アサヒグループホールディングスは2026年7月27日、2025年12月期の財務報告に係る内部統制について「重要な不備」があり、有効ではないと判断したと発表しました。2025年9月29日に国内システムがサイバー攻撃を受け、攻撃者が管理者権限を取得して複数サーバーへランサムウェアを展開。財務・会計データへのアクセスや代替手続きに時間を要し、有価証券報告書の提出期限延長につながりました。
権限管理の弱さが開示リスクに
会社は、一部のシステム基盤で権限管理を含む運用・管理が既存ルール通りに実施されていなかったと説明しました。必要な決算修正は財務諸表へ反映済みで、監査意見は無限定適正ですが、投資家にとってはシステム復旧だけでなく、決算作成と開示統制の実効性が焦点です。
是正策の進捗が次の評価材料
再発防止では、特権ID管理の是正、重要システムのFit & Gap分析、アクセス制御とパスワード強化を進め、情報セキュリティ委員会が監視します。今後は是正完了時期、追加費用、決算発表の正常化が評価材料となります。
国内に限定された障害でも、決算と開示の信頼はグループ全体の資本コストに関わります。是正後に内部統制が有効と評価される時期と、取締役会による監督内容まで継続的に確認したいところです。