Spotifyのプレーヤーを読み込みます。SpotifyによりCookieが設定される場合があります。選択内容はこの端末に保存されます。
主な知見
- 2019年から2022年の間にサイバーリスクの透明性スコアは大幅に改善し、77%の企業でスコアが上昇した。
- 2022年時点でも86%の企業が依然として低評価にとどまっており、全体的な透明性は依然として低い水準にある。
- 開示内容は一般的な事業面や評判への影響に大きく偏っており、内部統制システムや財務損失に関する詳細かつ定量的なデータは軽視されている。
実践への示唆
CIO / IT役員
Draft a budget request to quantify and include internal control metrics and potential financial loss estimates in the upcoming annual report, moving past general reputational impacts.
ITマネージャー
Pull the specific performance metrics and effectiveness data for your internal cybersecurity controls so they are ready to be handed off to the executive team for regulatory reporting.
経営戦略担当者
Review the company's latest annual report draft and replace generic cyber risk statements with specific, operational impact data to reduce information asymmetry for investors.
研究者
Apply the study's 9-criterion ESMA-based evaluation grid to a new sample of mid-cap or non-CAC 40 companies to test if transparency trends hold outside the largest firms.
政策立案者
Draft an addendum to current ESMA guidelines mandating the inclusion of quantified financial loss data and internal control specifics in corporate cybersecurity disclosures.
要約
本研究は、2019年から2022年にかけての欧州証券市場監督局（ESMA）のガイドラインに従い、フランスCAC 40企業の年次報告書におけるサイバーセキュリティリスク開示の透明性を検証している。質的テキスト分析手法を用い、開示の深さを測定するために欧州の規制要件に基づく9項目の評価グリッドを開発した。
課題
情報の非対称性を低減するための規制義務が増加しているにもかかわらず、上場企業はサイバーリスクを効果的に伝えることに苦慮していることが多い。既存の文献には、欧州の年次報告書におけるサイバーリスク開示の実際の質と透明性を評価するための具体的な評価基準が欠落している。
文字起こし
Expert: よろしくお願いします、Anna。今やサイバー脅威は事業継続に関わる最優先課題ですが、今回の研究は、企業がその脅威を市場や投資家にどれほど誠実に伝えているのかという、実務上極めて切実なテーマを掘り下げています。
Host: サイバー攻撃のニュースは日常茶飯事ですが、企業側の開示にはどのような問題が存在しているのでしょうか。
Expert: まさにそこが大きな課題です。欧州証券市場監督局、いわゆるESMAをはじめとする規制当局は、投資家との情報の非対称性をなくすためにサイバーリスク開示の義務化を進めています。しかし、多くの企業は具体的に何をどこまで公表すべきか判断に苦慮しています。さらに問題なのは、年次報告書におけるサイバーリスク開示の質や透明性を客観的に測るための評価基準が、これまで十分に確立されていなかったことです。
Host: ルールはあっても、その内容が本当に有用かどうかを評価する物差しがなかったのですね。そこで今回の研究では、どのようなアプローチをとったのでしょうか。
Expert: 研究者たちは、欧州の規制基準に基づいて9つの評価項目からなる独自のグリッドを作成しました。リスクの性質、発生確率、潜在的な財務・事業影響、そして内部統制システムやサイバー保険の有無といった項目です。この基準を用いて質的テキスト分析を行い、2019年から2022年の4年間にわたるCAC 40企業の年次報告書を詳細にスコアリングしました。
Host: 表面的な言及だけでなく、開示の深さそのものを分析したわけですね。その結果、何が分かったのでしょうか。
Expert: まず改善の兆しとして、77%の企業でスコアが上昇していました。規制の強化を背景に、サイバーリスクに言及する企業の割合や情報量自体は確実に増えています。
Host: それは前進と言えそうですね。では、十分な情報が開示されるようになったと考えてよいのでしょうか。
Expert: 残念ながら、実態はまだ遠く及びません。2022年の時点でも、実に86%の企業が依然として最低レベルの評価にとどまっています。開示内容の多くは、事業中断の可能性や風評被害といった、一般的で抽象的な定性表現に大きく偏っていました。
Host: どの企業にも当てはまるような、無難なテンプレート文言にとどまっているということですね。
Expert: その通りです。最も欠落していたのは、過去のインシデントによる財務的損失の具体的な数値や、インシデントを防止・検知するための内部統制の機能、そして保険による補償状況といった定量的で具体的なデータでした。自社の脆弱性や具体的な損失額を明かすことを恐れるあまり、核心部分を避けている企業が多いことが浮き彫りになったのです。
Host: セキュリティ上の懸念から非公開にしたい心理も分かりますが、投資家にとってはリスクの実態が見えにくいままですね。この研究からビジネスリーダーが学ぶべき教訓は何でしょうか。
Expert: 最大のポイントは、開示の透明性がこれからの企業価値を左右するという点です。機関投資家や取引先は、定型的な免責条項ではなく、企業がサイバーリスクをどのように定量化し、ガバナンスを効かせているかという実質的な証拠を求めています。単に規制をクリアするための形式的な報告書から脱却し、財務影響と統制体制を論理的に説明できる企業こそが、市場からの厚い信頼を勝ち得ることになります。
Host: サイバーセキュリティ対策そのものと同じくらい、それをどう透明性をもってステークホルダーに伝えるかが問われているのですね。本日は「サイバーリスクの透明性に関する実践：CAC 40企業の年次報告書の分析」という研究を通じて、企業の情報開示の現状と未来についてAlexに解説してもらいました。Alex、ありがとうございました。
Expert: ありがとうございました。
Host: リスナーの皆さんも、最後までお聴きいただきありがとうございました。「A.I.S. Insights — powered by Living Knowledge」、次回のエピソードでまたお会いしましょう。
Risques cyber, cybersécurité, transparence, grille de notation, rapport annuel, CAC 40