ランサムウェア被害、内部監査室は何を問われるのか？～サイバーインシデントが直撃するJ-SOX・内部統制と、取締役の責任～

人事/総務/財務/法務

法務・経営の視点から実務的に解説

No. K251943 99K251943

26/08/26 更新

講義のねらい
研修プログラム
注意事項
スケジュール

受講対象target

内部監査部門、経営管理部門など関連部門のご担当者様

講義のねらいoutline

サプライチェーンを直撃するランサムウェア攻撃は、もはや情報システム部門だけの問題ではありません。2025年には、アサヒグループホールディングスやアスクルが被害を公表し、事業停止や情報流出にとどまらず、決算・開示の実務にまで深刻な影響が及びました。

そして2026年、両社が提出した内部統制報告書は、内部統制の有効性について対照的な結論に至りました。同じくサイバー攻撃の被害者でありながら、一方は「開示すべき重要な不備」を開示し、他方は「有効」と評価する――この分かれ目は、セキュリティの巧拙ではなく、インシデントから評価基準日（期末日）までに是正と有効性の評価を完了できたかにあります。

サイバーリスクは、いまやJ-SOX（財務報告に係る内部統制）、取締役の善管注意義務、委託先管理、そして開示に直結する経営課題です。だからこそ、これらを横断的に確認する内部監査部門の役割が、かつてなく重要になっています。

本セミナーでは、直近の開示事例・裁判例・制度動向（セキュリティ対策評価制度、金融分野ガイドライン、積極的サイバー防御法等）を踏まえ、上場会社の内部監査部門が「何を・どこまで」確認すべきかを、J-SOX対応と取締役責任の視点から実務的に解説します。前回好評をいただいた取締役・法務向けの内容も補足しつつ、サイバーリスクを『守り』のコストから、企業価値を高める『攻め』の機能へと転換する視点をお持ち帰りいただきます。

主催団体organizer

本コースは、一般社団法人企業研究会が主催しております。

研修プログラム例program

【第1部】
サイバー攻撃は、なぜ「IT事故」で終わらず「J-SOXの問題」になるのか 1.ランサムウェア・不正アクセス被害の急増と最近の傾向 2.サイバー攻撃が財務報告プロセス・決算・開示に波及する仕組み 3.「開示すべき重要な不備」と評価基準日（期末日）――アサヒGHDとアスクルの分かれ目 4.主要インシデント（アサヒ、ニップン、イズミ等）に共通する内部統制上の論点

【第2部】
内部監査は、サイバーリスクの「どこ」を見るべきか ―三線モデルと5つの確認領域 1.三線モデルにおける内部監査（第3線）の位置づけと、取締役会・監査役等との連携 2.内部監査が確認すべき5領域（ガバナンス／リスク評価／財務報告／技術的対策／委託先） 3.J-SOXのIT全般統制（ITGC）とサイバー監査の接続と、その限界 4.監査計画・監査手続への落とし込みと、証跡（エビデンス）の確認

【第3部】
被害発生後、取締役と会社は何を問われるのか ―事後検証と内部監査の役割 1.取締役の善管注意義務・内部統制構築義務が問題となる場面 2.委託元・委託先の責任関係と、管理体制が問われるポイント 3.「クラウド例外」を巡る法的整理と、実務上の誤解 4.身代金支払いを巡る法的問題・経営判断の合理性と、内部監査による牽制

【第4部】
委託先・サプライチェーンとSCS評価制度を、内部監査はどう確認するか ―「攻め」の委託先管理 1. 委託先・再委託先管理における契約・運用上の留意点 2. セキュリティ条項・監査権条項・準拠基準（NIST・NISC等）の考え方 3. 「セキュリティ対策評価制度（★制度）」の概要と、取引条件化する実務インパクト 4. 取適法・優越的地位の濫用との関係と、双方向での確認

【第5部】
制度対応と説明責任 ―個情法・金融ガイドライン・積極的サイバー防御 1. 個人情報保護法に基づく報告・通知義務の実務上のポイント 2. 会社法等の関連規制と、安全管理措置・最新経営ガイドラインの実務水準 3. 金融分野ガイドライン（金融機関向け）の考え方と、一般事業会社への影響 4. 積極的サイバー防御法・経済安全保障との関係と、監査上の留意点

【まとめ】
「守り」から「攻め」へ ―内部監査がサイバーリスクを企業価値に変える

お問合せフォームへ