リスクとコンプライアンスの用語集。

継続的脅威エクスポージャー管理（CTEM）は、組織の悪用可能な攻撃対象領域を継続的に発見し、優先順位を付け、縮小していくためのプログラムです。定期的なスキャンではなく、資産一覧、脆弱性、ID、悪用可能性のシグナルを突き合わせて、どのエクスポージャーが実際に到達され利用され得るかを判断し、是正が本当にリスクを下げたかを検証します。

オペレーショナルリスクとは、内部プロセス、人、システムの不備や機能不全、あるいは外部事象から生じる損失のリスクです。不正、システム障害、人的ミス、法務・コンプライアンス上の不備、業務中断を含み、CPS 230やDORAといったオペレーショナルレジリエンスの規制のもとで統制されることが増えています。

ガバナンス、リスク、コンプライアンス（GRC）は、組織のガバナンス体制、リスク管理、規制対応を整合させる統合的なアプローチです。GRC基盤はリスク台帳、統制、方針、監査、義務を一元化し、三つの領域が縦割りで動くのではなく互いを強め合うようにします。

第三者リスクとは、組織がベンダー、サプライヤー、サービス提供者から引き受けるエクスポージャーであり、それらが依存する第四者も含みます。管理にはデューデリジェンス、継続的な監視、契約上の保護、集中度の分析が必要で、CPS 230やDORAといった規制によってその義務は一段と強まっています。

サイバーリスクの定量化とは、赤・黄・緑といった定性的な評価ではなく、脅威から生じる金銭的損失の見込みとして、サイバーのエクスポージャーを財務的に表現する実務です。FAIRなどの手法により、セキュリティと財務の責任者は投資に優先順位を付け、サイバーリスクを他の全社的リスクと共通の金額ベースで比較できます。

シナリオ分析は、パンデミック、サイバー攻撃、サプライヤーの破綻といった特定の仮想状況が、組織のリスクプロファイルと業務に与える影響を検討する手法です。統計的なリスク指標とは異なり記述的かつ将来志向であるため、オペレーショナルレジリエンス、事業継続、新興リスクの評価における中核的な手段となります。

ストレステストは、市場の急落、景気後退、金利ショックなど、深刻だが起こり得る逆境シナリオのもとで、ポートフォリオ、バランスシート、あるいは金融機関がどう推移するかを評価します。規制当局はCCARなどの義務的なテストで自己資本の充実度を評価し、各社は通常のリスク指標では見落としがちな脆弱性を把握するため独自のシナリオを実施します。

ソルベンシーIIは、EUにおける保険会社の健全性規制であり、リスクベースの資本要件（第1の柱）、ガバナンスとリスクおよびソルベンシーの自己評価（第2の柱）、開示と報告（第3の柱）という三本柱で構成されます。保険会社に対し、標準式または承認された内部モデルにより算出した、1年・99.5%の信頼水準に見合う資本の保有を求めます。

ソルベンシー資本要件は、ソルベンシーII適用の保険会社が1年間で200年に1度の損失に耐えるために保有すべき資本の額です。規制当局の標準式、または承認を受けた自社の内部モデルで算出でき、これを下回ると監督当局の介入が段階的に強まります。

デフォルト確率は、借り手や取引相手が一定の期間内に債務を履行できなくなる推定確率です。デフォルト時損失率、デフォルト時エクスポージャーとともに、CECLやIFRS 9に基づく引当や規制資本に用いられる予想損失モデルの構成要素となります。

デフォルト時損失率は、借り手がデフォルトした場合に、担保や回収を考慮したうえで金融機関が失うと見込むエクスポージャーの割合です。百分率で表され、デフォルト確率およびデフォルト時エクスポージャーと組み合わせて予想損失の推計値を導きます。

バーゼルIIIは、2008年の金融危機を受けて銀行の自己資本、レバレッジ、流動性の要件を強化した、バーゼル銀行監督委員会による国際的な規制の枠組みです。銀行が保有すべき資本の量と質を高め、流動性比率（LCRおよびNSFR）を導入し、信用・オペレーショナル・市場リスクの資本賦課を精緻化するいわゆる「バーゼルIIIエンドゲーム」の改革を含みます。

バリュー・アット・リスクは、一定の保有期間と信頼水準のもとでポートフォリオが被ると見込まれる最大損失を推計する指標です。たとえば1日・99%のVaRが500万ドルであれば、損失が500万ドルを超えるのは100日に1日程度と見込まれます。弱点は、その閾値を超えた後に損失がどれほど深くなるかを何も語らない点であり、規制当局が期待ショートフォールを重視するようになった理由でもあります。

モデルリスクとは、誤りを含む、あるいは誤って使われたモデルに基づく判断から生じる不利益の可能性です。SR 11-7が示すとおり、その管理には健全な開発、独立した検証、継続的なモニタリング、そして完全なモデル一覧に支えられたガバナンスが必要です。

モデル検証とは、モデルが健全で意図どおりに機能していることを確かめる一連の独立した活動です。SR 11-7のもとでは、概念的な健全性、継続的なモニタリング（ベンチマーキングとプロセス検証）、結果分析（バックテスト）を対象とし、モデル開発から独立した者が実施します。

モンテカルロ・シミュレーションは、無作為に抽出した入力でモデルを数千回から数百万回実行し、起こり得る結果の分布を推計する手法です。リスク分野では、VaRのための損失分布の構築、複雑なデリバティブの評価、不確実性下での資本や準備金の予測に用いられ、単一の点推定ではなく分布全体を得られます。

リスク選好とは、組織が目的を追求するうえで引き受ける意思のあるリスクの量と種類であり、取締役会が定め、限度と許容度によって表されます。戦略を日々の判断を導く境界に翻訳し、エクスポージャーをエスカレーションすべき時期を示します。

KEVカタログは、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が維持する、実際に悪用が確認された脆弱性の一覧です。KEVに掲載された脆弱性は現実の攻撃者に使われているため、強力な優先順位付けのシグナルとなります。外部に露出した重要資産のKEV該当項目に対処することは、単に高いCVSSスコアを追うよりもはるかに重要です。

期待ショートフォール（条件付きVaR）は、バリュー・アット・リスクの閾値を超えた最悪側の裾における平均損失です。単一の閾値ではなく裾の深さを測るため、VaRよりも極端な損失を的確に捉えられ、FRTBの市場リスクの枠組みで求められるリスク指標となっています。

契約上のサービス・マージンは、IFRS 17のもとで保険契約グループに組み込まれた未稼得利益です。当初認識時に貸借対照表に計上され、保険会社が保障を提供するにつれて損益計算書へ振り替えられるため、利益は前倒しではなく期間にわたって認識されます。

ディテクションエンジニアリングは、生のセキュリティテレメトリを意味のあるアラートに変えるルールと分析を、構築し、テストし、チューニングする技術領域です。今日の実務では検知をバージョン管理されたコンテンツとして扱い（多くはSigmaのような可搬性のある形式で表現）、テスト基盤、測定されたMITRE ATT&CKのカバレッジ、誤検知を抑えるチューニングのサイクルを備えます。

攻撃経路とは、資産、ID、権限、ネットワーク接続をまたいで、攻撃者が最初の侵入口から価値の高い標的へ到達し得る一連の手順です。攻撃経路を分析すれば、最重要システムへ至る多数の経路を同時に遮断できる少数の要所を見つけて断つことができ、脆弱性を個別に修正するよりはるかに効率的です。

事業継続とは、中断の最中および事後においても、組織が重要業務を提供し続ける能力です。事業継続計画は、深刻な事象を通じて許容される停止時間とデータ損失の範囲に収めるために必要な、人、プロセス、技術、復旧目標を文書化します。

実効的なチャレンジとは、モデル開発から独立し、客観的で十分な能力を持ち、異議を唱える権限と動機を備えた者による、モデルへの批判的な分析です。検証を形式的な追認ではなく実質のあるものにする、SR 11-7の原則です。

主要リスク指標（KRI）は、失敗した取引の急増や閾値に近づいた統制など、リスクの高まりを早期に知らせる指標です。定められた限度に照らして継続的に把握され、リスクが損失や違反として顕在化する前に手を打てるようにします。

統制とは、リスクの発生可能性または影響を低減するプロセス、方針、技術的措置です。統制は予防的、発見的、是正的に分類され、その整備状況と運用の有効性は、監査やSOC 2などのコンプライアンス評価の中でテストされます。

内部監査は、組織のガバナンス、リスク管理、統制のプロセスの有効性を評価する独立した保証機能です。スリーラインモデルの「第3線」として取締役会および監査委員会に報告し、事業部門やリスク部門から独立した客観的なチャレンジを提供します。

年間予想損失（ALE）は、あるリスクから1年間に見込まれる金銭的損失です。定量的なサイバーリスクでは、FAIRの損失分布から年間平均損失として読み取り、通常は裾のパーセンタイル（たとえば95パーセンタイルの「悪い年」）と併せて報告されます。資本やサイバー保険の判断では、後者のほうが重要になることも少なくありません。

AIガバナンスとは、AIシステムを安全で、公平で、説明可能で、法令に適合した状態に保つための方針、統制、監督の枠組みです。規制業種の企業では、モデルリスク管理をAI固有のリスク（ドリフト、バイアス、ハルシネーション、自律性）に拡張し、NIST AI RMF、ISO/IEC 42001、EU AI法などの枠組みに沿って運用します。

CECL（現在予想信用損失）は、米国会計基準（ASC 326）の信用損失モデルで、将来予測を用いて金融資産の全期間にわたる予想損失を当初から引き当てることを求めます。損失が発生可能性の高いものとなって初めて認識していた発生損失方式に代わるものです。

COSOの全社的リスクマネジメントの枠組みは、5つの構成要素と20の原則を通じてリスク管理を戦略と業績に統合する、広く用いられているモデルです。リスクの視点をガバナンス、目標設定、意思決定に組み込み、独立したコンプライアンス作業として扱わないことを助けます。

CPS 230は、オペレーショナルリスク管理、事業継続、委託先管理に関するAPRAの健全性基準で、2025年7月から適用されています。オーストラリアの銀行、保険会社、年金基金の受託者に対し、重要業務の特定、取締役会が承認する中断の許容水準の設定、第三者および第四者リスクの管理を求めます。

デジタル・オペレーショナル・レジリエンス法（DORA）は、金融機関のICTシステムの安全性とレジリエンスについて統一的な要件を定めるEU規則です。ICTリスク管理、インシデント報告、レジリエンステスト、重要な第三者ICTプロバイダーの監督を対象とし、2025年1月から適用されています。

EPSSは、ある脆弱性が近い将来に悪用される確率を百分率で推定する、データに基づくオープンなモデルです。CVSSの深刻度やKEVカタログと併用することで、すべての「重大」を一律に扱うのではなく、実際に攻撃される可能性が高いごく一部の脆弱性に是正を集中できます。

EU AI法は、人工知能をリスクの区分に応じて包括的に規律する欧州連合の法律です。許容できないリスクの用途を禁止し、信用や保険を含む多くの高リスクシステムに厳格な義務を課し、汎用AIモデルに関する責務を定め、複数年にわたり段階的に適用されます。

FAIRは、サイバーリスクとオペレーショナルリスクを財務的に定量化するための代表的なオープン標準です。リスクを損失事象の頻度と損失の規模に分解し、各要素を較正された範囲として表し、モンテカルロ・シミュレーションによって年間損失分布を導きます。これにより、サイバーリスクを他の全社的リスクと並べて金額で優先順位付けできます。

トレーディング勘定の抜本的見直し（FRTB）は、バーゼル委員会による市場リスク資本規制の全面的な改定です。VaRを期待ショートフォールに置き換え、トレーディング勘定と銀行勘定の境界を厳格化し、感応度に基づく標準的手法と、承認を要する内部モデル手法（モデル化困難なリスクファクターへの追加賦課を伴う）を併せて提供します。

IFRS 17は2023年から適用されている保険契約に関する国際的な会計基準で、保険負債を現在価値で測定し、契約上のサービス・マージンを通じて保険期間にわたり利益を認識します。IFRS 4のもとで許容されていた不統一な実務を置き換え、保険会社の財務諸表の比較可能性を大きく高めました。

IFRS 9は金融商品に関する国際会計基準で、その減損の規定は、信用リスクの変化に応じて段階を分ける将来志向の予想信用損失モデルを導入しています。米国のCECLに相当する国際基準ですが、12か月の損失と全期間の損失を分けるIFRS 9の段階区分など、仕組みには違いがあります。

ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）に関する国際規格で、情報を保護するためのリスクベースの方針と統制の枠組みです。第三者による認証を受けることができ、SOC 2やNIST CSFと対応付けることで、一つの統制セットで複数の要求事項を満たす形で運用されることも多くあります。

ISO 31000は、あらゆる組織に適用できるリスクマネジメントの原則と指針を示す国際規格です。統制を規定するのではなく、状況の確定、評価、対応、モニタリング、コミュニケーションという枠組みとプロセスを定め、どの業種にも合わせて適用できます。

MITRE ATT&CKは、実際の攻撃で観測された攻撃者の戦術と技術を、侵入の各段階に沿って整理した、世界的に採用されている知識ベースです。セキュリティチームは検知のカバレッジを測り、攻撃者のどこが見えてどこが見えないかを把握し、自組織の脅威モデルにとって重要な技術に対して新しい検知内容を優先的に整備するために利用します。

NISTサイバーセキュリティフレームワークは、統治、識別、防御、検知、対応、復旧という機能を軸に整理された、サイバーリスク管理のための任意の標準およびベストプラクティス集です。業種を問わず広く採用され、サイバーセキュリティ態勢を評価し改善するための共通言語を提供します。

OCSFは、セキュリティのイベントと検出結果を共通の構造で表現するための、オープンでベンダー中立の標準です。異なる製品のテレメトリをOCSFに沿ったモデルへ正規化することで、検知やクエリを一度書けばすべてのソースで実行でき、基盤となる製品を入れ替えてもその上に構築した分析が壊れません。

リスクおよびソルベンシーの自己評価（ORSA）は、保険会社自身が、事業計画期間にわたるすべての重要なリスクと、それを支えるために必要な資本を将来志向で評価するものです。ソルベンシーIIや類似の規制で求められ、リスク管理と経営戦略を結び付け、取締役会と規制当局に報告されます。

リスク・統制自己評価（RCSA）は、事業部門が自らのリスクを特定し、それを緩和する統制を評価し、残余リスクを判断する構造化された手続きです。オペレーショナルリスク管理の要であり、リスク台帳に反映されて統制強化の優先順位づけに用いられます。

SOC 2は、受託会社の統制のうちセキュリティ、可用性、処理のインテグリティ、機密保持、プライバシーに関するものを報告する、AICPAの監査の枠組みです。タイプIの報告書は一時点での統制の整備状況を評価し、タイプIIの報告書は一定期間の運用状況をテストします。大企業の購買部門から広く求められています。

SR 11-7は、米連邦準備制度理事会とOCCが2011年に示した監督ガイダンスで、銀行におけるモデルリスク管理への期待を定めています。堅実な開発と利用、実効的な独立検証、モデル一覧を含む健全なガバナンスという三本柱から成り、モデルガバナンスの事実上の国際標準となっています。