COSO-ERMとは？こそいーあーるえむ
COSO-ERMとは、米国のCOSO（トレッドウェイ委員会支援組織委員会）が、内部統制の枠組みを全社的リスクマネジメントへ拡張したフレームワーク。2017年版は「ガバナンスと文化」「戦略と目標設定」「パフォーマンス」「レビューと修正」「情報・伝達・報告」の5構成要素と20原則からなり、リスクを戦略の選択と一体で扱う。サイバーリスクを経営リスクとして位置付ける根拠として支援士試験に出る。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
内部統制の枠組み（COSOフレームワーク）は財務報告の信頼性など業務レベルの統制を対象にしており、「どの事業に賭けるか」という戦略レベルのリスクは扱えなかった。2000年代初頭の企業不祥事を機に、リスクを戦略・目標設定と結び付けて経営が主体的に扱う枠組みとして2004年に初版が出た。情報セキュリティも「IT部門の課題」から「経営が引き受ける全社リスクの一つ」へ位置付けが変わり、ISMSのリスク受容基準やリスク所有者の考え方と接続する。
具体例
COSOはAICPA（米国公認会計士協会）など5団体の共同組織で、2004年に「Enterprise Risk Management ― Integrated Framework」を、2017年に改訂版を公表した。新規事業の選択肢ごとにサイバーリスクを含めたリスクプロファイルを比較し、リスク選好の範囲に収まる案を選ぶのが典型的な使い方である。
試験での引っ掛け
COSOの内部統制フレームワーク（COSOキューブ）とは別の枠組みで、内部統制を置き換えるものではなく包含して拡張する関係にある。ERMは戦略・目標設定と結び付けて全社リスクを扱う点で対象が広い。JIS Q 31000（リスクマネジメント）とも別物で、こちらはISO由来の指針である。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。