上場していないあなたの会社にも、統治指針がやってくる──「星」が決める、これからの取引条件

セキュリティが「収益機会にもつながる」と書かれた、新しい採点基準

こんな場面を想像してほしい。ある朝、長年取引のある大手メーカーから、あなたの会社に見慣れない書類が届く。表題は「取引先セキュリティ調査票」。パスワードはどう管理しているか、社内のネットワークはどう守っているか、事故が起きたら誰が誰に連絡するのか──数十の設問が並び、末尾にはこう添えられている。「ご回答内容は、今後のお取引の参考とさせていただきます」。

これは架空の場面である。だが、似た書類を既に受け取ったという読者は、決して少なくないはずだ。そして2026年7月21日、この流れを決定的にするニュースが流れた。金融庁と東京証券取引所が、コーポレートガバナンス・コード（企業統治指針）を5年ぶりに改訂したのである。聞き慣れない名前だが、上場企業の経営が適切かどうかを株主が採点するときの「採点基準」だと思えばよい。

その採点基準に、今回、こういう趣旨の一節が加わった。取締役会は、サイバー攻撃のリスク、国際情勢の変化で部品や原材料の供給網が止まるリスク、技術情報が流出するリスクへの対応にも目を配るべきである──。さらに、こうしたリスクへの対応を「収益機会にもつながり得る」とまで書いた。サイバー攻撃からの防御は、儲けにもつながる。国の採点基準が、はっきりそう言い切ったのである。

説明責任は川を遡る

それにしても、上場企業の採点基準が、なぜ上場していない取引先の会社に関わるのか。鍵は「説明責任」という言葉にある。

上場企業の取締役会は、株主にこう問われる立場になった。「おたくの事業基盤は、サイバー攻撃に耐えられるのか」。この問いに、自社の対策だけを語っても答えにならない。近年の攻撃の多くは、守りの厚い大企業を直接狙わず、取引先を経由して入り込むからだ。つまり取締役会は、サプライチェーンを形成する取引先の対策状況を把握していなければ、株主への説明責任を果たせない。

そして、把握するための手段は決まっている。調達基準であり、契約条項であり、冒頭のような調査票である。メーカーであれば、モノは川上（部品を作る側）から川下（消費者へ届ける側）へ流れるが、説明責任はその逆を行く。消費者に近い上場企業の役員室で生まれた宿題が、鮭が遡上するように川を遡り、一次取引先の管理部門を経て、二次、三次の取引先の机の上に、一通の書類として届くのだ。大手企業による取引先調査は既に広がりつつあるが、今回の改訂はこの流れを制度として追認し、加速させるものだ──というのが筆者の見立てである。要求は「お願い」から「取引の条件」へと、静かに性質を変えていくとみるのが自然だ。

「星」という共通の物差し

一方、要求を受ける側には、切実な問題がある。上場している取引先が10社あれば、調査票も10種類届く。設問も基準もばらばらで、回答するだけで担当者の週末が消える。自社の対策を、誰に対しても一度で証明できる共通の物差しはないのか。

実は、その物差しが準備されている。経済産業省が2026年3月27日に構築方針を公表した「SCS評価制度」──サプライチェーン強化に向けたセキュリティ対策評価制度である。運営を担うのは、情報セキュリティ分野における国の中核機関IPA（情報処理推進機構）。企業の対策水準を、ホテルやレストランのように「星の数」で示そうとする仕組みである。

たとえば★3は、セキュリティ専門家の確認を受けた自己評価に、経営層自らの宣誓を添えて取得する。★4になると、外部の評価機関による審査と、実際に守れているかの技術的な検証まで求められる。そして取得した企業は、公表される。星が、取引の場で通じる信頼の言語になるわけだ。

導入の各ステップとスケジュールを並べると、この制度設計の意図が見えてくる。今回、この7月に採点基準が確定して発注側の宿題が固まったのは前述のとおりである。秋頃には、星を取るための具体的な手引きが公表される予定になっている。年度末頃には★3・★4の運用が始まる見込みだ。そして上場企業は、2027年7月までに、改訂された採点基準にどう対応したかの報告書を提出することが求められる見通しである。

発注側が説明を迫られる期限から逆算すれば、取引先への要求はこの1年のうちに本格化するとみられる。川上に位置する中小企業は、好むと好まざるとにかかわらず、既にこの時間割の中に組み込まれている。

星は無事故の保証書ではない

ただし、この制度が本当に供給網を強くするかどうかは、これからの運用にかかっている。ここからは筆者の懸念であり、生意気であるが提言でもある。

まず確認しておきたい。星は、ある時点で所定の対策が実施されていることの証明であって、事故が起きないことの保証書ではない。住宅の耐震等級が高くても地震で無傷とは限らないのと同じで、高度な対策を講じた会社でも、事故は起こり得る。

心配なのは、この「当たり前」が忘れられた運用だ。事故が起きたことだけを理由に星が取り消され、取引が切られる──そんな使われ方が広がれば、何が起きるか。受注側では、事故を隠す方が得になる。報告は遅れ、被害の情報は共有されず、同じ手口が供給網の別の場所で繰り返される。星が選別と排除の道具になった瞬間、制度は供給網をかえって脆くするのである。

だから、星の停止や取り消しは、虚偽の申告、重大な隠蔽、著しい管理不備といった事情を総合的に見て判断すべきであり、事故の発生そのものを理由にすべきではない。むしろ評価すべきは、事故の後の立ち上がり方──初動の速さ、被害を広げない措置、正直な報告と情報共有、復旧、再発防止、そして経営層が先頭に立つ改善など──である。転ばない証明より、転んでも立ち上がる力。

発注側にも同じことが言える。事故を正直に報告してきた取引先を切り捨てるのか、それとも支援し、得られた教訓を供給網全体で分かち合うのか。制度を運営する側にも、重大な事故のたびに評価基準や審査の方法を検証し、改善し続ける姿勢を期待したい。この制度の目的は、事故を起こした会社の排除ではなく、供給網全体が転んでも立ち上がれる力を高めることにあるはずだ。

下請けが飲み込んできた、費用の話

ここまでは、上場企業から要求が降りてくる話だった。だが今回の改訂には、要求を受ける側こそ読んでおくべき一節が、もうひとつ入っている。

コーポレートガバナンス・コード改訂版は上場企業に対し、取引先との公正・適正な取引──サプライチェーンにおける適正な価格転嫁を含む──を求めたのである。セキュリティの要求と、その費用の負担が、同じ文書の中でセットになった。この意味は大きい。発注側から対策の強化や星の取得を求められたとき、その対応費用を価格へ反映することを、受注側が従うべき同じ指針を根拠に、堂々と協議できるのだ。

要求だけを受け取り、費用だけを黙って飲み込む。多くの下請取引で繰り返されてきたその構図を、今回はコードそのものが否定している。この一節をどう読み解き行動するかが、これからの取引交渉の景色を変える。筆者は、ここが中堅・中小の経営者にとって今回の改訂を読む最大の実益でないかと考えている。

星は防具であり、旗印でもある

では、何から始めるべきか。3つ挙げたい。

第一に、自社の位置の棚卸しである。自社がどの供給網の何次に位置し、主要な発注元のどこが上場企業か。一覧にすれば、要求がどの川筋を遡ってくるかは、ほぼ見える。

第二に、秋の手引きを待って、★3取得の費用と期間を見積もることだ。中小企業向けには取得を後押しする支援策も予定されており、独力で抱え込む必要はない。

そして第三に、交渉の準備である。自社の対策費用の内訳を整理し、価格転嫁の論拠として示せる状態にしておく。

そのうえで、次の経営会議で、ひとつ問いかけていただきたい。「うちにあの調査票が届いたら、誰が、何を根拠に答えるのか」。

星は、供給網から外されないための防具である。同時に、同じ物差しの上で公表される以上、対策した会社が選ばれるための旗印にもなる。今回、国の採点基準は「守り」は儲けにもつながるものだと言い切った。冒頭の一通の調査票が届いた日、それを脅威の通告と読むか、選ばれる側に回る合図と読むか。その分かれ目は、届く前の今日、何を始めるかで決まる。