※本記事は2026年10月6日時点の公表資料に基づきます。
「サイバー攻撃や地政学リスクの話は、情報システム部門や調達部門に任せている」。そうした会社にとって、CGコードの2026年改訂は運営を見直すきっかけになります。
結論からいえば、改訂後のコードは内部統制と全社的リスク管理体制の整備を取締役会の責務として独立の原則（原則4-4）に掲げ、その解釈指針でサイバーセキュリティ、地政学的要因によるサプライチェーン途絶、技術等の情報流出への対応が含まれ得ることを明記しました。本記事では、取締役会がこれらのリスクをどう監督するかを、生成AIの利用管理もあわせて整理します。
この記事の見出し
改訂でリスク管理はどう位置付けられたか
改訂後の原則4-4は、取締役会は、内部統制や全社的リスク管理体制を適切に整備すべきであるとしています。当局の解説によれば、2025年度の「コーポレートガバナンス・コードの改訂に関する有識者会議」において、リスク管理の重要性に関する指摘があったことも踏まえ、内部統制および全社的リスク管理体制の整備に関する独立した原則として設けられたものです。
あわせて、解釈指針では、リスク管理体制を整備する際の考慮事項として、サイバーセキュリティリスク、国際的な経済安全保障を巡る環境変化等の地政学的要因によるサプライチェーン途絶リスク、および技術等の情報流出リスクへの対応が含まれ得ることが追記されました。実務解説では、今回の原則4-4の改訂により、全社的なリスク管理についても取締役会の監督事項として位置付けが明確化されたと説明されています。
図1 実線は原則4-4の解釈指針が挙げるもの、破線は実務上の論点として本記事で取り上げるものです。
| リスク | 想定される事象の例 | 取締役会での確認ポイント |
|---|---|---|
| サイバーセキュリティ | ランサムウェア攻撃、サプライチェーン攻撃 | 事業継続への影響評価と、平時の対策の進捗 |
| 地政学的なサプライチェーン途絶 | 特定地域からの調達停止、輸出入規制 | 調達先の分散、代替手段、在庫方針 |
| 技術等の情報流出 | 技術者の転職、委託先経由の流出、不正アクセス | 重要技術の特定と管理、契約上の手当て |
| 生成AIの利用（実務上の論点） | 入力情報の漏えい、権利侵害 | 利用ルール、教育、監視の仕組み |
リスク管理は「攻め」の基盤でもある
基本原則4は、取締役会の役割の一つとして、経営陣による適切なリスクテイクを支える環境整備を掲げています。内部統制や全社的リスク管理は、損失を防ぐための「守り」の仕組みであると同時に、経営陣が成長投資などのリスクを適切に取るための基盤でもあります。リスクを把握し管理できているからこそ、思い切った投資判断も可能になります。
図2 内部統制と全社的リスク管理は、損失を防ぐだけでなく、経営陣の適切なリスクテイクを支える基盤です。
自社に当てはめるとどうなるか、個別にお答えします
IPO支援：ショートレビュー、資本政策、内部管理体制、Ⅰの部の作成、審査対応まで。初回のご相談は無料、オンラインにも対応しています。
IPO支援の内容を見る ／ 相談内容を送る
取締役会は何を監督するのか
取締役会の役割は、個々のリスク対策を自ら実行することではありません。経営陣がリスク管理体制を適切に構築・運用しているかを監督することです。そのためには、各部門やリスク管理部門から経営陣を経て取締役会に至る報告の経路を整え、取締役会が定期的に状況を把握し、必要に応じて改善を求められる状態を作る必要があります。
図3 取締役会は体制の整備と運用を監督し、経営陣と各部門が日々の管理を担います。
サイバーセキュリティリスクの監督
ランサムウェア攻撃やサプライチェーン攻撃等が企業価値に重大な影響を及ぼす事例が相次ぐなか、サイバーリスクはもはや情報システム部門のみの課題ではなく、取締役会が監督すべき経営課題となっています。システムの停止は生産や販売の停止に直結し、顧客情報の流出は信用の毀損につながります。
図4 インシデント発生時の対応体制だけでなく、平時の取組みも定期的に確認します。
取締役会には、インシデント発生時の対応体制だけでなく、平時におけるリスク評価、教育訓練、外部専門家の活用状況等についても定期的な報告を受け、必要に応じて改善を求めることが期待されます。報告を受ける際には、対策の実施状況だけでなく、どのリスクを重点とし、どのリスクを受け入れているのかという判断の考え方を確認することが大切です。
図5 実務解説で挙げられている項目を中心に整理しました。
| 確認の場面 | 取締役会の質問の例 | 報告に含めたい情報 |
|---|---|---|
| リスク評価 | どのシステム・情報が止まると事業に最も影響するか | 重要資産の一覧、影響度 |
| 対策の進捗 | 前回指摘した課題はどこまで改善したか | 計画と実績、未対応の理由 |
| 委託先の管理 | 委託先や子会社の対策はどう確認しているか | 確認の方法と結果 |
| 有事の備え | 重大事案が起きたら誰がいつ報告するか | 報告基準、訓練の実施結果 |
子会社や海外拠点、委託先を経由した攻撃も増えています。グループ全体でどの水準の対策を求め、どう確認しているかも、監督の対象に含めて考える必要があります。社外取締役の中にIT・デジタル分野の知見を持つ人がいない場合は、外部専門家の説明を受ける機会を設けることも有効です。
地政学リスクと情報流出リスク
国際的な経済安全保障を巡る環境変化は、調達、技術、市場の各面に影響を及ぼします。特定の国や地域からの調達が停止すれば生産が止まり、輸出入規制の変更は販売先の喪失につながることもあります。こうした地政学的要因によるサプライチェーン途絶リスクへの対応が、改訂後の解釈指針に明記されました。
図6 国際的な経済安全保障を巡る環境変化は、調達・技術・市場の各面に波及し得ます。
技術等の情報流出リスクも、同じ文脈で捉えることができます。競争力の源泉となる技術やノウハウが、人材の移動、委託先、不正アクセスなどを通じて流出すれば、企業価値は大きく損なわれます。どの技術や情報を重要と位置付け、どう管理しているかを、事業戦略と結び付けて取締役会で確認することが望まれます。
これらのリスクは、平時に影響と発生可能性を評価し、重点を決めておくことが出発点です。すべてのリスクに同じ資源を割くことはできません。影響が大きく発生可能性も高いものから優先して対策を講じ、影響は大きいが発生可能性が低いものには事業継続計画などで備えるといった整理が考えられます。
図7 個々のリスクを置く位置は各社が判断します。図は優先順位を議論するための枠組みの例です。
生成AIの利用に伴うリスクをどう扱うか
生成AIは、原則4-4の解釈指針に明記されたリスクではありません。しかし実務解説では、生成AIの利用拡大に伴う情報管理や知的財産、個人情報保護等の新たなリスクについても、継続的に監督を行うことが望まれると指摘されています。解釈指針が挙げる技術等の情報流出リスクとも重なる部分があり、全社的リスク管理の枠組みの中で扱うことが考えられます。
図8 生成AIはコードの解釈指針に明記されたリスクではありませんが、情報管理等の観点から監督の対象とすることが考えられます。
具体的には、業務で生成AIに入力してよい情報の範囲、生成物の権利や正確性の確認方法、個人情報の取扱いなどを利用ルールとして定め、教育と監視の仕組みとあわせて運用します。取締役会は、ルールの内容そのものよりも、利用の実態が把握されているか、問題が起きたときに報告される仕組みがあるかを確認することが重要です。生成AIは業務効率化や新たな事業機会にもつながるため、禁止するかどうかの二択ではなく、リスクを管理しながら活用する方針を示すことが望まれます。
生成AIの利用ルールを定める際には、業務での利用を一律に禁止するよりも、利用してよい場面と避けるべき場面を具体的に示すほうが、実態に即した管理につながります。禁止しても個人の判断で使われてしまえば、かえってリスクが見えなくなるためです。社内の利用状況を把握する仕組みと、問題が起きたときの相談窓口をあわせて整えておくことが大切です。
取締役会としては、ルールの整備状況とあわせて、利用によって業務がどう変わっているか、新たなリスクが生じていないかを定期的に確認します。技術の進歩が速い分野であるため、一度定めたルールを固定せず、見直しの時期をあらかじめ決めておくと安心です。
読みながら、自社の場合はどうなるかが気になっていませんか
いまの状況と、判断に迷っている点をお送りいただければ、公認会計士がどこから手をつけるべきかを整理してお返しします。営業のご連絡を重ねて差し上げることはありません。
初回のご相談は無料です。お問い合わせはこちら ／ IPO支援を見る
インシデント発生時の報告と開示
有事に適切に対応するためには、どの水準の事象を、いつ、誰が取締役会に報告するかをあらかじめ定めておく必要があります。重大な事象は経営陣と取締役会へ速やかに報告し、それ以外は定期報告で共有する、といった基準を設けておくと、初動で迷いにくくなります。
図9 どの水準の事象を、いつ取締役会に報告するかをあらかじめ定めておきます。
重大なインシデントは、適時開示や有価証券報告書のリスク情報にも関係します。被害の範囲が確定しない段階で何を開示するか、取引先や顧客にどう説明するかといった判断には、法務、IR、広報などの関係部署が関わります。報告経路と開示判断の手順を一体で整理しておくことが大切です。
年間の監督サイクルに組み込む
リスクの監督は、問題が起きたときだけ議題に上げるのではなく、年間の取締役会運営に組み込むことが重要です。全社のリスクを評価し、重点リスクを決め、対策を実行し、その結果を報告・検証する。このサイクルを毎年回し、環境の変化に応じて重点を見直します。
図10 評価から検証までを毎年回し、環境の変化に応じて重点を見直します。
IPO準備会社にとっても、リスク管理体制は上場審査で確認される重要な項目です。サイバーセキュリティや情報管理の体制、重大な事象の報告経路が整っているかは、内部管理体制の評価に関わります。上場後に原則4-4への対応を説明する場面を見据え、早い段階から取締役会への報告の仕組みを整えておくとよいでしょう。
内部監査・監査役との連携
取締役会がリスク管理体制の運用状況を確かめるうえでは、内部監査部門や監査役（監査等委員）との連携も欠かせません。執行側からの報告だけでは、対策が計画どおりに運用されているかを客観的に確認することは難しいためです。内部監査がサイバー対策や情報管理の運用状況を監査し、その結果を取締役会や監査役に直接報告する経路を設けておくと、監督の実効性が高まります。
また、監査役や監査等委員は、取締役の職務執行を監査する立場から、リスク管理体制の整備状況にも関心を持っています。取締役会への報告内容と、監査役への報告内容に食い違いがないよう、報告資料を共通化しておくことも有効です。三様監査の連携については、既存の記事「監査役監査・内部監査・会計監査はどう違うか｜三様監査の連携」も参考にしてください。
| 時期（例） | 取締役会で扱うテーマ | 主な報告者 |
|---|---|---|
| 期初 | 全社リスク評価と重点リスクの決定 | リスク管理部門・経営陣 |
| 半期 | サイバー対策・情報管理の進捗 | 情報システム部門・CISO等 |
| 随時 | 重大なインシデント、地政学的な環境変化 | 担当役員 |
| 期末 | 対策の検証と次年度の重点 | リスク管理部門・内部監査 |
年間の計画を立てておけば、重大な事象が起きたときにだけリスクが議題になる状態を避けられます。上の表は一例であり、事業の特性によって重点を置く時期や頻度は変わります。
実務上、つまずきやすい点
よくあるのは、リスク管理委員会で詳細な議論をしていても、その内容が取締役会に要約して報告されていないケースです。委員会の議事録を添付するだけでは、社外取締役は重点を把握できません。重点リスク、前回からの変化、判断を求めたい事項を絞って報告することが大切です。
また、サイバー対策の報告が技術的な用語に偏り、経営への影響が伝わらないケースもあります。「どの事業が何日止まる可能性があるか」といった経営の言葉に置き換えて報告すると、取締役会での議論が具体的になります。
- 内部統制と全社的リスク管理体制を、取締役会の監督事項として位置付けているか
- サイバー、地政学、情報流出のリスクを評価し、重点を決めているか
- 平時のリスク評価・教育訓練・外部専門家の活用状況の報告を受けているか
- 生成AIの利用ルールと、利用実態の把握の仕組みがあるか
- 重大なインシデントの報告基準と開示判断の手順を定めているか
よくある質問
必須ではありません。自社の事業におけるサイバーリスクの重要性を踏まえて検討します。専門家がいない場合は、外部専門家の説明を受ける機会を設ける方法もあります。
原則4-4の解釈指針に生成AIは明記されていません。ただし、情報管理や知的財産、個人情報保護の観点から、全社的リスク管理の中で監督することが考えられます。
委員会の設置だけでは足りません。重点リスクと対策の状況が取締役会に報告され、取締役会が必要に応じて改善を求められる仕組みがあることが重要です。
事業への影響が大きい調達先、販売先、技術を特定し、途絶や規制変更が起きた場合の影響と対応策を検討することから始めるのが現実的です。
最初の一歩は、重点リスクを五つに絞って報告してもらうこと
取組みの出発点として、経営陣に対し、事業への影響が大きいリスクを五つ程度に絞り、それぞれの対策の状況と課題を取締役会で報告してもらうことをお勧めします。網羅的な一覧よりも、重点を絞った報告のほうが、取締役会での議論は深まります。
まとめ
CGコードの2026年改訂は、内部統制と全社的リスク管理体制の整備を取締役会の責務として独立の原則に掲げ、サイバー、地政学的なサプライチェーン途絶、技術等の情報流出への対応を解釈指針に明記しました。生成AIのような新たなリスクも含め、平時の評価と報告、有事の報告経路を整え、年間のサイクルで監督することが改訂後の実務の要点です。
重点リスクの整理、取締役会への報告の仕組み、インシデント時の報告と開示の手順まで、現在の体制を基に論点を整理します。
公認会計士としての実務歴は13年以上、独立後は20社を超える支援に関与しています。労働者派遣事業と有料職業紹介事業の許可申請にかかる監査証明と合意された手続業務に対応しています。優成監査法人（現・太陽有限責任監査法人）で上場企業および上場準備企業の監査に従事し、太陽グラントソントン・アドバイザーズで財務デューデリジェンスと企業価値評価に携わりました。プロフィールを見る
本記事の根拠
- コーポレートガバナンス・コード（2026年改訂版）（基本原則4、原則4-4およびその解釈指針）
- コーポレートガバナンス・コード改訂（2026年）の概要
- 新谷亜紀子・福田輝人・金子慧史・日野雄介「コーポレートガバナンス・コード改訂版の解説」『経理情報』No.1787（2026年9月20日号）42〜46頁
- 樋口隆明「CGコード改訂に伴う取締役会の機能強化」『経理情報』No.1787（2026年9月20日号）51〜53頁
免責：本記事は一般的な情報提供を目的とし、個別案件に対する法務、会計、税務その他の専門的助言を構成するものではありません。実際の対応は、最新の法令・取引所規則・公表資料を確認し、必要に応じて専門家へご相談ください。
