はじめに
2026年7月、コーポレートガバナンス・コード（以下、CGコード）が5年ぶりに改訂され、公表されました。今回の改訂で特に注目すべきは、原則4-4（取締役会の役割・責務Ⅲ）の解釈指針において、サイバーセキュリティリスク、経済安全保障を巡る地政学的要因によるサプライチェーン途絶リスク、そして技術等の情報流出リスクへの対応が、取締役会が監督すべきリスク管理体制の考慮事項として明確に位置付けられたことです。
これまでCGコードにおいては補充原則4-3④（取締役会の役割、責務）で「取締役会は、適時かつ正確な情報開示が行われるよう監督を行うとともに、内部統制やリスク管理体制を適切に整備すべきである」と要求されていました。
今回の改訂では、上記の要求は原則4-4に格上げされ、「取締役会は、内部統制や全社的リスク管理体制を適切に整備すべきである」とした上で、解釈指針に「取締役会は、グループ全体を含めた内部統制や先を見越した全社的リスク管理の体制を適切に構築するとともに、内部監査部門を活用しつつ、その運用状況を監督すべきである」「サイバーセキュリティリスク、国際的な経済安全保障を巡る環境変化等の地政学的要因によるサプライチェーン途絶リスク及び技術等の情報流出リスクへの対応等も、収益機会にもつながり得るものとして、リスク管理体制を整備する際の考慮事項に含まれ得るとともに、そうしたリスクへの対応等が適切に行われるべきである」と明記されました（図表1）。
図表1：補充原則4-3④の原則4-4への格上げ
本稿では、CGコード改訂を機に「サイバーセキュリティは情報システム部門の技術課題ではなく、取締役会および経営が関与すべきリスクである」という前提を念頭に置き、内部監査の期待役割を再考します。
内部監査への期待の変遷
内部監査の役割は、旧来、対象期間に行われた各業務が規程や基準に準拠しているかを確かめることであると考えられてきました。事前に定められたルールが守られているか、各統制が有効に機能しているかを検証し、その結果を報告する機能であると認識されることが一般的でした。
一方で、この10年ほどの間に、内部監査に対する期待は徐々に広がりを見せています。2015年に初版が適用開始されたCGコードは段階的に改訂を重ねていますが、2021年の改訂において補充原則4-3が加筆修正され、内部統制や全社的リスク管理を適切に整備し、内部監査部門を活用しつつその運用状況を監督することが、取締役会の責務としてあらためて明確化されました（CGコードの改訂により求められる内部監査の進化──ガバナンス強化に対応した取り組み事例参照）。
これに加えて、2025年のグローバル内部監査基準（Global Internal Audit Standards）改訂においても、内部監査部門は組織の価値を創造、保全、維持する能力を高め、独立した立場から取締役会と継続的に対話することで取締役会が監督責任を果たすことの支援を行うべきと明記されました。その背景には、内部監査の役割は個別の統制の有効性を確認するだけでなく、経営陣や取締役会がリスクの所在、重大性、対応状況を適切に把握し、必要な意思決定を行える状態にあるかを評価、報告、対話することでもあるという、期待役割の方向転換につながる流れがありました。
並行して、かつては情報システム部門による評価、確認の対象としていたサイバーセキュリティリスクへの対応についても、独立した立場である内部監査部門が評価し、経営ひいては取締役会に報告する例が増えています。次章ではその背景について、グローバルおよび日本の状況を説明します。
サイバーセキュリティにおける取締役会責任――国際的確立と日本における浸透
サイバーセキュリティを経営レベルのリスクとして捉える動きには、2013年に一つの起点がありました。同年、米国では大統領令13636がNIST（National Institute of Standards and Technology：米国国立標準技術研究所）にフレームワーク策定を指示し、国際標準の場ではISO/IEC 27014が公表されています。とりわけISO/IEC 27014は、すでにこの時点で、情報セキュリティに関して、取締役会をはじめとする統治機関の責任を明示していました。
その後も、2015年の米国 FFIEC（Federal Financial Institutions Examination Council：米国連邦金融機関検査協議会）、2022年のEU NIS2指令（Network and Information Security Directive 2）、2023年のSEC（U.S. Securities and Exchange Commission：米国証券取引委員会）による開示規則など、取締役会をはじめとする統治機関の責任を明示し、あるいは法的責任として規定する枠組みが相次ぎました。特筆すべきは、2024年に公表されたNIST Cybersecurity Framework 2.0（以下、CSF）において、従来の五つの機能に加え「統治（Govern）」機能が新たに設けられた点です。CSFは、現場でのセキュリティ対策を主眼としていますが、この中で「統治」が独立の機能として位置づけられたことは、サイバーセキュリティにおけるその重要性を改めて明確に示すものと言えます。さらに、内部監査人協会（IIA）が2025年に公表したIPPF（International Professional Practices Framework：専門職的実施の国際フレームワーク）のサイバーセキュリティに関するトピック別要求事項は、サイバーセキュリティ目標の達成状況等が「取締役会によってレビューされている」ことを、内部監査人が評価すべき事項として明記しました。取締役会の責任は、いまやそれを検証する内部監査の基準にも組み込まれるまでに、規範として定着しています。
これに対し、日本の規範は長く「経営者」を主語としてきました。経済産業省「サイバーセキュリティ経営ガイドライン」をはじめ、多くの国内文書は、責任の所在を経営者や最高情報セキュリティ責任者（CISO）に置き、取締役会そのものに責任を明示的に求めてきませんでした。そうした中、2024年10月、金融庁が公表した「金融分野におけるサイバーセキュリティに関するガイドライン」は、「取締役会等は…（中略）…サイバーセキュリティ管理の基本方針を策定すること」と、取締役会等の責任を明確に規定しました。これは、日本の監督規範の中で一歩を進めるものと言えます。こうした流れの到達点として、2026年7月のコーポレートガバナンス・コード改訂は、原則4-4の解釈指針に「サイバーセキュリティリスク」を明記しました。これにより、サイバーセキュリティリスクを監督する責任は、日本の上場企業の統治の根幹において、取締役会が担うべきものとして明確に位置づけられたのです。
すなわち、サイバーセキュリティリスクに関する取締役会の責任は、国際的にはすでに確立されていた一方で、日本で本格的に根づき始めたのはここ数年のことです。もっとも、規範が責任の所在を取締役会に定めても、その責任を現場で全うすることは容易ではありません。次章では、グローバルに事業を展開した大企業において、サイバーセキュリティを担う責任構造がいかに複雑で把握が難しいものであるかを検証します。
グローバル・多角化した企業におけるサイバーセキュリティリスク
取締役会がサイバーセキュリティリスクに関する監督責任を果たすためには、その監督の対象となる統制が、どこで、誰によって担われているかを把握しなければなりません。ところが今日では、その担い手の把握こそが容易ならざる状況にあります。グローバルに事業を展開している大企業では、守るべき範囲と、それを担う組織が、幾重にも重なり合っているからです。
こうした企業では、統括会社（持ち株会社）の下にIT統括子会社や多様な事業会社、製造拠点、そして海外子会社が併存します。守るべき対象も、情報システム（IT）だけでなく、工場の制御・製造システム（OT：Operational Technology）が存在し、それぞれ求められる統制のレベルや技術が異なります。さらに、地域ごとに法規制や企業文化が異なるため、グループ共通の方針はまだしも、運用面における手順を一律に適用することは現実的ではありません。
問題は、これらの軸が独立してではなく、交差して存在する点にあります（図表2）。グローバルに展開する事業会社が地域統括を軸に組織を編成し、多角化を進める企業が性質の異なる事業投資先を重層的に抱えるように、組織・技術・地域の各軸が複雑に絡み合います。その上サイバーセキュリティは、①IT資産・構成管理・脆弱性管理、②データ管理・情報分類、③アクセス管理、④人的管理・教育・入退社管理、⑤インシデント対応、⑥サードパーティ管理といった多様な業務機能から構成されており、それぞれを担う組織も異なります。
図表2：交差する組織・技術・地域の軸とサイバーセキュリティの業務機能
こうした複雑さは、程度の差こそあれ、財務報告やコンプライアンスなど他のリスク管理にも共通するものです。ただし、それらの領域では、リスクを負う第一線と、それを独立して監視する第二線との役割分担が、長い実務の蓄積の中で制度として確立してきました。これに対しサイバーセキュリティは、比較的新しい経営課題であり、こうした役割分担の考え方が、いまだ十分に成熟していません。例えば、第一線だけをみても、事業部門の現場、SOC（Security Operations Center）、情報システム部門、人事、調達あるいはIT統括子会社など、複数の組織が統制活動を担います。加えて、セキュリティ統括部門や情報システム部門が、第二線として第一線を支援・モニタリングする場合もあれば、自ら統制活動を担う第一線として機能する場合もあり、第一線と第二線の役割分担は企業によって異なります。
3ラインモデルを通じた分散する統制責任の可視化
前章でみたように、グローバル・多角化した企業のサイバーセキュリティは、多層的な責任構造の上に成り立っています。そのため、リスク管理体制の適切な整備・運用においては、誰がどのリスクを把握し、方針を示し、モニタリングし、是正を意思決定するのかが明確になっていることが重要です。責任の所在が曖昧なままでは、リスク情報の把握や是正対応に空白が生じかねないためです。
この点で、3ラインモデルは、分散した統制責任を整理するための有効な視点を提供します。3線である内部監査部門は、多層的な責任構造の上で各組織の役割分担が明確であり、かつ仕組み全体として有効に機能しているかを、独立した立場から評価します。
内部監査の高度化においてしばしば用いられるアシュアランスマップは、1,2,3線いずれの組織がどのような活動を行っているか情報収集の上マッピングすることで、監査による内部統制システムのアシュアランスに必要となる要件を検討し内部監査の対象領域を明確化しますが、同様の観点をサイバーセキュリティのリスクを評価する際にも活用することができるでしょう（参照：内部監査態勢の構築・高度化支援）。
こうした整理を踏まえると、サイバーセキュリティ内部監査に真に期待されているのは、ポリシーやガイドラインに役割やインシデント対応手順が記載されているかといった形式的な確認や、EDR（Endpoint Detection and Response）が導入されているか、多要素認証が有効かといった技術上の個別の評価にとどまりません。重要なのは、個々の統制の状況を踏まえた上で、組織が直面しうる重要な脅威が漏れなく経営レベルで認識され、それらの脅威に対してリスクアペタイトに沿った意思決定と資源配分がなされ、対応責任が明確化されているかを見極めることです。さらに、それが十分に行われていない場合には、原因がどこにあり、どのように改善すべきかを明らかにすることが求められます。
そのためには、組織がどのようなサイバーセキュリティリスクを有し、具体的にどのような低減策を講じているのかを詳細に把握することが不可欠です。また、最新の脅威動向を踏まえ、現在の対策が十分であるかを評価することも必要です。自社の内部監査部門のみではこれらのリスク把握や技術的評価が困難な場合には、知見を有する外部専門家の助言を得ることを検討する、という点も、グローバル内部監査基準において明示されています。
重要なのは、こうした評価が、単に不備を指摘するためのものではないという点です。サイバーセキュリティリスクを適切に把握し、現在の対応水準や残存リスクを経営陣および取締役会に示すことは、事業継続、デジタル投資、外部委託／内製化、海外展開などに関する意思決定の前提となります。この意味で、サイバーセキュリティ監査は、コンプライアンス確保のための「守り」にとどまらず、経営が適切なリスクテイクを行うための「攻めのガバナンス」を支える営みと捉えるべきです。
結び
今日、サイバーセキュリティの脅威は情報システム部門のみで管理する個別のリスクではなく、全社で横断的に議論し、取締役会が監督すべき重要な経営リスクであることに、もはや疑いの余地はありません。そしてサイバーセキュリティ監査の高度化とは、技術的なチェック項目を増やすことではなく、分散した統制責任の中で、リスク情報が適切に報告されているか、重大なリスクに対する意思決定が適時、適切に行われているか、是正対応の責任と進捗が明確になっているかを可視化することで、経営陣や取締役会がリスクを理解し、責任ある意思決定を行える状態を支えることにあります。
今回のCGコード改訂は、内部監査部門が、取締役会によるサイバーセキュリティを含む重要リスクの監督を支える存在として、より大きな役割を果たすことへの期待をより明確に示したものであると考えられます。なお、CGコード解釈指針からも読み取れるとおり、内部監査部門の役割期待はサイバーセキュリティに限られるものではありません。経済安全保障を巡る地政学的リスク、サプライチェーン途絶リスク、技術・重要情報の流出リスクなど、企業価値や事業継続に重大な影響を及ぼし得る多様なリスクが当然にその対象として考慮されるべきでしょう。
もっとも、内部監査部門がこうした高度かつ広範囲なミッションを十分に遂行するためには、専門性を有する人材の確保・育成、外部専門家の活用、グローバル拠点を含む監査範囲の拡大に対応するための予算措置など、相応の体制整備が不可欠です。したがって、取締役会としても、内部監査部門に対して監督上の期待を示すだけでなく、人員・予算・専門性の確保を含め、その活動を一層積極的に支えることが重要です。
さらに、取締役会には、内部監査部門からの報告を受けるだけでなく、それを踏まえて自社のリスク管理体制やガバナンスにどのような構造的課題があるのかについての仮説を持ち、今後どのようなテーマや対象を監査すべきかを内部監査部門に能動的に示唆・指示していく姿勢が求められます。内部監査部門と取締役会との関係は、一方向の報告関係にとどまるものではありません。重要リスクに対する認識を共有し、監査の重点領域を継続的に見直していく双方向のコミュニケーションとして位置付けられるべきです。内部監査を、取締役会による重要リスクの監督を実効的に支える戦略的な機能として定義し、そのために必要な資源を確保することが、今後のガバナンス高度化における重要な論点となるでしょう。
