2026年10月、世界中のウェブサイトで利用されているプログラム言語PHPに深刻な脆弱性が発見され、銀行、証券会社、通信会社、政府機関などでオンラインサービスの一時停止が相次ぎました。
今回の問題は、情報システムの安全性が企業経営の根幹に関わることを改めて示しました。
特に注目したいのは、企業の内部統制との関係です。
従来、内部統制というと、経理処理の正確性、不正防止、法令遵守などが重視されてきました。
しかし、企業活動のデジタル化が進んだ現在では、情報システムの安全性が確保されなければ、財務報告の信頼性や業務の継続性を維持することも難しくなります。
今回のPHP問題を題材に、企業の内部統制がサイバーリスクにどのように対応すべきかを考えます。
内部統制とは何か
内部統制とは、企業が業務を適切に遂行するために整備する仕組みです。
金融庁の内部統制の基本的枠組みでは、内部統制の目的として、業務の有効性及び効率性、報告の信頼性、事業活動に関わる法令等の遵守、資産の保全が示されています。
これらの目的を達成するため、企業は組織体制、業務手続き、承認制度、記録管理、監査などを整備しています。
例えば、経理部門では、支払処理に複数の担当者による確認を設けることで、不正や誤処理を防止します。
販売管理では、売上計上の基準や承認手続きを定めることで、財務情報の正確性を確保します。
しかし、こうした仕組みの多くは情報システムを利用して運用されています。
そのため、情報システムが攻撃を受けたり停止したりすれば、内部統制そのものが十分に機能しなくなる可能性があります。
情報システムの安全性は内部統制の基盤
企業の会計処理を考えてみましょう。
売上情報は販売管理システムから会計システムへ連携され、仕訳データとして記録されます。
仕入情報や在庫情報も、それぞれの業務システムから会計システムへ取り込まれます。
これらの情報が正確であることを前提に、月次決算や年度決算が作成されます。
ところが、システムへの不正アクセスによってデータが改ざんされた場合、会計記録の正確性が損なわれる可能性があります。
また、システムが長期間停止すれば、売上計上、請求書発行、支払処理、決算作業などに支障が生じることがあります。
つまり、情報システムの安全性は、企業の財務報告の信頼性を支える重要な基盤なのです。
IT全般統制とIT業務処理統制
内部統制におけるITへの対応では、IT全般統制とIT業務処理統制という考え方が重要です。
IT全般統制とは、情報システム全体の信頼性を確保するための管理です。
例えば、システムへのアクセス権限の管理、プログラムの変更管理、システム運用管理、障害対応などが該当します。
一方、IT業務処理統制とは、個別の業務処理が正確に行われるようにする仕組みです。
例えば、販売管理システムで入力された取引金額が正しく計算されることや、会計システムへのデータ連携が正確に行われることなどです。
今回のPHP問題は、特にIT全般統制の重要性を考えるうえで参考になります。
企業が利用しているプログラムのバージョンを把握していなければ、重大な脆弱性が公表されても、自社への影響を迅速に判断できません。
また、修正プログラムを適用するための変更管理手続きが整備されていなければ、安全な更新が難しくなります。
ソフトウェアの更新管理は重要な統制活動
企業の情報システムでは、さまざまなソフトウェアが利用されています。
OS、データベース、ウェブサーバー、プログラム言語、業務アプリケーションなどです。
これらのソフトウェアには、機能改善や不具合修正のために更新プログラムが提供されます。
特に、重大な脆弱性が発見された場合には、迅速な更新が必要になります。
しかし、更新プログラムを無条件に適用すればよいわけではありません。
更新によって既存の業務システムが正常に動作しなくなる可能性もあるためです。
そのため、企業には更新内容の確認、影響分析、動作検証、承認、適用結果の確認という一連の管理手続きが求められます。
緊急時には通常の承認手続きを簡素化することも考えられますが、その場合でも事後的な確認や記録が重要です。
今回のPHP問題は、こうした更新管理体制の実効性が問われる事例といえます。
外部委託先の管理にも注意が必要
企業の情報システムは、すべて自社で開発・運用しているわけではありません。
システム開発会社、クラウドサービス事業者、ウェブサイト制作会社など、外部の専門企業に業務を委託することが一般的です。
中小企業では、自社に専門の情報システム担当者がいないため、ウェブサイトの運用を外部業者に任せている場合も多いでしょう。
しかし、外部委託によって管理業務を任せても、企業自身のリスク管理責任が当然になくなるわけではありません。
例えば、委託先が古いバージョンのPHPを利用していた場合、重大な脆弱性への対応が遅れる可能性があります。
その結果、自社のウェブサイトが停止したり、顧客情報が危険にさらされたりすることも考えられます。
企業は、委託先との契約において、ソフトウェアの更新責任、脆弱性発見時の報告義務、緊急対応の手順などを明確にしておく必要があります。
また、契約を締結した後も、委託先の管理状況を継続的に確認することが重要です。
経営者はサイバーリスクを理解しているか
内部統制の整備と運用について、最終的な責任を負うのは経営者です。
情報システムの専門的な管理は担当部門に委ねるとしても、重大なサイバーリスクを経営上の課題として認識する必要があります。
例えば、重要なシステムが停止した場合、売上や利益にどの程度の影響があるのかを把握しておくことが重要です。
また、顧客情報が流出した場合の対応費用や信用低下の可能性についても検討する必要があります。
経営者が技術的な詳細をすべて理解する必要はありません。
しかし、どのシステムが重要なのか、重大な問題が発生した場合に誰が対応するのか、復旧までどの程度の時間を要するのかについては、説明を受けて判断できる体制が必要です。
特に、サイバーリスクに関する報告が情報システム部門の内部だけで完結している場合には、経営上の問題を見逃す可能性があります。
取締役会による監督の重要性
企業のサイバーリスク管理では、取締役会の役割も重要になります。
取締役会は、企業の重要な経営方針を決定するとともに、経営陣の職務執行を監督する役割を担っています。
重大なサイバーリスクが企業価値に影響する可能性がある以上、その管理体制についても適切な監督が求められます。
例えば、取締役会では、重要システムの安全管理状況、重大な脆弱性への対応、外部委託先の管理、サイバー事故への対応計画などについて報告を受けることが考えられます。
また、必要な人材や予算が確保されているかという点も重要です。
サイバーセキュリティー対策は、短期的には費用として認識されることが多いものの、重大な事故を防止するための投資でもあります。
経営陣が短期的な利益を優先して必要な対策を先送りしていないかについても、取締役会による監督が重要になります。
内部監査部門が確認すべき事項
内部監査部門は、企業のリスク管理や内部統制が適切に機能しているかを独立した立場から評価します。
今回のPHP問題を踏まえると、情報システムの脆弱性管理についても監査上の重要性が高まると考えられます。
例えば、利用しているソフトウェアの一覧が整備されているかという点です。
ソフトウェアの種類やバージョンが不明であれば、重大な脆弱性が公表された際に影響範囲を特定できません。
また、更新プログラムの適用状況が記録されているかも重要です。
さらに、重大な脆弱性が発見された場合の対応手順が整備され、定期的に訓練されているかを確認する必要があります。
外部委託先については、契約内容と実際の管理状況が一致しているかも監査対象になります。
ただし、内部監査部門がすべてのプログラムの技術的な安全性を直接検証することは現実的ではありません。
必要に応じて専門家の協力を得ながら、管理体制の有効性を評価することが重要です。
財務報告に係る内部統制との関係
上場企業では、金融商品取引法に基づく財務報告に係る内部統制の評価と報告が求められます。
一般にJ-SOXと呼ばれる制度です。
ここで注意したいのは、すべてのサイバーリスクが直ちにJ-SOXの評価対象になるわけではないという点です。
J-SOXは、財務報告の信頼性を確保するための内部統制を対象としています。
そのため、サイバーリスクが財務報告に重要な影響を及ぼす可能性がある場合に、関連する統制の評価が必要になります。
例えば、会計システムへの不正アクセスによって仕訳データが改ざんされる可能性がある場合には、アクセス管理などの統制が重要になります。
また、販売管理システムの障害によって売上データが正確に会計システムへ連携されない場合には、財務報告への影響を検討する必要があります。
一方、財務報告に直接関係しないウェブサイトの停止については、J-SOXとは別の事業リスク管理や情報セキュリティー管理の枠組みで対応することが基本になります。
この区別を理解することが重要です。
実務で考える内部統制の改善例
例えば、ある中堅企業が外部業者に委託して自社のウェブサイトを運営しているとします。
ウェブサイトでは商品情報を提供するほか、顧客からの問い合わせを受け付けています。
ところが、今回のPHP問題が報道されても、社内では自社のウェブサイトが影響を受けるのか判断できませんでした。
情報システム担当者に確認したところ、PHPのバージョンは委託先が管理しており、社内には記録がありませんでした。
この場合、直ちに内部統制の不備と断定できるわけではありませんが、管理体制の改善を検討する必要があります。
まず、委託先から利用ソフトウェアの情報を定期的に報告してもらう仕組みを整えます。
次に、重大な脆弱性が発見された場合には、一定時間内に影響の有無を報告するよう契約や運用手順を見直します。
さらに、緊急時にサービスを停止する権限や、顧客への連絡方法を明確にします。
こうした取り組みによって、専門技術者が社内にいない企業でも、一定のリスク管理体制を整備することができます。
結論
今回のPHPの脆弱性問題は、企業の内部統制が情報システムの安全性に大きく依存していることを示しました。
財務報告の信頼性、業務の効率性、法令遵守、資産の保全という内部統制の目的を達成するためには、情報システムの適切な管理が欠かせません。
特に重要なのは、ソフトウェアの更新管理、アクセス管理、外部委託先の監督、緊急時の対応体制です。
また、サイバーリスクを情報システム部門だけの問題として扱うのではなく、経営陣、取締役会、内部監査部門がそれぞれの役割を果たす必要があります。
今後、AIによって未知の脆弱性が次々と発見されるようになれば、企業の対応速度と管理体制の実効性が一段と重要になります。
内部統制は、単に規程や手続きを整備するだけでは十分ではありません。
重大な問題が発生した際に、組織全体が迅速かつ適切に行動できることが求められます。
AI時代の内部統制では、財務報告の信頼性を守ることに加え、デジタル基盤の安全性を経営全体のリスク管理として捉える視点がますます重要になるのです。
参考
日本経済新聞 2026年10月22日 プログラム言語「PHP」欠陥、世界でサイト停止 AIが脆弱性発見
日本経済新聞 2026年10月22日 PHP欠陥、銀行や通信でもサービス停止広がる みずほ銀など一部再開
金融庁 2023年4月 財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について