リスクマネジメント体制

方針（基本的な考え方）
　日油グループを取り巻くさまざまなリスクを認識し、損失リスクの発現の抑止および発現の際の影響の極小化を図り、経営戦略目標達成に貢献することを目的として、リスクマネジメントの取り組みを推進しています。
１．日油グループは、事業を取り巻くさまざまな経営リスクを網羅的に洗い出し、各リスク項目の
　　影響度合・発生頻度に基づいてリスクアセスメントを実施し、優先的に対応すべきリスクを特
　　定します。
2.　特定したリスクの特質に応じ、リスクが顕在化した場合の影響を低減する対策と、発生可能性
　　を低減する対策を適切に講じることで、経営への影響を最小化するように努めます。
3.　リスクアセスメントを定期的に実施することで、リスク対策の有効性を客観的に検証するとと
　　もに、新たなリスクの認識と評価に努めます。
4.　リスク管理委員会が主導して、以上のリスクマネジメントサイクルを回すことで、日油グルー
　　プのリスク管理を推進していきます。


体制
　経営リスクについては、リスク管理委員会、コンプライアンス委員会、RC委員会および品質管理委員会において分析や対応策の検討を行い、取締役会に報告します。取締役会は、コンプライアンス、情報の管理、環境・安全、リスクの網羅性の確認・評価などさまざまな経営リスクの報告を受け、必要に応じて審議します。グループ子会社については、関係会社管理規則に基づき子会社に対する経営管理・モニタリングを実施し、必要に応じて助言等を行うとともに、子会社の財産や損益に重大な影響を及ぼすと判断される重要案件については、日油取締役会または経営審議会が承認しています。

リスク対策

リスクアセスメントのプロセス
　各部門の事業特性やグローバルな政治・経済・社会情勢等、ビジネスを取り巻く環境を考慮してリスク一覧表を作成し、日油各箇所・グループ各社にアンケートを実施します。アンケート結果をもとに、各部門の統括責任者がリスク評価を実施、その評価結果から日油グループにおける各リスクの影響度と発生頻度を見積もります。その結果をもとにに取締役と執行役員によるワークショップでリスクマップの作成を行い、重要リスクの確認と優先取組みリスクの選定を行います。


リスクアセスメントの流れ
【リスクの洗い出し】
　・日油グループで想定されるリスクを洗い出し、リスク一覧表を作成
【アンケートの実施】
　・リスク一覧表について、アンケートにより、各部門の統括責任者がリスク評価を実施　
【アンケート結果の集約】
　・結果を集計し、日油グループのリスクの影響度と発生頻度を評価
【取締役によるワークショップ】
　・集計結果をもとに、取締役が討議し、各リスクの影響度と発生頻度の評価を確定
【リスクマップの完成】
　・影響度と発生頻度の評価をもとに、日油グループ全体のリスクマップを作成
【優先取組みリスクの選定】
　・リスクマップで重要リスクを確認
　・ 対策状況を踏まえて優先取組みリスクを選定

リスクマップ（抜粋）
　取締役ワークショップによるリスク評価結果を踏まえ、リスクマップを作成しています。リスクマップは毎年改定するとともに、優先取組みリスクを選定し、日油グループのレジリエンスを高める活動を展開しています。

BCP強化

事業継続計画（BCP※）の推進
　日油は地震・津波などの自然災害や新型コロナウイルス感染症の流行のような非常事態が発生した場合においても、事業資産の損害を最小限にとどめつつ、中核となる事業の継続あるいは早期回復を可能とするため、BCPを策定しています。平常時と非常時における対応を決めたマニュアルを中心に、設備想定被害、復旧時に必要となる行政・インフラやサプライチェーン関係などの情報を整備し、毎年更新を行っています。また、年次で内部監査および訓練を実施し、BCPの定着と実効性の向上を図っています。
　2023年度は、情報セキュリティにおけるリスクへの対応として、サイバー攻撃が発生した事態を想定したBCP訓練を実施し、インシデント発生時の初期対応手順や事業継続に向けた各部門・箇所の役割を確認することで、サイバー攻撃時の被害の最小化や迅速性など対応力の向上を図りました。　

※ Business Continuity Planの略。大地震等の自然災害、感染症のまん延、テロ等の事件、大事故、サプライチェーン（供給網）の途絶、突発的な経営環境の変化など不測の事態が発生しても、重要な事業を中断させない、または中断しても可能な限り短い期間で復旧させるための方針、体制、手順等を示した計画のこと。

情報セキュリティ管理

営業秘密管理および個人情報保護
　日油では、顧客や取引先からお預かりした、または保有する企業秘密・個人情報などの情報、およびそれらを利活用するためのシステム等の情報資産が企業活動において重要な経営資源であり、情報資産に対する堅牢な情報セキュリティの確立が安定した経営を実現するために不可欠であるとの認識に基づき、情報資産の活用と保護を推進するための基本方針として情報セキュリティポリシーを制定しています。同時に、日油では、個人情報を保護することが当然の社会的責務であるとの認識に基づき、プライバシーポリシーを制定し、公表しています。
　上記のポリシーに基づき、情報の機密性、完全性、可用性のレベルを高めるための具体的施策および個人情報の具体的取り扱い方法を、情報セキュリティ管理規則、個人情報保護規則、情報システム関連諸規定等の社内規定ならびに機密情報取扱マニュアルおよび情報機器取扱マニュアルに定め、周知徹底を図っています。


管理体制
　社内組織としては、情報セキュリティに係る重要事項を審議、決定する機関として、専門委員会であるリスク管理委員会傘下に情報セキュリティ管理部会を設置し、部会長である情報セキュリティ管理統括責任者のもと、文書情報セキュリティ管理責任者、電子情報・情報システムセキュリティ管理責任者、個人情報苦情処理責任者および部門、事業所、部署ごとに管理責任者を置き、具体的施策の運用を管理しています。また、外部からの不正アクセス、または漏洩、改ざん、破壊等の脅威に対して、適切かつ合理的なレベルの安全対策を実施しています。加えて日油では、内部監査を通じて、情報セキュリティ管理および個人情報保護に係る体制および施策を継続的に見直し、その改善に努めています。

日油グループ情報セキュリティポリシー
　日油グループは、顧客や取引先からお預かりした、または日油グループが保有する企業秘密・個人情報などの情報、およびそれらを利活用するためのシステム等（以下「情報資産」という。）が企業活動において重要な経営資源であり、情報資産に対する堅牢な情報セキュリティの確立が、安定した経営を実現するために不可欠であるとの認識に基づき、以下の方針を定め、これを遵守します。

(1) 情報資産の管理機能を一層強化するため、体制を整備します。
(2) 保有するあらゆる情報資産を、漏洩、改ざん、破壊等から保護するために、適切な教育、規程類
　 の整備や技術的な対策を行います。
(3) 情報セキュリティに関わる法令、規制、規範、契約上の義務を遵守します。
(4) 情報セキュリティに関わる事故が発生した場合には、事象ごとに適切かつ迅速に対処するととも
　 に、再発防止に努めます。
(5) 本ポリシーの取り組みについて、継続的な維持および改善に努めます。

情報セキュリティのリスクと機会