1 【財務報告に係る内部統制の基本的枠組みに関する事項】

当社代表取締役社長塚本博は、当社並びに連結子会社及び持分法適用会社(以下「当社グループ」)の財務報告に係る内部統制を整備及び運用する責任を有しており、「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について(意見書)」(企業会計審議会 令和元年12月6日)に示されている内部統制の基本的枠組みに準拠して内部統制を整備及び運用しております。
 なお、内部統制は、内部統制の各基本的要素が有機的に結びつき、一体となって機能することで、その目的を合理的な範囲で達成しようとするものであります。このため、財務報告に係る内部統制により財務報告の虚偽の記載を完全には防止又は発見することができない可能性があります。 

 

2 【評価の範囲、基準日及び評価手続に関する事項】

財務報告に係る内部統制の評価は、当事業年度の末日である2024年3月31日を基準日として行われており、評価にあたっては、一般に公正妥当と認められる財務報告に係る内部統制の評価の基準に準拠いたしました。

本評価においては、連結ベースでの財務報告全体に重要な影響を及ぼす内部統制(以下「全社的な内部統制」)の評価を行った上で、その結果を踏まえて、評価対象とする業務プロセスを選定しております。当該業務プロセスの評価においては、選定された業務プロセスを分析した上で、財務報告の信頼性に重要な影響を及ぼす統制上の要点を識別し、当該統制上の要点について整備及び運用状況を評価することによって、内部統制の有効性に関する評価を行いました。

財務報告に係る内部統制の評価の範囲は、当社グループについて、財務報告の信頼性に及ぼす影響の重要性の観点から必要な範囲を決定いたしました。財務報告の信頼性に及ぼす影響の重要性は、金額的及び質的影響の重要性を考慮して決定しており、当社、連結子会社9社及び持分法適用会社3社を対象として行った全社的な内部統制の評価結果を踏まえ、業務プロセスに係る内部統制の評価範囲を合理的に決定いたしました。なお、連結子会社11社については、金額的及び質的影響の重要性の観点から財務報告の信頼性に及ぼす影響が僅少であると判断し、全社的な内部統制の評価範囲には含めておりません。

業務プロセスに係る内部統制の評価範囲については、前連結会計年度の連結売上高の概ね2/3程度の割合に達している事業拠点を重要な事業拠点として選定し、それらの事業拠点における、当社グループの事業に大きく関わる勘定科目として「売掛金」「契約資産」「棚卸資産」「買掛金」「売上高」及び「売上原価」に至る業務プロセスを評価の対象といたしました。さらに、選定した重要な事業拠点にかかわらず、それ以外の事業拠点をも含めた範囲について、重要な虚偽記載の発生可能性が高く、見積りや予測を伴う重要な勘定科目に係る業務プロセスやリスクが大きい取引を行っている事業または業務に係る業務プロセスを財務報告への影響を勘案して重要性の大きい業務プロセスとして評価対象に追加いたしました。

 

3 【評価結果に関する事項】

上記の評価の結果、当事業年度末日時点において、当社グループの財務報告に係る内部統制は有効であると判断いたしました。

 

4 【付記事項】

 該当事項はありません。

5 【特記事項】

(システム障害への対応について)

(1)システム障害の発生と影響について

2023年5月5日(金)深夜に外部から不正アクセスを受けサーバに保存している各種ファイルが暗号化され、システム障害が発生しました。当社は、直ちに対策本部を設置するとともに外部専門家と調査を開始しました。当社は、通常必要とされるセキュリティ対策は講じておりましたが、調査によれば攻撃者は当社ネットワークのVPN接続の脆弱性を衝き当社サーバに対しランサムウェアによる暗号化を行ったことが判明しました。

一部の業務システムのバックアップデータは外部サーバで保管しておりましたが、データの入力や作成を行う業務システムのバックアップデータは同一のネットワーク内に保管してあったため、これらのバックアップデータも暗号化されました。

 

 

(2)システム障害への取り組み

2023年7月には、業務システム・サーバの復旧を断念し、同年8月からは暗号化されていない基幹システムへ 直接データを取り込むためのエクセルフォーマットを使った業務を開始し、順次決算作業を進めました。しかしながら、月次決算作業を実質8月から開始したこと、エクセルフォーマットを用いた作業の習熟に時間を要したこと等から、四半期報告書の提出期限は、第1四半期は約3か月、第2四半期は約2か月、第3四半期は約1か月延長しました。最終的に有価証券報告書は、法定提出期限内に提出しました。

 

(3)再発防止策について

システム障害に対しては、ネットワークのVPN接続の脆弱性や不十分なバックアップ態勢等を改善すべく外部専門家の助言を受け、以下の再発防止策を策定し、順次実施しました。

・ファイアウォールのセキュリティ強化

・全サーバへアンチウィルスソフトのインストール

・セキュリティポリシーの変更

・ファイルサーバー等のバックアップ方法の再検討

・セキュリティ製品の導入

 

(4)当事業年度のIT全般統制評価について

当社は、サイバー攻撃によるシステム障害に対して、上記(2)、(3)の通り対応を実施しました。内部統制報告制度における経営者評価でIT全般統制を評価した結果、当事業年度におけるIT全般統制は、有効と判断しました。