2026年10月、プログラム言語PHPの深刻な脆弱性が発見され、世界各国でウェブサイトやオンラインサービスの一時停止が相次ぎました。
日本でも銀行、証券会社、通信会社、小売業など、幅広い企業が対応を迫られました。
今回の問題は、サイバーセキュリティーが情報システム部門だけの課題ではなく、企業の財務や経営戦略にも深く関係していることを示しています。
重大なサイバー事故が発生すれば、売上の減少、復旧費用の増加、損害賠償、顧客離れなどを通じて、企業業績に影響する可能性があります。
さらに、事故の内容によっては、投資家の評価が変化し、株価や企業価値にも影響が及ぶことがあります。
今回は、サイバーリスクが企業の決算、会計処理、財務指標、企業価値にどのような影響を与えるのかを考えます。
サイバー事故は損益計算書に影響する
企業のサイバー事故による影響は、まず損益計算書に表れる可能性があります。
例えば、オンラインショップがサイバー攻撃によって停止した場合、停止期間中の売上が減少することがあります。
製造業では、生産管理システムが停止することで工場の稼働率が低下し、売上原価が増加する可能性があります。
金融機関では、オンラインサービスの停止によって新規契約や金融商品の販売に影響が生じる場合があります。
さらに、事故が発生すれば、原因調査、システム復旧、外部専門家への委託、顧客対応などの費用が必要になります。
こうした費用は、内容に応じて販売費及び一般管理費などに計上されることが考えられます。
ただし、事故に関連する費用をすべて同じ勘定科目で処理するわけではありません。
費用の性質や企業の会計方針、適用する会計基準などを踏まえた判断が必要になります。
売上減少と事故対応費用を区別する
サイバー事故の財務影響を分析する場合、売上減少と事故対応費用を区別することが重要です。
例えば、ある企業のオンラインサービスが3日間停止したとします。
通常の1日当たりの売上高が1,000万円であれば、単純計算では3,000万円の売上機会が影響を受けたことになります。
しかし、停止期間中に購入できなかった顧客が、サービス再開後に商品を購入する場合もあります。
そのため、3,000万円がそのまま売上減少額になるとは限りません。
また、売上高が減少したとしても、その金額がそのまま利益の減少額になるわけではありません。
商品の仕入原価や販売に伴う変動費が発生しなかった場合には、利益への影響は売上減少額より小さくなることがあります。
一方、システム復旧費用や外部専門家への支払いなどは、売上減少とは別に発生します。
経営分析では、売上への影響、利益への影響、追加費用をそれぞれ把握する必要があります。
損害賠償と引当金の会計処理
サイバー事故によって顧客や取引先に損害が発生した場合、企業が損害賠償責任を負う可能性があります。
その際、決算上の重要な論点となるのが引当金です。
日本基準では、将来の特定の費用または損失について、一定の要件を満たす場合に引当金を計上します。
例えば、事故発生後の調査によって企業の責任が明らかになり、将来の損害賠償金の支払いが見込まれ、その金額を合理的に見積もることができる場合には、引当金の計上を検討する必要があります。
一方、損害賠償請求が行われる可能性があるというだけで、直ちに引当金を計上するわけではありません。
責任の有無や支払可能性、金額の見積可能性などを検討する必要があります。
また、引当金の計上要件を満たさない場合でも、重要性に応じて偶発債務などに関する注記を検討することがあります。
サイバー事故では、被害の全容が判明するまで時間を要する場合があるため、決算時点で利用できる情報を適切に評価することが重要になります。
システム資産の減損が問題になる場合
サイバー事故の影響は、費用や損害賠償だけではありません。
企業が保有するソフトウェアなどの資産価値にも影響する可能性があります。
例えば、長年利用してきた業務システムに重大な脆弱性が発見され、技術的な制約によって安全な運用を継続できなくなった場合を考えます。
その結果、企業が既存システムを廃止し、新しいシステムへ移行することを決定する場合があります。
このような場合には、既存ソフトウェアの帳簿価額や利用可能性を確認する必要があります。
状況によっては、減損損失や除却損などの会計処理が問題となる可能性があります。
ただし、脆弱性が発見されたという事実だけで、直ちに減損損失を計上するわけではありません。
システムの利用状況、将来の収益性、回収可能性などを踏まえて判断する必要があります。
重要なのは、サイバーリスクが企業の保有資産の価値にも影響する場合があるという点です。
キャッシュフローへの影響
企業の財務分析では、損益計算書だけでなく、キャッシュフローへの影響も重要です。
サイバー事故が発生すると、外部専門家への支払い、システム復旧費用、顧客対応費用などによって現金支出が増加する可能性があります。
また、売上減少によって営業活動から得られる現金収入が減る場合もあります。
さらに、システムの再構築やセキュリティー設備の導入に多額の投資が必要になることも考えられます。
例えば、事故対応費用として5,000万円を支払い、新システムの構築に1億円を投じる場合、合計1億5,000万円の資金需要が生じます。
ただし、キャッシュフロー計算書上の区分は、支出の内容や資産計上の有無などによって異なります。
中小企業の場合には、こうした臨時の資金支出が資金繰りを圧迫する可能性があります。
そのため、サイバー事故への備えとして、必要な手元流動性を確保することも重要になります。
サイバー保険による補償と会計処理
企業がサイバー保険に加入している場合、事故による損失の一部が補償される可能性があります。
例えば、原因調査費用、事故対応費用、損害賠償費用などが補償対象となる場合があります。
また、契約内容によっては、システム停止による利益損失などが補償されることもあります。
ただし、保険に加入しているからといって、すべての損失が補償されるわけではありません。
補償限度額や免責金額、補償対象外となる事由などを確認する必要があります。
会計処理においても、事故による損失と保険金収入を安易に相殺することは適切ではありません。
保険金の受取可能性や金額がどの程度確定しているかなどを踏まえて、適切な会計処理を検討する必要があります。
特に、決算日までに保険金額が確定していない場合には、慎重な判断が求められます。
サイバー事故は企業価値を低下させるのか
サイバー事故は、企業価値にも影響する可能性があります。
企業価値は、将来生み出すキャッシュフローや、その実現に伴うリスクなどを踏まえて評価されます。
重大なサイバー事故によって将来の利益が減少すると予想されれば、企業価値が低下する可能性があります。
また、事故の再発可能性が高いと判断されれば、投資家が企業に対してより高いリスクを見込むことも考えられます。
例えば、顧客情報の大量流出によって顧客離れが進めば、将来の売上や利益が減少する可能性があります。
一方、企業が迅速に事故へ対応し、再発防止策を実施した場合には、長期的な影響が限定的になることもあります。
したがって、サイバー事故が発生したからといって、必ず企業価値が大幅に低下するわけではありません。
重要なのは、事故の規模、財務的影響、経営陣の対応、再発防止体制などを総合的に評価することです。
株価への影響と投資家の視点
上場企業で重大なサイバー事故が発生した場合、株式市場が反応することがあります。
特に、事故によって業績予想の下方修正が必要になった場合には、投資家の評価に影響する可能性があります。
また、顧客情報の流出や長期間のサービス停止などが発生すれば、企業統治やリスク管理体制への懸念が高まることも考えられます。
ただし、株価はサイバー事故だけで決まるものではありません。
金利、為替、景気、企業業績、市場全体の動向など、さまざまな要因によって変動します。
そのため、事故発生後に株価が下落したとしても、その下落幅のすべてをサイバー事故によるものと判断することはできません。
投資家にとって重要なのは、一時的な株価変動だけでなく、企業の収益力や競争力にどの程度の影響が生じるかを見極めることです。
適時開示が必要になる場合
上場企業では、重大なサイバー事故が発生した場合、適時開示の要否を検討する必要があります。
例えば、事故によって業績に重要な影響が生じる場合や、投資判断に重要な影響を与える事実が発生した場合には、東京証券取引所の適時開示ルールに基づく検討が必要になります。
ただし、サイバー事故が発生したという理由だけで、すべての事案について適時開示が義務付けられるわけではありません。
事故の内容、影響の大きさ、該当する開示項目などを確認する必要があります。
また、事故発生直後には被害の全容が判明していないこともあります。
その場合でも、開示が必要な重要事実については、判明している情報を適切に整理し、必要に応じて追加開示を検討することが重要です。
企業には、正確性と迅速性を両立させた情報開示が求められます。
有価証券報告書におけるリスク情報
サイバーリスクは、有価証券報告書の事業等のリスクにも関係します。
企業が重要な情報システムに依存している場合、サイバー攻撃やシステム障害によって業績や財政状態に影響が生じる可能性があります。
そのため、企業は自社の事業内容やリスクの重要性に応じて、適切な情報開示を検討する必要があります。
例えば、オンライン取引への依存度が高い企業では、システム停止が売上や顧客サービスに与える影響が重要になります。
また、顧客情報を大量に保有する企業では、情報漏洩による損害賠償や信用低下のリスクが重要になります。
単にサイバー攻撃の危険性があると記載するだけでなく、自社の事業構造に即した説明が求められます。
経営者が確認すべき財務上のポイント
サイバーリスクを財務面から管理するためには、事故発生時の損失を具体的に想定することが重要です。
例えば、主要システムが3日間停止した場合、売上高や営業利益にどの程度の影響が生じるかを試算します。
次に、システム復旧費用や外部専門家への支払いなど、追加費用を見積もります。
さらに、損害賠償や顧客対応費用など、事故の内容によって発生する可能性がある支出を検討します。
そのうえで、手元資金や保険によってどの程度対応できるかを確認します。
こうした分析によって、サイバーセキュリティー対策に必要な投資額や、事業継続計画の優先順位を検討しやすくなります。
重要なのは、サイバーリスクを抽象的な危険性として扱うのではなく、経営数値に結びつけて管理することです。
結論
今回のPHPの脆弱性問題は、サイバーリスクが企業の決算や企業価値に影響する可能性を改めて示しました。
重大な事故が発生すれば、売上減少、事故対応費用、損害賠償、システム再構築費用など、さまざまな財務的影響が生じる可能性があります。
また、状況によっては引当金の計上や資産の減損、適時開示などの検討が必要になります。
さらに、事故への対応が不十分であれば、投資家や顧客の信頼が低下し、長期的な企業価値にも影響する可能性があります。
一方、重大な脆弱性を早期に発見し、適切な対策を実施できれば、将来の損失を防止することにつながります。
今後、AIによって未知の脆弱性が次々と発見される時代には、サイバーセキュリティー対策を単なるシステム管理費用として考えるだけでは不十分です。
企業の収益力、財務健全性、事業継続性、企業価値を守るための重要な経営投資として位置付ける必要があります。
経営者や経理財務部門には、サイバーリスクを財務数値に結びつけて評価し、合理的な投資判断を行うことが求められるのです。
参考
日本経済新聞 2026年10月22日 プログラム言語「PHP」欠陥、世界でサイト停止 AIが脆弱性発見
日本経済新聞 2026年10月22日 PHP欠陥、銀行や通信でもサービス停止広がる みずほ銀など一部再開