正解：ウ
各選択肢の解説
ア取締役会が、ファイアウォールの設定など個々の対策の内容を決めて実施するため。
誤り。これは業務の執行で、経営陣とその下の担当部門が受け持つ部分です。 取締役会も「経営の重要事項を決める場」なので混同しやすいのですが、個々の機器の設定まで 取締役会が決めて実施するわけではありません。執行するか、執行を見張るかで分けます。
イ取締役会が独立した監査人として、対策の有効性について保証を与えるため。
誤り。対策の有効性を独立した立場で確かめて保証するのは、内部監査や外部の監査人の役割です。 取締役会は監査の結果を受け取る側にはなりますが、取締役会自身が監査人になるわけではありません。 監督する機関と、監督の材料を出す監査とを分けて考えます。
ウ経営陣によるリスクへの対応を監督し、必要に応じて方針の見直しを求めるため。
正解。コーポレートガバナンスは、経営が健全に行われるよう監視・監督する仕組みです。 取締役会は報告をもとに、経営陣の情報セキュリティリスクへの対応が十分かを確かめ、 足りなければ方針の見直しを求めます。
エ法令違反が起きていないことだけを確かめ、違反がなければ経営陣に任せるため。
誤り。法令や規範を守ることはコンプライアンスで、コーポレートガバナンスが見る範囲の一部にすぎません。 法令違反がなくても、対策が遅れて事業が止まる危険があれば、それも監督の対象です。 「守っているか」だけでなく「経営として十分か」まで見る点で区別します。
理解を深めるために
取締役会は「やる人」ではなく「見張る人」
会社をバスにたとえると、ハンドルを握って運転するのが経営陣、運転が安全かを横で確かめ、 危なければ「ルートを変えよう」と言うのが取締役会です。取締役会は自分でハンドルを握るのではなく、 運転を監督する役回りです。
情報セキュリティでも同じです。担当者が取締役会へ上げる報告は、取締役会が 「経営陣はこのリスクに十分に対応しているか」を判断するための材料になります。
なぜ取締役会に報告するのか
コーポレートガバナンスは、株主などの関係者に代わって経営を監視・監督し、 健全で透明な経営を保つための仕組みです。情報セキュリティリスクは、事業の停止や 信用の失墜につながる経営上のリスクなので、監督の対象に入ります。
- 経営陣（執行側）は、方針に沿って対策を実行し、その状況を報告する
- 取締役会（監督側）は、報告をもとに対応が十分かを判断し、足りなければ見直しを求める
- 内部監査は、独立した立場で対策が機能しているかを確かめ、その結果を監督に役立てる
担当者の報告が「対策をやりました」の列挙だけだと、取締役会は判断できません。 残っているリスクや、追加の判断が要る点を示すことが、監督を機能させる報告になります。
混同しやすいものとの違い
| 用語 | 何をするか |
|---|---|
| コーポレートガバナンス（取締役会の監督） | 経営陣の対応を監督し、必要なら方針の見直しを求める |
| 業務の執行 | 経営陣と担当部門が、対策を決めて実施する |
| 内部監査 | 独立した立場で、対策が機能しているかを確かめて報告する |
| コンプライアンス | 法令・社内規程・社会の規範に沿って行動する |
「実行するのか、実行を監督するのか、監督の材料を出すのか」の3つの立場を分けると、選択肢を見分けられます。