CFO から見た ISO 27001：年次報告書のサイバーセキュリティ開示、ESG 加点、予算の組み方

年次報告書ではどんなサイバーセキュリティ情報を開示するか？CFO はどの数字を準備すべきか？

年次報告書準則第 18 条第 6 款は次の記載を求めています。

• サイバーセキュリティのリスク管理体制、方針、具体的な管理施策
• サイバーセキュリティ管理への投入資源
• 直近年度から刊行日までの、重大インシデントによる損失、影響、対応策

CFO は投入資源とインシデントの損失を財務面から説明できる必要があります。ISO 27001 のリスクアセスメント、適用宣言書（SoA）、監査記録があれば、投入資源、管理施策、認証結果を同じ数字で開示できます。年次報告書準則は公開発行会社に適用され、公開発行会社でない企業は対象外で、任意に参考にできます。

ESG 評価 S-12 はどう加点されるか？認証は必須か？

S-12 は、サイバーセキュリティのリスク管理体制、方針、具体的な管理施策、投入資源を構築・開示しているかを問う A+ 型の指標で、年次報告書を評価の根拠とします。

• 開示そのものが得点条件
• 加点条件：ISO 27001、CNS 27001 などの情報セキュリティマネジメントシステム規格、または同等以上の効果を持つ制度・規格を導入し、第三者認証を取得すれば総合点に 1 点加算

2026 年度と 2027 年度で文言は同じです。評価の対象は上場・店頭公開企業で、上場・店頭公開企業でない企業や公開発行会社でない企業は対象外で、任意に参考にできます。

内部統制はサイバーセキュリティに何を求めるか？ISO 27001 の内部監査は外部委託できるか？

内部統制処理準則第 9 条はサイバーセキュリティ検査の統制を求め、第 9 条の 1 は情報セキュリティ制度の企画、監視、実施のために適切な人員と設備の配置を求めています。

内部監査は外部委託できます。ISO 19011:2018 は内部監査を、組織自身または組織に代わって行う監査と定義しています。唯一の厳格な制限は ISO/IEC 17021-1 第 5.2.6 項で、認証機関は自らの認証顧客の内部監査を行えません。委託先は認証機関ではなくコンサルタントです。内部統制処理準則は公開発行会社に適用され、公開発行会社でない企業は対象外で、任意に参考にできます。

予算編成：ISO 27001 への投入をどう分けるか？

少なくとも二つに分け、同じ会社には任せられません。

• コンサルタント：ギャップ分析、制度構築、内部監査
• 認証機関：独立した審査と認証

ISO/IEC 17021-1 第 5.2.5 項により、マネジメントシステム認証機関とその同一法人はマネジメントシステムのコンサルティングを提供できません。投入の規模は範囲と既存制度の成熟度で決まります。93 の管理策をすべて実施する必要はなく、リスクアセスメントで適用性を決めて SoA に記載し、適用外には理由を記します。このページでは費用を記載せず、積穗科研は無料のメカニズム診断の後に見積もりを提示します。

スケジュール：認証取得までどれくらいか？年次報告書の開示に間に合うか？

サービスページ記載の典型的な期間は 4〜8 か月で、順序は次のとおりです。

1. ギャップ分析
2. 制度構築
3. 内部監査とマネジメントレビュー
4. 第一段階／第二段階審査

既存の IT ガバナンス基盤があれば明確に短縮できます。導入は常に ISO/IEC 27001:2022 で行い、2013 年版証明書の移行期間は 2025 年 10 月 31 日に終了しています。S-12 は年次報告書を評価の根拠とするため、CFO は年次報告書の作成時期から逆算して開始時期を決められます。

投資効果：ISO 27001 への一度の投資はどこまで広がるか？認証は法令遵守と同じか？

ISO 27001 は複数の規格が共有する土台です。ISO 27701（プライバシー）、ISO 22301（事業継続）、ISO 42001（AI マネジメント）はいずれもそのマネジメントシステムの骨格を共有し、後の認証ではリスク管理、内部監査、マネジメントレビューを再利用できます。

認証の限界も明確にしておく必要があります。

• ISO 27001 は組織レベルのセキュリティ管理規格で、EU CRA の整合規格ではない
• ISO 27001 を取得しても個人情報保護の遵守にはならず、ISO 27701 と適用法令に沿って項目ごとに対応する必要がある

積穗科研は CFO の ISO 27001 情報セキュリティマネジメントシステムをどう支援するか？

• 副社長・取締役クラスのコンサルタントが外注せず一貫して支援し、チームは ISO 主任審査員の資格を持っています
• まず顧客、入札、所管当局のセキュリティ要求を確認して認証範囲を定め、ERM のリスクの言葉で評価の枠組みを作り、管理策と SoA を決めます
• 認証取得済みの組織では、内部監査を積穗に外部委託できます。積穗はコンサルタントであり、認証は行いません

実名実績：旺矽科技（MPI Corporation）、訊光資訊科技、卓元科健、超核心フィットネスセンター（Hypercore）、台湾証券取引所（TWSE）— 内部統制制度と ISO 9000・ISMS の統合支援。詳しく：ISO 27001 導入支援、ISO 27001 コンサルタントの選び方、ISO 27001 内部監査の外部委託、CISO 向けページ、CFO 向けページ。無料のメカニズム診断を申し込む