財務報告に係る内部統制の開示すべき重要な不備に関するお知らせ

アサヒグループホールディングス株式会社

当社は、金融商品取引法第24条の４の４第１項に基づき、関東財務局に本日提出しました2025年12月期の内部統制報告書に開示すべき重要な不備があり、当社の財務報告に係る内部統制は有効でない旨を記載しましたので、下記のとおりお知らせします。

記

　2025年9月29日早朝、当社グループが日本で管理する情報システムにおいて障害が発生し、調査の過程で一部サーバーのデータが暗号化されていることが判明したことから、サイバー攻撃によるシステム障害であることが確認されました。この事態を受け、攻撃による被害の拡大を防止するため、当社グループは同日中に社内外のネットワークの遮断およびデータセンターの隔離措置を実施しました。その後、外部専門機関の協力のもと原因調査を実施した結果、攻撃者が管理者権限を不正に取得し、奪取したアカウントを不正利用してネットワーク内部を探索した後、複数のサーバーに対してランサムウェアを実行したことが確認されました。なお、本件サイバー攻撃によるシステム障害の影響は、日本リージョン（当社グループの日本における事業領域）で管理・運用しているシステムに限定されています。
　当社グループは、事態の緊急性および経営への影響の重大性に鑑み、サイバー攻撃による被害を受けた直後から、グループ危機管理規程および事業継続計画（BCP）に基づき緊急対策本部を設置し、業務影響の最小化および決算業務の遂行に向けて、社内ネットワークや各システムの復旧対応に取り組みました。また、日本リージョンにおけるネットワーク構成の見直しおよび再構築を実施するとともに、新たに構築した環境における脆弱性について、外部専門機関による検証を実施しました。
　上記の対応を進めたものの、経理関連データへのアクセス障害対応および代替的な業務プロセスに基づく対応等に時間を要した結果、決算作業に必要な財務報告関連データの取得・検証を含む一連の手続を適時に完了することができず、有価証券報告書の提出について、法令で定められた期限の延長を行う必要が生じました。
　本件は、日本リージョンにおいて情報システムおよび情報セキュリティに関する規程類に基づく情報システムの運用管理が、業務で使用する情報システム基盤の一部において十分に実施されていなかったことにより攻撃者の侵入を許し、その結果、開示の適時性に重大な影響を及ぼす事象につながったものと認識しています。この事象を受け、日本リージョンにおいて、「全社的な内部統制（情報システムの整備に関する方針）」の運用状況に重要な不備があったと評価しました。
　日本リージョンでは、情報システムおよび情報セキュリティに関する規程類（「アサヒグループ情報システム管理規程」および「アサヒグループ情報セキュリティ規程」等）において、統合的なセキュリティ管理に関する要件を包括的に定義するとともに、業務で使用する情報システムの安全・保護、ならびにサイバー攻撃や不正アクセスのリスク軽減のための遵守事項および具体的な技術的対策を定めていました。しかしながら、日本リージョンの業務で使用する情報システム基盤の一部において、これらの規程類に基づく権限管理を含む運用管理の一部が十分に実施されていない状況が認められました。

　本件は、サイバー攻撃に起因するものであり、発覚後はまず被害の拡大防止と復旧ならびに原因調査を優先して実施し、その後の調査結果を踏まえた対応を段階的に進めてきました。このため、当事業年度末までに是正および評価を完了することができませんでした。

　当社では、上記の開示すべき重要な不備に起因する必要な修正は、すべて連結財務諸表に反映していると判断しています。

　無限定適正意見です。

以上