマインドなど個別配信のジョブは年約1,500本、2年で約3,000本。他人のカート内容・氏名が載った事故は0件。ただし送信前に「宛先の会員」と「カートの持ち主」が一致するかを照合する仕組みはない（テスト時に目で確かめるだけ）。1ジョブの宛先は平均約2,000人 |
| R2 同意の記録を示せない | Day027 の監査指摘2。12/20の経営会議で進め方が決まる |
岡田さんからの一言: 「委員会は13部門のヒートマップを1枚に並べて見ます。点だけ見て、5分で質問2つが普通です」。
読み手プロファイル
| 項目 | 内容 |
|---|---|
| 誰が読むか | 危機管理委員会: 委員長・大塚 取締役管理本部長（Day011）と本部長6名（EC事業本部長の西村さんを含む）。事務局は岡田さん |
| 何を判断するために読むか | どのリスクを全社重要リスクとして取締役会に上げるか、どの対策に FY2030 の予算をつけるか、部門に任せて受け入れてよいリスクはどれか |
| 何を知っているか | 2027/12/3 の地震の日の誤配信と、その後の部門BCP（委員会が2028/1に承認）。メールが売上の柱の1つであること。5×5の全社様式の見方 |
| 何を知らないか | 個別配信の仕組み（1ジョブ＝何人か、どう作られるか）、ジョブの本数、迷惑メール報告率の上限の意味、「0件」から言える上限の考え方 |
| 何を気にしているか | 13部門を同じ物差しで比べられるか（ある部門だけ点が高く出ていないか）、取締役会に説明できるか、予算の額、去年の評価から何が変わったか |
| 読む時間と場面 | 前日に事務局の1枚のヒートマップを見て、当日は1部門5分。点の高いものと、去年から大きく動いたものにだけ質問する |
この読み手が変わると何が変わるか: 読み手が部門内（高梨部長）なら、対策の作り方（照合チェックの設計、訓練の手順）が本体になり、可能性の点の説明は短くてよい。読み手が内部監査室（平田さん、Day027）なら、データの期間・件数・数え方（ジョブの定義、どの事故を数えたか）の再現性が本体になる。今日は13部門を5分ずつ比べて予算を決める委員会なので、点を変えた理由（根拠の種類と件数）と、委員会に決めてほしいことを1ページ目に置く。
4段階で見る — 「1ページ目：主要リスクの評価と、その根拠」
同じ部門リスク評価シートの 1ページ目（主要リスクの評価と、その根拠） を4段階で書き分けたもの。タブで精読、「横に並べる」で差を一望できる。
行数 14・11・14・14行、字数 Bad276→Good430→Better590→Best652字（空白を除く・実測）。行数はBetterとBestが同じで、字数はBestが最長（単調増加。逆転ではない）。Goodが最短なのは、全社様式の表が1行に1リスクを収め、根拠を書く場所がないから。
「発生可能性: 高・中・低」に物差しがない。
「誤配信」など分野の名前で、出来事になっていない。
「一度も発生しておらず、可能性は低い」。全社様式の5×5（頻度の帯・金額の帯）を正しく使う。
根拠の列に件数・対策の存在・0件が混ざる。
0件のR5が「10年に1回未満」で5点・最下位。根拠を全部「何回のうち何回」に。件数には幅。
0件は上限: 3÷3,000×年1,500ジョブ＝年1.5回。
順位が逆転: R5が15点、去年最上位のR1は3点。1行目「R5を上げ、対策を選んでください」。
A照合240万（推奨）/Bカート内容なし/C受け入れ。
R4は訓練を毎月にして幅を狭める。決まらなければAを仮置き。"Likelihood: Low" with no scale.
"Mis-sent emails" – a topic, not an event.
"never occurred, so the likelihood is low".Group scale: L 3 = 0.5–2/yr, I 5 = 100M+.
Basis: "3 times" / "BCP in place" / "Never happened".
R5 scored 1 × 5 = 5, bottom of the list."≤1.5/yr (0 in ~3,000 jobs)".
"range 0.1–3.6".
"not because the risk grew, but because ..."."Decisions requested" / "Bottom line:".
"It has never happened – but we cannot say it won't."
"If no decision: we will provisionally budget A".販促システム部 リスクアセスメント（FY2030）
1. 主要リスク
・メール到達率の低下（Gmail等の規制強化） 発生可能性: 高 影響: 大
・システム障害による配信停止 発生可能性: 中 影響: 中
・誤配信 発生可能性: 低 影響: 大
・災害時の配信 発生可能性: 低 影響: 中
・同意管理 発生可能性: 低 影響: 大
2. 評価
昨年度と比べ大きな変化はなく、全体としてリスクは低減傾向にある。
特に誤配信は過去に一度も発生しておらず、可能性は低いと考えられる。
到達率については業界全体の動向もあり、引き続き注視が必要である。
3. 対策
各リスクについて、引き続き監視を強化し、発生時は迅速に対応する。Marketing Systems – Risk Assessment FY2030
1. Key Risks
- Lower email deliverability (stricter Gmail rules) Likelihood: High Impact: Major
- System outage stopping email sends Likelihood: Medium Impact: Moderate
- Mis-sent emails Likelihood: Low Impact: Major
- Sending during disasters Likelihood: Low Impact: Moderate
- Consent management Likelihood: Low Impact: Major
2. Assessment
No major changes from last year; overall risk is trending downward.
Mis-sent emails have never occurred, so the likelihood is considered low.
Deliverability should continue to be closely monitored given industry trends.
3. Mitigation
Continue to strengthen monitoring and respond promptly if any risk materializes."Likelihood: Low" "Medium" に定義がない。英語圏では "likely" "unlikely" に数字の目安を決めて使う慣行（IPCC の尺度など）があるので、定義のない "Low" は「調べていない」合図として読まれる。"have never occurred, so the likelihood is considered low" は、英語のリスク管理でよく引かれる "absence of evidence is not evidence of absence" にそのまま当たる。
FY2030 部門リスク評価シート（販促システム部） 提出: 2029/11/9 作成: 宮田
評価基準（全社様式）: 発生可能性 5=月1回以上 4=年2〜11回 3=年0.5〜2回 2=2〜10年に1回 1=10年に1回未満
影響度 1=100万円未満 2=〜500万円 3=〜2,000万円 4=〜1億円 5=1億円以上または行政への報告
No リスク（出来事） 可能性 影響 スコア 根拠 対策
R1 Gmailで迷惑メール扱いになる 3 4 12 過去2回、報告率が上限超え 報告率の毎日の監視
R2 同意の記録を求められて示せない 2 5 10 監査指摘2（10/3） 12/20経営会議で決定
R3 配信基盤が30分超止まる 4 2 8 過去2年で3回 ベンダーのSLA
R4 災害時に配信を止められない 2 3 6 部門BCP策定済み 当番の停止権限
R5 個別配信に他人の情報が載る 1 5 5 過去に発生なし テスト時の目視確認
全社重要リスク（15点以上）への該当: なし
前年からの変化: R1を12点で最上位に据え置き。R4はBCP策定により12点→6点に下げたBadから何が変わったか:
- ②読み手適合が動いた。委員会が13部門を並べる全社様式の物差し（頻度の帯と金額の帯）を書き、リスクを出来事の形（「Gmailで迷惑メール扱いになる」「他人の情報が載る」）に直した。委員会は他部門と同じ表で比べられる
- ③事実と解釈の分離が少し動いた。「根拠」の列ができ、R3 は「過去2年で3回」と件数が入った
- ④次の行動が少し動いた。リスクごとに対策の列ができた。「全社重要リスクへの該当: なし」という、委員会が最初に知りたい結論もある
まだ足りないもの:
- 根拠の列に、根拠の種類が混ざっている。 R3 は実績の件数、R4 は「BCPを作った」という対策の存在、R5 は「発生なし」という0件。同じ「根拠」の列に、件数・対策・0件が並び、どれも点との関係が書かれていない
- R5 の「過去に発生なし→1点（10年に1回未満）」は、データと合わない。 2年・約3,000ジョブで0件から言えるのは「1ジョブあたり約0.1%より小さい」までで、年1,500ジョブに直すと上限は年1.5回。これは3点の帯である。1点を付けるには、10年以上・約1.5万ジョブで0件くらいのデータが要る
- R4 の「BCP策定済み→2点」も同じ。 止め損ねが0回なのは9回のうちの0回で、上限は約28%。震度5強以上の年5.1回に掛けると年1.4回で、これも3点の帯
- R1 の影響度4（〜1億円）に根拠がない。 過去2回は1週間で戻り、損失は実測で20万円以内だった。去年の「最上位」を据え置いた理由が書かれていない
- 結果として、15点以上は「なし」になり、委員会は MOps に何も決めなくてよいと読む
FY2030 Risk Register – Marketing Systems Submitted: Nov 9, 2029 Owner: Miyata
Scale (group standard): Likelihood 5 = monthly+, 4 = 2–11/yr, 3 = 0.5–2/yr, 2 = once in 2–10 yrs, 1 = <once in 10 yrs
Impact 1 = <JPY 1M, 2 = <5M, 3 = <20M, 4 = <100M, 5 = 100M+ or regulatory notification
ID Risk event L I Score Basis Control
R1 Gmail routes our email to spam 3 4 12 2 past spikes above limit Daily spam-rate monitoring
R2 We cannot produce consent records 2 5 10 Audit Finding 2 (Oct 3) Decision on Dec 20
R3 Sending platform down for 30+ min 4 2 8 3 times in 2 years Vendor SLA
R4 We fail to stop sends after a disaster 2 3 6 BCP in place On-call stop authority
R5 Another member's data appears in an email 1 5 5 Never happened Visual check at testing
Group top risks (score 15+): none
Change from last year: R1 kept at 12 (top). R4 lowered 12 → 6 after the BCP.英文の risk register の定番の列（Risk event / L / I / Score / Control）がそろい、リスクを "Gmail routes our email to spam" のように主語と動詞のある出来事で書いている。それでも "Basis" の列に、件数（3 times）・対策の存在（BCP in place）・0件（Never happened）が混ざり、点との関係がない。
FY2030 部門リスク評価シート（販促システム部） 提出: 2029/11/9 作成: 宮田
可能性は過去2年の実績から「年に何回」を出した。0件のリスクは95%の上限で点を付けた
（0件を1点と読むと、データの少ないリスクほど低く出るため）。点の物差しは全社様式どおり
No リスク（出来事） 年の回数とその根拠 1回の損失 可能性 影響 点
R5 個別配信に他人の情報が載る 上限 年1.5回（2年・約3,000ジョブで0件。 2,000〜6,000万円〔仮定〕 3 5 15★
送信前の照合はなく、0件の実績だけが根拠） 1,000人超は個人情報保護委員会へ報告
R4 災害時に配信を止められない 上限 年1.4回（震度5強以上 年5.1回× 約750万円 3 3 9
止め損ね 0/9回の上限28%） （2027/12/3の実績）
R1 Gmailで迷惑メール扱い 年1.0回（2年で2回。幅 年0.1〜3.6回） 13〜20万円（2回の実測） 3 1 3
R3 配信基盤が30分超止まる 年1.5回（2年で3回。幅 年0.3〜4.4回） 15〜90万円〔仮定〕 3 1 3
R2 同意の記録を示せない ここでは点を付けない（12/20の経営会議で決まる。二重に数えない）
全社重要リスク（15点以上）: R5 が初めて該当
前年からの変化: R1 は12点→3点。2回とも1週間で戻り、損失は実測で20万円以内だったため
R5 は5点→15点。リスクが増えたのではなく、0件の読み方を直したためGoodから何が変わったか（ここが今日の学習の中心）:
- ③事実と解釈の分離が大きく動いた。Good の「根拠」の列には、件数・対策の存在・0件が混ざっていた。Better は根拠をすべて「何回のうち何回」という同じ形に直した。
- 件数があるもの（R1・R3）は、回数と、その回数から言える幅を書いた。2年で2回なら年1.0回だが、2回しかないので本当の頻度は年0.1〜3.6回のどこかにありうる（ポアソン分布の95%の幅）。幅を書くと、委員は「2回」をどこまで信じてよいかが分かる
- 0件のもの（R5）は、上限を書いた。試した回数 n で0件なら、95%の上限はおよそ 3÷n（rule of three）。3÷3,000＝0.1%／ジョブ、年1,500ジョブで年1.5回
- 対策の存在（R4 の「BCP策定済み」）は、対策がどれだけ効いたかの実績に直した。止め損ねは9回のうち0回。n＝9 では 3÷n の近似は粗いので、正確な上限（1−0.05^(1/9)＝約28%）を使った
- ②読み手適合が動いた。読み手プロファイルの「13部門を同じ物差しで比べられるか」に答えた。点の物差しは全社様式のまま変えず（他部門と比べられるように）、変えたのは点の付け方の根拠だけであることを2行目で宣言した。委員が「MOps だけ独自の基準で高く出しているのでは」と疑う前に答えている
- 点を付け直したら、順位が逆になった。 去年最上位の R1 は3点、最下位の R5 は15点。Good の順位は、怖さの印象（Gmail はニュースになる）と、0件の読み違いで作られていた。これが Cox（2008）の言う「マトリクスが小さいリスクに高い点を付ける」の実例である
- 影響を円の幅で書いた。 影響度の帯（〜1億円など）だけでは、なぜその帯なのかが分からない。R1 は2回の実測（Gmail宛ての増分粗利 月217万円×半月×12〜18%）、R4 は2027/12/3の実績、R5・R3 は〔仮定〕と出所を分けた
- 「前年からの変化」に理由を書いた。 委員会は「去年から大きく動いたもの」に質問する。R5 の5点→15点は「リスクが増えた」と読まれやすいので、「0件の読み方を直したため」と先に書いた。逆に、R1 を下げる理由（2回とも1週間で戻った）も書いた
- R2 を点の対象から外した理由を書いた。 12/20の経営会議で決まるものを、ここでも点を付けると二重に数え、委員会が同じ問題に2回時間を使う
まだ足りないもの（Bestで足す）: R5 が15点で全社重要リスクに該当すると分かっても、委員会が何を決めればよいかが書かれていない。対策にいくらかかり、何を失い、何もしないとどうなるかが並んでいないので、5分の枠では「では部門で検討を」で終わってしまう。もう1つ、R4 の幅（年0〜1.4回）が広いのは、データが9回しかないからで、これはお金をかけずに狭められる。その手が書かれていない。
FY2030 Risk Register – Marketing Systems Submitted: Nov 9, 2029 Owner: Miyata
Likelihood is based on the last 2 years of actual events, expressed per year. For risks with zero
events, we scored the 95% upper bound (scoring zero as "rare" would rank our least-tested risks lowest).
The group scale is unchanged.
ID Risk event Events per year (basis) Loss per event L I Score
R5 Another member's data appears ≤1.5/yr (0 in ~3,000 jobs over 2 yrs; JPY 20–60M [assumption]; 3 5 15 *
in an email no pre-send check – track record only) PPC notification if 1,000+
R4 We fail to stop sends after ≤1.4/yr (5.1 qualifying quakes/yr × ~JPY 7.5M (Dec 3, 2027) 3 3 9
a disaster upper bound 28% from 0 failures in 9)
R1 Gmail routes us to spam 1.0/yr (2 in 2 yrs; range 0.1–3.6) JPY 0.13–0.20M (measured) 3 1 3
R3 Platform down 30+ min 1.5/yr (3 in 2 yrs; range 0.3–4.4) JPY 0.15–0.9M [assumption] 3 1 3
R2 Consent records Not scored here (decided at Dec 20 meeting; avoids double counting)
Group top risks (15+): R5 – first time.
Change from last year: R1 12 → 3 (both spikes recovered within a week; measured loss under JPY 0.2M).
R5 5 → 15 – not because the risk grew, but because we corrected how zero events are scored."≤1.5/yr" "range 0.1–3.6" と、点の裏の数字を英文でも記号で短く示す。"not because the risk grew, but because we corrected how zero events are scored" は、点が動いた理由を先に言う定型（"not because X, but because Y"）。金額は JPY 20–60M と通貨と桁（M＝百万）を明示し、[assumption] で出所を示す。PPC は Personal Information Protection Commission（個人情報保護委員会）。
販促システム部 FY2030 リスク評価 — 11/29 危機管理委員会でお決めいただきたいこと
結論: R5「個別配信に他人の情報が載る」を全社重要リスク（15点）に上げ、対策を1つお選びください。
去年最上位の R1（Gmail）は、2回の実測で損失が20万円以内だったため3点に下げます
R5【15点】起きたことはないが、「起きない」とは言えない
2年・約3,000ジョブで0件 → 上限は年1.5回。送信前に宛先とカートの持ち主を照合する仕組みがない
起きれば1回2,000〜6,000万円〔仮定〕。1,000人を超えれば個人情報保護委員会への報告と本人への通知
A 送信前の照合チェックを作る … 240万円・2030/3/29まで（推奨）。照合が外れたジョブは送らずに止まる
B カート内容を載せない … 費用0。リマインドの売上 年3,600〜6,000万円減〔仮定〕
C 受け入れる … 年0〜9,000万円の幅を抱えたまま。取締役会へ受け入れとして報告
R4【9点】幅が広いのはデータが9回しかないため。費用なしで狭めます: 停止訓練を年4回→毎月（当番 年8時間）
R1・R3【3点】部門で監視して受け入れます。R1 は7日平均0.15%超が2週続いたら出し直します
R2 は12/20の経営会議で決まるため、ここでは点を付けていません
点の付け方: 0件のリスクは上限で付けました。他部門と同じ物差しにするため、全社様式への注記を岡田さんに提案済み
決まらなければ: 12/14の予算締切に A の240万円を部門予算で仮置きし、1月の委員会で外せるようにしますBetterから何が変わったか:
- ①結論の位置が動いた。1行目が「お決めいただきたいこと」になり、結論の2行で上げるもの（R5）と下げるもの（R1）の両方を言った。委員会は「去年から大きく動いたもの」に質問するので、動いた2つとその理由を最初に置いた
- ④次の行動が動いた。R5 にA／B／C の3案を、委員会が比べる単位（費用・失う売上・抱える幅）で並べた。B は「費用0」に見えるが年3,600〜6,000万円の売上減、C は取締役会への受け入れの報告が要ることを、同じ行に書いた。何もしない案（C）にも値段と手続きを付けるのは Day027 と同じ型
- R4 に「確率の幅を狭める手」を足した。 幅が広い理由が「データが少ない」なら、対策はお金ではなくデータを増やすこと。毎月の訓練を1年続ければ21回になり、0回のままなら上限は約13%（年0.7回）まで下がる。分からないことを、分かるようにする次の一歩（Day025 と同じ型）
- ⑤想定反論に先回りした:
- 「起きたことのないものに240万円？」 → 1行目のすぐ下に「起きたことはないが、起きないとは言えない」と、0件の上限の理由（照合の仕組みがなく、実績しか根拠がない）を書いた
- 「MOps だけ点を高く付けているのでは」（他部門との公平さ） → 全社様式への注記を事務局に提案済みと書いた。自部門の点だけを直すのではなく、物差しそのものの直し方を持ち主（岡田さん）に渡した
- 「Gmail を下げて大丈夫か」 → R1 に出し直す条件（7日平均0.15%超が2週）を書いた。下げたままにしない約束が、下げる判断を支える
- 決まらなかったときの既定を書いた。5分の枠で決まらないことはよくある。予算の締切（12/14）に間に合わせるため、A を仮置きし、1月に外せる形にした。既定は、読み手の承認がなくても部門で実行でき、後で戻せる案にする（Day020 と同じ）
- 減らしたもの: Better の表の「年の回数とその根拠」の列（R4・R1・R3 の計算）を全文の3章へ回した。1ページ目には、判断を変える根拠（R5 の0件の上限）だけを残した。点だけ見る委員にとって、R1・R3 の幅の計算は質問が出たときに開けばよい
分量（実測）: JA Bad14・Good11・Better14・Best14行、字数（空白を除く）は Bad 276・Good 430・Better 590・Best 652字（EN: 14・11・15・15行）。行数は Better と Best が同じで、字数は Best が最長（Good→Better→Best の単調増加。逆転ではない）。 Day025〜027 と続いた字数での Best＜Better は、今回は起きなかった。根拠の計算を全文へ回した分より、A〜C の3行・「決まらなければ」・点の付け方の注記を足した分が多かった。Best で初めて「委員会が何を決めるか」がそろう型（Day007・022 と同じ）。もう1つ、Good が最短なのは、全社様式の表が1行に1リスクを収めるからで、根拠を書くと1リスクが2行になる（Better）。短い表は、根拠を書く場所がないことの裏返しでもある。
今回はBestまで作るべきか: Best必要。リスク評価シートは、ふつうは Better（根拠の種類と件数・幅・上限・前年からの変化の理由）で十分である。すべてのリスクが15点未満で、部門の予算と権限で手当てできるなら、委員会は点を確かめるだけでよく、選択肢を並べると5分の枠を食うだけの過剰品質になる。今回 Best にするのは、R5 が全社重要リスクに初めて該当し、委員会が予算と受け入れを決める必要があるからである。逆に、来年 A ができて R5 が15点を下回れば、来年のシートは Better で止める。
Marketing Systems FY2030 Risk Assessment – Decisions requested at the Nov 29 Risk Committee
Bottom line: Please add R5 ("another member's data appears in an email") to the group top risks
(score 15) and choose one treatment. We are lowering last year's top risk, R1 (Gmail), to 3.
R5 (15): It has never happened – but we cannot say it won't.
0 in ~3,000 jobs over 2 years → up to 1.5/yr. Nothing checks recipient vs. cart owner before sending.
One event: JPY 20–60M [assumption]; PPC notification and notice to members if over 1,000 people.
A. Build a pre-send match check – JPY 2.4M, by Mar 29, 2030 (recommended). Mismatched jobs stop.
B. Remove cart contents from reminders – no cost, but JPY 36–60M/yr lower sales [assumption].
C. Accept – carry an exposure of JPY 0–90M/yr; report to the Board as an accepted risk.
R4 (9): The range is wide because we have only 9 data points. We will narrow it at no cost:
monthly stop drills instead of quarterly (8 on-call hours/yr).
R1, R3 (3): Accepted and monitored by the department. We will resubmit R1 if the 7-day spam rate
exceeds 0.15% for 2 weeks. R2 is not scored here; it is decided at the Dec 20 management meeting.
Scoring note: zero-event risks are scored at the upper bound; we have proposed this note to the group template.
If no decision: we will provisionally budget Option A (JPY 2.4M) by Dec 14, removable in January."Decisions requested" を件名に、"Bottom line:" で上げるものと下げるものを1文目に置く（BLUF）。"It has never happened – but we cannot say it won't." は、0件の扱いをダッシュで対比させる英文の型。"carry an exposure of JPY 0–90M/yr" と、何もしない案にも数字を付ける。"If no decision:" は、決まらないときの既定を示す定型の見出し。
日英差分ノート
1. 「可能性: 低」と "Likelihood: Unlikely" — 英語には数字の目安の慣行がある
日本語の「可能性は低い」「可能性がある」は、書き手しだいで1%にも50%にもなる。決まった目安はない。英語でも "unlikely" "likely" は本来あいまいだが、数字の目安を決めて使う慣行がある。代表例は IPCC（気候変動に関する政府間パネル）の尺度で、likely＝66〜100%、unlikely＝0〜33%、very unlikely＝0〜10% のように言葉と確率の幅を対にしている。その源流は、CIA の分析官 Sherman Kent が1964年に書いた "Words of Estimative Probability" とされる。英語の読み手は「その "unlikely" は何%のつもりか」と聞く習慣がある。日本語で書くときは、言葉で済ませず「年に何回」まで書くのが、日英どちらでも通じる書き方である。
2. 「過去に発生なし」と "no incidents to date" — 何回のうちの0回かを書く
日本語の「過去に発生なし」は、安心の根拠として書かれることが多い。英語の "no incidents to date" も同じだが、英文のリスク管理では "absence of evidence is not evidence of absence" という言い回しがよく引かれ、0件だけでは根拠にならないという理解が共有されている。どちらの言語でも、「何回のうちの0回か（0 in ~3,000 jobs）」と「そこから言える上限（up to 1.5/yr）」をセットで書く。
3. 「注視する」と "monitor" — 動く条件を書く
日本語の「引き続き注視が必要」は、何もしないことを丁寧に言う表現として読まれやすい。英語の "continue to closely monitor" も同じで、英文の委員会では "Monitor for what? What triggers action?" と聞かれる。Best の R1 は日英とも「7日平均0.15%超が2週続いたら出し直す」（"We will resubmit R1 if ..."）と、監視の結果どう動くかまで書いた。
4. 「お決めください」と "Decisions requested"
日本語の部門の提出物は、決めてほしいことを最後に「ご審議をお願いします」と置くことが多い。英語では件名と1文目に "Decisions requested" "Bottom line" を置くのが普通である。今日は日本語版も1行目を「お決めいただきたいこと」にした。5分の枠では、最後に置いた依頼は読まれない。
頻出表現
| 日本語 | English | トーンの強さ |
|---|---|---|
| 発生可能性は低いと考えられる | the likelihood is considered low | 危険。根拠も数字もない |
| 年1.0回（2年で2回。幅 年0.1〜3.6回） | 1.0/yr (2 in 2 yrs; range 0.1–3.6) | 中立。件数と幅をセットで |
| 0件。ただし上限は年1.5回 | 0 events; up to 1.5/yr (95% upper bound) | 強い。0件を正しく読む |
| 過去に発生なし | no incidents to date / never happened | 危険。何回のうちの0回かを添える |
| 起きたことはないが、起きないとは言えない | It has never happened – but we cannot say it won't. | 強い。0件の扱いの定型 |
| 引き続き注視する | continue to monitor | 弱い。動く条件（trigger）を添える |
| 〜を超えたら出し直す | We will resubmit if ... | 強い。監視の結果の行動 |
| リスクを受け入れる | accept the risk / accepted risk | 強い。誰が受け入れたかを記録する言葉 |
| リスクが増えたのではなく、読み方を直したため | not because the risk grew, but because ... | 中立。点が動いた理由を先に言う |
| 決まらなければ〜を仮置きします | If no decision, we will provisionally ... | 中立。既定の動き |
差分5軸まとめ
| 軸 | Bad | Good | Better | Best |
|---|---|---|---|---|
| ① 結論の位置 | なし（「低減傾向」） | 最後に「15点以上: なし」 | 表の下に「R5が初めて該当」 | 1行目に「R5を上げ、対策を選んでください／R1を下げます」 |
| ② 読み手適合 | 物差しなし。分野の名前 | 全社様式の物差しと出来事の形 | 物差しは変えず、点の付け方の根拠だけ変えたと宣言 | 委員会が比べる単位（費用・失う売上・抱える幅）で3案 |
| ③ 事実と解釈の分離 | 「一度も発生しておらず、低い」 | 根拠の列に件数・対策・0件が混在 | 全部「何回のうち何回」。幅と上限、円の出所 | 判断を変える根拠（0件の上限）だけ1ページ目に。点の付け方の注記 |
| ④ 次の行動 | 「監視を強化」「迅速に対応」 | 対策の列（SLA・目視） | 前年からの変化の理由 | A推奨・期限・費用、訓練を毎月、出し直す条件、決まらないときの既定 |
| ⑤ 想定反論 | 無視 | なし | 「リスクが増えたのではない」 | 「起きていないのに？」「MOpsだけ高い？」「Gmailを下げて大丈夫？」 |
今回の学習の中心は Good → Better。 Good は全社様式の物差しを正しく使い、リスクを出来事の形にした、型どおりの評価シート。それでも根拠の列に種類の違うもの（件数・対策の存在・0件）が混ざり、0件を「10年に1回未満」と読んだことで、最も備えのないリスクが最下位に沈んだ。Better は根拠を「何回のうち何回」の同じ形にそろえ、0件には上限を付けた。Better → Best は、点が分かった後に委員会が何を決めるか（3案と既定）と、データを増やして幅を狭める手を足した。
Best版・全文
日本語版 全文を見る
販促システム部 FY2030 部門リスク評価
宛先: 危機管理委員会 委員長 大塚 様、委員各位（事務局: 総務部リスク管理グループ 岡田 様）
作成: 販促システム部 MOps 宮田 ／ 確認: 販促システム部長 高梨 ｜ 提出: 2029年11月9日（金） ｜ ご審議: 11月29日（木）15:00
1. 結論と、お決めいただきたいこと（この1ページで足ります）
R5「個別配信に他人の情報が載る」を全社重要リスク（15点）に上げ、対策を1つお選びください。 去年最上位の R1「Gmailで迷惑メール扱い」は、2回の実測で損失が20万円以内だったため、12点から3点に下げます。
| No | リスク（出来事） | 点（可能性×影響） | 前年 | お願いすること |
|---|---|---|---|---|
| R5 | 個別配信に他人の情報が載る | 15（3×5） | 5 | 対策 A〜C をお選びください（下表） |
| R4 | 災害時に配信を止められない | 9（3×3） | 6 | 部門で実施: 停止訓練を毎月に（費用なし） |
| R1 | Gmailで迷惑メール扱いになる | 3（3×1） | 12 | 部門で監視。条件を満たしたら出し直し |
| R3 | 配信基盤が30分超止まる | 3（3×1） | 8 | 部門で監視して受け入れ |
| R2 | 同意の記録を示せない | 点を付けない | 10 | 12/20の経営会議で決まります |
R5 の対策（委員会でお決めください）
| 案 | 中身 | 費用 | 失うもの | 残るリスク |
|---|---|---|---|---|
| A（推奨） | 送信前に「宛先の会員」と「カートの持ち主」を照合し、1件でも外れたらそのジョブを送らずに止める | 240万円（2人月）、2030/3/29まで | なし | 照合の仕組みそのものの誤り。止まったジョブの件数を毎月報告 |
| B | リマインドにカートの中身を載せない（「カートに商品が残っています」だけにする） | 0 | リマインドの売上 年3,600〜6,000万円減〔仮定〕 | ほぼなし |
| C | 受け入れる | 0 | なし | 年0〜9,000万円の幅〔導出〕。取締役会へ受け入れとして報告 |
決まらなければ: 12/14の予算締切に A の240万円を部門予算で仮置きし、1月の委員会で外せるようにします。
2. 評価の方法
- 物差し: 全社様式どおり（発生可能性 5=月1回以上／4=年2〜11回／3=年0.5〜2回／2=2〜10年に1回／1=10年に1回未満。影響度 1=100万円未満／2=〜500万円／3=〜2,000万円／4=〜1億円／5=1億円以上または行政への報告）
- データ: 2027/11/1〜2029/10/31 の2年間の実績
- 件数があるもの: 年あたりの回数と、95%の幅（ポアソン分布）を書いた。点は回数で付けた
- 0件のもの: 95%の上限で点を付けた。 0件を「10年に1回未満」と読むと、試した回数の少ないリスクほど低く出るため。上限は、試した回数が多いときは 3÷n、少ないとき（n＝9）は 1−0.05^(1/n) で出した
- 他部門と同じ物差しで比べられるよう、全社様式に「0件のリスクは試した回数と上限を書く」の注記を加えることを、11/6 に岡田さんへ提案した
3. リスクごとの評価
R5 個別配信に他人の情報が載る【15点】
- 起きること: カート放棄リマインドなどの個別配信で、ある会員に別の会員のカート内容や氏名が載ったメールが届く
- 回数: 2年・約3,000ジョブで0件。95%の上限は1ジョブあたり約0.1%（3÷3,000）、年1,500ジョブで年1.5回 → 可能性3
- 今の対策: テスト時に担当者が数件を目で確かめるだけ。送信前に照合する仕組みはなく、0件の実績のほかに「起きない」根拠がない
- 1回の損失: 2,000〜6,000万円〔仮定: 本人への通知とお詫び、問い合わせ窓口の臨時増員、外部の調査、解約の増加。2027/12/3 の解約・ブロックの実績約750万円を下限の目安にした〕。1ジョブの宛先は平均約2,000人で、1,000人を超える漏えいは個人情報保護委員会への報告と本人への通知が要る → 影響5
- 見積りを変える条件: A を作った後は、照合で止まったジョブの件数を毎月数える。止まった件数が出たら、「起きかけた回数」として可能性を見直す
R4 災害時に配信を止められない【9点】
- 起きること: 震度5強以上の地震の後、予約済みの販促配信を止め損ねて送ってしまう（2027/12/3 と同じこと）
- 回数: 発動条件の地震は年5.1回（Day011 で消防白書から計算）。部門BCP以降の訓練6回と実際の発動3回の計9回で止め損ねは0回、上限約28% → 年1.4回が上限 → 可能性3
- 1回の損失: 約750万円（2027/12/3 の実績: 解約・LINEブロック・苦情対応） → 影響3
- 対策: 停止訓練を年4回から毎月に（当番の時間 年8時間増、費用なし）。1年続けて21回で0回のままなら、上限は約13%（年0.7回）まで下がり、可能性2の帯に入る
- 見積りを変える条件: 訓練で1回でも止め損ねたら、その月のうちに出し直す
R1 Gmailで迷惑メール扱いになる【3点】
- 回数: 迷惑メール報告率が1日でも0.3%を超えたのは2年で2回（年1.0回、95%の幅 年0.1〜3.6回） → 可能性3
- 1回の損失: 13〜20万円（2回の実測: Gmail宛ての増分粗利 月217万円×半月×クリック減12〜18%） → 影響1
- 去年12点だった理由と、下げる理由: 去年は「Gmail宛て全体が止まれば月722万円」という最悪の場合で影響4にしていた。実際の2回はどちらも1週間以内に戻った。T1（2029/6）以降の4か月は7日平均0.08〜0.12%
- 見積りを変える条件: 7日平均が0.15%を超える状態が2週続いたら、このシートを出し直す。 Gmail で迷惑メール扱いが2週以上続く事態は、まだ一度も経験していないので、その場合の損失は見積もっていない
R3 配信基盤が30分超止まる【3点】
- 回数: 2年で3回（年1.5回、95%の幅 年0.3〜4.4回） → 可能性3
- 1回の損失: 15〜90万円〔仮定: セールの時間指定の配信が遅れた場合の粗利〕。過去3回とも予約配信は遅れて出ただけ → 影響1
- 受け入れる理由: 別の配信基盤を待機させる案は年約600万円〔仮定〕で、年の損失の上限（4.4回×90万円＝約400万円）より高い
4. 点を付けなかったもの・扱わなかったもの
- R2 同意の記録を示せない（内部監査報告書 IA-2029-07 の指摘2）: 12/20の経営会議で進め方が決まるため、ここでは点を付けない。決定後、1月の委員会で必要なら追加する
- LINE配信のリスク、委託先コンタクトセンターのリスク: それぞれ別の部門のシートで扱われている（11/6 に岡田さんと確認）
- 複数のリスクが同時に起きる場合（例: 地震の日に基盤も止まる）: 今年は扱っていない
5. 次の見直し
| 日付 | 見直すこと |
|---|---|
| 2030/3/29（金） | R5 の A の完成（選ばれた場合） |
| 2030/4〜 | R5: 照合で止まったジョブの件数を毎月、事務局へ |
| 2030/5/31（金） | 半期の見直し: R4 の訓練の回数と結果、R1 の報告率 |
| R1 の条件を満たした時 | シートを出し直す |
English 全文を見る
Marketing Systems – FY2030 Risk Assessment
To: Risk Committee (Chair: Mr. Otsuka; Secretariat: Ms. Okada, Risk Management Group)
From: Miyata, MOps; reviewed by Mr. Takanashi, Head of Marketing Systems | Submitted: Nov 9, 2029 | Committee: Nov 29, 2029, 15:00
1. Bottom Line and Decisions Requested
Please add R5 ("another member's data appears in an email") to the group top risks (score 15) and choose one treatment. We are lowering R1 (Gmail spam routing) from 12 to 3: in both past events, measured loss was under JPY 0.2M.
| ID | Risk event | Score (L×I) | Last year | Request |
|---|---|---|---|---|
| R5 | Another member's data appears in an email | 15 (3×5) | 5 | Choose a treatment (A–C below) |
| R4 | We fail to stop sends after a disaster | 9 (3×3) | 6 | Department action: monthly stop drills (no cost) |
| R1 | Gmail routes our email to spam | 3 (3×1) | 12 | Monitored; resubmit if trigger is met |
| R3 | Sending platform down 30+ min | 3 (3×1) | 8 | Accepted and monitored |
| R2 | We cannot produce consent records | Not scored | 10 | Decided at Dec 20 management meeting |
R5 treatment options
| Option | What | Cost | What we lose | Residual risk |
|---|---|---|---|---|
| A (recommended) | Before sending, match each recipient to the cart owner; stop the whole job on any mismatch | JPY 2.4M (2 person-months), by Mar 29, 2030 | Nothing | Errors in the check itself; stopped jobs reported monthly |
| B | Remove cart contents from reminders | 0 | JPY 36–60M/yr in reminder sales [assumption] | Near zero |
| C | Accept | 0 | Nothing | Exposure of JPY 0–90M/yr [derived]; report to the Board as an accepted risk |
If no decision: we will provisionally budget Option A (JPY 2.4M) by the Dec 14 budget deadline, removable at the January meeting.
2. Method
- Scale: group standard (Likelihood 5 = monthly+, 4 = 2–11/yr, 3 = 0.5–2/yr, 2 = once in 2–10 yrs, 1 = less than once in 10 yrs; Impact 1 = <JPY 1M, 2 = <5M, 3 = <20M, 4 = <100M, 5 = 100M+ or regulatory notification)
- Data: actual events, Nov 1, 2027 – Oct 31, 2029
- Risks with events: events per year and a 95% range (Poisson). Scored on the rate.
- Risks with zero events: scored at the 95% upper bound. Scoring zero as "rare" ranks the least-tested risks lowest. Upper bound = 3 ÷ n for large n; 1 − 0.05^(1/n) for small n (n = 9).
- To keep departments comparable, we proposed to the Secretariat (Nov 6) that the group template ask for trials and upper bounds on zero-event risks.
3. Risk Details
R5 Another member's data appears in an email (15)
- Event: in a personalized email (e.g., cart reminder), a member receives another member's cart contents or name.
- Rate: 0 in ~3,000 jobs over 2 years. Upper bound ~0.1% per job; at 1,500 jobs/yr, up to 1.5/yr → L3.
- Current control: a few emails are checked by eye at testing. Nothing matches recipient and cart owner before sending; our only evidence is the track record.
- Loss per event: JPY 20–60M [assumption: notices and apologies, temporary support staff, external investigation, extra cancellations; the Dec 3, 2027 loss of ~JPY 7.5M used as a floor]. A job reaches ~2,000 members on average; a leak affecting over 1,000 people must be reported to the PPC and notified to the individuals → I5.
- What would change the estimate: after Option A, we count stopped jobs monthly. Any stop is a near miss and will be used to re-estimate the rate.
R4 We fail to stop sends after a disaster (9)
- Rate: qualifying earthquakes (seismic intensity 5+ upper) 5.1/yr. Since the BCP, 0 failures in 9 attempts (6 drills, 3 real); upper bound ~28% → up to 1.4/yr → L3.
- Loss per event: ~JPY 7.5M (actual, Dec 3, 2027) → I3.
- Action: monthly stop drills instead of quarterly (8 on-call hours/yr, no cost). After 21 attempts with 0 failures, the bound falls to ~13% (0.7/yr) → L2.
- What would change the estimate: a single drill failure → resubmit within the month.
R1 Gmail routes our email to spam (3)
- Rate: daily spam rate above 0.3% twice in 2 years (1.0/yr; 95% range 0.1–3.6) → L3.
- Loss per event: JPY 0.13–0.20M (measured: JPY 2.17M monthly incremental gross profit on Gmail × half a month × 12–18% click drop) → I1.
- Why it was 12 last year: impact was set at the worst case (all Gmail sales, JPY 7.22M/month). Both actual events recovered within a week. Since T1 (Jun 2029), the 7-day average has been 0.08–0.12%.
- Trigger: we will resubmit if the 7-day average exceeds 0.15% for 2 weeks. We have never experienced spam routing lasting 2+ weeks, so that loss is not estimated.
R3 Sending platform down 30+ min (3)
- Rate: 3 in 2 years (1.5/yr; 95% range 0.3–4.4) → L3.
- Loss per event: JPY 0.15–0.9M [assumption: delayed time-limited sale emails]. All 3 past events only delayed scheduled sends → I1.
- Why accept: a standby second platform would cost ~JPY 6M/yr [assumption], more than the upper bound of annual loss (4.4 × JPY 0.9M ≈ JPY 4M).
4. Not Scored / Out of Scope
- R2 consent records (Internal Audit Report IA-2029-07, Finding 2): decided at the Dec 20 management meeting; will be added in January if needed.
- LINE messaging and the outsourced contact center: covered in other departments' registers (confirmed with the Secretariat, Nov 6).
- Combined events (e.g., platform outage on an earthquake day): not assessed this year.
5. Next Review
| Date | What |
|---|---|
| Mar 29, 2030 | R5 Option A complete (if chosen) |
| From Apr 2030 | R5: stopped jobs reported monthly |
| May 31, 2030 | Half-year review: R4 drills, R1 spam rate |
| When R1 trigger is met | Resubmit |
完成の定義チェックリスト
リスクアセスメント資料を提出する前に必ず確認する。「雑・妥協」を防ぐための外部基準。1つでも未チェックがあれば、まだ出さない。
今日の演習
Bad の「特に誤配信は過去に一度も発生しておらず、可能性は低いと考えられる。」の1行だけを書き直す。 手順: ①「誤配信」を出来事の形にする（誰に、何が載るのか）。②「何回のうちの0回か」を書く（2年・約3,000ジョブ）。③上限を出す（3÷3,000×年1,500ジョブ）。④全社様式の帯で点を付け、去年の1点との違いの理由を1文で書く（「リスクが増えたのではなく〜」）。⑤最後に、この見積りが変わる条件を1行足す（何が起きたら、点を上げる／下げるか）。
2030年5月31日の半期の見直し（1ページ）を、同じ読み手（危機管理委員会）向けに書く。 設定: ①11/29の委員会は R5 に A を選び、照合チェックは3/22に完成した。4〜5月の個別配信は約250ジョブで、照合で止まったジョブが2本あった（どちらも、テスト用の会員データが本番の宛先リストに混ざっていたため。送られた事故は0件）。②R4 は毎月の訓練を12月から続け、6回で止め損ね0回（BCP以降の合計15回）。③R1 は7日平均0.09〜0.14%で、条件（0.15%超が2週）には達していない。条件: 止まった2本を、R5 の可能性の見積りにどう入れるかを決めて書く（「送られていないから0件」と数えるか、「起きかけた回数」と数えるか）。点が変わるなら理由を、変わらないなら理由を書く。R4 の上限が何%になったか、帯が変わるかを計算する。Best で書くか、Better で止めるかも決める。
取り組む前のヒント
- 止まった2本は、照合がなければ他人のカート内容が載っていた可能性のある出来事である。「送られていないので事故0件」とだけ書くと、委員会は A が要らなかったと読む。逆に、「起きかけた」2本を「起きた」と同じに数えると点が上がりすぎる。事故（送られた）と、止まった件数を別の行で書く
- 止まった原因が「テスト用の会員データが本番に混ざった」なら、これは照合とは別の穴（データの持ち方）である。可能性の見直しと、新しい対策（テストデータを本番に入れない仕組み）を分けて書く
- R4: 15回で0回なら、上限は 1−0.05^(1/15)。3÷15 の近似と比べて、どちらを使ったかを書く。年5.1回を掛けて帯を確かめる
- 罠: 半期の見直しで全部の点を付け直すと、委員会は「何が変わったか」を探す羽目になる。変わったものだけを1ページ目に、変わらなかったものは1行で
- Best にするのは、委員会に新しく決めてほしいことがある場合だけ。なければ Better で止め、その理由を書く
実務での使いどころ
リスクアセスメント資料は、年1回の全社リスク管理（ERM）の部門提出、新しい施策や仕組みを始める前の評価、監査やインシデントの後の見直しの3つの場面で書かれる。どの場面でも、委員会は多くの部門の点を1枚のヒートマップで並べて見るので、点の裏にある根拠が見えないと、点の付け方の甘い部門が得をする。根拠の列を「何回のうち何回」でそろえることは、自部門のためというより、全社の物差しを使えるものにするための作業である。
隣接する文書との関係:
- BCP（カテゴリ11の1本目、Day011）: R4 の発動条件（震度5強以上 年5.1回）は、本来このリスクアセスメントに置く数字だった（Day011 の設計メモ）。BCP は「起きたらどう動くか」、リスクアセスメントは「どれに先に手を打つか」
- 監査報告書（Day027）: 指摘2の案C（何もしない）を選ぶ場合は、受け入れたリスクとしてこのシートに載る。今日は12/20の決定前なので点を付けず、二重に数えないことを選んだ
- 品質保証計画書（Day010）・テスト計画書（Day016）: 「0件のときの上限 3÷n」を使った回。今日は同じ考え方をリスクの発生確率に使った
- インシデントレポート（カテゴリ11の3本目）・ポストモーテム（カテゴリ11の4本目）: 60分版の「照合で止まった2本」は、送られていなくてもニアミスとして記録する対象になる
- リスク登録簿（カテゴリ3の4本目）: プロジェクト単位のリスク一覧。今日の部門シートと同じ「何回のうち何回」の書き方がそのまま使える
この回の設計メモ（迷った他案・扱わなかった範囲・出所）
迷った他案と採らなかった理由
- 5×5のマトリクスをやめ、年の損失の期待値（頻度×損失）だけで順位を付ける案 — Hubbard（The Failure of Risk Management）や Cox（2008）の指摘に沿えば、量で比べる方が正しい。ただし委員会は13部門を同じ様式で並べて見るので、1部門だけ様式を変えると比べられなくなり、読み手の「同じ物差しで比べたい」に反する。様式（点）は残し、点の根拠を量で書くことにした。全社の様式そのものを変える話は、事務局（岡田さん）への提案として切り分けた。前提が変われば判断も変わる: 全社様式が量の欄を持つようになれば、点の列は要らなくなる
- 0件のリスクを「点推定」（例: 0件なら0回）で付ける案 — 他部門の多くはこう付けているので、比べやすさは上がる。ただし、それでは試した回数が少ないリスクほど低く出るという今日の核心の誤りをそのまま残す。上限で付けることを選び、代わりに「上限で付けた」と1ページ目で宣言し、全社様式への注記を提案した。 代償は、MOps の点が他部門より高めに出ること
- 上限を 3÷n だけで出す案 — 計算が簡単で、Day010・016・027 でも使った。ただし rule of three は n が十分大きいとき（目安30以上）の近似で、n＝9 では 3÷9＝33% と正確な値 28% がずれる。R4 だけ正確な式にした。どちらも年0.5〜2回の帯（可能性3）に入るので点は変わらないが、委員に数字を聞かれたときに説明できる方を選んだ
- 外部の基準率（他社の個人情報漏えいの公表件数）を R5 に使う案 — 0件の自社データだけに頼らずに済む。ただし、公表された件数を「メールの個別配信のジョブあたり」に直す分母が手に入らず、作った数字になる。今回は自社の0件と上限だけを使い、外部の基準率は使わないと決めた。60分版の「止まった件数」が、外部の数字より先に手に入る自社のデータになる
- R2（同意の記録）にも点を付ける案 — 全部のリスクが1枚に載る。ただし12/20の経営会議で決まるもので、委員会が同じ問題に2回時間を使うことになる。点を付けず、決定後に必要なら追加とした
- 比較セクションを R5 1件の詳細にする案 — 0件の上限の考え方は詳細の方が説明しやすい。ただし勝負どころ（確率の根拠）が効くのは複数のリスクを並べて順位が入れ替わる場面で、委員が見るのも1ページ目の表。一覧を比べ、詳細は全文で見せた
扱わなかった範囲
- 個人情報保護法の当てはめ（R5 の出来事がどの報告対象に当たるか、速報・確報の期限）。報告の4類型の1つが「1,000人を超える漏えい等」であることだけを使い、法的な評価はしていない
- 情報セキュリティのリスク評価の専用の枠組み（ISO/IEC 27005 など）、委託先のリスク、LINE配信のリスク
- 複数のリスクの同時発生と相関、モンテカルロ法による年の損失の分布
- リスク選好（会社としてどこまでの損失を受け入れるか）の設定。全社の方針で、部門のシートでは扱えない
- R5 の1回の損失2,000〜6,000万円の積み上げの根拠（他社の公表事例や保険の料率からは作っていない）
数字と概念の出所
- 会社・人物・日付・数字はすべて架空。宮田・高梨部長・西村本部長・岡田さん・大塚委員長は既出（岡田・大塚は Day011）。新登場の人物はいない
- 〔実測: シナリオ内〕R1 の2回（2027/12/3 0.41%、2029/2/9 0.33%）と1週間以内の回復、クリック減12%・18%、T1以降の7日平均0.08〜0.12%。R3 の3回（最長4時間10分）。R4 の訓練6回・発動3回・止め損ね0回。R5 の年約1,500ジョブ・2年約3,000ジョブ・0件、1ジョブ平均約2,000人
- 〔導出〕R5: 3÷3,000＝0.1%、×1,500＝年1.5回、年の損失の上限 1.5×6,000万＝9,000万円。R4: 1−0.05^(1/9)＝28.3%、×5.1＝年1.44回、×750万＝約1,080万円。21回なら 1−0.05^(1/21)＝13.3%、×5.1＝年0.68回。R1: 217万×0.5×0.12〜0.18＝13.0〜19.5万円。ポアソン分布の正確な95%区間: 2件→0.242〜7.22（2年）＝年0.12〜3.61回、3件→0.619〜8.77＝年0.31〜4.38回。R3 の年の損失の上限 4.4×90万＝約396万円。いずれも作成時に Python で計算した。曜日（2029/10/22月・11/9金・11/29木・12/14金・12/20木、2030/3/29金・5/31金）も計算で確認した。行数は各コードブロックの実測、字数は空白を除いてスクリプトで数えた
- 〔仮定〕R5 の1回の損失2,000〜6,000万円、カート放棄リマインドの増分売上 年約1.2億円（B の減少 年3,600〜6,000万円＝1.2億×30〜50%）、R3 の1回の損失15〜90万円、別の配信基盤 年約600万円、A の費用240万円（2人月）
- 既出の数字: 震度5強以上 年5.1回と2027/12/3 の損失約750万円は Day011、Gmail宛ての増分粗利 月217万円・増分売上 月722万円は Day022
- Cox, L. A. (2008). "What's Wrong with Risk Matrices?" Risk Analysis 28(2), 497–512. 量的に違うリスクに同じ点を付ける（range compression）、小さいリスクに高い点を付けうる、入力と出力の解釈が主観に頼る、という要点は検索結果の要約（IDEAS/RePEc の書誌・Wikipedia "Risk matrix"・解説ブログ）で確認（https://ideas.repec.org/a/wly/riskan/v28y2008i2p497-512.html 、参照日 2026-10-13）。論文の本文は読んでいない
- 個人情報保護委員会への漏えい等報告の4類型（要配慮個人情報・財産的被害のおそれ・不正の目的のおそれ・1,000人を超える漏えい等）と、2022年4月からの義務化・本人への通知は、委員会のページ（https://www.ppc.go.jp/news/kaiseihou_feature/roueitouhoukoku_gimuka/ ）を含む検索結果の要約で確認（参照日 2026-10-13）。施行規則の条文は読んでいないので、条番号は本文に書いていない
- ISO 31000（2018）・IEC 31010（2019）の「特定→分析→評価」、IPCC の確率の言葉の尺度（likely 66〜100% など。AR5 の不確実性の扱いの指針）、Sherman Kent の "Words of Estimative Probability"（1964）、rule of three（Hanley & Lippman-Hand, 1983）、Hubbard の著書は記憶による記述で、今回ページは取得していない
何が起きているか: