株式市場の乱高下が続いている。米国の景気後退懸念や急速な円高、地政学的リスクの顕在化など複合的な要因によるものとみられ、当面の株式市場の方向性は不確実性が高まったとの見方が強まっている。ただ、株式市場の急落を投資チャンスとみる機関投資家も少なくない。特に長期投資家はその傾向が強い。さらに、長期投資家の代表格ともいえるエンゲージメント投資家（後述）は、株式市場急落時に積極的なスタンスをとることが多い。自社への投資を呼び込みたい企業の経営陣にとって、エンゲージメント投資家の特徴や企業に期待するポイントなどを理解しておくことは有益と言える。

地政学的リスク ： 地理的な位置関係に起因する政治的、軍事的、社会的な緊張の高まりが、当該地域や世界経済に与えるネガティブな影響のことをいう。

エンゲージメント投資とはアクティブ運用の一形態であり、エンゲージメント投資家は長期投資を行い、かつ企業価値・株式価値の向上を支援するということに特徴がある。この点、エンゲージメント投資家はアクティビストとは異なる。国内の代表的なエンゲージメント投資家としては、いちごアセットマネジメント、みさき投資などが挙げられる。他にも、国内外の一部の機関投資家が運用商品のラインナップとして「エンゲージメント・ファンド」を運用しているケースがある。彼らの運用方針は、投資先企業や投資を検討している企業に対して「建設的な対話」を行い、中長期的な視点から「経営の改善」を働きかけることで、企業の持続的な成長と企業価値・株式価値向上を促すことだ。投資先企業に対して詳細な提案資料を作成することも彼らの特徴となっている。

アクティブ運用 ： 銘柄を選別し、魅力のある銘柄を購入する一方で、見劣りする銘柄を売却するなどして利益を得ようという投資手法。運用担当者（ファンド・マネージャー）が、株式市場や投資銘柄などを調査し、今後の動向を予測することでポートフォリオを決定する。市場の平均的な収益率をベンチマークとし、これを上回る運用成果を上げることを目標にすることが多い。

機関投資家が企業に期待する「企業価値・株式価値向上に向けたアクション」には、主に①経営理念・行動規範の策定、②経営戦略・経営計画の開示、③前中期経営計画・前期経営実績の分析、④数値目標の設定、その実現に向けた施策の開示、⑤資本政策の基本方針・目標の設定、⑥ESG・サステナビリティに関する開示、がある。エンゲージメント投資家はこれら6つを重視しつつ、特に次の4つに注目している。まず、②経営戦略・経営計画の開示だ。全社戦略（事業の「選択と集中」など）や事業戦略が中心となる。次に、③前中期経営計画・前期経営実績の分析である。全社およびセグメント毎の目標超過あるいは未達成の要因分析などが期待される。そして、④数値目標の設定、その実現に向けた施策の開示である。具体的には、セグメント別の営業利益率の目標値、各施策の利益寄与インパクト等を開示することが期待される。最後に、⑤資本政策の基本方針・目標設定である。具体的には、キャピタルアロケーション、ROE、ROICの目標や達成への道筋、資本コストの把握、収益力・資本効率等に関する目標設定の理由、政策保有株式への対応などだ。

キャピタルアロケーション ： 調達した資金、事業活動を通じて得た資金をどこに投資するか、どのように使うかを判断すること
ROE ： Return On Equity＝株主資本利益率（当期純利益／株主資本）
資本コスト ： 「資金提供者（債権者＋株主）に対するリターン」のこと（なお、株主に対するリターンには、配当のほかキャピタルゲインも含まれる）。資金提供者に対するリターンが適切にできなければ、債権者は会社に資金の返還を求め、株主は株式を売却（＝株価が下落する）せざるを得ない。したがって、会社にとって資本コストは「資金提供者に対するリターンの目標値」と言える。

以上がエンゲージメント投資家が期待する企業価値・株式価値向上に向けた企業のアクションだが、大前提として、経営陣の“変革意欲”が投資家に訴求する最も重要なファクターであるということも強調したい。

日本企業のROEは改善傾向にあり、これまでの株価上昇を後押ししてきた。今後、海外投資家を中心に、投資家の中長期的なROEの目線は欧米企業の水準である「10％超」にシフトしていくだろう。エンゲージメント投資家を企業価値向上に活かすため、経営陣は“変革意欲”と“投資家目線”を意識したいところだ。

2024年6月にKADOKAWA（東証プライム市場上場）がランサムウェアの被害にあってから2か月が経過した。同社の調査により、KADOKAWAの子会社のドワンゴが取引する一部のクリエイター・個人事業主・法人との契約書の流出や、ドワンゴがシステム開発などのサービスを提供している学校法人角川ドワンゴ学園（N中等部・N高等学校等を運営）の在校生・卒業生・保護者の一部の個人情報などの流出が判明。また、ドワンゴ全従業員（契約社員、派遣社員、アルバイト、一部の退職者含む）の個人情報も流出した。合計すると25万人以上の個人情報が実際に流出し、さらにネットユーザーが流出情報を拡散して被害を拡大させるなど、異常事態となっている（2024年8月5日のKADOKAWAのリリースより）。

ランサムウェア ： システムへのアクセス等を制限する不正プログラムで、システムの利用者に制限解除のための身代金を要求することを目的とする。感染ルートとしては、メールの添付ファイルを不用意にクリックしてしまったケースや、改ざんされたサイトに誤ってアクセスし、意図せずしてプログラムをダウンロードしてしまったケースなどがある。

ランサムウェアによる被害は個人情報流出だけに限られない。企業のサーバーがランサムウェアに感染すると、サーバーのデータが暗号化されデータにアクセスができなくなったり、暗号化が一部に留まっていても、情報の流出を防ぐために念のため全サーバーを緊急一時停止したりすることで、提供するサービスの停止や業務の停滞を招くことが多い。KADOKAWAのケースでは、ドワンゴ専用のファイルサーバーがサイバー攻撃を受けた際、被害の拡大を防ぎデータを保全するための緊急措置として関連するサーバーをシャットダウンした影響により、ドワンゴが提供する「ニコニコ」のサービスが一時的に停止した。また、KADOKAWAの出版製造・物流のシステムも停止し、業務のアナログ対応を余儀なくされ、一時は既刊の出版物の出荷数が平常時の3分の1に落ち込むなど売上の機会損失が生じた。

中国・四国地方を中心にＳＣ型総合スーパー「ゆめタウン」などを運営するイズミ（東証プライム市場上場）もランサムウェアによる被害を受けた企業の一つだ。2024年２月に同社グループのサーバーが第三者の不正アクセスによってランサムウェアの被害を受け、同社の発注システムに支障が生じるとともに、顧客向けアプリ、会員サイトの運営を一時中断せざるを得なくなった（イズミのリリースはこちら）。

ＳＣ型 ： 衣食住をカバーする総合スーパーマーケットを核に、映画館、フードコート、アパレル店などが揃った巨大商業施設。SCは「Shopping Center（ショッピングセンター）」の略称である。

また、サーバー停止により会計システムも利用できなくなり、決算・財務報告が遅延するケースも少なくない。漁網メーカーの日東製網（東証スタンダード市場上場）は、2024年１月16日午前８時頃にサーバーに保存していた各種業務データ、業務用ソフトウェアが暗号化されアクセスできなくなっていることからランサムウェアの感染に気付き、直ちに社内ネットワークおよびインターネット回線を切断し、システムをダウンさせ、全てのパソコンを使用不可とした。障害がなくなり業務が概ね正常化したのが２月13日と、業務の正常化までに約1か月を費やしたことになる。その間、同社ではパソコンを使用不可としたためメールの授受ができず、業務連絡をFAXや電話でやり取りせざるをえなくなり、事務に多大な影響が及ぶこととなった。同社経理部がようやく1月度の月次決算を終えることができたのが３月４日であった（業務正常化後も遅延した業務と進行中の業務の両方（実質的に２倍近くの事務量）をこなす必要が生じたことにより、月次決算は遅れざるを得なかった）。そこから連結決算手続きを行い、さらに監査法人の四半期レビューを受ける必要があるが、四半期報告書を提出期限（3月18日）までに提出するのはもはや不可能な時期になっていたため、同社は2024年３月15日、第３四半期の決算発表の延期と四半期報告書の提出期限延長申請を実施している。同様にイズミも有価証券報告書を当初の提出期限（5月末）内に提出できず、2024年5月31日に２か月の提出期限延長申請を行い、7月31日にようやく提出に至った。

提出期限 ： 四半期の期末から45日。日東製網は4月決算のため、1月末が第3四半期の四半期末となる。
提出期限 ： 期末日から3か月後。イズミは2月決算のため、5月末が有価証券報告書の提出期限となる。

ランサムウェアに感染しないためには、自社のサーバー周りのセキュリティとともに従業員のセキュリティ意識を高める必要がある。また、万が一感染した場合のデータの復旧に備えて、データのバックアップを多重化しておくなどの対応も必要になる。しかし、いくら自社がサイバーセキュリティ対策に力を入れたところで、委託先がランサムウェアに感染した結果、委託先に預けている自社の個人情報が流出したり、委託先の業務が滞ることで自社の業務にも影響が出たりすることもある。2023年６月、人事労務系のITサービスを提供しているエムケイシステム（東証スタンダード市場上場）は、自社のサーバーがランサムウェアに感染し、サーバーのデータが暗号化されたことを公表した。その後同社は個人情報の流出はなかったとの調査結果を公表したが、サービスが正常化するまで、同社の多くの顧客において給与計算業務に滞りが生じた。2024年6月には、税理士法人髙野総合会計事務所、髙野総合コンサルティング株式会社、監査法人TSKから構成される髙野総合会計グループのデータ管理サーバーがランサムウェアの攻撃を受けた。髙野総合会計グループからの「個人情報を含む各種情報が外部に流出したことを示す事実や、攻撃者によって情報が公開されている事実は確認されてないものの、調査の結果、外部との微量な通信が確認されているため、情報漏えいの可能性を完全に否定することはできていない」との報告を受け、髙野総合会計グループに個人情報の取り扱いを委託していた銀行や保険会社が急遽リリースを出したり問い合わせ窓口を立ち上げたりするなどの対応に追われた。

IT化の進展に伴い、ランサムウェアの被害を受けた際の個人情報の漏洩範囲も広がった。IT事業を展開する企業の場合、さらにサービス停止による売上喪失なども考えられる。こうした中、上場企業のサイバーセキュリティリスクに対する投資家の関心は高まっている。そこで東京証券取引所は先月（2024年7月）、「2024 新規上場ガイドブック（グロース市場編）」を更新し、「Ⅰの部」の【事業等のリスク】における記載事項例に下記（抜粋）を追加している（新規上場ガイドブックの新旧対照表はこちら）。

Ⅰの部 ： 証券取引所に上場する際に作成が必要になる書類の一つで、有価証券報告書に類似した書類

SaaS ： 「Software as a Service」の略称であり、「サーズ」または「サース」と読む。サービス提供事業者のサーバーにあるソフトウェアをブラウザなどを通じてインターネット経由でユーザーが利用するサービスのこと。

実際に最近グロース市場に新規上場した短時間労働のマッチングサイトの運営会社タイミーのⅠの部の【事業等のリスク】には次のような記載がある。

もちろん、これらのリスクはグロース市場に新規上場する企業に限られるものではなく、プライム市場やスタンダード市場に上場している企業にも濃淡の差こそあれ存在する。東証の新規上場ガイドブックに新たに加わった「システムトラブルに係るリスク」における「SaaS型のビジネスモデル」などはあくまで例示であり、それ以外のビジネスモデルの企業もランサムウェアの脅威にさらされている。したがって、上場市場やビジネスモデルにかかわらず、上場企業各社はこれらのリスクを有価証券報告書（以下、有報）の【事業等のリスク】で開示することの要否を検討すべきと言える。

では、実際にランサムウェアの被害を受けた上記のKADOKAWA、イズミ、日東製網の3社は、有報の【事業等のリスク】でランサムウェアの被害リスクについてどのように記載しているだろうか。各社の有報の【事業等のリスク】の記載内容が、ランサムウェアの被害を受ける前と後でどのように変化したのか比較してみた。

KADOKAWAやイズミでは、ランサムウェアの被害にあう前から有報の【事業等のリスク】に「情報セキュリティに関するリスク」を記載しており、ランサムウェアの被害にあった後は、当該事件を踏まえた記述を追記している。また、リスク名の前に付された番号を比較すると、両社とも「情報セキュリティに関するリスク」を“格上げ”していることが分かる（【事業等のリスク】に列挙するリスクは、当該企業グループにとって重要度の高い順に記載するのが一般的である）。一方、日東製網は従来、有報の【事業等のリスク】に情報セキュリティに関するリスクを記載していなかった。被害を受けてからはじめて情報セキュリティに関するリスクを開示したところで、実際に被害を受けた時点では何ら情報セキュリティに関するリスクに触れていなかったとなれば、投資家から「情報開示が不足していた」との批判を受けかねない。

KADOKAWAのようにITサービスを大々的に提供している企業はもちろんのこと、スーパー業のイズミや漁網メーカーの日東製網のように外部へのITサービスの提供を基本的に行っていない企業であっても、自社システムがランサムウェアに感染すれば業務がストップし、個人情報や企業秘密の流出リスクは高まる。ITサービスを事業としていない企業は、一般的にIT関連の人材や予算が不足しがちである分、ランサムウェアに感染するリスクはむしろ高いと言える。

上場企業各社はリスクマネジメント委員会などで、自社グループ（子会社も含む）のシステムがランサムウェアに感染した場合と委託先のシステムが感染した場合の両方のケースを想定し、個人情報漏洩リスク、自社グループが提供するITサービスへの影響、自社グループの基幹システムへの影響、自社グループの決算・財務報告プロセスへの影響を入念に検討したうえで、リスクへの対策が十分かどうか、有報の【事業等のリスク】で投資家に向けて適切にリスクを開示できているかどうかを継続的に検証する必要があろう。