自社を含む日本全体がこの瞬間にも世界中からサイバー攻撃の危機に晒されているという現実がある一方（NICT（国立研究開発法人情報通信研究機構）がキャッチしたサイバー攻撃を見える化したサイトはこちら）、日本企業ではサイバーセキュリティ対策の強化を経営課題と捉えていない経営陣が多いという経済産業省等の調査結果も出ている（【2017年6月の課題】「サイバーセキュリティの確保」解答の「”サイバーセキュリティ経営”で後れをとる日本企業」参照）。しかし今後は、日本企業の取締役会に対し、機関投資家からサイバーセキュリティ対策へのコミットを強く求められる場面が増えそうだ。

その理由の一つとして、EUで今年（2018年）5月から適用が開始されている「一般データ保護規則（General Data Protection Regulation＝GDPR）」（以下、GDPR）の存在がある。GDPRは企業に対し、個人データの処理・保管などに関して適切な安全管理措置を講じることを求めており、もしこれに違反すれば、最大2,000万ユーロ、あるいは、前事業年度におけるグローバルの売上高の4%相当額のいずれか高い方の金額が罰則として科されることになる。実際、先月（2018年9月）サイバー攻撃を受け顧客のカード情報を含む38万人分の個人情報を漏洩させてしまった英国の航空会社・ブリティッシュ・エアウェイズに対しては、GDPRに基づき5億ポンド（約735億円）の罰金が科される可能性があるという。

そして、GDPRは日本企業にも影響を及ぼし得る。具体的には、 (1) EUに子会社や支店、営業所を有している場合、（２）日本からEUに商品やサービスを提供している場合、（３）EU域内の企業などから個人データの処理などを受託している場合には、日本企業（ここではデータセンター事業者などが想定される）もGDPRの適用を受けることになる。

個人情報が漏洩すればただでさえ多額の対応コストを要するうえ（一事案当たりの平均対応コストは約4.3億円、仮に100万人分の個人情報が漏洩した場合には約40億円の対応コストがかかるとの試算もある）、さらに巨額の罰金が科されるとなれば、企業の存続さえ危ぶまれかねない。機関投資家が投資先企業のサイバーセキュリティ対策に敏感になるのも当然と言えよう。さらに、つい最近相次いで明るみに出たフェイスブックやグーグルという最先端のIT企業における情報漏洩も、機関投資家からのプレッシャーに拍車をかけることになる可能性がある。

機関投資家が特に重視しているのが、冒頭でも述べた「取締役会」によるサイバーセキュリティ対策への関与だ。サイバーセキュリティ対策には、専門部署の設置や専門人材の配置、システム投資といった経営判断が必要になるが、これまで個人情報の漏洩等の問題を起こした企業の多くでは、ガバナンスの欠如によって、これらが適切に行われておらず、結果として多額の対応コストの発生や企業ブランドの失墜を招いている。こうした事態を回避するため、多くの機関投資家が投資先の全取締役に対しサイバーリスクやサイバーセキュリティ対策に関する実践的な知識を習得するとともに、サイバーセキュリティ対策を「経営管理」の一環としてとらえ、その取り組みを取締役会が監督するよう求めている。

近年、日本でもITやサイバーリスクの知識を有する専門人材をCIO（最高情報責任者）を置き、サイバーセキュリティ対策に予算や人員を配分する上場企業は増えているが、それが逆に「サイバーセキュリティ対策＝CIOの仕事」という意識を生んでいる面もある。各取締役はサイバーセキュリティ対策をCIO１人に委ねるのではなく、自らも当事者であるとの意識を持つ必要がある。そのためにも、サイバーセキュリティ対策への取り組みは取締役会のテーマとして議論していく必要があろう。

今年（2018年）6月1日から施行されている改訂コーポレートガバナンス・コード（以下、CGコード）では新たに補充原則４－３③が設けられ、本則市場（証券取引所の市場一部・二部）に上場する会社は、取締役会がCEOを任期途中で解任するための「客観性・適時性・透明性ある手続」を確立することについてコンプライまたはエクスプレインが求められるようになった。

CEOを巡っては、上記補充原則４－３③の新設による解任手続の確立のみならず、事実上、後任のCEOの指名権限を任意の指名委員会に、各役員への報酬の分配権限を任意の報酬委員会に移すことを求めるべく補充原則４－10①が改訂されたほか（2018年5月29日のニュース『改訂CGコードが意図する「独立した」委員会』、2018年8月29日のニュース「任意の報酬委員会の社内的位置付け」参照）、かねてから問題視されてきたCEOが取締役会の議長に就任することの是非についても、つい先日（2018年9月28日）、経済産業省に設置されている第2期コーポレート・ガバナンス・システム研究会（以下、CGS研究会）が公表した改訂版「コーポレート・ガバナンス・システムに関する実務指針」（以下、改訂CGSガイドライン）で「取締役会の監督機能を重視する場合には、社外取締役などの非業務執行取締役が取締役会議長を務めることを検討すべき」との提案が行われている（2018年9月19日のニュース「取締役会議長には誰が就任するべきか」参照）。

コーポレート・ガバナンス・システムに関する実務指針 ： 経済産業省が昨年（2017年）3月にとりまとめた「コーポレート・ガバナンス・システムに関する実務指針」のこと（通常、CGSガイドライン）で、「企業価値向上を目的として企業が具体的に検討すべき事項や取り組むべき事項を示す実務的な指針」と位置付けられる。具体的には、「取締役会の在り方」「社外取締役の活用の在り方」「経営陣の指名・報酬の在り方」「経営陣のリーダーシップ強化の在り方」について、コーポレートガバナンス・コードの各原則を補完する形で、企業に具体的な検討の着眼点を示すものとなっている。2018年9月に改訂版が公表された。

こういった一連のガバナンス改革は端的に言えば「CEOの権限基盤の弱体化」を目的にしている。その一方では取締役会議長や任意の指名・報酬委員会の委員長の座には社外取締役が就くことが推奨されていることと併せて考えれば、「CEOの権限基盤の弱体化」と「社外取締役の活用」は表裏の関係にあると言えよう。

ただ、「社外取締役の活用」に伴い社外取締役の活躍の場が広がり、会社の内実に対する理解も進んでくると、別の問題が生じる。それは社外取締役の“社内取締役化”だ。就任当初は社内取締役との適度な緊張関係のもと、外部の視点をもって株主の代弁者としての役割を果たしていた社外取締役も、就任から時間が経過するにつれ、少しずつ社内の常識や空気に流されてしまい、やがて社外取締役の存在意義である「独立性」は低下していく。

社外取締役の活用が叫ばれる中で、社外取締役の活用が進めば進むほど社外取締役の独立性が低下するというのは何とも皮肉な話だが、時間の経過とともにそれが不可避である以上、「社外取締役の活用」と同時に独立性低下への配慮も不可欠となる。そこで注目されるのが、「社外取締役の再任基準」だ。

改訂CGSガイドラインには次の一文が盛り込まれ、「社外取締役の再任基準」の検討が奨励されている（80ページを参照）。

2015年（6月1日～）のCGコード導入時に設けられた社外取締役の独立性判断基準の策定・開示を求める原則4-9（今回は改訂なし）のコンプライ率が96%に達していることからすると（東証による2017年7月14日時点の調査結果の3ページを参照）、大部分の上場会社は少なくとも独立性判断基準を策定しているはずであり、さらに「取締役会における率直・活発で建設的な検討への貢献が期待できる人物を独立社外取締役の候補者として選定するよう努めるべき」との一文を受け選任基準を設けた企業も少なくはないが、「再任基準」まで設けている企業は約24%に過ぎない（「平成29年度コーポレートガバナンスに関するアンケート調査」（第2期CGS研究会の第3回会合における配布資料の「参考資料2」（回答数：941社）アンケート調査結果の20ページの56番 参照）。

改訂CGSガイドラインでは、「一律に厳格な再任上限（就任期間の上限）を設けることまでは必要ない」とする従来からの記載が引き継がれつつも、改訂により次のような記載が追加されている（改訂CGSガイドライン79ページを参照）。

ただし、再任上限を設けると、それが社外取締役に「上限年数までの再任を保証するもの」と誤解され、上限年数に達する前に社外取締役を交代させることに支障が生じるおそれもあろう（改訂CGSガイドライン80ページの注釈59番を参照）。こうした事態を避けるためには、社外取締役就任時における候補者との交渉や、再任上限規定を設けることを社外取締役に説明する際に、「上限年数までは再任し続けられることを確約するものではない」旨説明するとともに、社外取締役選任基準や取締役会規程等で再任上限を定める場合には、「再任上限は●回（●年）までとする。ただし、本再任上限回数は、当該回数だけ会社が再任議案を株主総会に提出することまで保証するものではない」といった一文を入れておくのも一案だ。

もちろん、再任上限を設けること以外にも再任を止める方法はある。例えば「取締役会への出席率」「他の上場企業の役員の兼任社数制限」「再任時の年齢制限」といった定量的基準に加えて、「自社グループ内の各事業に対する理解の深さ」「取締役会での発言の積極性」「出身企業や社外役員兼任先企業のレピュテーションの悪化」といった定性的基準を設け、（任意の）指名委員会がこれらの基準に抵触したと判断（＊）した社外取締役については再任議案を提出しないものとすることも考えられる。定性的基準の判定にあたっては、（任意の）指名委員会のメンバー以外の意見を取り入れることができるよう、取締役会評価のアンケート結果を反映する手もあろう。こうすることにより、定性的基準についてより多角的な判断が可能になるからだ。

再任基準と言っても、選任基準と別に設ける必要はなく、選任基準の中に再任制限の条項を追加すれば十分だが、再任制限が恣意的に運用されないよう、可能な限り明確かつ具体的に定めておく必要がある。例えばCEOが再任議案を提出するかどうかを恣意的に決めることができるとすれば、「客観的には貢献度が高いものの執行側の意に沿わない社外取締役が恣意的に不再任とされることや、社外取締役がその可能性をおそれて十分な監督を行うことができない」可能性があるからだ（改訂CGSガイドライン81ページを参照）。既に再任基準を設けている企業であっても、「再任時は、前条の選任基準に加え、当社取締役としての任期中の実績・経営への寄与等を勘案する」とあいまいな規定ぶりになっている場合には、改訂CGSガイドラインの公表を機に、より具体的な規定への見直しを検討するべきだろう。