リスクマネジメント

Umiosグループは、企業価値向上とステークホルダーの皆さまの信頼に応えていくことを目的に、リスクマネジメントを事業経営推進のための重要な活動と位置づけ、全社をあげたERM（Enterprise Risk Management）に取り組んでいます。

事業等のリスク（有価証券報告書）

• お取引先への価値
• ステークホルダーコミュニケーション

リスクマネジメントの役割

当社グループは、リスクマネジメントを企業の持続的成長と価値創造を支える全社横断的な経営基盤と位置づけています。マイナス影響（脅威）の抑え込みだけでなく、プラス影響（機会）を積極的に活用する攻めと守りの両立により、「マイナス影響の最小化」にとどまらず、戦略的リスクテイクによる企業価値の向上を目指しています。また、正確で透明性の高い情報開示を積極的に行うことで、ステークホルダーの皆さまからの信頼の維持・向上に努めています。

リスクマネジメント体制

当社グループでは、リスクマネジメント総括責任者のもと、Umiosグループリスクマネジメント委員会を中核機関として、法務・リスク管理部が各部署・グループ各社のリスクマネジメント責任者および担当者と連携しながら、グループ全体のリスクマネジメント活動を推進しています。また、教育・研修・訓練を通じて、リスク対応力の向上に取り組んでいます。

リスクの特定と評価プロセス

当社グループでは、経営層が認識する経営環境の変化や事業戦略上の課題に基づく「トップダウンリスク」と、各部署・グループ各社が事業活動の中で把握する「ボトムアップリスク」の両面からリスクを特定しています。なお、リスクには脅威だけでなく、成長機会につながる要素も含めて評価しています。

特定したリスクについては、事象と影響を整理したうえで、影響度や実現可能性・発生可能性の観点から評価を行い、グループ経営への影響を総合的に分析します。その結果を踏まえ、経営目標や事業継続、企業価値、社会的信用への影響が大きいリスクを重要リスクとして選定しています。また、各重要リスクに対してリスクオーナーが任命され、優先的に対策を実施します。

重要リスク選定プロセス

1. トップダウンリスク・ボトムアップリスクの特定
2. 事象および影響の分析
3. 影響度、実現可能性・発生可能性の評価
4. 重要リスクの選定
5. リスクオーナーの任命と対策の実施

重要リスクならびにリスクオーナーは、Umiosグループリスクマネジメント委員会での審議を経て、経営会議で承認・決定しています。

PDCAサイクルによる継続的改善

重要リスクについては、リスクオーナーを中心に対応策を策定・実行し、その進捗や有効性を継続的に確認しています。また、重要リスク以外についても各部署・グループ各社が日常業務の中でリスクマネジメントを行い、グループ全体でPDCAサイクルを運用し継続的に機能させています。

定期的な見直し・監査

リスクマネジメント体制・規程・プロセスについて、Umiosグループリスクマネジメント委員会で年1回以上の頻度で見直しを行い、その結果を経営会議へ報告します。内部監査部門は年度監査計画に基づき内部監査を実施し、リスクマネジメント体制およびその運用状況の適正性を確認します。確認結果における重要な指摘は、Umiosグループリスクマネジメント委員会と適宜共有のうえ、その対応を検討します。

想定している主なリスク

誌面の都合上、一部のリスクのみを掲載しています。詳しくは有価証券報告書をご覧ください。

グループ全体でのインシデント情報の共有と対応

グループ内で発生したインシデント情報は、①通常の職制ルート、②当該インシデントを主管する部署、③法務・リスク管理部への報告という3つのルートを通じて、迅速かつ確実に経営トップへ伝達される体制を整えています。各部署・グループ各社のリスクマネジメント責任者および担当者は、インシデントの発生を認識した場合、規則に基づき速やかに法務・リスク管理部へ報告しなければなりません。

また、インシデントの重大性に応じて危機レベルを判定し、危機レベルに応じた適切な対応体制をとることで、影響の拡大防止および再発防止を図っています。これらの取り組みを通じ、グループ全体がリスク感度を高め、情報を隠蔽しない企業風土の醸成に努めています。

危機の発生時には、危機管理統括責任者である社長執行役員のもと、危機対策本部を設置し、法務・リスク管理部が危機対策本部の事務局として機能します。

インシデント情報の流れ

事業継続計画（BCP）の策定

当社グループは、大規模地震などの災害等が発生した場合においても、「食」の安定供給を果たす責任を有しています。このため「Umiosグループ事業継続計画（BCP）規程」を制定し、グループ全体で事業継続のための対策を平時から総合的かつ計画的に推進しています。

Umios各部署・グループ各社のリスクマネジメント責任者および担当者は、被害想定や重要業務の選定・必要資源の確保状況の見直しをはじめ、マニュアル・手順書の整備、教育・訓練の実施など、定期的にBCPの見直しと継続的な改善に取り組んでいます。法務・リスク管理部はこれらの活動に対しての指導・助言や教育・訓練の支援を行うとともに、総務部と協働で災害対策に必要な手順の整備・備蓄品の管理運用・情報収集等を実施しています。

情報セキュリティ

情報セキュリティに関する方針

情報セキュリティに関し、「情報セキュリティ管理規程」を定め、当社が有する情報資産の活用による利便性を確保し、情報漏えいや改ざん、コンピュータウィルスによるシステム障害などを未然に防止するために、総合的・体系的に情報セキュリティ対策を実施することを基本方針としています。

当基本方針を実践していくために、「情報セキュリティ管理規則」を定め、情報資産に対する情報セキュリティ対策を講じるために遵守すべき具体的な手順と行為を規定しています。また、社会環境の変化や情報技術の発達にともなって適宜見直しを図っており、最新版は速やかに社内イントラネットで公開し、全社員に周知徹底するように努めています。

また、2015年12月に「経済産業省」と「独立行政法人情報処理推進機構」から公表された「サイバーセキュリティ経営ガイドライン」に準拠して、情報セキュリティ体制および情報セキュリティ対策の継続的な改善を図っていきます。

情報管理の体制

Umiosグループでは、情報管理総括責任者である取締役常務執行役員を委員長とする「情報管理委員会」を設置し、ステークホルダーからお預かりする情報を適切に管理することに取り組んでいます。本委員会では、各種規程の整備や情報管理に関するPDCA活動を通じて課題を洗い出し、対応策を検討・実施し、グループ全体の情報管理体制の継続的な強化をめざしています。また、委員は各事業を統括する役員、事務局は法務・リスク管理部、総務部、DX推進部で構成され、グループ内の各社・各部署の責任者や情報管理担当者と協力して、情報管理活動を推進しています。

サイバーセキュリティ対策

高度化し多様化するサイバー攻撃への技術的な対策として、ファイアウォールの設置・メールやPCのウイルス対策を実施するとともに、外部のSOCサービスを利用し、サイバー攻撃の検出や分析を24時間365日実施しているほか、EDR（Endpoint Detection and Response：PCなどのデバイスの状況を監視し、不審な振る舞いの検知や対処を迅速に行う機能）の導入を推進しています。またセキュリティ対策に欠かせない人的な対策として、グループの全従業員への教育・訓練のためEラーニングによる「情報セキュリティ学習」、「標的型メール訓練」などを定期的に実施し、知識の定着と啓発を図っています。また万が一の事態を想定し、「情報インシデント対応訓練」を毎年実施しております。この訓練では、当社の事業継続に重大な影響を与えかねない情報管理に係わるインシデントの発生を想定し、関連する部署を交えて、発生するリスクへの方針や手順などを確認することで、事業の継続性の強化を図っています。そして、これらの取り組みの妥当性を確認するため、外部のアセスメントを受けることで、情報セキュリティ全体の脆弱性分析に取り組んでいます。
これからも上記のような取組みで、全役職員がいざという時の対応力が備わるよう、持続的に取組みを強化してまいります。

情報漏えいの防止対策

機密情報の取り扱いについては「文書管理規程」を定め、文書の保管および保存、ならびに廃棄に関する基準に則って管理しています。また、個人情報の取り扱いについては、高度情報通信社会における個人情報保護の重要性を十分に認識し、個人情報の保護に適用される法令およびその他の規範に基づいた「個人情報保護方針」を掲げています。Umiosグループでは、この「個人情報保護方針」を実行するために「個人情報保護取扱規程」を策定し、イントラネットを活用したe-ラーニングなどで従業員や関係者に周知徹底するとともに、内部監査により遵守状況を確認しています。さらに、これら規程類を適時・適切に見直すなど、継続的な改善を図っています。

個人情報保護の取組み

• その他の委員会