【2026年7月改訂】コーポレートガバナンス・コードを踏まえた全社的リスク管理（ERM）実質化のポイント

1．コードの「プリンシプル化」・「スリム化」

今回の改訂では、企業の実質的な対応を促すための「プリンシプル化」・「スリム化」が行われていることが大きな特徴です。

具体的には、コーポレートガバナンス・コードの構成が大きく変更されました。改訂前は、5個の基本原則、31個の原則、47個の補充原則から構成され、そのすべてが、コンプライ・オア・エクスプレイン（原則を実施するか、実施しない理由を説明する）の対象となっていましたが、今回の改訂では、補充原則が廃止され、4個の基本原則、26個の原則に再整理されました。また、一部の原則には、各原則の背景となる考え方や目的、当該原則を履行するためのベストプラクティス等を説明する「解釈指針」が新たに設けられました（コンプライ・オア・エクスプレインの対象外）。改訂前の補充原則のうち、ガバナンスの中核となる箇所は原則に格上げされる一方、それ以外の内容については、解釈指針への移行、あるいは、コード内の他の箇所や法令等との重複がある箇所の削除が行われています。

今回の改訂では、コード策定時のプリンシプルベースの精神に立ち返り、原則を抽象的かつ概念的なものに限定することで、形式的な記載・文言にとらわれた対応に終始することを避け、企業の実質的な対応を促すことを狙いとしています。企業においては、あらためて基本原則・原則の趣旨・精神を理解した上で、自社の個別事情に照らした判断・対応が求められます。

２．全社的リスク管理に関連する変更を踏まえた対応のポイント

全社的リスク管理については、改訂後の原則4－4およびその解釈指針に、取締役会の役割・責務が記載されています。

その内容は以下のとおりです。

出典：株式会社東京証券取引所「コーポレートガバナンス・コード」2026年7月

今回の改訂において、全社的リスク管理に関連する記載箇所にかかる変更は、主に以下の2点です。

(1) 内部統制および全社的リスク管理体制の整備に関する原則の独立
(2) 解釈指針における、サイバーセキュリティ等のリスクに関する記述の追加

以下では、それぞれの変更の内容について解説するとともに、コードの趣旨を踏まえた対応を行うためのポイントを説明します。

(1) 内部統制および全社的リスク管理体制の整備に関する原則の独立

改訂前のコーポレートガバナンス・コードでは、取締役会の責務について定める原則4－3の(2)およびその補充原則において、内部統制や全社的リスク管理体制の整備が求められていましたが、改訂後は、これが原則4－4として独立しました。

全社的リスク管理体制の整備は、改訂前より取締役会の責務とされており、今回の改訂によって、企業実務に求められる対応が大きく変わるものではありません。もっとも、プリンシプル化・スリム化が図られた本改訂において、これが独立した原則とされたことは、取締役会による全社的リスク管理体制の整備と適切な監督を実質的に行うことの重要性を、あらためて示したものといえます。

本改訂で強調された取締役会の責任を適切に果たすには、リスク管理体制の運用状況の適切性を評価するために必要な情報を、リスク管理委員会やリスク管理所管部署から取締役会へ適切に報告する必要があります。取締役会への報告事項としては、たとえば、以下が挙げられます。

• リスク管理年間活動計画、進捗状況
• リスクアセスメントの結果
• 重要リスクへの対応方針、進捗状況
• 社内で発生した事故・事件の内容、分析結果、件数推移

あらためて、取締役会への報告が適切なタイミングで行われているか、報告内容にリスク管理体制の運用状況を評価するにあたり十分な情報が含まれているかどうか、確認いただくことをお勧めします。

また、取締役会からの是正指示の有無にかかわらず、リスク管理体制の整備・運用状況について、定期的に課題の洗い出しや有効性の評価を実施し、必要に応じて改善を行うことも重要です。

コーポレートガバナンス・コードは、「攻めのガバナンス」の実現を目的としており、各原則は、果断な意思決定やリスクテイクを伴う事業活動を後押しするものと位置付けられています。その精神を踏まえれば、全社的リスク管理においても、「守りのガバナンス」の充足で満足せず、「攻めのガバナンス」に資するような体制・取り組みを志向していくことが求められているといえます。

(2) 解釈指針におけるサイバーセキュリティ等のリスクに関する記述の追加

原則4－4に関する解釈指針において、①サイバーセキュリティリスク、②国際的な経済安全保障を巡る環境変化等の地政学的要因によるサプライチェーン途絶リスク、③技術等の情報流出リスクへの対応が、リスク管理体制を整備する際の考慮事項に含まれうるとともに、これらのリスクへの対応等が適切に行われるべきとの記述が追加されました。

これらのリスクは、いずれも近年の外部環境の変化から切迫度が高まっているリスクであり、企業経営において重大な影響を及ぼし得るリスクとして、重要性が高まっているとの判断から列挙されたものと考えられます。そのため、まずは、これら三つのリスクについて、自社にとっての重要度や、体制整備、対策の実施状況についてあらためて確認し、必要に応じて是正・強化することを推奨します。

ただし、これらのリスクへの体制や対応状況の確認・強化のみにとどまっていては、コーポレートガバナンス・コードの趣旨を踏まえた対応としては不十分です。外部環境の変化速度が激しい昨今、企業にとって重要となるリスクを見逃さず、適切に対応するためには、組織的に対応すべき新たなリスクの発生や、既に認識しているリスクのリスク量の変化を把握することがポイントとなります。

リスクアセスメントを継続的に実施している企業でも、取り組みがマンネリ化し、結果としてリスクに対する認識や評価が固定化されてしまっているケースも少なくありません。リスクリストの定期的な見直しや、外部環境変化によって生じ得るリスクシナリオの検討など、新しいリスクや既に認識しているリスクの変化を適切に認識できるように、リスクアセスメントの手法を設計することが重要です。

おわりに

本改訂でプリンシプル化・スリム化が行われた背景には、持続的な成長と中長期的な企業価値の向上を真に実現するためには、形式的な対応にとどまらず、コーポレートガバナンスの実質化が必要との課題認識があります。

全社的リスク管理についても、まさに、形式的になっていないか、実質的な対応が実現できているか、そして、持続的な成長と中長期的な企業価値向上に資するものとなっているかを問い直すことが求められています。今一度、自社のリスク管理体制・取り組みが、コードの趣旨を踏まえたものになっているか、確認いただくことをお勧めします。