NIPPN CORPORATION

内部統制報告書_20220628212113

【表紙】



【提出書類】	内部統制報告書（2022年６月29日付け訂正報告書の添付インラインXBRL）
【根拠条文】	金融商品取引法第24条の４の４第１項
【提出先】	関東財務局長
【提出日】	2021年６月29日
【会社名】	株式会社ニップン（旧会社名　日本製粉株式会社）
【英訳名】	NIPPN CORPORATION （旧英訳名　Nippon Flour Mills Co.,Ltd.）（注）2020年６月26日開催の第196回定時株主総会の決議により、2021年１月１日から会社名を上記のとおり変更いたしました。
【代表者の役職氏名】	代表取締役社長　　前鶴　俊哉
【最高財務責任者の役職氏名】	該当事項はありません。
【本店の所在の場所】	東京都千代田区麹町四丁目８番地
【縦覧に供する場所】	株式会社東京証券取引所（東京都中央区日本橋兜町２番１号）

E00345 20010 株式会社ニップン NIPPN CORPORATION 財務計算に関する書類その他の情報の適正性を確保するための体制に関する内閣府令第一号様式 2 true S100LTBF true false E00345-000 2021-06-29 xbrli:pure

内部統制報告書_20220628212113

１【財務報告に係る内部統制の基本的枠組みに関する事項】

代表取締役社長前鶴　俊哉は、当社並びに連結子会社及び持分法適用会社（以下当社グループという）の財務報告に係る内部統制の整備及び運用に責任を有しており、企業会計審議会の公表した「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の設定について（意見書）」に示されている内部統制の基本的枠組みに準拠して財務報告に係る内部統制を整備及び運用しております。

なお、内部統制は、内部統制の各基本的要素が有機的に結びつき、一体となって機能することで、その目的を合理的な範囲で達成しようとするものであります。このため、財務報告に係る内部統制により財務報告の虚偽の記載を完全には防止又は発見することができない可能性があります。

２【評価の範囲、基準日及び評価手続に関する事項】

財務報告に係る内部統制の評価は、2021年３月31日を基準日として行われており、評価に当たっては、一般に公正妥当と認められる財務報告に係る内部統制の評価の基準に準拠しました。

本評価においては、連結ベースでの財務報告全体に重要な影響を及ぼす内部統制（全社的な内部統制）を評価したうえで、その結果を踏まえて、評価対象とする業務プロセスを選定しております。当該業務プロセスの評価においては、選定された業務プロセスを分析したうえで、財務報告の信頼性に重要な影響を及ぼす統制上の要点を識別し、当該統制上の要点について整備及び運用状況を評価することによって、内部統制の有効性を評価しました。

財務報告に係る内部統制の評価の範囲は、当社グループについて、財務報告の信頼性に及ぼす影響の重要性の観点から必要な範囲を決定しました。財務報告の信頼性に及ぼす影響の重要性は、金額的及び質的影響の重要性を考慮して決定しており、当社と連結子会社との合計28社を対象として行った全社的な内部統制の評価結果を踏まえ、業務プロセスに係る内部統制の評価範囲を合理的に決定しました。なお、連結子会社22社及び持分法適用会社14社については、金額的及び質的重要性の観点から僅少であると判断し、全社的な内部統制の評価範囲に含めておりません。

業務プロセスに係る内部統制の評価範囲については、各事業拠点の前連結会計年度の売上高（連結会社間取引消去後）の金額が高い拠点から合算していき、前連結会計年度の連結売上高の概ね３分の２に達している６事業拠点を「重要な事業拠点」としました。選定した重要な事業拠点においては、当社グループの事業目的に大きく関わる勘定科目として売上高、売掛金及び棚卸資産に至る業務プロセスを評価の対象としました。さらに、選定した重要な事業拠点にかかわらず、それ以外の事業拠点をも含めた範囲について、重要な虚偽記載の発生可能性が高く、見積りや予測を伴う重要な勘定科目に係る業務プロセスやリスクが大きい取引を行っている事業又は業務に係る業務プロセスを財務報告への影響を勘案して重要性の大きい業務プロセスとして評価対象に追加しております。

３【評価結果に関する事項】

下記に記載した財務報告に係る内部統制の不備は、財務報告に重要な影響を及ぼす可能性が高く、開示すべき重要な不備に該当すると判断いたしました。従って、当事業年度末日において、当社グループの財務報告に係る内部統制は有効でないと判断いたしました。

記

2021年７月７日に子会社のニップンビジネスシステム株式会社において管理運用する当社グループの情報ネットワークが、外部からのサイバー攻撃を受け、大部分のサーバーが同時多発的に全部又は一部を暗号化されたことにより、システム障害が発生しました。

サイバー攻撃を受け、システム障害が発生した根本原因について、当社代表取締役の指揮の下に外部の専門家を含めて根本原因調査を実施した結果、サイバーセキュリティに係るシステムの技術的な脆弱性対応が十分にできていなかったという事実の指摘がなされるとともに、その事実の背景にある組織や内部統制の課題として、サイバーセキュリティに関するポリシー群が不十分であったこと、サイバーセキュリティ管理体制における明確な指示系統・責任体制の曖昧さ、ＩＴ・サイバーセキュリティに関する経営層のリーダーシップに基づく管理体制や経営資源（人材、投資等）の確保が不十分だったこと、の３件が指摘されました。

これは、ランサムウェアによるサイバー攻撃の被害が経済界で顕著になり、2020年12月18日の経済産業省によるサイバーセキュリティの取組の強化に関する注意喚起の発出を受けて各企業が予見されるリスクとしてサイバー攻撃を認識し、セキュリティ強化へ一斉に取り組み始めるなど、サイバーセキュリティリスクの高まりの中で、当社においてはサイバーセキュリティリスクを認識していたものの、その対応強化が遅れることとなりました。

結果として、サイバーセキュリティに関するリスクの評価が不十分であったことから、ＩＴ投資予算の不足、専門性を備えた人材の不足等により、要因別の詳細な分析及び対応方針の策定が行われず、システムへの侵入を許し、四半期報告書の法定提出期限までに財務諸表の公表ができない状況が生じたという重大な事実を踏まえると、サイバー攻撃による被害を受けた2021年７月７日以前において、サイバーセキュリティに関する全社的な内部統制（リスクの評価と対応）について、重要な不備があったと評価しました。

このため、予見されるリスクとしてサイバーセキュリティリスクへの対応を強化すべきであった2021年３月末時点の当社の財務報告に関する内部統制は有効ではなく、開示すべき重要な不備が存在すると評価いたしました。

当該重要な不備が、当事業年度の末日までに是正されなかった理由は、当該重要な不備が当事業年度末日後に発覚したためであります。

なお、財務報告データシステムは強固にセキュリティ対策等が過去から図られＩＴ全般統制は継続して有効と評価しており、財務データシステムそのものへの侵入は阻止できた結果、財務データの改ざんはなく財務報告に金額的あるいは質的に重要な虚偽記載につながる事実はありませんでした。

また、当社は、財務報告に係る内部統制の整備及び運用の重要性は充分に認識しており、根本原因の調査結果を真摯に受け止め、再発防止及び改善策を策定し、必要な措置を内部統制評価の基準日である2022年３月31日までに実施いたしました。従って、当社の2022年３月末時点における全社統制（リスク評価と対応）については、適正に整備・運用されており、重要な不備は改善されていると評価しております。当社が実施した改善策の概要は以下のとおりです。

・システムの脆弱性の改善（パッチ適用、バックアップ体制の整備、ファイアーウォール設置等）

・サイバーセキュリティに関するポリシーの基本体系の整備・運用

・サイバーセキュリティ対策における責任と権限が明確化され、運用面における業務内容の可視化・共有化が進み、属人化を防ぎ、ＩＴ戦略に関する他部門との調整や具体的対応をつつがなく行うことができる体制の整備・運用

・経営層のサイバーセキュリティに対する意識向上を図り、ＩＴに係る経営戦略（人材確保・投資を含む予算措置など）や適切なリスク評価が行われる体制の整備・運用

４【付記事項】

該当事項はありません。

５【特記事項】