コーポレートガバナンス・コード2026年改訂版を読み解く～リスク管理の視点から、いま経営が備えるべきこと～

コーポレートガバナンス・コード2026年改訂の背景

コーポレートガバナンス・コード（以下「CGコード」）の2026年改訂版は2026年7月21日に公表と同時に適用されました。CGコードは2015年に策定され、同年に適用が開始されて以来、2018年および2021年に改訂が行われており、2026年改訂版は3度目の改訂であり、通算4度目の節目にあたります。

もっとも、これまでの改訂と今回とでは、性格が大きく異なります。過去の改訂が「新しい要求を積み増す」方向、すなわちCGコードを厚くする方向であったのに対し、今回の改訂は、CGコードそのものを薄く、鋭くする方向で行われました。金融庁と東証はこれを「プリンシプル化」「スリム化」と呼んでいます。従来の補充原則を再整理し、ガバナンスの中核となる部分は「原則」に格上げする一方、細目や具体例は「解釈指針」へと移し、法令等との重複箇所は削除されています。

ここで多くの経営者・ガバナンス担当者が抱くであろう最初の問いはこうです。

「要求が減ったのなら、対応の負担も減るのではないか」。

しかしCGコード2026年版は、この問いに対して明確に「否」と答えています。改訂の趣旨を説明した箇所（「本コードの目的」）では、次のように釘を刺します。プリンシプル化・スリム化は「上場会社の対応コスト・開示負担の軽減のみを意図しているわけではない」。そして、コンプライ・オア・エクスプレインの対象から外れて解釈指針に移された記載や削除された記載について、「その重要性が失われたと考えることは適切ではない」――。

つまり今回の改訂は、「やるべきことのリスト」を短くする代わりに、「自社で考え、実質的に取り組み、丁寧に説明する」という重い宿題を各社に課したものといえます。形式的なコンプライ（原則を「実施している」とする表明）で済ませられる領域が狭まり、実質が問われる領域が広がりました。これはリスク管理の観点から見ると、看過できない構造変化です。

本コラムは今回の改訂が「リスク管理の実務をどう変えるのか」という一点に焦点を絞り、以下の問いに順に答えていきます。

• そもそもCGコードとは何か。初版（2015年版）と再改訂版（2021年版）はどのような性格のものだったか
• 2026年改訂版で、具体的に何が変わったのか
• 企業のリスク管理を、どう変える必要があるのか
• 急いで対応しなければならないことは何か
• 特に、対応が難しいものは何か

コーポレートガバナンス・コード2015年版・2021年版とは

2015年版―「攻めのガバナンス」の出発点

CGコードは2015年、金融庁と東京証券取引所（東証）が共同で策定し、上場会社の企業統治のあり方を示す原則として開始されました。その背景には、2013年に閣議決定された「日本再興戦略」があります。日本企業の資本効率の低さや、株主との対話の乏しさが、日本経済の成長を妨げているという問題意識のもと、ガバナンス改革は成長戦略の一環として位置づけられました。

CGコードには2つの重要な特徴があります。ひとつは「プリンシプルベース・アプローチ（原則主義）」です。細かな行動を逐一規定するルールベースではなく、抽象的な原則を示し、その趣旨・精神に照らして各社が自ら判断します。もうひとつは「コンプライ・オア・エクスプレイン」です。各原則は法的拘束力を持たず、実施する（コンプライ）か、実施しないならその理由を説明する（エクスプレイン）か、企業が選択できます。

そして2015年版が繰り返し強調したのが、「守りのガバナンス」にとどまらない「攻めのガバナンス」という理念でした。不祥事防止やリスク回避だけでなく、健全な企業家精神に基づく果断なリスクテイクを後押しし、持続的成長と中長期的な企業価値向上を促す。これがCGコードの一貫した思想です。この点は今回の2026年改訂でも、まったく変わっていません。むしろその重要性が一層高まったことが、CGコード2026年版において強調されています。

2021年版―サステナビリティと取締役会の実効性

2021年の改訂では、プライム市場の創設という市場区分見直しと歩調を合わせ、いくつかの要求が上乗せされました。代表的なものが、サステナビリティ（気候変動・人的資本・多様性等）への対応強化、TCFDまたは同等の枠組みに基づく気候関連開示、プライム市場上場会社における独立社外取締役3分の1以上の選任、取締役会のスキル・マトリックスの開示などです。

この時期のCGコードは、補充原則を含めて条文数が増え、企業に求める開示項目も詳細化していきました。各社は「CGコード対応」として、報告書のなかで多くの原則に「コンプライ」の表明を積み上げていきます。しかし、その過程で顕在化したのが、いわゆる「形式的対応」「ひな型化」の問題でした。文言をなぞっただけの、具体性を欠く記述や付加価値の乏しい説明。CGコードが本来求めていた「実質」が、開示の量に埋もれてしまいました。この反省こそが、2026年改訂の直接の出発点なのです。

2026年改訂版で何が変わったのか

改訂の全体像は、「CGコードの実質化」という一語に集約されます。以下、リスク管理の観点から特に重要な変更を5点に絞って整理します。

変更点1：構造そのものの転換―「基本原則・原則」と「解釈指針」の二層構造へ

最も本質的な変更は、CGコードの構造です。従来の「基本原則―原則―補充原則」という三層構造から、補充原則が姿を消し、代わりに「解釈指針」が新設されました。

• 基本原則・原則：コンプライ・オア・エクスプレインの対象。ただし内容は「概念的かつ抽象的なもの」に限定
• 解釈指針：コンプライ・オア・エクスプレインの対象外。各原則への対応を支援する具体的な内容・趣旨・背景・ベストプラクティスを記載

ここに、今回の改訂の最大の落とし穴があります。具体的な要求事項の多くが「解釈指針」へと移された結果、それらは形式上、コンプライ・オア・エクスプレインの対象から外れました。「開示義務がなくなった」ように見えます。しかし前述のとおり、CGコード2026年版は「重要性が失われたわけではない」と明言しています。解釈指針は、原則の趣旨を実現するために「参照しつつ対応することが期待される」ものであり、実務上は引き続き対応が求められます。説明を免除されたのではなく、自らの頭で考えて実質的に対応する責任が各社に返された、と理解するのが正確です。

変更点2：全社的リスク管理が「原則」に格上げされた

リスク管理部門にとって最も直接的なインパクトを持つのが、この点です。

改訂前のCGコードでは、内部統制・全社的リスク管理に関する記述は、原則4-3（経営陣・取締役に対する監督）のなかや、補充原則4-3④に組み込まれていました。いわば、監督機能の一要素という位置づけでした。

改訂版では、これが独立した原則として立てられました。新・原則4-4は、簡潔にこう述べています。

短い一文ですが、重い意味があります。リスク管理体制の整備が、取締役会の中核的な役割・責務のひとつとして、明示的に格上げされたのです。そして解釈指針では、それが単なる守りの機能ではなく、「経営陣が果断にリスクテイクを行うための裏付け」であると位置づけられています。リスク管理は、攻めのガバナンスを支える土台なのだ、と。

変更点3：「先を見越した」リスク管理という要求

解釈指針の文言にも注目すべきです。そこでは「先を見越した全社的リスク管理」という表現が用いられています。

これは、事後対応やコンプライアンス確保にとどまらず、予見型（プロアクティブ）のリスク管理への転換を促すものです。すでに顕在化したリスクへの対処だけでなく、これから起こり得るリスクを先取りして体制に織り込む。この姿勢が、明確に求められるようになっています。

変更点4：具体的リスク類型の明示―サイバー・経済安保・情報流出

さらに解釈指針は、リスク管理体制を整備する際の考慮事項として、具体的なリスク類型を例示しました。これは従来のCGコードにはなかった、きわめて実務的な追記です。

• サイバーセキュリティリスク
• 国際的な経済安全保障を巡る環境変化等の地政学的要因によるサプライチェーン途絶リスク
• 技術等の情報流出リスク

そして、これらのリスクへの対応が「収益機会にもつながり得る」ものとして位置づけられている点が、CGコードらしいところです。リスクを避けるべき脅威としてのみ捉えるのではなく、適切に管理することが競争優位や事業機会につながる、という発想です。守りと攻めが、ここで交差します。

変更点5：その他の重要変更

リスク管理の主題からはやや外れますが、経営全体に関わる変更として、次の点も押さえておきたいところです。

• 有価証券報告書の株主総会前提出（原則1-2）
  有報を株主総会前、望ましくは開催日の3週間以上前に提出することが、権利行使環境整備の重要な例として明記されました。選択肢として株主総会の開催時期の後ろ倒しも検討対象とされています。
• 成長投資の促進
  取締役会の役割として、成長投資（設備・研究開発・人的資本・知的財産等の無形資産投資）や事業ポートフォリオ見直しへの経営資源配分について、具体的に何を実行するかの説明と、その配分の不断の検証が強調されました。
• 社外取締役の実効性向上
  独立社外取締役の役割・責務、質・数・独立性の確保の重要性が原則・解釈指針の双方で強調され、取締役会を支える事務局（コーポレートセクレタリー等）の機能強化も追記されました。

なお、今回の改訂案は2026年4月10日から5月15日までパブリックコメントに付され、147の個人・団体から意見が寄せられています。改訂の方向性そのものへの賛同が大宗を占めた一方、「ガバナンス改革が後退したと誤解されないよう趣旨を周知すべき」という慎重論や、「プライム市場上場企業には独立社外取締役の過半数選任を求めるべき」といった、より踏み込んだ要求も出されています。今回は見送られたこれらの論点は、次回改訂に向けた伏線と読むこともできます。

企業のリスク管理をどう変える必要があるのか

以上を踏まえると、リスク管理部門・経営企画部門が取り組むべき方向性は、次の3つに整理できます。

（1）リスク管理を「取締役会マター」として再設計する

原則4-4への格上げが意味するのは、リスク管理がもはや管理部門内で完結する実務ではなく、取締役会が整備状況を監督する経営の中核テーマになったということです。

具体的には、取締役会に対してリスク情報がどのような頻度・粒度で報告されているか、取締役会がリスク選好（リスクアペタイト）や重要リスクの評価にどう関与しているか、その関与の実態を説明できるかが問われます。内部監査部門を活用してリスク管理体制の運用状況を監督する、というプロセスの明確化も求められます。「リスク管理委員会は存在する」というだけでは足りない。取締役会との接続と、その実効性の説明が鍵になるでしょう。

（2）「守り」から「攻めの裏付け」へと位置づけを転換する

解釈指針が示すとおり、リスク管理は果断なリスクテイクの裏付けです。この発想の転換は、単なる言葉の問題ではありません。

たとえば、新規事業投資やM&A、海外展開の意思決定において、リスク管理部門が「反対する部門」「ブレーキ役」としてではなく、「リスクを可視化し、取れるリスクと取れないリスクを切り分けることで、経営が自信を持って前に進めるようにする部門」として機能できるか。リスク管理の高度化が、成長投資の促進という改訂のもうひとつの柱と結びつく点に、今回の改訂の一貫した思想が表れています。

（3）新たなリスク類型を体制に組み込む

サイバーセキュリティ、経済安全保障・地政学リスクによるサプライチェーン途絶、技術・情報の流出。これら3つが明示された以上、自社のリスク管理体制がこれらをカバーしているか、点検が必要になります。

重要なのは、これらが部門横断的なリスクであるという点です。サイバーセキュリティは情報システム部門、経済安保・サプライチェーンは調達・海外事業部門、技術流出は知財・人事・法務にまたがります。従来の縦割り体制では捕捉しきれない。全社的リスク管理（ERM）の枠組みのなかで、これらを統合的に扱う仕組みが求められます。

急いで対応しなければならないことは何か

適用スケジュール―2027年7月末が第一の期限

まず押さえるべきは期限です。改訂文書によれば、上場会社は遅くとも2027年7月末日までに、CGコード2026年版に関する事項を記載したコーポレート・ガバナンス報告書を提出する必要があります。約1年の猶予があるように見えますが、後述する検討事項の重さを考えれば、決して長くはありません。

優先的に着手すべきは、次の3点です。

（1）現状のコンプライ状況の棚卸しと「実質」の再点検

構造が変わった以上、まず自社の現在のガバナンス報告書を、新しい原則・解釈指針の枠組みに当てはめ直す作業が必要です。ここで陥りやすいのが、「解釈指針に移ったから開示不要」という早計な判断です。前述のとおり、重要性は失われていません。むしろ、これまで補充原則への形式的コンプライで済ませてきた項目こそ、実質的な取り組みと丁寧な説明が問われます。「ひな型」的な記述の総点検が、最初の一歩になります。

（2）リスク管理体制における新規リスク類型のギャップ分析

サイバーセキュリティ・経済安保・情報流出の3類型について、自社の体制でカバーできている部分と、できていない部分（ギャップ）を洗い出します。これは実態把握であり、比較的早期に着手できます。ギャップが見つかれば、そこから体制整備の計画に落とし込むことを推奨します。

（3）有価証券報告書の総会前提出に向けた実務検討

原則1-2に関わる有報の総会前提出は、経理・法務・IR・株主名簿管理人を巻き込む横断的な調整を要します。基準日や総会開催日の設定、監査スケジュール、招集通知との整合など、検討事項が多くあります。制度面では、有報と事業報告の一本化などの議論が並行して進むとされていますが、それを待たずに自社としての方針検討を始めておく必要があります。対応には複数部門との調整が必要となるため、早期に検討を始めることが重要です。

特に、対応が難しいものは何か

ここまでを踏まえ、実務上とりわけ難易度が高いと考えられる論点を挙げます。

難所1：「実質」を、どう説明するか

最大の難所は、逆説的ですが、要求が抽象化されたことそのものにあります。

具体的なチェックリストがあれば、それに沿って対応し、対応した旨を記載すれば形式は整います。しかしCGコード2026年版は、その拠り所を意図的に取り払いました。「原則の趣旨・精神に照らして、自社の状況に応じて考え、実質的に取り組み、丁寧に説明せよ」――これは、正解のない問いに各社が自力で答えることを求めるものです。

とりわけリスク管理は、成果が見えにくい領域です。「体制を整備した」ことを、どのような言葉で、どのような根拠とともに説明すれば、投資家に「実質的に機能している」と伝わるのか。ひな型を避けつつ、自社固有の取り組みを語る。この「説明の設計」こそが、最も難しく、そして最も差がつく部分になるでしょう。

難所2：予見型リスク管理の運用

「先を見越した」リスク管理は、理念としては明快ですが、運用は難しいものです。まだ顕在化していないリスクを、どう特定し、評価し、優先順位をつけるか。地政学リスクやサイバー脅威は変化が速く、専門知識も要します。自社のリスク管理部門だけで、これらの新興リスクを継続的にモニタリングし、経営に有意な形で報告し続ける体制を築けるか。人材・知見の面で、多くの企業が課題を抱える領域となることが予想されます。

難所3：部門横断リスクのガバナンス

サイバー・経済安保・情報流出は、いずれも既存の部門の枠を超えます。誰が全体を統括し、取締役会にどう束ねて報告するのか。責任の所在が曖昧なままでは、いざリスクが顕在化したときに機能しません。組織設計と権限配分にまで踏み込んだ検討が必要で、これは管理部門レベルでは完結しない、経営マターの課題です。

難所4：取締役会の監督実効性の担保

原則4-4は「取締役会が整備すべき」と述べています。しかし社外取締役を含む取締役会が、専門性の高いサイバーや経済安保リスクを実効的に監督するのは容易ではありません。取締役会に適切な情報を、理解可能な形で上げる仕組み、必要に応じて外部知見を取り入れる仕組みが必要です。今回の改訂で事務局（コーポレートセクレタリー等）の機能強化が強調されたのも、この文脈と無縁ではありません。

ニュートン・コンサルティングに何ができるのか

今回の改訂が各社に突きつけた宿題は、突き詰めれば「抽象化された原則を、自社の実態に即した具体的なリスク管理体制へと翻訳し、実質を伴った形で構築・運用し、それを説得力をもって説明する」ことといえます。これは一朝一夕に、あるいは自社の管理部門だけで完結できるものではありません。

ニュートン・コンサルティングは、リスク管理体制の構築支援を通じて、この宿題への取り組みを次のような形で支援できると考えます。

1. リスク管理体制の現状診断とギャップ分析

CGコード2026年版の原則4-4・解釈指針が求める水準に照らして、貴社の現行体制がどこまで対応できているか、どこに空白があるかを客観的に評価します。特に、新たに明示されたサイバーセキュリティ・経済安全保障／サプライチェーン・情報流出の3類型について、部門横断的な視点から点検します。

2. 全社的リスク管理（ERM）フレームワークの設計・高度化

縦割りに陥りがちなリスク管理を、取締役会の監督につながる統合的な枠組みへと再設計します。「先を見越した」予見型リスク管理を運用可能な形に落とし込み、リスク情報が経営の意思決定に有意に接続される仕組みを構築します。

3. 取締役会・リスク管理の接続と監督実効性の支援

リスク情報の報告プロセス、リスクアペタイトの設定、取締役会・内部監査部門・管理部門の連携体制を整備し、原則4-4が求める「取締役会による監督」の実効性を高めます。

CGコード2026年版は、リスク管理を守りの実務から経営の中核へと引き上げました。企業には、この変化を単なる対応負担ではなく、適切なリスクテイクと企業価値向上を支える機会として捉え、実効性ある体制整備につなげることが求められます。その分岐点で、ニュートン・コンサルティングは伴走者でありたいと考えています。

参考情報