有価証券報告書の「事業等のリスク」についてテキスト分析した結果、「サイバー攻撃」に言及した企業の割合は、2026年に47.2％とほぼ半数に達し、全規模・全業種で増加基調にあることが確認される。サイバーリスクは、業種横断的な共通の経営課題になったと言える。
「AI」に言及した企業の割合は、2021年の3.6％から2026年の19.4％まで急上昇している。「AI」に関する企業の記述は、AI対応の遅れが競争力の低下につながるとの危機感が中心であり、AIとサイバー攻撃などのリスクを紐づけた記述はまだ少ない。
ただ、Mythos騒動を経て世界的にAIに対する脅威認識が高まる中、来年の有価証券報告書では、伝統的なセキュリティ脅威（「情報流出」「通信障害」など）との関係が深まることが予想される。
はじめに
近年、サイバー攻撃の脅威は高度化しながら拡大を続けている。その背景には、世界情勢の不安定化や技術進歩などがあり、グローバルに築かれたサプライチェーンの複雑性は、その脅威を増幅し、企業が対処することを難しくしている。
世界経済フォーラム（WEF）がまとめた2026年報告書には、サイバー・セキュリティが「技術的、地政学的、経済的、 戦略的な側面において進化を続け」「もはや裏方の技術的機能ではなく、政府、企業、社会にとって中核的な戦略的課題となっている」と記載された。デジタルが企業の成長と社会インフラの根幹を担う時代において、サイバー・セキュリティがシステム投資の域を超え、企業の存続や組織の信用を左右する時代になったことを示唆する事例と言える。
さらに今年は、米アンソロピック社が開発した先端AI「ミュトス（Mythos）」をはじめ、AIがもたらすサイバー脅威や経済安全保障に対する懸念、さらには経営を左右するコスト問題など、多岐にわたる課題やリスクが相次いで顕在化している。経済産業省のＩＴ政策実施機関である独立行政法人情報処理推進機構は、2006年から毎年公表している「情報セキュリティ10大脅威」において、はじめて「AIの利用をめぐるサイバーリスク」を組織向けの脅威として選出し、AIに対する理解不足から生じる情報漏洩や権利侵害、ハルシネーションによる誤認、AIを悪用したサイバー攻撃、AI自体の脆弱性など、様々な問題に警告を発している。
本稿では、有価証券報告書のテキスト分析を通じて、企業のサイバーリスクへの認識を可視化し、その背景について考察する。
調査手法
テキスト分析
テキスト分析とは、大量のテキストデータから意味ある情報や特徴を取り出す手法の総称であり、文章データ（テキスト）と採掘（マイニング）の言葉を組み合わせて、テキストマイニングとも呼ばれる。テキスト分析では、語の出現頻度や共起関係などを統計的に分析し、定性的な情報を定量的な情報として示すことで、文章に内在する構造や特徴を把握することが可能となる。
利用データ
本稿の分析では、金融庁が提供する電子情報開示システム「EDINET」に掲載された有価証券報告書のテキストを対象とする。
本稿では、各年4月1日から6月末日までに有価証券報告書を提出した東証上場企業のうち、2021年から2026年まで6年連続して有価証券報告書の公表が確認できた1,887社の3月決算企業が分析対象となる。
企業の業種区分については、証券コード協議会が定めた17業種区分を使用し、企業規模については、簡易的に東証規模別株価指数の区分を用いている。具体的には、TOPIX Core30およびTOPIX Large70の企業を大企業、TOPIX Mid400に区分される企業を中堅企業、TOPIX Small 1およびTOPIX Small、それ以外の企業を中小企業としている。
テキスト分析は、企業の財政状態、経営成績及びキャッシュ・フローの状況等に重要な影響を与える可能性があると、経営者が認識している主要なリスクについて記載された項目である「事業等のリスク」を対象に実施した。分析では、「サイバー攻撃」「AI」等の指定語が、「事業等のリスク」欄でどのように使用されているか、出現頻度やワード同士の結びつきの強さなどについて定量的に測定した。大文字・小文字、全角・半角の扱いについてはExcel上での事前処理により統一し、表記ゆれおよび同義語についてはプラグイン機能を用いて個別に統合した。
この項目には、経営者がどのリスクを重要と認識したかが記載されるため、企業の経営姿勢やリスク管理能力を知る手掛かりとなる。なお、有価証券報告書の作成は、決算日以降に行われるため、3月決算企業の場合、6月頃までに明らかになったリスクのうち、経営上重要性が高いと判断されたものについては、一定程度反映される可能性が高い。
分析結果
サイバー攻撃
有価証券報告書の開示で「サイバー攻撃」に言及する企業の割合は、全規模・全産業で増加基調にある。2026年の開示では、企業全体で47.2％（前年比+7.6％pt）が「サイバー攻撃」に言及し、ほぼ半数が事業における重要なリスクとして認識している。
ただ、規模別にみるとリスク認識の差は明らかである。大企業が87.3％、中堅企業が72.4％であるのに対して、中小企業は40.7％と半数に達していない。中小企業では、予算や人材、専門知識の制約などがあり、相対的に対策や開示が遅れている可能性がある。なお、本稿の観察結果を普及プロセスとして捉えるならば、大企業、中堅企業、中小企業の間には、おおむね5年程度の認識ラグがあると解釈することも可能だ。通常、新技術や商品・サービスなどの普及プロセスは、導入期に緩やかに立ち上がると、市場の認知が進む成長期に急上昇し、成熟期に入ると再び頭打ちとなって「S字カーブ」を描く。これに照らせば、大企業は成熟期、中堅企業はS字急勾配の中腹、中小企業は成長期に入る直前にあると言える。仮に、過去の普及ペースが続くとすれば、中小企業による「サイバー攻撃」へのリスク認識は、2030年頃には現在の中堅企業の水準に近づくと予想される。
業種別にみると、銀行（87.7％）、電力・ガス（77.3％）、金融（除く銀行）（65.1％）、自動車・輸送機（64.6％）など、規制が強い業種を中心に言及される割合は高く、2025年に低位であった小売やエネルギー資源などの業種が比較的大きく上昇している。なお、2026年に割合を高めたのは、エネルギー資源（前年比+14.3％pt）、小売（前年比+13.5％pt）、運輸・物流（前年比+12.5％pt）の3業種である。このうち、小売および運輸・物流については、2025年10月に起きた大手通販会社アスクルを標的とするランサムウェア攻撃で広範な影響が生じており、この事案が両業種のリスク認識を高める一因となった可能性が考えられる。この事件では、同社の通販事業が停止しただけでなく、同社の物流システムを利用していた小売事業者の通信販売や店舗物流にも影響が拡大した。一方、同年9月には、大手食品製造会社アサヒグループもランサムウェア攻撃で被害を受けているが、食品業における言及には大きな変化は確認されない。これについては、2025年時点で食品業には一定のリスク認識があったことに加えて、アスクルの事例ほどには自社オペレーションとの類似性を感じられなかったなどの可能性が考えられる。なお、今年最もリスク認識が高まったエネルギー資源については、トレンドを捉えるにはサンプル数（7社）が少ないと考えられる。
AI（人工知能）
企業の開示における「AI」に関する言及は、ここ数年で大きく増加している。背景にあるのは、生成AIの登場であり、その進歩に合わせるように言及数は増加している。実際、生成AIの進歩は早く、2022年にChatGPTが登場すると、2023年には年末にかけてビッグテックがAI市場に本格参戦し（GeminiやCopilotの投入）、2024年には画像や音声などを統合的に扱う技術が飛躍的な進歩を遂げ、2025年には自律型AI（AIエージェント）が業務の一部を代替し始めている。
「AI」に関する言及の中身をみると、その多くはAI対応の遅れが競争力の低下につながるとの危機感であり、情報漏洩やサイバー攻撃の高度化に伴うリスクへの言及は多くはない。実際、「AI」の前後に登場する頻出ワードの上位には、「生成」「活用」「技術」「利用」といったワードが並び、「リスク」「規制」「悪用」といったワードは相対的に数が少ない。これは、企業がAIを使うリスクより、AIを使わないリスク、すなわち競合に遅れるリスクをより重く見ていることを示している。
規模別にみると、大企業、中堅企業、中小企業の順に言及が多い構図に変わりはないものの、認識の差は拡大している。これは、普及プロセスに当てはめると、大企業が先行してリスク認識を高める初期段階にあることを示めしている。ただ、確認される認識ラグはおおむね2年程度と短く、AIに関連したリスクが企業規模を問わず、利用開始と同時に生じることを反映している可能性がある。
産業別には、電力・ガス（36.4％）、情報通信・サービスその他（35.4％）、金融（除く銀行）（33.3％）、銀行（29.2％）などで言及される割合が高く、「サイバー攻撃」に言及した上位業種に多くが重なっている。とりわけ、2026年に割合を高めた上位3業種は、電力・ガス（前年比+18.2％pt）、銀行（16.9％）、金融（除く銀行）（15.9％）であり、やはり規制が強い業種を中心にリスク開示が増える傾向が確認される。
サイバー攻撃×AI（人工知能）
AIをサイバー・セキュリティ上の脅威と見る向きは、米国のAnthropic社が先端AI「Mythos」を公表して以降に大きくなっている。Mythosは、システムの脆弱性を発見する能力が桁違いに高いだけでなく、悪用コード（エクスプロイト）の自動生成から実行まで人間の介入なしに完遂する能力を持っている。サイバー攻撃を実行する側は、高度な専門知識を持たなくても攻撃の一部工程を効率化し、同時に複数の対象に攻撃を仕掛けやすくなり得る一方、守る側はパッチ（修正プログラム）を待つ時間的猶予が削られ、サイバー防衛における前提は大きく揺らいだ。
Mythosの限定公開から1か月後、国際通貨基金（IMF）は公式ブログにおいて、AIの急速な進化がサイバー攻撃を強化し、金融システム全体の安定性を脅かすリスクが高まっていると警告、金融庁も金融機関に緊急の対策強化を要請している。
上述のとおり、世界的にAIによる脅威への関心は高まっているものの、有価証券報告書の開示でみられる脅威認識はまだ高くない。実際、AIを悪用した攻撃に直接言及している企業は9社と少なく、大手製造企業やIT系の中堅・中小企業など、リスク感度が高い一部の企業に留まっている。これは、Mythos騒動が明らかになった時期が企業の決算日以降であり、経営課題として捉えるには時間が短すぎた可能性が考えられる。今のところ、企業のAIに対する認識は、脅威よりも機会の側面を強く見ているようであるが、企業の「AI」に対する言及がイベントの1年ほどのラグを伴って増えていることを踏まえると、来年の有価証券報告書には、AIによる脅威に対する言及が大きく増加することが予想される。
なお、サイバーリスクとAIに関連するワードを共起ネットワーク（同時に出現しやすい単語同士の関係を視覚的に図式化したもの）にしてみると、ここでも両者の関係性は、まだ薄いことが確認される。共起ネットワークでは、円の大きさが単語の出現回数、線の太さが2つの単語が同時に使用された回数（共起の強さ）を示しているが、サイバー攻撃（「ランサムウェア」「マルウェア」「ゼロデイ攻撃」など）、情報漏洩（「情報流出」「漏洩」など）、システム障害（「システムダウン」「システムトラブル」「通信障害」など）といった伝統的なセキュリティ脅威と、AI活用（「AI」「人工知能」）、AI悪用攻撃（「ディープフェイク」「プロンプトインジェクション」など）、生成AI（「大規模言語モデル」「LLM」「AIエージェント」など）といった新興技術の脅威とのつながりは、まだ薄い線でつながっているに過ぎない。これからAIの脅威が広く認識されるに従って、両者を結ぶ線は太く濃くなり、一体的なリスクとして定着していくと予想される。
おわりに
企業の「サイバー攻撃」への言及は、過去6年間で倍増し、ほぼ半数の企業が事業上のリスクとして認識している。これは、サイバー脅威への対処が特定の業種や企業における固有の脅威ではなく、全業種にまたがる共通の経営課題として、その重要性が高まってきたことを意味している。これまでは、被害を受けると社会に甚大な影響を及ぼす可能性の高い、金融やインフラ企業での取り組みが先行してきたが、2025年に起きた大規模なサイバー事件をきっかけとして、小売や運輸・物流などの業界でもリスク開示が増加している。企業間のつながりは、システムやサプライチェーンを通じて複雑化し、思わぬところから被害が生じる可能性も否定できない。企業がサイバー・セキュリティを強化するには、自社とつながる取引先や外部委託先、ベンダーだけでなく、社会全体で耐性を高めていくことも不可欠である。
なお、企業の「AI」への言及は、AI対応の遅れによる競争力の低下が中心であるが、AI利用に伴う規制対応だけでなく、情報漏洩やAI悪用への警戒といった意味的な広がりを見せ始めている。今般のMythos騒動をきっかけとしたリスク認識の変化が、有価証券報告書の開示に表れるのは来年以降となるが、足元ではMythosに匹敵する脆弱性発見能力を有するとされるZhipu AI（中国）による「GLM-5.2」の公表があり、先端AIの脅威は拡大を続けている。今後の焦点は、企業がAIを単なる競争力・技術活用の問題としてではなく、情報管理やサイバー防衛、サプライチェーン耐性を含む経営リスク・脅威として、どこまで開示に織り込むかにある。AIは株価上昇などの華やかな話題も多くあるが、水面下で膨らむ潜在的なリスクについても想像力をもって考えてみることは必要だろう。
(※情報提供、記事執筆：ニッセイ基礎研究所 総合政策研究部 准主任研究員 鈴木 智也）
