有価証券報告書-第21期(2025/04/01-2026/03/31)

① ガバナンス
ガバナンス全般については、「(2) サステナビリティ全般 ① ガバナンス」をご参照ください。
ⅰ.ガバナンス機関
当社グループでは、取締役会が、グループ全体のサイバーセキュリティ関連のリスクについて、監督する責任を負っています。
[監督の役割、権限、義務などの記述及びその他の関連する方針]
取締役会は、主要な経営方針の決定と経営の監督に関する責任の一環として、主要なサイバーセキュリティリスク管理方針を決定し、グループ・グローバル全体でのサイバーセキュリティリスク管理プログラムの実行を監督します。
[スキル及びコンピテンシー]
スキル及びコンピテンシーの判断については、「(2) サステナビリティ全般 ① ガバナンス」をご参照ください。
なお、サイバーセキュリティに係る定期的な取締役会・経営会議、サイバーセキュリティ運営会議等を通じ、適切なタイミングでその取り組みを経営陣へ共有しています。また、サイバー攻撃の脅威動向やリスク認識など、サイバーセキュリティを取り巻く周辺環境に応じて、サイバーセキュリティラウンド・テーブル等を活用しながら、経営陣とサイバーセキュリティについてより深い議論を行う取り組みも実施しています。
[情報の入手方法及び頻度]
1線(サイバーセキュリティ推進部)からは重要なサイバーセキュリティに関する情報について、サイバーセキュリティラウンド・テーブル等も含め、定期的に取締役会及び経営会議に報告等しています。
また、2線(リスク統括部)・3線(監査部)観点では、取締役会の傘下にリスク委員会、監査委員会を設置しており、取締役会の監督を補佐しています。リスク委員会は、サイバーセキュリティを含むリスク管理全般に関する重要事項、トップリスク事案等に関する事項、及びその他リスク委員会で審議を要する重要事項を審議し、取締役会に対して提言を行います。監査委員会は、サイバーセキュリティを含むグループの重要なリスクの内容、リスク・ガバナンス及びリスク管理態勢の整備・運用状況について会社の執行部門、内部監査部門及び会計監査人から報告を受け、監視・監督を行うことにより、取締役会の監督を補佐します。
なお、重要なサイバーセキュリティに関する情報は、グループCISOからグループCIOだけでなく、グループCROにも報告され、適切に情報共有がなされています。
[どのように考慮しているか]
1線(サイバーセキュリティ推進部)にて、外部委託時やシステム構築時、システムの定期的なリスク評価において、初期段階からプロジェクトに参画し、業務の利便性とのトレードオフも包含されたセキュリティ観点での評価を行っています。
取締役会は、1線からの上記結果も踏まえた重要なサイバーセキュリティに関する情報の共有、並びに2線(リスク統括部)、3線(監査部)からの提言・補佐を通じ、サイバーセキュリティに係るリスクを認識し、適時適切に経営の監督を実施しています。
[目標に関連するパフォーマンス指標の報酬制度への反映]
報酬制度の詳細については、「第4 提出会社の状況 4 コーポレート・ガバナンスの状況等」及び「(2) サステナビリティ全般 ① ガバナンス」をご参照ください。
役員報酬制度におけるESG独自評価指標として、「主要ESG評価機関5社による外部評価の改善度」を評価指標の一つとしており、当該外部評価にはサイバーセキュリティ関連の評価も含まれています。
ⅱ.経営者の役割
当社グループは、広範なリスク・カテゴリーであるオペレーショナルリスクの一部としてITリスクを管理しており、サイバーセキュリティリスクは、ITリスクの一部として管理範囲に含めています。ここで言うオペレーショナルリスクとは、不適切又は非効率的な内部プロセス、人々、システム、又は外部イベントによる潜在的な損失が生じうるリスクを指しています。
サイバーセキュリティリスク管理は、3つの防衛ライン(3線構造)のアプローチを採用した包括的なリスク管理フレームワークに統合されています。最初の防衛ライン(1線)はサイバーセキュリティ推進部であり、リスクの特定と軽減、及びサイバーセキュリティリスクを管理するためのコントロールの検討と実行を主に担当しています。2つ目の防衛ライン(2線)はグループ最高リスク責任者(CRO)に報告するリスク統括部であり、サイバーセキュリティリスクの評価と監視、及び最初の防衛ラインから独立してサイバーセキュリティリスクコントロールの実効性を確認する責任があります。3つ目の防衛ライン(3線)は監査部であり、1線(サイバーセキュリティ推進部)と2線(リスク統括部)のサイバーセキュリティリスク管理に係る有効性を監査します。