ESGリスクトピックス(2025年7月)
- サステナビリティ(ビジネスと人権、自然資本・TNFD、生物多様性)
- 気候変動(TCFD/カーボンニュートラル)
- サイバーリスク/情報セキュリティ
- 全社的リスク管理(ERM)
- 危機管理
- コンプライアンス・内部統制
- ESGリスクトピックス
2025.7.1
『ESGリスクトピックス』では、E(環境)・S(社会)・G(ガバナンス)に関する国内・海外の最近の重要なトピックスをお届けします。
2025年7月のトピックス
自然資本
○ EUDR、国別リスク区分を定める規則案および各国分類案を提示
欧州委員会は2025年5月22日、欧州森林破壊防止規則(EUDR)の実施規則を採択し、牛肉・カカオ・コーヒー・パーム油・ゴム・大豆・木材の7品目について、原産国を「低リスク」、「標準リスク」、「高リスク」の3段階で格付けするEU規則案と各国の分類案を提示した。この規則は、EU市場にこれら7品目を流通・提供・輸出する事業者に対し、生産地まで遡ったデューデリジェンスを初めて義務付けるものである。適用時期に関しては、大企業が2025年12月30日、中小企業は2026年6月30日となっている。
リスク分類は、国連食糧農業機関(FAO)の2020年世界森林資源評価(FRA)を活用し、①2015~2020年の年間森林面積減少率が0.2%未満かつ年間森林減少面積が7万ha未満、②年間森林減少面積が1,000ha未満、③主な森林減少要因が農地拡大ではなく都市化のいずれかである場合に、「低リスク」と認定している。②の条件については、森林減少の絶対面積が小さいにもかかわらず、相対面積が大きいために森林面積減少率が高くなる小国の状況を考慮している。いずれも該当しない国は「標準リスク」に分類される。それぞれの定量的条件の+25%以内に位置する「ボーダーライン国」については政策枠組み能力・執行能力・データ透明性・EUとの協力の4項目を評価し、一定基準を満たせば「低リスク」へ引き下げられる。国連安全保障理事会もしくはEU理事会の経済制裁対象国は自動的に「高リスク」へ格上げされる仕組みとなっている。
この制度の主な目的は3つある。第1にリスク区分ごとに検査率を差別化し(低リスク国1%、標準リスク3%、高リスク9%)、EU加盟国当局による対象事業者・商品の検査を効率化すること。第2に低リスク国からのみ調達する事業者にはデューデリジェンス手続きを簡素化し、森林保護をインセンティブ化すること。第3に、各国のガバナンス改善を促し、EUの支援と連動してサプライチェーンの森林破壊フリーを推進することである。
初回リストでは、EU27カ国や日本・米国・中国・インドなどが「低リスク」、ブラジル・インドネシア・マレーシア・コートジボワールなどが「標準リスク」、ロシア・ベラルーシ・北朝鮮・ミャンマーが「高リスク」と分類されている。欧州委員会によれば、すべての国は透明かつ客観的な手法で評価され、結果は随時更新される。
企業への影響として、単一貨物に複数原産国が含まれる場合は最も高いリスクが適用され、「高リスク」貨物は検査や手続きの長期化によりコスト増や遅延リスクが高まる。推奨される対応策は、①取引先のリスク区分を確認し、「高リスク」・「標準リスク」の取引先については欧州委員会で定められているデューデリジェンス(情報収集、リスク評価、リスク緩和措置)を行って自社事業に与える影響を評価すること、②リスク区分の変更を契約条件や価格に反映できるよう契約内容を見直すことである。
| リスク区分 | 初回分類国 | 事業者デューデリジェンス | 想定される企業への影響 |
|---|---|---|---|
| 低リスク | EU各国 日本 米国 中国 インドなど |
情報収集のみ | 税関手続きの簡素化 |
| 標準リスク | ブラジル インドネシア マレーシア コートジボワールなど |
情報収集 リスク評価 監査等のリスク緩和措置 年次報告の義務 |
当局の査察による輸送遅延 契約拒否 罰金(自社におけるEU内での総売上高の最大4%) 税関または当局による商品押収 EU市場への輸入および販売の禁止 |
| 高リスク | ロシア ベラルーシ ミャンマー 北朝鮮 |
情報収集 リスク評価 監査等のリスク緩和措置 年次報告の義務 |
当局の査察による輸送遅延 契約拒否 罰金(自社におけるEU内での総売上高の最大4%) 税関または当局による商品押収 EU市場への輸入および販売の禁止 |
出典:欧州委員会資料をもとにMS&ADインターリスク総研作成
また、2026年にはFRA2025を反映した見直しが予定されており、リスク区分が変動する可能性があるため、関連企業は積極的なエビデンスの収集や政府に対する森林保全政策の推進を働きかけることが望ましい。
総じて、EUDRの国別リスク区分は、企業の気候変動対策・自然資本戦略における重要な要素であり、事業収益やオペレーションコスト、さらには投資家や顧客からの信頼にも影響がある。関連企業はEUDRの動向を注視し、必要な対応を積極的に進めることが求められる。
【参考情報】
2025年5月22日付 European Commission HP: https://green-forum.ec.europa.eu/deforestation-regulation-implementation/eudr-cooperation-and-partnerships_en
自然資本・生物多様性
○ Biodiversity Credit Allianceがボランタリー生物多様性クレジットの審査メカニズムの検討を開始
残り10374文字
この先は「続きを読む」を押してください。
Biodiversity Credit Alliance(BCA)は、十全性の高いボランタリー生物多様性クレジット市場の形成を目指し、クレジット供給者側の審査メカニズムの構築に向けた検討がスコーピング段階に入ったと発表した。スコーピング段階では、これまでの検討成果を踏まえて審査メカニズムの構築に向けた具体的な方向性を定めていく作業に入るとしている。
BCAは国連開発計画(UNDP)と国連環境計画・金融イニシアチブ(UNEP FI)の支援により、生物多様性条約第15回締約国会議(CBD-COP15/2022年12月)期間中に設立。メンバーは研究者、保全に関わる実務者、ボランタリー生物多様性クレジット制度の検討主体などで構成されている。加えて、先住民と地域社会(IPLCs)により構成される会議体であるCommunity Adovisory Panel(CAP)も設立されており、一連の議論に参画している。
BCAが設立された目的は、十全性の高いボランタリー生物多様性クレジット市場を形成することである。十全性とは、透明性、信頼性、効率性などのボランタリー生物多様性クレジットの質を指す。BCAは、同目的の下、クレジット原則の策定や、市場参加者へクレジット原則に基づく行動を促すためのガイダンス策定等に取り組むとしている。
BCAのこれまでの検討成果として、生物多様性クレジットの定義、クレジット原則、アセスメントツールなどが公表されている。これらの一連の検討成果は、クレジットを創出・販売する供給者側の質や十全性を審査(Review)するメカニズムを構築することを目的に進めてきたものである。審査は、個別のプロジェクトによる取り組み成果をクレジットとして認証(Verification)するのではなく、クレジット認証機関が開発したプログラムや方法論に対して十全性を審査することを指している※1 。なお、同様のメカニズムとして、ボランタリーカーボンクレジット市場※2においては、The Integrity Council for Voluntary Carbon Markets(ICVCM)※3が、高品質なカーボンクレジット要件であるCore Carbon Principles(CCP)に適合するクレジットプログラムや方法論を評価している。
今回発表されたスコーピング段階の検討事項としては以下が挙げられている。
- 審査機関に必要な要件
- 十全性の高い市場を支えるために必要な審査項目
- 審査メカニズムの構造と必要なリソース
- 段階的・協調的・包括的なアプローチ
上記検討におけるポイントは、①標準化と柔軟性のバランス、②類似する他の資金メカニズムとの関係整理、③高度な専門知識を有する審査員の確保が挙げられると想定される。これらのポイントは、BCAが昨年公表した、既存の審査メカニズムのレビュー結果を取りまとめたレポート※1 において、審査メカニズムの検討における課題として挙げられた点である。
同レポートでは、需要側の理解が不足している点も指摘されている。この課題に対してBCAは、ボランタリー生物多様性クレジットの使用者に対して、クレジットの使用やその主張に関するガイダンスの作成も進めている。BCAによるクレジット供給者・使用者両面へのアプローチにより、ボランタリー生物多様性クレジット市場の十全性確保を促進していくことが期待される。
1)BCA(2024)Review Mechanisms for Supply-side Quality and Integrity in the Biodiversity Credit Matket
2)民間が主導するカーボンクレジットの取引市場のこと
3)https://icvcm.org/assessment-status/
【参考情報】
2025年6月6日付: https://www.linkedin.com/posts/biodiversity-credit-alliance_????-?????-?????????-activity-7336309012537176064-XJB8
ビジネスと人権
○ TISFDの起草体制が始動、世界4地域「カウンシル」メンバーを公表
不平等・社会関連財務情報開示タスクフォース(TISFD)は2025年5月20日、開示基準の策定に当たって、各国・地域の社会・経済・文化的事情を反映し、より普遍的な内容にするための中心的な役割を担う「カウンシル」のメンバーを公表した。同時に、策定の進捗に応じて段階的に公表される予定のドラフトへの意見や同基準の各地での推進・普及を期待される「アライアンス」メンバーの募集を始めた。体制を整え、基準策定の作業が始動する。
カウンシルは、世界4地域(北・南米、アジア太平洋、欧州・英国、中東・アフリカ)に設置。それぞれ20~30人、計90人弱のメンバーで構成する。日本からは2人が参加している。所属は、金融機関や企業、市民団体、労働組合など。ただし、個人としての参加で、所属組織の利害を代表しない。今年初めから世界で公募していた。今後メンバーが増える可能性もあるという。1年任期で、年4~6回のリモート会議で議論に参加する。
カウンシルのメンバーは、主に次の3つの役割を担う。
①基準のドラフト作成過程で、各国・地域の事情を踏まえたフィードバック
②基準策定に重要な担当国・地域内の特性や事情などを、カウンシル内外で協議・共有
③本基準が対象にする「不平等」や「社会」のテーマについて、投資家を中心に理解増進を図る
一方、アライアンスメンバーの役割は、基準ドラフトへの意見提供のほか、TISFD主催の学習会やウェビナーへの参加やニュースレター購読などを通じて、知見や理解を増やし、同基準の活用推進に貢献すること。組織単位での参加で、組織の種類は問わない。無料・無償で、退会も随時可能。TISFDに対して契約に基づく責務は追わない一方で、TISFDがメンバーに対して何らかのお墨付きを与えるものではないと強調されている。TISFDのHPでメンバー登録を募集中。また、TISFDは2025年内にも、専門家の個人にアライアンスメンバーの門戸を開く考えだ。
TISFDは人権や不平等といった社会的な課題や人的資本などのテーマを対象に、S(社会)領域における国際的な開示基準を開発するのが目的。当初は「不平等」と「社会」が別個の組織で検討されていたが、24年4月に統合して現在の組織となった。同年5月には基本コンセプトが公表され、国際サステナビリティ基準審議会(ISSB)や欧州サステナビリティ報告基準(ESRS)など既存の開示基準と整合を図る方針を明らかにした。
【参考情報】
2025年5月20日付 TISFD HP:https://www.tisfd.org/news/tisfd-announces-launch-of-regional-councils-to-ensure-global-relevance-and-local-engagement
サステナビリティ開示
○ TOPIX構成企業の約3割がSSBJ基準の義務化前の開示を検討、GPIF調査
年金積立金管理運用独立行政法人(GPIF)は2025年5月27日、「第10回機関投資家のスチュワードシップ活動に関する上場企業向けアンケート集計結果」を公表した。それによると、東証株価指数(TOPIX)構成企業の約3割が、サステナビリティ基準委員会(SSBJ)基準の適用義務化に先立っての開示を予定・検討していることがわかった。同基準は、有価証券報告書でサステナビリティ情報を開示する際に対応が必要で、プライム上場企業の時価総額上位を対象に、最短で2027年3月期から適用が始まる予定だ。
一部開示を含めSSBJ基準の義務化前に開示を「予定」と回答したのは9.4%、「検討」(18.0%)と合わせると、義務化前の対応を考えている企業の合計は27.4%だった。時価総額別では、最初に適用が見込まれる「時価総額3兆円以上」(発行済株式数ベース、25年1月末時点)では「予定」の割合が最も高く13.0%で、「検討」を加えた合計は37.1%となっている。一方、適用時期が遅い「5,000億円以上1兆円未満」グループの「予定」と「検討」の合計は39.1%で、「3兆円以上」グループを上回った。なお、その中間の順番で義務化の見込みの「1兆円以上3兆円未満」は、「予定」と「検討」ともにどちらのグループよりも低かった。
<SSBJ開示の予定・検討状況>

出典:GPIF資料をもとにMS&ADインターリスク総研作成
SSBJ開示に向けた具体的な取り組み状況(自由記述)では、非財務情報の開示における責任部署の明確化、SSBJ基準と自社の現状とのギャップの特定、対応のためのプロジェクトの立ち上げ予定などが挙がった。欧州連合(EU)のサステナビリティ開示基準である企業持続可能性報告指令(CSRD)や第三者保証への対応、非財務データ収集の体制整備についても関心が高かった。社内の負荷や経営陣の理解を得ることが難しいとして、サステナビリティ情報開示の必要性や意義の発信を機関投資家に対して求めるコメントもみられた。
前回調査(24年)に新設された自然関連財務情報開示タスクフォース(TNFD)に関する質問では、同枠組みに沿った開示済の企業が10.3ポイント増の15.8%になった。「ガバナンス」や「戦略」など開示の4項目では、開示企業のうちガバナンスが対応できているとの回答(「十分」と「一部」の合計)が前回の80.7%から95.9%に上昇した。GPIFの指摘によると、4項目のうちガバナンスの開示を優先した対応は、気候関連財務情報開示タスクフォース(TCFD)の開始時と同様の傾向だという。「指標と目標」は88.8%で、4項目の中で最も低いが前回の66.7%から大幅に増えた。
ESG活動の目的は「企業価値向上」の回答が大半を占めた。特に企業規模別で「大型(TOPIX100)」の企業は90%(前回は85%)が「企業価値向上」を目的の1位に挙げる一方、次点の「リスク低減効果」が3%(同4%)、「社会貢献」は1%(同5%)にとどまった。中型(TOPIX Mid400)」とそれら以外の「小型」の規模でも企業価値向上を最上位に挙げる傾向は同じだった。ESG活動における主要テーマを問う質問(複数回答)では、上位3テーマが「気候変動」「コーポレート・ガバナンス」「ダイバーシティ」の順で、前回と同様だった。今回は「サプライチェーン」が7位から5位に上昇したほか、25.5%の企業が新設の「人材開発」を選び8位となった。
同調査はTOPIX構成企業を対象に、投資家向け広報(IR)の状況や機関投資家との対話について問うもので、GPIFは16年から実施。アンケートでは企業のIRやESG活動のほか、機関投資家の現状・変化、GPIFの取り組みを質問している。
今回のアンケートは25年1月末時点のTOPIX構成企業1,696社が対象で、回答社数は37.3%の632社だった。東京証券取引所の市場再編に伴うTOPIX見直しのため、対象企業数は前回調査の2,154社から大幅に減ったが、回答率は前回(33.3%)から上昇した。
【参考情報】
2025年5月27 日付 年金積立金管理運用独立行政法人HP: https://www.gpif.go.jp/esg-stw/stewardship/stewardship_questionnaire_10.html
中国反外国制裁法
○ 中国が反外国制裁法の実施規定を公布
2025年3月24日、中国国務院は「中華人民共和国反外国制裁法※ 」(以下「反外国制裁法」)の具体的な運用ルールを定めた「実施に関する規定」(以下「本規定」)を公布・施行した。この規定は、2021年に施行された同法の実効性を高めるものである。
反外国制裁法は、外国の個人または組織が中国の個人や企業に対して不当な制裁や差別的措置を講じた場合に、制裁リストに追加し、中国政府が報復措置を取ることを認める法律である。中国はこの法律によって、自国の主権、安全、経済的利益を守るとともに、対外的に対等な関係を主張する姿勢を明確にしてきた。これまでは制裁の内容や範囲が不明確であったが、今回の本規定により、報復措置の内容がより具体的に明文化された。
例えば、反外国制裁法では、制裁リストに載った外国の個人やその配偶者・直系親族、また、組織やその管理職、関係者などに対して、措置を講じることが可能とされ(反外国制裁法第5条)、措置の内容は以下のうち1つ、あるいは複数の措置を講じることが可能とされている。(反外国制裁法第6条)
- 査証を発行しない、入国禁止、査証取消、あるいは国外追放
- 中国国内にある動産、不動産やその他の各種財産の差し押さえ、押収、凍結
- 中国国内の組織、個人との関連取引、協力等の活動の禁止あるいは制限
- その他の必要な措置
本規定では、上記措置に関して具体的な内容が定められ、第二項の対象となる財産には、現金、銀行預金、有価証券、ファンド持分、知的財産権、売掛金などが含まれており、広範囲に及ぶとされた(本規定第7条)。また、第三項で制限される活動の分野も明文化され、教育、科学技術、法律サービス、環境保護、経済貿易、文化、観光、衛生、スポーツが含まれており、多岐にわたる領域で影響が生じる可能性がある(本規定第8条)ことが明示された。
さらに、本規定によれば、当該措置に従わない場合、中国政府が、政府調達・入札・それらに関連する物品や技術の輸出入または国際サービスに関する貿易活動、国外からのデータの受信や提供、出入国や中国内滞在などの禁止または制限を行う可能性があるとされている(本規定第13条)。
こうした中、中国で事業を展開する企業は、自社および関連先が制裁対象となるリスクを認識し、現地で活動する従業員にもそのリスクを十分に周知するなど、慎重な対応が求められる。また、欧米諸国の対中制裁や輸出管理規制に従った結果、その行為自体が中国から「差別的措置」と見なされ、制裁対象となるリスクも想定される。
中国での事業に直接関連しない企業であっても、サプライチェーン上の企業が制裁を受けた場合、間接的な影響により、事業活動が滞る可能性がある。中国の今後の反外国制裁法・本規定の運用動向に注視し、継続的な情報収集体制とリスクへの対応方針の検討・体制整備を行うことが望ましい。
※中華人民共和国反外国制裁法(2021年6月10日)
https://www.gov.cn/xinwen/2021-06/11/content_5616935.htm
【参考情報】
中国政府HP:https://www.gov.cn/zhengce/content/202503/content_7015400.htm
下請法
○ 下請法、約20年ぶりの主要な改正
下請代金支払遅延等防止法(以下、「下請法」)の改正案が2025年5月16日、参院本会議で可決、成立した。主要な改正は、2003年以来、約20年ぶりとなる。
本改正は、近年の急激な労務費や原材料費、エネルギーコストの上昇を受けて、発注者と受注者の対等な関係に基づき、サプライチェーン全体で適切な価格転嫁を定着させる「構造的な価格転嫁」の実現を図ることを目的として行われた。
主な改正項目は以下のとおり。
| 改正の項目 | 主な改正内容 |
|---|---|
| 1.協議を適切に行わない代金額の決定の禁止 | ・対象取引において、代金に関する協議に応じないことや、 協議において必要な説明又は情報の提供をしないことによる、 一方的な代金の額の決定を禁止。 |
| 2.手形払い等の禁止 | ・対象取引において、支払い手段として、手形払いの他、 電子記録債権やファクタリング等、代金相当額を得ることが 困難なものを禁止。 |
| 3.運送委託の対象取引への追加 | ・対象取引に販売、製造等の目的物の引渡しに必要な運送の 委託を追加。 |
| 4.従業員数基準の追加 | ・委託事業者に「300人超」(役務提供委託等は100人以上)、 受託事業者に「300人以下」(役務提供委託等は100人以下)の 区分を新設し、規制および保護の対象を拡充。 |
| 5.面的執行の強化 | ・事業所管省庁の主務大臣に指導・助言権限を付与し、 「報復措置の禁止」の申告先として、 事業所管官庁の主務大臣を追加。 |
| 6.用語の見直し | ・下請代金支払遅延等防止法を「製造委託等に係る 中小受託事業者に対する代金の支払いの遅延等の 防止に関する法律」に、「下請事業者」を 「中小受託事業者」に、「親事業者」を「委託事業者」に改正。 |
出典:公正取引委員会「下請法・下請振興法改正法の概要」をもとにMS&ADインターリスク総研作成
今回の法改正は、2024年12月公表の企業取引研究会報告書※でも指摘された上昇したコストの価格転嫁に関する問題や運送委託における荷主・物流事業者間の問題(荷役・荷待ち)、下請法逃れの問題など、価格転嫁を阻害し受注者に負担を強いる商習慣を改善し、価格転嫁および取引適正化を図るものである。
改正下請法は、2026年1月1日より施行される。現行法では適用対象となっていない取引についても、改正により下請法の適用対象となる場合がある。企業においては、施行されるまでに既存取引を棚卸して契約内容や契約取引先の従業員数・資本金額を把握し、既存取引への適用の該否を確認することが求められる。
※企業取引研究会「企業取引研究会 報告書」 https://www.chusho.meti.go.jp/keiei/torihiki/2024/241225_1.pdf
【参考情報】
2025年5月16日付 公正取引委員会HP:https://www.jftc.go.jp/houdou/pressrelease/2025/may/250516_toritekiseiritsu.html
労働安全衛生
○ 厚生労働省、労働安全衛生規則を改正し熱中症対策を義務化
厚生労働省は2025年5月20日、「労働安全衛生規則の一部を改正する省令の施行等について」を公表した。2025年6月1日より改正施行される「労働安全衛生規則」により、事業者は一定の条件下※1で従業員に作業を行わせる際、「体制の整備」、「手順の作成」、「関係者への周知」が義務付けられたことを周知している。
「体制の整備」は、定期的な職場巡視や体調確認を通じた熱中症初期症状の把握と、発見した場合の報告先や連絡方法の明確化を指す。「手順の作成」は、熱中症の恐れがある者に対する作業離脱、身体冷却など重篤化を防ぐ措置の内容およびその実施手順を定めることである。そして、それらの体制や手順について、見やすい場所への掲示やメール送付によって、作業者に確実に伝わるよう「関係者に周知」することが求められている。本改正で新設された規則は、労働安全衛生法の第22条に基づくもので、違反した場合には6ヶ月以下の懲役または50万円以下の罰金を科される可能性がある。
改正の背景としては、近年顕著となっている気候変動による夏場の気温の高まりがある。2015年には職場における熱中症の死傷者数は464名だったが、2024年には1,257名と、10年で約3倍に増加している※2。また、熱中症は労働災害の中でも死亡災害に至る可能性が高いことも対策が急がれる理由である。厚生労働省の統計で、発生件数が最多なのは「転倒」、死亡者数が最多なのは「転落墜落」だが、“死亡率”は熱中症が最も高くなっている。厚生労働省によると、熱中症の死亡災害の多くは初期症状の放置または対応の遅れによって生じているとされており、事業者が本改正の趣旨に沿って対策を進めることで、事態の改善が期待される。
| 類型 | 転倒 | 転落墜落 | 熱中症 |
|---|---|---|---|
| 2024年の発生件数 | 36,378 | 20,699 | 1,257 |
| 上記のうち死亡者数 | 31 | 188 | 31 |
| 死亡者の発生割合 | 0.08% | 0.90% | 2.46% |
出典:厚生労働省 職場のあんぜんサイト「令和6年度労働災害統計確定値」をもとにMS&ADインターリスク総研作成
熱中症に対しては、建設や運輸等、屋外や高温環境下での作業を伴う業種を中心に、休憩時間の確保や冷却機能付き作業服の導入などの対策が浸透しつつある。しかし、死傷者数の増加傾向は、気候変動によるリスクの高まりに対策が追い付いていないことを示唆している。加えて、人材不足や健康経営への注目を背景に、企業が従業員の健康や安全を守る責任は一層厳しく問われている。経営者やリスク管理の担当者には、法令上の義務を果たすのに留まらず、リスクの高まりや社会的要請といった環境の変化を勘案し、自社の現場に即した実効性ある対策を実施いただきたい。
1)WBGT(湿球黒球温度)28度又は気温31度以上の作業場において行われる作業で継続して1時間以上又は1日当たり4時間を超えて行われることが見込まれるもの
2)厚生労働省発行パンフレット「職場における熱中症対策の強化について」より引用
【参考情報】
2025年5月20日付 厚生労働省HP:https://neccyusho.mhlw.go.jp/
サイバーセキュリティ
○ 2024年度 中小企業における情報セキュリティ対策に関する実態調査~中小企業の6割がセキュリティ投資せず
近年、サプライチェーン上の弱点を狙って攻撃対象への侵入を図るサイバー攻撃が増加している。サプライチェーンを構成する企業のサイバー攻撃への対策が不十分である場合、当該企業の事業活動に支障が生じるだけでなく、重要情報の流出や製品・サービスの供給停止などに繋がりかねず、当該企業を踏み台にして取引先が攻撃される恐れもある。
2025年5月27日にIPAは、「2024年度中小企業等実態調査」(以下、本調査という)の結果を公表、中小企業のセキュリティ対策状況について報告した。IPAは、同種の調査を2016年度および2021年度に実施している。
| 文献調査 | アンケート調査 | インタビュー調査 | |
|---|---|---|---|
| 調査 対象 |
20件の文献 | 中小企業等の経営層および情報システム/情報セキュリティの担当マネージャ(4,191件) | アンケート回答者のうち有効な取組を実施していると想定される中小企業等(21社) |
| 調査 項目 |
|
|
|
出典:本調査報告書をもとにMS&ADインターリスク総研作成
本調査結果によると、過去3年間に情報セキュリティ対策投資を行っていない企業は約6割に上っている。2016年度、2021年度の調査結果よりも悪化しており、中小企業が情報セキュリティ対策投資に踏み出せていない実態が明らかになった。また、投資をしていない理由として「必要性を感じない」ことを挙げた割合は小規模企業者では約5割となっており、中小企業におけるサイバーセキュリティ対策が進まない原因として、セキュリティ投資の費用対効果が不明瞭であることが主な原因の一つと示された。
IPAが普及展開している「SECURITY ACTION※1」や「サイバーセキュリティお助け隊サービス※2」は、中小企業向けに開発された情報セキュリティ対策推進策であり、一定の基準を満たせば、補助金の対象となるなどの仕組みが用意されている。しかし、どちらも中小企業の認知度は10%を下回っており、活用されているとは言い難い。
中小企業のサイバーセキュリティ対策を進めるためには、取引先がサイバーセキュリティ対策の実施を条件として仕事を発注するなどの動機付けが必要であろう。中小企業をはじめすべての企業や組織がサイバーセキュリティの重要性を理解し、積極的に対策を講じるよう、環境の整備や継続的な啓発活動が強く求められる。
1)SECURITY ACTION:中小企業が、情報セキュリティ対策に取組むことを自己宣言する制度。
2)サイバーセキュリティお助け隊サービス:中小企業に対するサイバー攻撃への対処として不可欠なサービスをワンパッケージにまとめた、民間の事業者から提供されるサービス。
【参考情報】
独立行政法人情報処理推進機構(IPA): 「2024年度 中小企業における情報セキュリティ対策に関する実態調査」報告書について https://www.ipa.go.jp/security/reports/sme/sme-survey2024.html
PDFでもご覧いただけます