【特別解説】サイバーインシデントによる事業停止を防ぐ全社リスク管理（ERM）の要諦 ～なぜ今、経営者自らがERMを握るべきなのか～

はじめに：サイバー攻撃が突きつけた「部門任せのリスク管理」の限界

工場停止による数か月の出荷停滞や、クラウド事業者の障害に伴う広範なサービス停止など、サイバー攻撃が事業そのものを止めてしまう事例が相次いでいます。決算発表の延期や業績予想の下方修正にまで発展するケースを見るにつけ、サイバーセキュリティはもはやIT部門の個別課題ではなく、売上・取引・開示に直結する経営課題であることを痛感します。
こうした事例が示しているのは、セキュリティ対策の不備だけではありません。ひとつのシステム障害が、生産・物流、取引先、財務、開示、そして企業の信用へと連鎖していきます。リスクは部門の壁を越えてつながっているにもかかわらず、その管理は情報システム、BCP、委託先管理、法務といった部門ごとに分かれたまま、という企業は少なくありません。
どれほど強固なセキュリティ製品を導入しても、未知の脅威を100%防ぎ切ることはできません。数多くの企業のリスクマネジメント現場を支援してきた知見から申し上げると、対応の遅れを招く真のボトルネックは、技術的な防御力不足だけではなく、組織内に潜む「情報の分断」と「運用面の盲点」にあります。この分断を埋め、経営が全社のリスクを一つの視野で捉えて判断するための仕組みが、全社的リスクマネジメント（ERM）です。
本稿では、サイバーリスクを入り口に、経営陣が平時に押さえておくべきERMの要諦を解説します。

目次

1. なぜ今、経営にERMが必要なのか

ERMとは、事業に影響を与えるあらゆるリスクを、部門ごとではなく全社で、共通の物差しを用いて把握・評価し、経営資源の配分を決める仕組みです。サイバーリスクへの備えにERMが欠かせない理由は、大きく3つあります。

リスクは連鎖し、部門単位では全体像が見えない

サイバー攻撃は、システム停止、出荷の遅延、取引先への影響、決算・開示、個人情報の漏えい対応へと、複数の部門にまたがって被害を広げます。部門ごとの管理台帳や役職者へのアンケートを集めただけでは、こうした連鎖や重なりは見えません。全社のリスクを一つの体系で紐づけてはじめて、経営は「どこが本当の急所か」を判断できます。

経営資源の配分を決めるのは、経営にしかできない判断

サイバー対策への投資は、地政学、人材、品質、法令対応といった他のリスクへの対策と、予算と人員を分け合っています。共通の物差しで並べて比較しなければ、「声の大きい部門」や「直近で事故が起きた領域」に投資が偏りがちです。どのリスクを優先し、どこまでを受け入れるのかを決めることこそ、経営の役割です。

ガバナンスの要請として、経営の責任が明確になった

2026年7月21日に改訂されたコーポレートガバナンス・コードでは、これまで補充原則4-3④に含まれていた全社的リスク管理体制の整備が、独立した原則4-4として「取締役会は、内部統制や全社的リスク管理体制を適切に整備すべきである」と定められました。同原則に付された解釈指針では、体制整備にあたっての考慮事項として、サイバーセキュリティリスク、地政学的要因によるサプライチェーン途絶リスク、技術等の情報流出リスクが例示されています。経済産業省の「サイバーセキュリティ経営ガイドライン」も、経営者がサイバーセキュリティリスクを自社のリスクマネジメントにおける重要課題と認識し、自らのリーダーシップのもとで対策を進めることを求めています。ERMの整備は、上場企業に限らず、経営そのものの責任として問われる時代になっています。

2. 技術的防御から、事業影響度と予兆を捉える管理へ

多くの現場では「どのセキュリティ対策やツールを導入するか」という技術面の議論に終始しがちです。しかし、経営の意思決定において真に問われるのは、万が一停止した際の事業影響度（許容できる停止時間）と、未然に察知するための予兆の把握です。

事業の急所と許容停止時間の特定

「受注システムは3日、生産ラインは1週間まで」といった許容停止時間と想定損失額は、IT部門ではなく経営陣が自ら判断すべき事項です。停止の原因が自社だけでなく、委託先やクラウド基盤など外部にあるケースも増えています。サプライチェーン全体のどこに自社の急所があるのかを平時から特定・評価し、復旧の優先基準を定めておくことで、有事の混乱した状況下でも迷いのない経営判断を下すことができます。

費用対効果ではなく「起きたときの影響度」で評価する

サイバーセキュリティへの投資は「起きなかった事故」を測ることになるため、費用対効果を示しにくいものです。だからこそ、「実際に起きたら、何日止まり、いくら失うのか」を評価し、その損失をどれだけ減らせるかで対策を比べることが有効です。ポイントは次の4つです。

• 復旧費用などの直接損失だけでなく、停止中に失う売上・利益、取引先への補償、顧客離れなどの間接損失まで含める
• 「1日あたりの損失×停止日数」で時間に置き換え、数週間から数か月に及ぶ停止も想定する
• 信用の失墜や法令違反など、金額にしにくい影響は段階の基準で評価する
• 「最も起こりそうなケース」と「最悪のケース」で幅を持たせ、対策費用やサイバー保険でカバーできる範囲と比べる

現場のヒヤリハットを拾い上げる仕組み

重大な事故の前には、不審メールの受信、機器の設定不備、VPN機器のパッチ未適用、委託先からの軽微な事案報告、生成AIの無断利用（シャドーAI）といった予兆が必ず存在します。これらを現場任せの善意や勘に委ねず、オンラインでためらわずに起票でき、機密性を保ちながら関係部門へ共有されるワークフローを整えることが、初動対応の成否を分けます。

リスク・インシデント・対応策の3次元の紐づけ

発生したインシデントを台帳に記録して終わらせるのではなく、「全社のどのリスクに該当するのか」「講じている対策は有効に機能しているのか」を相互に紐づけて管理します。これがERMの考え方です。現場から上がってくる予兆や事案の傾向をもとに、潜在リスクの起こりやすさや対策の実効性を客観的なデータで見直すサイクルが生まれます。

3. 年に一度の棚卸しから、生きたマネジメントへ

従来のリスク管理は、年に一度、各部門や子会社からアンケートを回収する定例行事となっているケースが多くありました。しかし攻撃者が生成AIなどを駆使して攻撃のスピードを加速させている今、集計や回収だけに追われて過去の書類をまとめる運用では、変化の速さにとても追いつけません。ERMを実効性のある「生きたマネジメント」へと転換するためには、次の3要素が不可欠です。

情報のリアルタイム一元化

国内外の事業部門やグループ拠点で発生したインシデントやリスク情報が、タイムラグなくクラウド上に集約される体制を築きます。事務局が膨大なファイルの集計・マージ作業から解放されることで、現場への助言や多角的なリスク分析といった本来の業務へシフトできます。

共通の判断軸（リスク基準）

ISO 31000（日本ではJIS Q 31000）は、リスクを特定・分析・評価し、対応するまでの進め方を示した国際規格で、具体的な評価基準は各組織が自ら定めることを求めています。この考え方に沿って影響度と起こりやすさの基準を全社で統一すれば、担当者の主観や部門ごとの甘辛に左右されず、経営層と現場が同じ物差しでサイバーリスクを他の経営リスクと比べられるようになります。
近年は、この2軸に加えて「統制度」「顕在化のスピード」「人命・安全や風評への影響」を評価軸に加える事例も増えています。サイバー攻撃のように速く顕在化し、対策の効き具合で大きさが変わるリスクを、より正しく比べるためです。

ダッシュボードによる可視化とKRI監視

経営陣がリスクマトリックス（ヒートマップ）やダッシュボードを通じて、組織全体の重点リスクを一目で把握できる環境を整備します。さらに、重要機器の脆弱性の放置日数や、バックアップ復元テストの実施状況といった先行指標となる「KRI（重要リスク指標）」を定期的に観測し、設定した値を超えた段階で自動的にアラートを出すことで、火種が小さいうちに是正処置を講じる先手管理が実現します。

4. ERMは、企業を強くする「攻めの基盤」

何かが起きてからの事後対応は選択肢が極めて狭く、事業停止による損失や復旧にかかる負担も甚大になります。年に一度の健康診断だけでは日々の体調の変化に気づけないのと同じように、リスク管理も年に一度の洗い出しから、日々の指標の観測と、対策への適切な投資へと重心を移す必要があります。
平時にリスクを構造的に整理し、対策費用と想定損失の削減額を比較しながら経営資源を最適に配分しておくことは、被害を最小化する最も合理的で実効性の高い投資です。また、過去の対応履歴やヒヤリハットを組織のナレッジとして蓄積し、現場へフィードバックすることで、担当者が変わっても揺るがない自律的なガバナンスが醸成されます。
ERMの本質は、インシデントの火消しではありません。前述のコーポレートガバナンス・コードの解釈指針も、こうしたリスクへの対応を「収益機会にもつながり得るもの」と位置づけています。自社の弱点や重要な資産を正確に把握し、統制できているからこそ、企業は不確実な事業環境においても、自信を持って新たな事業投資や挑戦といった「攻めの意思決定」へ踏み出すことができます。

おわりに

当社が提供する全社的リスクマネジメントツール「Enterprise Risk MT（ERMT）」は、脱スプレッドシートによる工数削減と、経営層・リスク管理部門・現場を直結させる統合プラットフォームです。「知らなかった」では済まされない時代だからこそ、現場の小さな予兆を逃さず吸い上げ、客観的なデータとして経営判断へ直結させる仕組みが不可欠です。自社のリスク管理が形骸化した定例行事になっていないか、そして経営判断の武器として機能しているかを見直す機会としていただければ幸いです。