IPOを目指す企業の多くは、財務体制やガバナンス構築に注力しますが、情報セキュリティ体制も上場審査における重要な評価項目の一つです。本記事では、主幹事証券会社や証券取引所が何を見ているのか、そして情報セキュリティ対策としてどこまで準備すべきかを解説します。
上場審査で問われる「内部管理体制」とは
主幹事証券会社による引受審査では、会社の企業経営の健全性・独立性、コーポレート・ガバナンス及び内部管理体制の状況、業績の見通しなどが確認されます。審査を通過した主幹事証券会社は「上場適格性調査に関する報告書」を証券取引所に提出し、証券取引所自身による審査に進みます。 審査における実質基準では、以下のような点が確認されます。
- 事業計画の合理性：成長シナリオと経営資源の整合性
- 経営の健全性：不適切な取引やガバナンス欠如の有無
- 内部管理体制の整備状況：業務フロー、内部統制、コンプライアンス体制など
- 情報開示体制：適時開示、IR、リスク開示の充実
情報セキュリティは独立した審査領域
上場準備における審査項目の中には、財務・法務・ガバナンスと並んで「情報システムおよび情報セキュリティ」が独立した評価領域として位置づけられています。特にJ-SOX(内部統制報告制度)対応の中で、IT全般統制(ITGC)の整備・運用状況が重要になります。ITGCは、財務報告に影響するITリスクを特定し、IT環境を継続的に機能させる仕組みであり、上場準備企業は評価範囲・文書化・証跡の整備を早期に進める必要があります。
なぜ脆弱性診断・ペネトレーションテストが役立つのか
セキュリティ診断は、単に技術的なリスクを把握するだけでなく、診断結果・修正履歴・再診断結果を整理することで、監査法人や主幹事証券会社への説明材料として活用できます。ただし説明材料として機能するには、信頼できる第三者機関による客観的な診断であること、そして経営層や監査担当者にも理解しやすいエグゼクティブサマリーが付属していることが重要です。
lanjutが提供できること
lanjutでは、OSCP認定エンジニアによる完全手動診断に加え、経営層・監査法人にも分かりやすい日本語のエグゼクティブサマリー付きレポートをご提供しています。IPO準備の一環としてのセキュリティ診断について、実施タイミングやレポートの活用方法まで含めてご相談いただけます。
よくある質問
Q. IPO準備で情報セキュリティ診断は必須ですか？
A. 法律上の必須要件ではありませんが、J-SOXのIT統制対応や、主幹事証券・監査法人への説明材料として、多くのIPO準備企業が実施しています。
Q. 診断結果はそのまま監査法人に提出できますか？
A. 信頼できる第三者機関による報告書で、経営層にも分かりやすいエグゼクティブサマリーが付属していれば、説明材料として活用できます。
まとめ
上場審査では、情報セキュリティ体制も独立した評価項目として確認されます。第三者による客観的な脆弱性診断・ペネトレーションテストを実施し、監査法人・主幹事証券にも伝わる形で結果を整理しておくことが、審査対応をスムーズにする一助となります。
