エンタープライズ・リスク・マネジメント（ERM）モデル
上場企業の監査委員会委員長として、私は組織が直面するさまざまなリスク要素を監視するため、エンタープライズ・リスク・マネジメント（ERM）モデルを継続的に評価しております。 これには、人材の離職や新規事業部門の買収といった業務上のリスクや、新しい取引システムの導入や新たな収益モデルの導入といった財務報告上のリスクなどが含まれます。 しかし、従来のERMモデルでは、今日の企業にとって最も危険なリスクの一つであると言える要素、すなわちサイバーセキュリティリスクを組み込むことに苦慮しています。
今日のサイバー環境において、機密データを管理・維持している企業は、取締役会がこのリスクをどのように監督すべきか検討する必要があります。 これは、取締役会の監査委員会にサイバーリスク担当委員長やリード・ディレクターを置くという形でも実現できるでしょう。
監査委員会の委員長として、私は、年次事業計画の予算に、当社の経理・財務機能を支えるための適切なリソース、人員、およびツールが確保されていることを確認しております。 サイバーセキュリティが企業にとって大きなリスクであるならば、ITおよびセキュリティ部門が十分な支援を受けられるよう、同程度の精査を行うべきです。
サイバーセキュリティは、後回しにすべきではありません
これは、単に監視のためだけの監視ではありません。 によると、NYSEが最近実施した調査 （新しいタブで開きます） において、取締役の5人に1人が、社内のインシデントや同業界での事例が発生した後にのみ、サイバーセキュリティ について議論したと回答しました。 指名された議長またはリード・ディレクターは、適切な質問を積極的に投げかけるだけでなく、経営陣と連携して企業のサイバーリスクプロファイルの基準を確立し、改善や目標に向けた経営陣の進捗状況を監視し、企業のリスクを軽減し、ステークホルダーからの継続的な信頼を確保するために、適切なリソースが確保されるよう努めることができます。
多くの企業が、サイバーセキュリティへの取り組みが不十分だったとすでに結論づけています。中でも、銀行業界はその先頭に立っています。 Last year, CEO Jamie Dimon announced JPMorgan Chase would be increasing its cyber security spend by $500 million annually (opens in a new tab). 他の金融機関もこれに倣い、サイバーセキュリティへの支出を、通常の予算サイクルとは別に同様の規模で増額しました。 In total, financial firms have set aside an additional $2 billion to revamp their systems above and beyond their current spending run rate.
現代のサイバーリスクに対処するには、企業にとってパラダイムシフトが必要ですが、こうした新たな課題に対処するための変革に、多くの企業はまだ対応できていません。 In the early 2000s, in the wake of Enron and WorldCom, the Sarbanes-Oxley Act imposed strict accounting reforms on corporate financial disclosures, and the underlying transaction processing systems, to prevent accounting fraud. その結果、これらの要件を満たすために、コンプライアンス関連の支出が大幅に増加しました。 今日、ソニーやアンセムといった、多額の損害をもたらし、世間の注目を集めた情報漏洩事件を目の当たりにすると、企業にはサイバーリスク管理プロセスの新たな導入が求められていることが明らかです。
考えてみたい質問
サイバーリスクへの曝露度が高い業界――つまり、財務データや、PIIデータ、PIHデータ、PCIデータ、知的財産関連データなどの機密データを扱ったり処理したりしている業界――に属している場合、取締役会および経営陣は、これを潜在的な業務リスクとして捉えることが求められます。
まずは以下の質問から始めてみてください：
- 同社のサイバーリスクのレベルはどの程度であり、この評価の根拠となる機密データの出所や種類にはどのようなものがありますか？
- 御社では、サイバーリスク評価のベースラインを策定していますか。また、時間の経過に伴う改善状況を把握するための継続的なプロセスは整備されていますか。
- サイバー攻撃への対応計画や危機管理計画はありますか？
- サイバーリスクに関して、取締役会にはどのような情報が共有されるのでしょうか。また、取締役会委員会レベルでCIOと状況を確認するための定期的なプロセスは設けられていますか？
- 監査委員会内にリーダーとなる取締役を任命すべきでしょうか、あるいは監査委員会の定款を正式に改定してサイバーリスクをその対象に含めるべきでしょうか。それとも、当社のサイバーリスクは、独立した常設のサイバーリスク委員会を設置すべきほど高いとみなされるのでしょうか。
- サイバーリスク管理のコストは、データ漏洩のコストと比べてどの程度なのでしょうか――私たちの業界におけるデータ漏洩事例を分析し、漏洩による総コストがどの程度になるかを把握したことはあるでしょうか？
- リスクとコストを軽減するために、当社はサイバーセキュリティ保険やその他の新しい種類のセキュリティ技術の導入を検討すべきでしょうか？
結局のところ、サイバーセキュリティの管理は経営陣全体に委ねられています。これはCIOやCISOだけの問題ではなく、CEOや経営陣全体が取り組むべき課題なのです。 取締役会レベルでサイバーセキュリティに関する事項が取り上げられることは、取締役会が企業の全体的なリスクを監視するという受託者責任を果たす上で、適切なレベルの検討が行われることを確実にする一助となります。
エリック・ブラウン、最高財務責任者兼最高執行責任者
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
