世界経済の見通しが明るいからといって、油断してはならない。「Global Risks Report 2018」で述べられているように、世界のリスク情勢は急速に変化しており、企業にとって事業運営や投資を取り巻く環境は厳しさを増している。
変化のペースは速まっている。急速な技術革新、地政学情勢の激変、社会不安の高まりがその特徴だ。この状況で起こり得る幅広いショックに対応するには、レジリエンスを重視した戦略が求められる。
企業がS&P 500種株価指数に採用されている期間の平均は、1950年代の約60年から、現在では12年にまで短縮している。新たな機会と脅威の両方を生み出す今日の環境変化の速さを踏まえると、この期間はさらに短くなる可能性が高い。
深刻化するサイバーリスク
こうした問題の多くが交錯する領域の一つが、サイバーリスクだ。先進国のビジネスリーダーが最も懸念する世界的リスクは、サイバー攻撃だと認識されている。また、世界のリスク関係者も、サイバーリスクを2018年に最も深刻化する可能性が高いリスクと見ている。「Global Risks Report」の基礎となるリスク認識調査によると、そうした見方が示されている。
企業のテクノロジーへの依存が強まるにつれ、サイバーリスクへの露出も高まっている。相互接続された機器の爆発的な増加により、組織がサイバー攻撃を受け得る対象領域は広がっている。世界の相互接続機器の数は、現在の84億台から2020年には200億台に増えると予測されている。業務プロセスで人工知能の利用が拡大していることも、サイバーリスクへの露出を高めている。
同時に、地政学的な緊張がサイバー攻撃の規模と巧妙さを増大させており、とりわけ国家の支援を受けた、潤沢な資金を持つ勢力による攻撃が顕著だ。企業、とりわけ大企業は、窃盗や事業妨害から、恐喝、経済スパイ活動、評判の毀損、重要インフラやサービスへの侵入に至るまで、攻撃者の目的を想定する必要がある。極めて多様で活発な敵対勢力が存在するため、サイバーリスクの管理は非常に難しい。
リソース不足のリスク
この課題への認識が高まり、サイバーリスク管理への投資も増えている。しかし、脅威の潜在的な規模に比べると、サイバー対策のリソースは依然として不足している。この見方は、より身近な問題である自然災害と照らし合わせると、いっそう明らかになる。
分析によると、単一のクラウドプロバイダーが停止した場合、500億～1,200億ドルの経済損失が生じる可能性がある。これは、ハリケーン・サンディとハリケーン・カトリーナによる損失の間にあたる。単純に比較できるわけではないが、サイバー犯罪による年間の経済的損失は現在1兆ドルを超えると推定されており、自然災害による損失が記録的な水準に達した2017年の総額、約3,000億ドルを大きく上回る。
サイバーリスク管理は改善しているものの、自然災害で見られるような経済損失と保険金支払対象損失の間の「保障ギャップ」を生まないよう、企業と政府はレジリエンス強化にさらに多くの投資を行う必要がある。
サイバーリスクの管理と軽減を支えるインフラは、自然災害に備えて整備されているものと比べ、規模がはるかに小さい。各国のサイバー機関は拡充されつつあるが、米国のFEMA（連邦緊急事態管理庁）のように自然災害への対応を担う公的機関やボランティア機関と同等の能力は備えていない。さらに、情報共有や影響の軽減、悪意ある活動の抑制、事態のエスカレーションや報復の防止に関する国際的な取り決めは、ようやく形になり始めた段階だ。現時点でこれを支持する国は少数にとどまり、遵守しない国への制裁もない。
企業もサイバー事象に対するレジリエンスに注力し、一般に、取り組みの重点を予防から対応へと移す必要がある。リスクの高い地域の企業は、異常気象に対する対応計画を厳密に策定していることが多いが、サイバー攻撃についてはそうした例はまれだ。実際、調査によると、大規模なサイバー攻撃に備えたインシデント対応計画を策定している企業は3分の1にすぎない。
リスク管理に求められる新たな課題
今年の「Global Risks Report」から明確に読み取れるのは、技術、政治、社会が急速に変化する今、さまざまなショックが起こり得るということだ。企業のレバレッジは数年前より高まっている。S&P 1500採用企業の中央値では、負債資本比率が2010年以降ほぼ倍増した。そのため、企業の安定性は、こうしたショックや予期せぬ事態に対して、いっそう脆弱になっている。
イノベーションと成長を、リスクや安定性と両立させなければならない。ビジネスリーダーにはこれまで以上に、新たな機会を捉える大胆な戦略目標と、現在の世界情勢における複雑なリスク群に見合った厳密なレジリエンス計画を備えた道筋を、企業のために描くことが求められている。
