月曜の朝六時、情報システム部長からCFOの携帯に電話が入る。夜間にサーバーが暗号化され、受注と出荷のシステムが止まっている。 八時には対策本部が立ち上がり、議題は復旧の見通し、外部の調査会社の手配、顧客への連絡に集中する。十一時、広報部長がCFOの席に来て聞く。今日中に何か出す必要がありますか。 被害額は分からない。いつ戻るかも分からない。個人情報が抜かれたかどうかも分からない。分からないことだけが並んでいる状態で、財務が決めなければならないことがある。 対策本部の議題には、それが一つも入っていない。
対策本部の議題に、財務の論点は上がってこない
サイバー攻撃の初動の手順書は、ほとんどの会社で情報システム部門が持っている。封じ込め、証拠保全、外部専門家への連絡、復旧の優先順位。 よくできているものが多い。書かれていないのは、同じ時間に財務が何を決めるかである。
基幹システムが止まったときに経理が抱える期限の仕分けと、延長の制度の使い方は、別に整理した（基幹システムが止まった月の決算で、復旧を待たずに代替の締めを進める手順）。有価証券報告書の提出期限の延長承認、源泉所得税や賃金のように動かない期限、手作業で処理した期間の内部統制。本稿が扱うのは、その手前にある四つの判断である。 被害額をどう見積るか、保険をどう使うか、損失をどう会計処理するか、そして影響額が固まる前に何を出すか。
四つとも、情報システム部門には決められない。そして四つとも、初日から一週目のうちに方向を決めないと、後から取り返せない。 見積りの根拠を残していなければ監査で説明できず、保険会社への通知が遅れれば約款上の問題になり、開示が遅れれば報道が先に出る。
被害額は、三つの箱に分けて幅で出す
初日に「被害額はいくらか」と聞かれて、答えられる人はいない。答えられないのは、一つの数字で答えようとするからである。 被害額は性質の違う三つの箱に分けると、それぞれに見積りの根拠が立つ。
第一の箱は、直接の費用である。 外部の調査会社とフォレンジックの費用、復旧作業の外注費、代替機器やクラウド環境の調達、社員の時間外労働、コールセンターの臨時設置。発注書と請求書が残るので、最も早く金額が固まる。 見積りの根拠は、外部業者の見積書と、対策本部で決めた作業の範囲である。
第二の箱は、止まっていた間に失った利益である。 受注できなかった売上、出荷できなかった製品、値引きや違約金。会計上は損失として計上されないものも含むが、業績予想の修正と、保険の利益損害の請求に直結する。 見積りの根拠は、前年同期や直前数週間の受注・出荷の実績と、停止した期間である。停止期間が確定していないうちは、「一週間で戻った場合」「一か月かかった場合」の二本で出す。
第三の箱は、第三者に対して負う費用である。 取引先やサービス利用者への補償、個人情報の漏えいに伴う通知や見舞金、訴訟の可能性。金額の根拠が最も弱く、最も遅く固まる。 ただし、補償の方針を会社として決めた時点で、見積りの起点ができる。
三つの箱に分けて出すと、「被害額は分からない」が「直接費用は8〜12億円、失った利益は停止期間によって15〜40億円、第三者への補償は方針未定」に変わる。 この形なら、損失として計上される第一と第三の箱は損害の開示基準に、失った利益を含む第二の箱は業績予想の修正基準に照らす材料になり、保険会社への通知にも、取締役会への報告にも使える。幅が広くても、根拠のある幅は、根拠のない一つの数字より役に立つ。
保険は、約款から四つの条件を先に拾う
サイバー保険に入っている会社は多い。だが事故が起きた日に約款を開いている会社は少ない。 保険金を受け取れるかどうかは、事故が起きる前に決まっている部分と、事故の直後の動き方で決まる部分に分かれる。後者を落とさないために、初日に約款から拾うべき条件がある。
補償の構成は、商品によって違う。東京海上日動のサイバーリスク保険は、損害賠償責任に関する補償、サイバーセキュリティ事故対応費用に関する補償、そしてオプションとしてのコンピュータシステム中断に関する補償という構成をとっている（同社の法人向けサイトの表記）。 第二の箱にあたる、止まっていた間の利益の損失は、オプションを付けていなければ補償の外にある、という形の商品がありうるということである。自社の契約でどの補償が付いているかを、事故の日にはじめて知る会社が少なくない。
初日に拾う条件は四つである。
第一に、事故の通知の期限と方法。 いつまでに、誰に、どの形式で知らせるか。第二に、費用の支出の条件。 調査会社や弁護士の起用、復旧作業の発注に、保険会社の事前の同意や指定業者の利用を求めているか。同意なく発注した費用が補償の対象から外れる形になっていれば、初日の発注の仕方がそのまま保険金の額を決める。 第三に、利益損害の補償の有無と、免責となる時間（待機期間）と補償の期間。 停止が何時間を超えたら補償が始まり、最長何日分まで出るのか。第四に、補償の対象外とされている項目。 攻撃者への支払いの扱いを含め、何が除かれているかを約款の文言で確かめる。
保険をどこまで掛けるかという判断そのものは、平時の資本の議論である（企業保険のリスク移転と自家保有、一撃で耐えられる損失額からの判断基準）。事故の日にできるのは、掛けてある保険を約款どおりに使い切ることだけである。 そしてそれは、第一の箱と第二の箱の数字を手元に持つ財務が主導するのが早い。
損失の計上は、三つの論点を監査人と早めに合意する
四半期の末日が近づくと、三つの箱の数字を決算にどう反映するかが問題になる。論点は三つあり、どれも期末に議論を始めると決算が止まる。
一つ目は、表示区分である。 復旧費用を特別損失に置くか、営業費用に置くか。企業会計原則注解12は、特別損益に属する項目として臨時損益を挙げ、その例に災害による損失を含めたうえで、特別損益に属する項目であっても金額の僅少なもの又は毎期経常的に発生するものは経常損益計算に含めることができるとしている。 サイバー攻撃による損失を災害と同じ扱いにできるかどうかは、臨時性の判断になる。判断の材料は、発生の頻度と金額と、平時のセキュリティ投資との区別である。 平時の対策費を事故に紛れ込ませて特別損失に寄せれば、営業利益が実態より良く見える。線は、事故の発生日と、事故がなければ発生しなかった費用かどうかで引く。
二つ目は、引当金である。 取引先やサービス利用者への補償を会社として決めたとき、その金額を引当金として計上するか。企業会計原則注解18は、将来の特定の費用又は損失であって、その発生が当期以前の事象に起因し、発生の可能性が高く、かつ金額を合理的に見積ることができる場合に、引当金への繰入れを求めている。 攻撃はすでに起きており、補償の方針が決まれば発生の可能性も高い。残る要件は、金額を合理的に見積ることができるかどうかで、ここで第三の箱の見積りの根拠が問われる。 補償の対象者の数、一人あたりの単価、申出率の仮定。方針を決めた会議の議事録と、仮定の根拠を、その時点で残しておく（引当金の見積りの責任分担、前提は事業部・水準は経理・承認は経営）。
三つ目は、保険金の計上時期である。 損失は発生した期に計上するが、保険金は同じ期に入るとは限らない。企業会計原則の損益計算書原則は、未実現収益は原則として当期の損益計算に計上してはならないとしている。 保険会社が支払額を認める前に、請求額を損失と相殺する形で計上することは、この原則と緊張関係にある。結果として、損失を先に大きく出し、保険金を後の期に別に出す形になることが多い。 この時差を、業績予想の修正と開示の文面で説明できるようにしておく。
三つとも、会計基準に正解が書いてある論点ではない。だから期中に監査人と合意しておく。 期末に持ち込むと、事故の対応で疲弊した経理が、監査人との協議を同時に抱えることになる。
開示は、金額が固まる前に出す
四つの判断のうち、最も遅れやすいのが開示である。遅れる理由として最も多いのは、「影響額が分からないから」である。
前掲のとおり、東証は損害額の見積りに時間を要する場合に、未確定である旨を先に開示し、確定した段階で追加する運用を示している。SECのItem 1.05も、未確定の情報はその旨を書いて先に出し、確定してから訂正報告で足す構造である。 制度が求めているのは、確定した数字ではなく、確定していないことを含めた現時点の事実である。適時開示の実務で、確定した事実と未確定の事実を区分して前者を出す作法は、別に整理した（適時開示の判断基準、「決定」の時点を事前ルールにする方法）。
実例を見ると、開示は段階を踏んで出されている。KADOKAWAは、2024年6月8日にランサムウェアを含むサイバー攻撃を受け（公表は9日）、8月14日に特別損失36億円の見込みと通期連結業績予想の修正を開示した。 11月の第2四半期決算で見込みを引き下げ、2025年3月期の通期決算ではサイバー攻撃関連の特別損失として約24億円を計上している。見込みで出し、途中で直し、確定で締める。見込みの数字が後で動いたことは、開示の失敗ではない。 アサヒグループホールディングスは、2025年9月29日にランサムウェアによるシステム障害が発生した後、10月14日に、2025年12月期第3四半期決算短信の開示が四半期末後45日を超えることに関するお知らせを出している。決算の数字を出せないこと自体を、先に開示している。
開示が遅れる会社で起きていることは、判断の難しさではない。誰が出すと決めるのか、いくらを超えたら出すのかが、事故の日に決まっていないことである。 対策本部には社長も情報システム部長も広報部長もいるが、開示の要否を判定する物差しを持っているのは財務だけである。そして物差しを当てる対象である三つの箱の数字も、財務が作る。
平時に決めるのは、金額基準と発表主体の二つ
事故の日に決めようとして間に合わないものは、二つしかない。
一つは、金額基準である。 基準は、照らす箱ごとに分けて用意する。
第一は、損害の開示の基準である。軽微基準の三つの数値、つまり連結純資産額の3パーセント、連結経常利益の30パーセント、親会社株主に帰属する当期純利益の30パーセントを、直近の決算の実額で計算しておく。三つのうち最も小さい金額が、実質的な目安になる。 ここに照らすのは、直接の費用と第三者への補償という、損失として計上される第一と第三の箱である。上場規程第402条第2号aの「損害の額」に、止まっていた間に失った利益まで含めるかどうかは、規程の文言からは確定できない。 だから第二の箱は、この基準と足し合わせない。
第二は、業績予想の修正の基準である。有価証券上場規程施行規則第407条第1項は、新たに算出した予想値を直近の公表予想値で除した数値が、連結売上高で1.1以上又は0.9以下、営業利益・経常利益・親会社株主に帰属する当期純利益で1.3以上又は0.7以下となる場合を、修正の開示を要する水準としている。 失った利益を含む第二の箱は、こちらに照らす。直近の公表予想値を置いた表に、利益が何億円減れば0.7に届くかを書いておく。
そのうえで、開示基準とは別の社内基準として、臨時の取締役会を招集する線を置く。 三つの箱の下限の合計がいくらに達したら招集する、というように、社内の判断を開示の判断より先に動かす。この線は開示の要否を判定する基準ではなく、判定を始める合図である。
もう一つは、発表主体である。 開示の文面を誰が起案し、誰が承認し、誰の名前で出すか。事故の日には、社長も広報部長も対応に追われ、決裁の順番が崩れる。 起案は財務と広報、承認は社長、ただし社長に連絡がつかない場合はCFOが承認する、というように代理の順番まで書く。東証への事前説明を誰が受けるかも、ここで決める。
この二つは、全社のリスクを財務の言葉に置き換える作業の一部として持っておくと、他の危機にも使える（ERMの始め方、全社リスクを損益・キャッシュ・資本の言葉に翻訳する手順）。支払担当を狙う攻撃や、資金繰りの谷への備えも、同じ一枚の上に並ぶ（なりすまし送金指示から支払担当を守る、経理の運用と権限の組み直し方、13週キャッシュフロー予測の作り方、月次の資金繰り表では見えない月中の谷）。
連結売上高2,300億円の食品卸。三月決算で、直前連結会計年度末の連結純資産額は880億円、連結経常利益は115億円、親会社株主に帰属する当期純利益は76億円だった。 軽微基準の三つの数値に当てはめると、純資産の3パーセントが26.4億円、経常利益の30パーセントが34.5億円、当期純利益の30パーセントが22.8億円になる。最も小さい22.8億円が、実質的な目安だった。 直近に公表していた通期の業績予想は、経常利益120億円、親会社株主に帰属する当期純利益80億円で、0.7倍に当たるのはそれぞれ84億円と56億円である。十月の第二月曜の未明、受注と倉庫管理のシステムがランサムウェアで暗号化された。CFOは、前年に作っていた一枚を対策本部に持ち込んだ。 損害の軽微基準の三つの数値、業績予想の修正に当たる水準、開示基準とは別の社内基準としての招集線（三つの箱の下限の合計が11億円に達したら臨時取締役会）、発表主体と代理の順番が書いてある。初日の午後、影響額は調査中である旨を付して、システム障害の発生を開示した。 起案は財務と広報、承認は社長である。同じ日に、保険の約款を法務と読み合わせた。 事故対応費用の補償は限度額5億円で、調査会社の起用には保険会社の同意が要る形になっていた。すでに情報システム部門が口頭で依頼していた調査会社について、その日のうちに保険会社の同意を取っている。 利益損害の補償は、三年前の更新時にオプションを外していた。一週目の見積りは、直接の費用が6〜9億円、失った利益は停止が一週間なら9億円、一か月なら31億円、取引先への補償は方針未定だった。 損失として計上される第一と第三の箱の下限は6億円で、損害の軽微基準の22.8億円には遠かった。失った利益は、停止が一か月なら31億円で、経常利益の予想から差し引くと89億円となり、修正の水準の84億円の手前まで来る。 三つの箱の下限の合計15億円が社内の招集線を超えたため、臨時取締役会を招集している。システムの復旧には十九日かかった。 取引先への補償は、欠品による取引先の損失の一部を負担する方針を取締役会で決め、対象の取引先数と過去の欠品時の実績から算定した。出荷の回復の遅れを含めて、失った利益は26億円と算定された。 経常利益の見込みは94億円で修正の水準には届かなかったが、特別損失の見込み11億円を加え、税負担を30パーセントと置いて試算すると、当期純利益の見込みは約54億円となり、予想の80億円に対する比率が0.7を下回った。この試算を根拠に、業績予想の修正を十一月の第2四半期決算の発表と同時に出した。 初日の開示から修正の開示まで、影響額の数字は出していない。表示区分と引当金の算定根拠は、十二月のうちに監査法人と協議を終えている。 第3四半期の決算では、復旧費用7.2億円と補償の引当金3.8億円を合わせた11億円を特別損失に計上した。保険金は、保険会社が4.6億円の支払いを認めた第4四半期に、特別利益として計上している。 損失が第3四半期、保険金が第4四半期に分かれることは、十一月の修正の開示の時点で文面に書いてあった。
※設例。会社、数値は説明のために置いた架空のもので、特定の会社の実績ではない。
サイバー事故の財務対応で押さえる三つのこと
第一に、被害額を三つの箱に分け、幅と根拠で出す。 直接の費用、止まっていた間に失った利益、第三者への補償。一つの数字で答えようとするから「分からない」になる。 停止期間が確定していないうちは仮定を二本置き、見積りの根拠資料をその時点で残す。この三つの箱が、開示の要否の判定、保険会社への通知、業績予想の修正、引当金の算定のすべての起点になる。 ただし、損失として計上される第一と第三の箱は損害の開示基準に、失った利益を含む第二の箱は業績予想の修正基準に照らし、足し合わせて一つの開示基準に当てない。 数字を手元に持つのは財務なので、情報システム部門の復旧とは別の議題として、初日から財務が主導する。
第二に、保険と会計の論点を、事故の週と四半期の期中に片付ける。 約款からは、事故の通知の期限、費用の支出に保険会社の同意が要るか、利益損害の補償の有無と待機期間、補償の対象外の項目の四つを、発注の前に拾う。同意なく発注した費用が補償から外れる形になっていれば、初日の発注の仕方が保険金の額を決める。 会計は、企業会計原則注解12の臨時損益の考え方に照らした表示区分、注解18の要件に照らした補償の引当金、未実現収益を計上しないという損益計算書原則に照らした保険金の計上時期の三つを、監査人と期中に協議する。損失と保険金の時差は、開示の文面で説明できるようにしておく。
第三に、影響額が固まる前に出すことを前提に、金額基準と発表主体を平時に決める。 東京証券取引所の有価証券上場規程第402条第2号aと施行規則第402条第1項第1号の軽微基準、すなわち連結純資産額の3パーセント、連結経常利益の30パーセント、親会社株主に帰属する当期純利益の30パーセントを直近の実額で計算して、損失として計上される第一と第三の箱を照らし、失った利益を含む第二の箱は施行規則第407条第1項の業績予想の修正の水準に照らす。三つの箱の合計で臨時の取締役会を招集する線を置くなら、それは開示基準とは別の社内基準として書く。東証は損害額の見積りに時間を要する場合に未確定である旨を先に開示する運用を示し、SECのForm 8-K Item 1.05は未確定の情報をその旨とともに先に出し、確定後に訂正報告で足させる。 個人情報保護法施行規則第8条の三十日（不正の目的のおそれがある事態は六十日）の時計も同じ日に動く。起案・承認・名義・代理の順番まで一枚に書いておかないと、事故の日に開示の判断の手前で手が止まりやすい。
