日本企業のサステナビリティ開示は、2023年3月期の有価証券報告書から義務化されています。このうちガバナンスとリスク管理は必須の記載事項です。しかし、義務化から3年が経過した現在も、開示の質は十分に向上していません。問題は「やらない」ことではなく、「何を書けばよいかわからない」ことにあります。
特に深刻なのは、リスク管理プロセスの記載です。開示府令（第二号様式記載上の注意(30)b(a)）は、サステナビリティ関連のリスク及び機会を「識別し、評価し、及び管理するための過程」の記載を求めています。ここで注意すべきは、委員会の設置や担当役員の任命といった「体制」の記述ではなく、具体的な「過程（プロセス）」の記述が求められているという点です。体制を書くことと、プロセスを書くことは、まったく別の作業なのです。
金融庁の令和7年度有価証券報告書レビュー（2026年3月27日公表）においても、このリスク管理プロセスの記載に関する課題が3年連続で識別されています。
- 金融庁「令和7年度 有価証券報告書レビューの審査結果及び審査結果を踏まえた留意すべき事項等」（2026年3月27日）
https://www.fsa.go.jp/news/r7/sonota/20260327-2/02-1.pdf
レビューが示す課題事例は深刻です。ある企業はリスク管理欄に「環境的リスク」の内容と対策を記載しています。しかしながら、それらのリスクをどのような情報源から識別しているのか、どのような基準で評価しているのか、さらにどのようにモニタリングしているのかという「過程」は一切記載されていません。このため、金融庁はこの記載を「リスク管理の開示としては適切ではない」と指摘しています。また、別の企業では、リスク・機会を列挙しているものの、それぞれに対応する戦略や指標・目標が記載されていません。リスクの「カタログ」は存在するが、「取扱説明書」が存在しない状態となっています。
これらの課題は、SSBJ基準の適用対象か否かにかかわらず、すべての有価証券報告書提出企業共通する問題です。有価証券報告書レビューは、「全ての有報提出企業がSSBJ基準への移行を意識した開示に取り組むことは有用である」と明記しています。さらに、指摘を受けた企業は翌年度にフォローアップされる仕組みも設けられています。したがって、これは「いずれ対応すればよい」話ではなく、すでに進行している制度対応の問題です。
本稿では、まずリスク管理開示に関する規範性のレベルを整理します。そのうえで、「過程」の構成要素を定義するとともに、課題の構造的原因を分析します。さらに、ESRSに基づく先行開示事例としてユニリーバのDMAプロセスを取り上げます。そして、日本企業がリスク管理プロセスの開示を再設計する際の具体的な素材を提示します。
■「どこまでやれば合格か」――規範性の3層構造
本稿では、リスク管理開示に関する記述を「義務」「期待」「ベストプラクティス」の3層に区分して論じます。この区分は、実務担当者にとって最も切実な問い、すなわち「どこまでやらなければならないか」に答えるために導入するものです。
「義務」は開示府令（第二号様式記載上の注意(30)b(a)）に基づく法的要求です。したがって、すべての有価証券報告書提出企業が遵守しなければなりません。
「期待」はSSBJ基準（サステナビリティ開示テーマ別基準第1号「一般開示基準」第29項）や有価証券報告書レビューの留意事項が示す開示の方向性です。この水準は法的義務ではないものの、投資家にとって有用な情報として開示が強く推奨されます。
「ベストプラクティス」は先行企業の開示事例から抽出される高水準の実務です。したがって、到達目標として参照されます。本稿で紹介するユニリーバのDMAプロセスは、この第3層に位置づけられます。
ただし、この3層は固定的な階段ではありません。というのも、「期待」水準であっても、有価証券報告書レビューにおいて留意事項として繰り返し指摘される場合には、実質的に「義務」の充足判断に影響する可能性があるからです。この意味において、今日の「期待」は、将来の「義務」に転化し得るのです。
■リスク管理における「過程」とは何か――4つの構成要素
開示府令が求める「過程」の記載を実務的に充足するためには、何をどの粒度で記述すればよいかの指針が不可欠です。「過程を書け」と指示されても実務上書けない理由は、「過程」という概念が過度に抽象的である点にあります。そこで本稿では、その輪郭を4つの要素に分解することによって明確化します。
なお、本稿では、日本企業が準拠すべきSSBJ基準の規定を第一の根拠として引用します。そのうえで、対応するISSB基準の条文を括弧書きで併記します。一方、ユニリーバの開示を分析する文脈では、同社が準拠するESRSとISSBの対応関係を検討する必要があるため、この部分ではIFRS S2の規定文を直接参照します。
SSBJ一般開示基準第29項（IFRS S2第25項に対応）の開示要求について、本稿では実務上の記述単位として再構成します。その結果として、以下の4要素に整理します。この整理は、基準書の要求事項を網羅的にカバーすることを目的とします。同時に、実務家がチェックリストとして使用できる操作可能性の確保も意図しています。ただし、この枠組みは一つの整理方法にすぎないため、他の整理方法を排除するものではありません。
第一の要素は「Input（情報源）」です。これは、リスク・機会の識別に用いたデータソース、ツール、ステークホルダーの見解を指します。SSBJ基準では、「企業が用いるインプット（例えば、データの情報源及び当該プロセスの対象となる事業の範囲に関する情報）」として開示が求められています。比喩的に言えば、どの市場からどのような食材を仕入れたかを示す工程に相当します。
第二の要素は「Process（評価方法）」です。ここには、影響度および発生可能性の評価基準、スコアリングの尺度、定量的閾値が含まれます。SSBJ基準は、「リスクの影響の性質、発生可能性及び規模の評価方法に関する情報」および「優先順位付けに関する情報」の記載を求めています。したがって、この要素は評価ロジックの中核を構成します。料理の比喩で言えば、仕入れた食材をどのレシピで、どのような火加減で調理するかという工程に該当します。
第三の要素は「Output（開示構造）」です。これは、Processの結果を、投資家の意思決定に耐える形に再構成して提示したものです。具体的には、識別されたリスク・機会の一覧、優先順位、時間軸が含まれます。SSBJ基準においては、「モニタリングする方法に関する情報」および「プロセスの変更に関する情報」に対応します。
Outputは独立した「行為」ではなく、Processの帰結として生成されるものです。それにもかかわらず、本稿がOutputを独立要素として位置づける理由があります。なぜなら、Processが生成する生データと、投資家が意思決定に使える形に構造化された情報は質的に異なるからです。実際、後述する有価証券報告書レビューの課題が示すとおり、評価プロセスを有していても、その結果を体系的に提示できていない企業は少なくありません。この欠落を可視化するためには、Outputを独立要素として扱う必要があります。調理した料理を、顧客が食べられる形に盛り付け、メニューとして提示する工程に相当します。
第四の要素は「Governance（検証・承認）」です。これは、専門家による検証、委員会・取締役会による承認、見直しサイクル、ERMとの統合を含みます。SSBJ基準は、「全体的なリスク管理プロセスに統合され、用いられている程度」の開示を求めています。したがって、この要素はプロセスの信頼性および制度的定着度を担保する役割を果たします。
■有価証券報告書レビューが暴いた「4つの穴」
有価証券報告書レビューが識別した課題のうち、リスク管理プロセスに直接関連する課題2から5について、本稿ではそれぞれが4要素のどの欠落に起因するのかを整理します。なぜなら、課題がどの要素の欠落に起因するかを正確に識別できれば、各企業は自社の開示における改善の優先順位を合理的に決定できるからです。
課題2は、リスクを識別・評価・管理するための過程の記載が不明瞭であるという指摘です。この問題は、InputとProcessの欠落に起因します。というのも、情報源や評価基準が記載されていないためです。
課題3は、機会を識別・評価・管理するための過程の記載が存在しないという指摘です。この問題も同様に、InputとProcessの欠落に起因します。すなわち、リスクについては一定の記述が存在する一方で、機会に関するInputおよびProcessが完全に欠落しているケースです。
課題4は、リスク・機会に対応する戦略・指標・目標の記載が不明瞭であるという指摘です。この課題はOutputの欠落に起因します。評価結果が体系的に提示されていないため、戦略との対応関係を読み取ることができないからです。
課題5は、リスク・機会の記載自体が存在せず、かつ戦略・指標も不明瞭であるという指摘です。この課題はInputとOutputの双方の欠落に起因します。すなわち、識別結果そのものが欠落しているだけでなく、その構造的提示も行われていません。
本稿では「リスク管理」領域の分析を行うものの、有価証券報告書レビューで指摘されている「戦略」領域の課題（課題4・5）についてもあわせて取り上げます。これは、当該課題が独立した戦略上の問題ではなく、リスク管理プロセスの前提となるマテリアリティ評価および価値創造ストーリーの欠落に起因するためです。すなわち、本稿では開示項目ごとの区分ではなく、企業がどのようにリスクと機会を識別し、評価し、開示に至るかという一連のプロセスとして課題を再構成します。
この視点に立つと、戦略に関する課題もまた、リスク管理プロセスの「入力不全」として理解されます。
■なぜ3年経っても書けないのか――構造的原因の解剖
有価証券報告書レビューで検出された課題が3年連続で改善されていません。その背景には、個社の努力不足では説明できない構造的な原因が存在します。本稿では、その原因を3点に整理します。
第一の原因は、「体制」と「プロセス」の混同です。有価証券報告書レビューの課題事例がこれを象徴しています。例えば、ある企業はガバナンス欄に「サステナビリティ担当執行役員を責任者として、サステナビリティ推進担当部が年度目標を設定し、取り組みを推進しております」と記載しています。しかしながら、この記述には、取締役会等による監督を含むガバナンスの「過程、統制及び手続」は含まれていません。
前述の4要素に照らして評価すると、この企業が記載しているのはGovernanceの一部、すなわち担当者の任命にとどまります。これに対して、Input（どのような情報源を用いたか）、Process（どのような基準で評価したか）、Output（どのような結果が得られたか）はいずれも欠落しています。「誰がやるか」は示されているものの、「何をどのように実施するか」は示されていません。このため、体制の記述だけでは、開示府令が義務として求める「過程」の記載を充足することはできないのです。
第二の原因は、参照すべきモデルの不在です。ISSB基準およびSSBJ基準はいずれもリスク管理プロセスの開示を詳細に要求しています。しかしながら、ISSB基準に基づく先行開示事例は現時点ではほとんど存在していません。また、SSBJ基準も2025年3月に公表されたばかりであるため、4要素をどの粒度で記述すべきかについて、実務的な蓄積が不足しています。この状況は、設計図は提示されているが完成品の具体例が存在しない状態に相当します。
この点に関連して、欧州のESRSに基づく先行開示事例は重要な参照対象となります。ESRSは2024年度報告から適用が開始されているため、すでに具体的な開示が公開されているからです。ただし、ESRSのDMAプロセスをISSB/SSBJ基準にそのまま転用することはできません。この点については後述します。
第三の原因は、ERMとサステナビリティリスク評価の断絶です。多くの日本企業は全社的リスク管理（ERM）の仕組みを有しています。しかしながら、サステナビリティリスクの評価はERMとは別の文脈で実施されているため、4要素のうちGovernance（全体的なリスク管理プロセスへの統合）を記述することができません。具体的には、サステナビリティ推進部門が独自にマテリアリティ評価を実施する一方で、ERM部門は従来型の事業リスクを管理しています。このような二元構造が存在する結果、SSBJ基準の一般開示基準第29項(3)が期待する統合の記述は、実務上困難となっています。
