価 値 創 造の基 盤

リスクマネジメント
多面的なリスクマネジメントの推進

事業等のリスク

経済のグローバル化 、情報・通信技術の進化・普及といっ日立は、幅広い事業分野にわたり、世界各地において事業た事業環境の変化は、日立の事業機会を広げるとともに、日活動を行っています。また、事業を遂行するために高度で専門立が対処すべき事業リスクの多面化にもつながっています 。

的な技術を利用しています。そのため、日立の事業活動は、日立は、変化を続ける経済・社会情勢を的確に捉えた上で多岐にわたる要因の影響を受けます。その要因の主なものは、リスク分析を実施し、問題を未然に回避する施策を講じ、同次のとおりです 。なお 、これらは 、本報告書発行日現在に時に「万が一のとき」にも迅速に対応し得る多面的なリスクマおいて合理的であると判断する一定の前提に基づいています。

ネジメント体制を構築しています。特に近年は 、各国・地域の社会インフラ構築に深くかかわる企業として 、世界経済• 経済の動向フォーラムなどでの国際的なリスクに関する議論を踏まえ• 為替相場の変動て、続発するテロや激甚化する異常気象、世界規模での気候• 資金調達環境変動、サイバー攻撃の大規模化・巧妙化などを新たなリスク• 株式等の価格の下落要因として考慮しています。さらに、製品・サービスの安定• 原材料・部品の調達供給の徹底と事業活動に深刻な影響を及ぼすネットワーク• 長期契約に係る見積り、コストの変動および契約の解除の 脅 威 へ の 対 応 強 化を重 視し、事 業 継 続 計 画（ Business• 取引先の信用リスクの充実と情報セキュリティの継続的Continuity Plan：BCP ）• 需要と供給のバランス強化にも取り組んでいます。引き続き 、リスクマネジメント• 急速な技術革新の対応強化をグループ全体で推進し、事業リスクが社会に及• 人材確保

ぼす影響の最小化を徹底しています。

• 競争の激化

リスクマネジメント体制の強化
日立では、昨今の複雑化するグローバルリスクに対応する• 社会イノベーション事業強化に係る戦略• 企業買収、合弁事業および戦略的提携• 事業再構築

ため 、グル ープ全体でリスクマネジメント体制の強化に取り• 持分法適用会社の業績の悪化

組んでいます 。グル ー プ全体のリスクマネジメントを統括• 海外における事業活動する担当役員（リスクマネジメント責任者）のもと、各事業体• コスト構造改革への取り組みに経営層レベルのリスクマネジメントの責任者を設置し、コン• 知的財産プライアンス、輸出管理、危機管理を中心に対応し、相互に• 訴訟その他の法的手続き連携を図る体制をとって います 。今後は 、企業を取り巻く• 製品の品質と責任さまざまなリスクを客観的に評価する基準・システムを確立• 大規模災害等するとともに 、包括的なリスクマネジメント体制を構築して• 情報システムへの依存いきます。

• 機密情報の管理• 退職給付に係る負債• 株式の追加発行に伴う希薄化
詳細な事業等のリスクは、第149 期有価証券報告書をご参照ください。
http://www.hitachi.co.jp/IR/library/stock/index.html

41安定的な製品・サービスの提供
日本国内外主要拠点で の BCP 策定

調達 BCP の策定
日立の事業は社会インフラに深くかかわっているため 、社会インフラに深くかかわる日立では 、リスクの発生に事業の共同運営者であるサプライヤー が大規模地震などのよって事業が中断し、社会に甚大な影響を及ぼすことのない自然災害の発生によって被災した場合、日立やサプライヤーのよう、BCP の 充 実に取り組 ん で います 。2006 年 12 月に事業活動だけではなく、社会に大きなインパクトを与える（導入編）」
を「日立グループ BCP 策定のためのガイドライン可能性があります。日本国内のビジネスユニットと主要グ作成。2010 年度にはガイドラインを英語と中国語に翻訳して

ル ー プ会社の調達部門では 、災害発生時のインパクトを最日本国内外のグループ各社に提供し、大規模災害などのリスク

小 限にとどめるた め 、調 達 業 務 の BCP として 、① 徹 底しに備えてきました。

た標 準 化と汎 用 部 品 の 使 いこなしによる調 達 保 全リスク

2011 年3 月に発生した東日本大震災では、BCPに基づいての極小化、②マルチサプライヤー化の推進、③製造拠点の複初期対応や意思決定を迅速に行うことができました。一方で、数分散化、④戦略在庫の予算化、⑤代替品の検討などを策2 次 、3 次の サプライヤ ー の把握 、生産情報のクラウド化・定・整備しました。また策定した調達 BCP が機能するかどう多重化、代替輸送手段・燃料の確保などの課題が浮かび上がりかを確 認するた め 、デスクトップエクサ サイズ（震災被害ました。大震災から得たこれらの教訓を踏まえ、2011 年10 月を想定し、グループ単位でなすべき行動を議論する机上演習）（部門別のに「日立グループ BCP 策定のためのガイドラインも実施して、さらなる改善を進めました。

BCP 策定編）」を作成・配布し、BCP のさらなる充実を図りました。
日本国内では、2011 年度末までにそれぞれの事業に応じて大規模地震および新型インフルエンザに備えた BCP を策定

2017 年度には、国内外の製造ラインを有する主要な事業所が前年度までに確立した調達BCPをのすべて（約 208 サイト）メンテナンスする形で強化を図り、グロ ー バルに展開する日立グループの事業継続に貢献しています。

しています。
また日本国内の主要拠点では、大規模地震を想定した地震危険地域へ の従業員派遣時の安全対策強化

対策シミュレー ション訓練を 1998 年度から毎年実施して2013 年 1 月に発生したアルジェリア人質事件＊を受けて 、います。2018 年 3 月には日立製作所本社において、本社対策

2013 年 2 月、紛争やテロなどのリスクが高い地域に従業員を本部長の指揮のもと、首都近郊での大規模地震を想定した派遣する場合は 、事前に社内外の専門家による現地調査を初動訓練を行い、本社各部門の役割の理解促進と連携強化に実施して 、派遣する従業員の安全に万全を期すことを社長取り組みました。

方針として再徹底しました。また、現地派遣後も半年に一度、なお、2017 年 12 月に、大規模地震により本社機能が一時現地調査を実施し、安全対策の有効性を確認しています 。

的に停止した際の関西地区での代替本部立ち上げを前提としまた 2017 年度は世界各地に拡散するテロの脅威や現地でた行動基準を策定するなど、首都直下地震を想定した対策に流行している感染症に対し、迅速に従業員へ注意喚起情報をも取り組んでいます。

提供するなど 、グロー バルに活動を展開する従業員の安全

主要海外拠点では 、2013 年度にリスク対策担当責任者を確保に努めています。

配置し、約300 社がBCP の策定に取り組みました。これによりさらに日立製作所は外務省主催の海外安全官民協力会議

大規模災害や新型インフルエンザ、政変・騒乱・テロなどのへの参加や 、2014 年以降、テロ誘拐対策官民合同実地訓練

事業リスクへの対応力は強化されています。今後も、BCP のに参加するなど 、官民の連携を深めつつ 、日本企業の海外策定を拡大していきます。

安全対策に寄与する活動を行っています。
＊ アルジェリア人質事件：2013 年 1 月にアルジェリアの天然ガス精製プラントが武装テロ集団に襲撃され、日本人 10 人を含む 30 人以上が犠牲となった事件

42

価 値 創 造の基 盤

情報セキュリティの推進
情報セキュリティ方針

情報セキュリティと個人情報保護に関する取り組み方針、IoT の進展により、さまざまな モノが つ な がることで 、各種施策は 、情報セキュリティ統括責任者を委員長とする新たな価値が生み出されています。その一方で、日々巧妙化「情報セキュリティ委員会」が決定します。決定事項は各事業所するサイバー攻撃の対象も従来の IT から IoT・OT の分野におよびグループ会社に伝達され、各組織の情報セキュリティまで広がっています。情報漏えいや操業停止など、事業その責任者が職場に徹底しています。

もの の継続に支障をきたすリスクを最小化するため 、情報セキュリティにかかわるリスク管理は 、企業の最重要の課題の一つとなっています。
こうした背景のもと、社会イノベ ーション事業を展開する
日立は 、情報セキュリティガバナンスを最も重要な経営課題＊1 CIO：Chief Information Officer＊2 CISO：Chief Information Security Officer

情報セキュリティマネジメント
情報セキュリティ管理の一つと位置づけています 。2018 年 3 月に日本経済団体

日 立 は 、国 際 規 格 で あ る I S O / I E C 27001 に 基 づく連合会が発表した「経団連サイバーセキュリティ経営宣言」に「グローバル情報セキュリティ管理規程」
を定め 、情報セキュ

おいても 、価値創造とリスクマネジメントの両面からサイリティ管理の強化に努めています。グロー バルには日本のバーセキュリティ対策に努めることが経営の重要課題である

親会社から日本国外のグル ー プ会社に対して展開を行うとと述べられており、日立は同じ理念で情報セキュリティのガバ

ともに 、米州 、欧州 、東南アジア、中国 、インドなどの地域ナンスに取り組んでいます。

統括会社によるサポートとセキュリティシェアドサ ービスの利用を積極的に推進しています。

情報セキュリティ推進体制
日立製作所では、情報セキュリティおよび個人情報保護の実施・運用に関する責任・権限をもつ情報セキュリティ統括責任者を執行役社長兼 CEO が任命します。
従来は 、CIO＊1 が情報セキュリティ統括責任者の役割も担

セキュリティ監視
日立ではサイバー攻撃の早期検知と迅速な対応のために、SOC＊1 による24 時間 365 日のセキュリティ監視と、IRT＊2 によるセキュリティ関連情報の収集・展開とインシデント対応をい、情報セキュリティ対策、管理を行ってきました。2017 年

行っています。

10 月より、日立全体の情報セキュリティガバナンスをさらに＊1 SOC：Security Operation Center

強化し、一括して推進するため、新たに CISO＊2 を任命しまし＊2 IRT：Incident Response Teamた。CISO は、情報セキュリティ統括責任者として、日立のすべての製品や社内設備を対象に情報セキュリティを推進する役割を担い、2017 年度は執行役副社長が務めました。
情報セキュリティ推進体制図

執行役社長兼 CEO

情報セキュリティ監査責任者

情報セキュリティ統括責任者

2017 年 9 月以前 CIO が就任
2017 年 10 月以降 CISO が就任

情報セキュリティ委員会

43

機密情報漏えい の防止

情報セキュリティ監査

日立製作所では情報漏えいを防止するために「機密情報日立の情報セキュリティは、日立製作所が定めた情報セキュを定め、機密情報の取り扱いに細心の注意漏えい防止3 原則」

リティマネジメントシステムの PDCA サイクルにより推進してを払い、事故防止に努めています。

おり、すべてのグル ープ会社および部門に対し、1 年に 1 回情報セキュリティおよび個人情報保護の監査を実施しています。

機密情報漏えい防止 3 原則
原則 1 機密情報については、原則、社外へ持ち出してはならない。

日立製作所における情報セキュリティ監査は、執行役社長

原則 2 業務の必要性により、機密情報を社外へ持ち出す場合は、兼 CEO から任命された情報セキュリティ監査責任者が独立必ず情報資産管理者の承認を得なければならない。
原則 3 業務の必要性により、機密情報を社外へ持ち出す場合は、必要かつ適切な情報漏えい対策を施さなければならない。

した立場で実施しています。221 社の日本国内のグルー プ会社については、日立製作所と同等の監査を実施し、その結果を日立製作所が確認しています。日本国外のグルー プ会社についてはグロー バル共通のセルフチェックを実施して情報漏えい防止の具体的施策として、暗号化ソフト、セキュいます。

アなパソコン、電子ドキュメントのアクセス制御・失効処理

個人情報保護については 、1 年に 1 回、全部門が職場でのソフト、認証基盤の構築によるID 管理とアクセス制御、メール自主点検として 、「個人情報保護・情報セキュリティ運用のや Web サイトのフィルタリングシステムなどを IT 共通施策と確認」
を実施しています。併せて重要な個人情報を取り扱うして実施しています 。サイバ ー攻撃に対しては 、防御策をについては「 個人情報保護運用の確認」
を業務（ 693 業務＊）多層化（入口・出口対策）して対策を強化しています。

1 カ月に 1 回実施し、安全管理措置や運用の状況を定期的にまた 、サプライヤー に対しては 、日立が定めた情報セキュリティ要求基準に基づき 、調達取引先の状況を確認・審査しています。

確認しています。
＊ 2018 年 3 月時点の登録業務数

情報セキュリティ教育の実施

個人情報保護日立製作所は、「個人情報保護方針」に基づいて構築した、日立では、すべての役員、従業員、派遣社員などを対象に、日立製作所個人情報保護マネジメントシステムを運用して情報セキュリティおよび個人情報保護について、eラーニングいます。また、日立製作所ほか日本国内 44 事業者 がプライによる教育を毎年実施しています。日立製作所では約 4 万人バシーマークを取得しています。

が受講し、受講率はほぼ 100% に達しており、そのほかにも＊

なお 、2017 年度、顧客プライバシー の侵害および顧客対象別、目的別に多様な教育プログラムを用意し、情報セキュデータの紛失に関して、個人情報の取り扱いに関する苦情・リティ教育を実施しています。また 、標的型攻撃メー ルなど申し立てなどはありませんでした。のサイバー攻撃への教育として、実際に攻撃メールを装った

また 、2018 年 5 月に欧州で施行された GDPR（欧州一般模擬メールを従業員に送付し、受信体験を通してセキュリティ

デ ー タ保護規則）など 、個人情報の保護に関する法制化が感度を高める「標的型攻撃メー ル模擬訓練」
を 2012 年より各国で進んでおり、日立はその動向を注視しながら適切な実施しています。

取り組みを進めています。
＊ 2018 年 5 月末現在

44

価 値 創 造の基 盤

サイバー セキュリティは経営課題へ2017 年 5 月にランサムウェア＊1 である「 WannaCry 」に感染し、一部のシステムで障害などが発生しました 。日立
は 、この事案からの学びを踏まえ、経営課題としてサイバー セキュリティ対策のさらなる強化に取り組んでいます 。

ランサムウェア感染に対する初動対応
始まりは 2017 年 5 月 12 日の 22 時ごろ、データセンター内のシステムの動作が不安定となる事象でした。この時点ではウィルス感染であることは分かっておらず 、システムの障害を疑って原因調査を進めていました 。1 時間後、ランに報告され、攻撃サムウェアへの感染が確認されたため、その情報が速やかに社内の Incident Response Team（ IRT ）および被害状況の把握を開始しました。
「 WannaCry 」への感染によるものである
翌 13 日深夜 1 時過ぎ、IRT は把握した情報から今回の事案がランサムウェアと判断、経営幹部に報告し、被害拡大防止の初動対応に着手しました。同日の 5 時過ぎに日立グループ全社への緊急対策指示を展開、9 時に本社に緊急対策本部を設置して 、被害状況の把握と、復旧に向けた対策および感染ルートの分析を開始しました。

事案を通して学ん だこと
ランサムウェア感染事案への対策を通して学んだことが４点あります。

1 点目は 、ネットワーク内で一気に拡散するサイバ ー攻撃の脅威です 。社内のネットワークに接続される機器は 、パソコンやサ ーバ ー など OA 機器だけでなく、現場の開発・生産用設備などの OT 機器にまで広がっています。今回の事案では、セキュリティパッチ＊2 が自動適用されていない OA 機器や 、そもそも適用が慣習化されていない OT 機器など、セキュリティが弱い箇所からウィルスに感染し、ネットワーク内で一気に拡散して被害の拡大につながりました。

2 点目は 、サ ーバ ー など OA 機器のセキュリティ対策徹底の重要性です。業務システムが稼働している場合、業務の調整ができずシステムを止められないといった理由から、タイムリー なセキュリティパッチの適用ができていなかった機器が感染の被害を受けました。

3 点目は、OT 機器のセキュリティ対策の困難さです。これらの機器にはそもそもセキュリティパッチの適用が想定されていないものも多く、また導入後にシステムをアップデートする必要性を意識していない、という実状がありました。
強化の必要性です。
「絶対の安全はない。有事の際には影響を４点目は、サイバー攻撃を想定した BCP（事業継続計画）限定し、いかに早く元に戻すか」という考えのもと、ランサムウェアなどのサイバ ー攻撃についても 、災害などと同様に日ごろから最悪のシナリオを想定して手順書の整備やトレーニングを行い、現場力を向上しておくことが必要です。
このような課題への対応には、技術的な側面に加えて、事業の継続性を観点とする経営視点での総合的なリスク分析と対策の判断が必要となります。
昨今のサイバー攻撃の高度化に加えて、ヒューマンエラー、内部不正、環境変化など情報セキュリティを取り巻く脅威は年々増加し、事案の発生による経営インパクトは大きくなっています。日立は、今後も重要な経営課題の一つとして、組織・運用・システムのバランスを考慮したサイバーセキュリティ対策の強化と耐性の向上に取り組んでいきます。
＊1：感染したコンピューターに特定の制限をかけて、その制限の解除と引き換えに金銭などを要求するコンピューターウィルスの一種＊2：コンピューターのプログラムに不具合や脆弱性が発見された際に、それらの問題を修正するために提供されるプログラム45

気候関連のリスクと機会への取り組み
日立は 、気候変動に関する「リスク」と「機会」を重要な経営課題と認識しています 。
「リスク」と「機会」を検討するためのガバナンスとしては、気候変動にかかわるグロー バルな法規制や政策動向を踏まえ、気候変動のリスクを最小化し、機会を生かす事業戦略を立案するために、執行役社長兼 CEO を議長、経営層をメンバーとする「サステナビリティ戦略会議」を設置しています 。

2017 年には 、G20 財務大臣・中央銀行総裁会議の要請を受けて 、金融安定理事会（ FSB ）により設置により、企業のリスクと機会についての情報開示をされた気候関連財務情報開示タスクフォー ス（ TCFD ）求める提言が公開されました 。日立は、2018 年 6 月に TCFD への賛同を表明し、TCFD の要請に基づいた情報開示を進めています 。日立では、環境関連のリスクと機会の認識について、グロー バルでの新たな要請で あ る TCFD の分類に合わ せ て 、気候関連のリスクを①低炭素経済へ の移行に関連したリスク、②気候変動の物理的影響に関連したリスクに分類し、検討を進めています 。機会については、日立の提供する製品・サービスの省エネルギー化により低炭素社会の構築に貢献していくことが大きな機会であると位置づけ、今後もそ の拡大に向けた議論を進めていきます 。

低炭素経済へ の移行リスク
政策および法規制

市場・評判
気候変動問題への企業の取り組み姿勢に対するステーク

炭素税や燃料・エネルギー消費への課税、排出権取引など

ホルダ ー からの評価や 、気候変動対策を重要視するなどのについては 、各国・地域の制度・規制の遵守に加え、今後も市場の価値観の変化は、お客様の製品・サービス選択の意思新設や強化が進む可能性があり、経営コストに直結するリスク決定に影響し、事業継続のリスクになる可能性があります。と想定しています。

日立はバリューチェーンにおけるCO2 排出量を 2010 年度比

日立はこれらのリスクに対して 、生産の効率化や省エネで2030 年度に50% 、2050 年度に 80% 削減する環境長期ルギー化を進めることにより、コスト負担の軽減や最小化を目標を掲げ 、省エネルギー投資による高効率設備・機器への図っており、2017 年度は約 54 億円の省エネルギ ー投資を更新、デジタライゼーションによる生産の効率化を進めてい行いました 。また、製品のエネルギー効率の基準や規制は、ます。

基準値を満たしていない場合、市場での販売機会を失うリスクになるため 、既存の規制や基準の遵守を徹底するとともに、常に法規制動向の把握に努め、政策立案の機会などにも参画しています。

気候変動の物理的影響に関連したリスク
急性・慢性

気候変動による物理的リスクには、台風や洪水などの激化による急性リスク、海面上昇や長期的な熱波の原因になり得る技術

気候パターンによる慢性リスクが あります 。グロー バルに日立のバリューチェーン全体の中で多くを占める、販売した事業拠点を置いている日立にとって、台風の大型化や降水量製品・サービスの使用に伴うCO2 排出量を削減していくには、の増加など 、気候変動の影響と考えられる気象現象による製品・サービスのさらなる省エネルギー化を実現する技術が災害は事業継続のリスクになると考えています。

必須です。

これらのリスクに対しては、工場新設時に洪水被害を念頭

そのため 、日立では 、製品・サ ービスの設計・開発段階にに置いて立地条件や設備の配置などを考慮するほか 、災害おいて「環境配慮設計アセスメント」を適用することで、ライフ発生時の対策を取り決めた「日立グループBCP 策定のためのサイクルの各段階におけるさまざまな環境側面を評価し、ガイドライン」
を活用し、リスクの軽減に努めています。

環境に与える負荷の低減を図っています。さらに、長年取り組んできた幅広い社会インフラの技術をOT（制御・運用技術）や ITと組み合わせることで、最適なソリューションを提供し、事業機会の創出につなげています。

46

資源の利用効率

価 値 創 造の基 盤

気候関連の機会製品および サ ー ビス・市場
気候変動の緩和および適応への貢献が期待できる革新的な

日立は 、廃棄物の発生抑制や再生利用などにより資源の省エネルギー技術を有する製品・サービスの提供を拡大する効率的な利用を推進しています。また、天然資源の効率的でことは、市場価値や収益増大の機会を創出することにつなが持続可能な利用を図るため、省資源設計や生産プロセスでのると考えています。エネルギーを使う製品を多く扱う日立に改善などにより、天然資源投入量の最小化に向けた取り組み

とって 、気候変動問題の解決へ の貢献は 、製品・サ ービスも推進しています。の効率向上による低炭素化が重要になります。そのため日立
は、高効率プロダクツや低炭素エネルギーの開発・普及、環エネルギー源

境負荷の削減に寄与する革新的なデバイス・材料の開発を推

日立は、工場やオフィスにおいて、再生可能エネルギー を積極的に活用しています。工場では 、生産ラインのエネル進しています。2017 年度は、研究開発全体で 3,329 億円の投資を行っています。

ギー使用状況を把握・管理し、蓄電池を活用することで、発電

また、気候変動問題への企業の取り組み姿勢は、ステーク量の変動が大きい太陽光発電設備から供給される電力を有効ホルダーからの評価や、お客様の製品・サービス選択の意思に利用しています。また、再エネクレジットの導入を推進する決定に影響するため、製品のエネルギー効率の基準や規制をとともに、インターナルカーボンプライシングや、自家消費型満たすだけでなく、基準値を上回る省エネルギー性能の製品・太陽光発電の導入拡大を進めています。オフィスにおいても、

サ ービスのさらなる開発・提供により、お客様に選ば れる照明や空調設備の高効率化を進めるとともに、エネルギーの機会を増やすことをめざしていきます。

見える化や BEMS による建屋全体のエネルギー使用量の最＊適化を行っています。事業においては、風力発電などによる再生可能エネルギーなどを積極的に提供することで、事業機レジリエンス
日立の主要な工場においては、停電発生時などでも再生会の創出につなげています。

可能エネルギーや蓄電池の活用によって重要な機能を維持で＊ BEMS: Building and Energy Management System（ビル・エネルギー管理

きるように対策を講じています。

システム）のことで 、ビルの室内環境とエネルギ ー性能の最適化を図るためのシステム事業においては 、各国・地域において増加する自然災害対策の ため 、防災ソリュー ションを提供することで貢献して います 。日立は 、長年培ってきた高度な IT を活用して 、生活情報や天候などの自然情報や、社会インフラシステムの稼働情報などを分析・評価する、気候変動への適応に資するさらなるソリュー ションの提供を推進して いきます 。

47