Publicly Disclosed Corporate Security Governance in Critical-Service Firms: Accountability Structures and Disclosure-Specificity Signals

現代の世界において、ある特定の企業は独特な地位を占めています。それらは社会を動かし続けるために不可欠なシステムを運営しているのです。これらは、私たちの明かりを灯し、列車を動かし、デジタルネットワークをつなぎ、そしてお金の流れを管理する企業です。その業務が非常に重要であるため、政府や公衆は、これらの企業が安全で、回復力があり、トラブルに対して準備ができていることを期待しています。これを確実にするために、これらの企業はリスクを慎重に管理し、どのように管理しているかを公衆に伝えるよう求められています。この公的な伝達は「ディスクロージャー（情報開示）」と呼ばれます。それは、企業が何を計画し、誰が責任を持ち、どのように自らの業務をチェックするかを書き記す行為です。しかし、計画を書くことと、実際にそれを実行することの間には、決定的な違いがあります。安全に関する詳細な文書を公開したとしても、必ずしも安全なシステムが備わっているとは限りません。それは、ジムに一度も足を踏み入れることなく、運動するという約束を書き記す人がいるのと同じです。外部の観察者にとっての課題は、彼らがこれらの企業の中に入り込み、実際の仕組みを直接見ることはできないという点にあります。彼らは、企業が共有することを選択した文書を読むことしかできません。これにより、語られることと行われることの間に乖 المرحが生じます。研究者は、企業の真の安全状態を理解するために、この隔たりを慎重にナビゲートしなければなりません。

パリ国立高等鉱山学校（École Nationale Supérieure des Mines de Paris）の研究者であるカリム・ハーディ氏による最近の研究は、これら不可欠な企業が公開報告書の中で正確に何を語っているのかを明らかにしようと試みました。この研究は、エネルギー、輸送、デジタルインフラ、銀行業務などの重要なサービスを提供するヨーロッパの24社の上場企業に焦点を当てました。研究者は、これらの企業の31の公開文書（主に2025年度の年次報告書）を収集し、非常に具体的な一連の問いを念頭に置いて読み解きました。これらの企業が実際にどの程度うまく機能しているかを推測しようとするのではなく、研究はより単純で精密な問いを立てました。すなわち、「これらの企業は、自らの安全規則について語る際、どれほど具体的に述べているか」という問いです。研究者は、セキュリティを監督するために誰が理事会に座っているかから、サプライヤーの扱い方、そして失敗からどのように学ぶかまで、安全管理における10の異なる領域を調査しました。文書内の各言及は、4つの詳細レベルのいずれかに分類されました。最も低いレベルは、安全であるという漠然とした約束でした。次のレベルは、責任を負う特定の人物やグループの名前を挙げることでした。最高レベルは、チェック、フィードバック、および成功を測定する方法を含む、機能しているシステムの明確な記述でした。

結果として、これらの企業が何を共有しようとしているのかについて、明確なパターンが明らかになりました。報告書の中で最も一貫しており、かつ詳細な情報が見つかったのは、安全リスクがいかに企業の全体的な事業戦略に結びついているかという点でした。24社中23社というほぼすべての企業が、セキュリティを主要なリスク管理計画に統合するための具体的かつ命名されたプロセスを説明していました。彼らは、誰が責任を負い、これが大きな構図の中にどのように組み込まれているかを明確に述べていました。このことは、これらの企業にとって、セキュリティと事業戦略との関連性について語ることは、標準的で明確に定義された慣行となっていることを示唆しています。しかし、研究者がこれらの企業が外部のパートナーやサプライヤーをどのように管理しているかに目を向けたとき、状況は劇的に変化しました。「サードパーティ・ガバナンス」として知られるこの領域は、具体的な詳細をもって記述される可能性が最も低い領域でした。16社がサプライヤーに対する何らかの監視について言及していましたが、5社はレビューした文書の中で全く言及していませんでした。言及していた企業の間でさえ、その記述は内部戦略に関するものよりも詳細さが欠けていることが多々ありました。これは、これらの企業がサプライヤーの管理に失敗していることを意味するのではありません。単に、公開文書においては、内部計画と比較して、この業務に関する情報の詳細度が低いということを意味しているに過ぎません。

また、本研究では、これらの企業が「戦略重視型」や「レジリエンス（回復力）重視型」といった、明確で予測可能なグループに分類されるかどうかも検証されました。研究者は、詳細な開示の繰り返される組み合わせを探し、安定したタイプの企業が現れるかどうかを確認しました。内部戦略と外部報告の両方に強い企業といった、頻繁に現れるパターンはいくつか見られましたが、それらのパターンは互いに重なり合いすぎており、整然としたカテゴリーを作るには至りませんでした。ある企業は一つの領域では強く、別の領域では弱いということがあり、単一のラベルに当てはめることはできませんでした。研究は、これらの企業を強引に特定のタイプに押し込もうとすることは誤解を招くと結論付けました。代わりに、最も誠実な記述は、これらの企業は内部の安全計画について語るための共通の言語を共有しているものの、外部との関係について何をどの程度明らかにするかについては大きく異なっている、というものです。

本研究の重要な発見は、情報のソースそのものでした。研究者は、これらの報告書に見られる具体的な詳細のほとんどが、サイバーセキュリティおよび情報技術に関連していることを発見しました。コンピュータ、データ、またはデジタルネットワークに関する言及を分析から取り除くと、利用可能な情報の量は激減しました。数百の具体的な詳細の中から、デジタルセキュリティに関するものではない記述は、ごくわずかな部分しか残りませんでした。このことは、これらの企業が公開報告書で安全について語るとき、彼らは主にデジタルな脅威について語っていることを示唆しています。建物の物理的な保護、詐欺防止、あるいは非デジタルな事象に対する危機管理といった、他の重要な側面は、文書内でははるかに目立たないものでした。これは、他の領域が無視されていることを意味するのではなく、公開記録がデジタルの世界に大きく偏っていることを意味しています。

本研究は、書かれたことと実際に起きていることの間に厳格な一線を画すよう注意を払いました。研究者は、報告書に詳細な記述があることは、そのシステムが実際にうまく機能していることを証明するものではないと強調しました。企業は完璧な計画を策定しながら、実行に失敗することもあります。逆に、堅牢なシステムを備えていながら、公開報告書では詳細に記述しない企業もあるかもしれません。本研究は、安全性、レジリエンス、または有効性を測定したものではありません。研究が測定したのは、公開文書で使用されている言葉の具体性のみです。この境界線を明確に保つことで、本研究は、組織の扉の向こう側で何が起きているかについての仮定を置くことなく、公衆に対して何が可視化されているかを示す信頼できる地図を提供しています。この研究は、公開報告書が企業統治への窓を提供してくれる一方で、その窓は企業が提示することを選択した内容のみを示しており、そして多くの場合、その展示はデジタル領域に強く偏っているということを思い出させるものです。