取締役会・監査役が確かめたいITのリスク

取締役会と監査役は、ITのリスクが会社の中で把握され、対策が計画どおりに進んでいるかを確かめる立場にあります。会社法の内部統制システムの考え方を土台に、経済産業省の「サイバーセキュリティ経営ガイドライン」や「デジタルガバナンス・コード」を手がかりにすると、確かめたい問いと、報告を受ける形を整理しやすくなります。

取締役会は、なぜITのリスクを確かめるのか

会社法第362条第4項第6号は、取締役の職務の執行が法令と定款に適合することを確保するための体制その他、会社の業務と、会社とその子会社から成る企業集団の業務の適正を確保するために必要な体制の整備を、取締役に委任できず取締役会が決める事項の1つとしています。いわゆる内部統制システムです。同条第5項は、大会社である取締役会設置会社では、取締役会がこの事項を決定しなければならないとしています。監査等委員会設置会社と指名委員会等設置会社は、別の条文（第399条の13・第416条）で定められています。

体制の中身は、会社法施行規則第100条に定められています。取締役の職務の執行に係る情報の保存及び管理に関する体制、損失の危険の管理に関する規程その他の体制などが含まれます。業務の多くがシステムで動き、情報の多くが電子データで保存される今、ITのリスクの管理は、これらの体制と切り離して考えにくくなっています。

出典：e-Gov 法令検索「会社法」、e-Gov 法令検索「会社法施行規則」

体制をどこまで整えるべきかは、会社の規模や業種、事業の内容によって異なります。法令上の義務の範囲は、弁護士などの専門家にご確認ください。

子会社のITのリスクも確かめるのか

会社法第362条第4項第6号の体制は、会社の業務だけでなく、その会社と子会社から成る企業集団の業務の適正の確保も対象にしています。会社法施行規則第100条にも、企業集団における業務の適正を確保するための体制が挙げられています。

グループで同じシステムを使っている場合や、子会社に重要な業務を任せている場合は、子会社のシステムで起きた事故が、グループ全体の事業や信用に影響することがあります。親会社の取締役会がITのリスクを確かめるときは、子会社のシステムと、その管理の状態を把握しているかも問いに加えます。

M&Aで新しく子会社を迎えたときは、その会社のシステムの管理の水準が、グループの水準とそろっていないことがあります。統合の進め方は買収の後のシステム統合（PMI）をどう進めるかで扱っています。

手がかりになる公的な指針は何か

ITのリスクを確かめるときの手がかりとして、経済産業省が公表している次の指針があります。

サイバーセキュリティ経営ガイドラインは、3原則として、サイバーセキュリティのリスクを自社のリスクマネジメントの重要課題と認識して経営者が自ら対策を進めること、委託先を含むサプライチェーン全体に目を配ること、平時と緊急時のいずれも関係者と積極的に意思疎通することを挙げています。重要10項目には、リスクを管理する体制の構築、リスクの把握と対応の計画、インシデントが起きたときの対応の体制や、被害に備えた事業継続・復旧の体制、委託先などを含むサプライチェーン全体の対策などが含まれます。予算と人材の確保（指示3）や、PDCAによる継続的な改善（指示6）も、取締役会が報告を受けるときの問いに使えます。

デジタルガバナンス・コード3.0の5つの柱の1つ「DX戦略の推進」には、「ITシステム・サイバーセキュリティ」の項目があります。DXを進める立場からも、システムとセキュリティを経営の課題として扱うことが求められています。デジタルガバナンス・コードは、2026年に経済産業省の検討会で次の版の検討が始まっているため、参照する前に経済産業省のページで最新の版をご確認ください。

出典：経済産業省「サイバーセキュリティ経営ガイドライン」、経済産業省「デジタルガバナンス・コード」、経済産業省「システム管理基準」（2023年4月26日改訂）

取締役会・監査役は、何を問えばよいのか

取締役会や監査役が、設定やプログラムの細部まで確かめる必要はありません。確かめたいのは、リスクが把握され、責任者と手順が決まり、実際に動いているかです。問いの例を、領域ごとにまとめます。

リスクの把握

• 事業を止めるおそれのあるシステムと、守るべき情報（個人情報、取引先の情報、技術の情報など）が、一覧になっているか
• それぞれのリスクの大きさを評価し、優先して手当てするものが決まっているか

体制と責任

• ITとセキュリティの責任者は誰か。経営会議や取締役会に報告する経路はあるか
• 予算と人員は、計画に見合っているか

守りと備え

• アカウントと権限の管理、多要素認証、バックアップなど、基本の対策の状況はどうか
• 事故が起きたときの連絡と判断の手順（インシデント対応）は決まっていて、訓練したことがあるか
• システムが止まったときに業務を続ける計画（事業継続計画〔BCP〕）と、復旧の手順はあるか

委託先とクラウド

• 重要な業務を担う委託先とクラウドのサービスを把握し、管理の状態を確かめているか
• 委託先で事故が起きたときの連絡の取り決めはあるか

確かめ方は、委託先とクラウドのサービスを、どう確かめるかで扱っています。

新しい技術の使い方

• 生成AIなどの新しいサービスについて、使ってよい範囲と入力してよい情報の決まりがあり、守られているか

生成AIの使い方の確かめ方は、生成AIの使い方を、監査でどう確かめるかをご覧ください。

改善の進み具合

• 過去の監査や点検の指摘は、期限どおりに直っているか。直っていないものは、理由と見通しが示されているか

報告は、どんな形で受ければよいのか

ITのリスクの報告は、技術の言葉を経営の言葉に置き換えた形で受けると、判断に使いやすくなります。報告の形の例を示します。

1. 要点：前回からの変化と、取締役会に判断を求める事項を最初に書く
2. 主なリスクの一覧：リスクの内容、大きさ、責任者、対策の状況を1表にまとめる
3. 事故と対応：期間中に起きた事故や、未然に防いだ事案と、その対応
4. 指摘の改善の状況：監査や点検の指摘ごとに、期限、進み具合、遅れの理由
5. 次の期間の計画：予算や人員を要する対策と、その理由

報告の頻度は、会社の規模やリスクの大きさに合わせて決めます。定めた形で続けて報告を受けると、前回との比較で変化に気づきやすくなります。

報告の内容を、どう確かめるのか

社内の担当から報告を受けるだけでは、報告の内容が実態と合っているかを確かめにくいことがあります。内部監査の部門による確認や、外部の専門家によるシステム監査を組み合わせると、報告を別の立場から裏づけられます。

監査役は、監査の中で、内部監査の部門や外部の専門家と連携して情報を得ることもできます。システム監査の目的と進め方はシステム監査とは何かで、監査を外部に頼むときの独立性の考え方はシステム監査の独立性で説明しています。

当社のご支援

アメリア・テクノロジーは、システム監査として、情報セキュリティ、委託先の管理、生成AIの利用のルールと運用などを決まった時期に確かめ、取締役会・監査役に報告できる形にまとめています。結果はご依頼者にだけ報告し、当社が開発・運用に関わったシステムは監査の対象にしません。監査と改善の担当は分け、費用は成功報酬にしません。取締役会への報告の形を整えるところからでも、ご相談いただけます。