オーミケンシ株式会社｜内部統制報告書－第161期(2025/04/01－2026/03/31)｜EDINET開示書類

【表紙】

１【財務報告に係る内部統制の基本的枠組みに関する事項】

代表取締役社長髙口彰は、当社の財務報告に係る内部統制の整備及び運用に責任を有しており、企業会計審議会の公表した「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について（意見書）」に示されている内部統制の基本的枠組みに準拠して財務報告に係る内部統制を整備及び運用しております。

なお、内部統制は、内部統制の各基本的要素が有機的に結びつき、一体となって機能することで、その目的を合理的な範囲で達成しようとするものであります。このため、財務報告に係る内部統制により財務報告の虚偽の記載を完全には防止又は発見することができない可能性があります。

２【評価の範囲、基準日及び評価手続に関する事項】

財務報告に係る内部統制の評価は、当事業年度の末日である2026年３月31日を基準日として行われており、評価に当たっては、一般に公正妥当と認められる財務報告に係る内部統制の評価の基準に準拠いたしました。

本評価においては、連結ベースでの財務報告全体に重要な影響を及ぼす内部統制（全社的な内部統制）の評価を行った上で、その結果を踏まえて、評価対象とする業務プロセスを選定しております。当該業務プロセスの評価においては、選定された業務プロセスを分析した上で、財務報告の信頼性に重要な影響を及ぼす統制上の要点を識別し、当該統制上の要点について整備及び運用状況を評価することによって、内部統制の有効性に関する評価を行いました。

財務報告に係る内部統制の評価の範囲は、当社及び連結子会社（以下「当社グループ」という。）について、財務報告の信頼性に及ぼす影響の重要性の観点から必要な範囲を決定いたしました。財務報告の信頼性に及ぼす影響の重要性は、金額的及び質的影響の重要性を考慮して決定しており、当社及び連結子会社３社を対象として行った全社的な内部統制の評価結果を踏まえ、業務プロセスに係る内部統制の評価範囲を合理的に決定いたしました。

業務プロセスに係る内部統制の評価範囲について、当社グループは繊維製品の加工及び販売を主要な事業とする会社であり、事業規模を示す重要な指標として売上高が適切であると判断し、各事業拠点の前連結会計年度の売上高（連結会社間取引消去後）の金額が高い事業拠点から合算していき、前連結会計年度の連結売上高の概ね３分の２に達している事業拠点を「重要な事業拠点」といたしました。選定した重要な事業拠点においては、企業の事業目的に大きく関わる勘定科目として売上高、売掛金及び棚卸資産に至る業務プロセスを評価対象としました。さらに、選定した重要な事業拠点に関わらず、それ以外の事業拠点をも含めた範囲について、重要な虚偽記載の発生可能性が高く、見積りや予測を伴う重要な勘定科目に係る業務プロセスやリスクが大きい取引を行っている事業又は業務に係る業務プロセスとして、固定資産の減損プロセスを財務報告への影響を勘案して重要性の大きい業務プロセスとして評価対象に追加しております。

３【評価結果に関する事項】

2026年３月16日に当社グループの情報ネットワークが第三者からのサイバー攻撃を受けて、基幹システムの停止及びファイルサーバー上のデータの一部を暗号化されたことにより、システム障害が発生しました。システム障害発生後、被害拡大を防止するため、当社は、直ちに当社グループの社内ネットワークがつながっているサーバーの停止と社内外のネットワークの遮断を実施いたしました。その結果、グループネットワーク内で運用している当社財務会計システム、販売・購買・管理といった主要な基幹システムを含む全ての社内システム、データが保存されているファイルサーバー、バックアップサーバーへのアクセスができなくなりました。

当社は、サイバー攻撃の被害を受けた直後から、事態の緊急性と経営全般に係る内容であることから、直ちに対策チームを設置し、本件インシデントの原因究明等について、外部専門家に依頼して調査を実施し、侵入経路や影響範囲を特定するとともに、その助言に基づいて二次被害の抑止策の実施及び被害を受けた情報システムや業務関連データの復旧に注力していくこととしました。

ただし、経理関連データへのアクセス障害、代替的な業務プロセスの構築、システム復旧等の対応が必要となり決算手続に遅延が生じ、結果として法定期限までに有価証券報告書を提出できない状況となりました。

サイバー攻撃を受け、システム障害が発生した原因について、外部専門家の協力のもと調査を実施した結果、情報セキュリティに関する重要性は認識して対応は行っていたものの、サイバー攻撃に関するシステム上の対応が十分ではなかったことが判明いたしました。

サイバーセキュリティに関するリスクの評価が不十分であったことから、第三者によるシステムへの不正アクセスを許して被害を受けるとともに、回復までに一定の時間を要し、法定期限までに有価証券報告書が提出できない状況が生じたという事態を踏まえて、サイバー攻撃による被害を受けた2026年３月16日において、当社の全社統制及びＩＴに係る全般統制について、開示すべき重要な不備があると判断しました。

開示すべき重要な不備は2026年３月16日に発覚したため、期末まで約２週間の期間しかなく、是正策の実施と評価を完了することができませんでした。

このため、2026年３月末時点の当社グループの財務報告に関する内部統制は、開示すべき重要な不備があるため有効ではないと判断しております。

４【付記事項】

　「３評価結果に関する事項」に記載した開示すべき重要な不備を改善するために、復旧作業と並行して、復旧作業での課題や外部専門家の協力のもとで実施した原因究明を踏まえて、再発防止策の検討と実施について、全社を挙げて迅速に取り組んでまいりました。

　そして、サイバーセキュリティの技術的な課題への対応と開示すべき重要な不備の是正のために、人、ハード、体制の観点で必要な措置を実施しております。

　これらの体制の下で、識別されたシステム上の技術的な課題について、異なる防御層を重ねて、セキュリティを強化する多層防御と監視体制の構築等の対応を行っております。

　以上のとおり、当事業年度末日後内部統制報告書提出日までに、評価結果に関する事項に記載された開示すべき重要な不備を是正するための施策は既に整備され、運用を開始しておりますが、引き続き、施策の着実な運用とサイバーセキュリティ対応の高度化に取り組んでまいります。

　業務関連システムについては、早期復旧が困難な状況であったため、日々の受発注業務、入出荷業務及び請求業務については、Excel等を用いた代替運用により対応いたしました。

　ファイルサーバー上のデータについては、クラウド上に保管していたバックアップデータを活用し、システム障害発生の翌日2026年３月17日より優先度の高い業務から順次復旧を進めてまいりました。

　また、業務関連システムについては、既存システムの復旧が困難であると判断し、2026年４月より後継システムの選定および導入に向けた検討を開始し、後継システムを決定のうえ導入プロジェクトを立ち上げ進めております。

５【特記事項】

　特記すべき事項はありません。