Risk Management リスクマネジメント

リスクマネジメント

住友ファーマは、当社グループとしてのリスクマネジメントに関する基本的な考え方を定めた「SMP Group Risk Management Policy」を制定し、当社グループがリスクマネジメントを適切に推進する体制を構築しています。この推進体制では、リスクをその特性に応じて、グループ横断的に取り組むリスク（グループ横断リスク）とグループ各社が自らの責任において取り組むリスク（業務活動リスク^※）に分類しています。グループ横断リスクにとどまらず業務活動リスクについても、当社が国内外のグループ各社から報告を受けることによって、グループ全体のリスクマネジメントの状況を把握し、必要に応じて、助言・指導等の対応を行っています。
また、当社では、事業活動に影響を及ぼすリスクに対応するため「リスクマネジメント規則」を制定し、社長がリスクマネジメントを統括することを明確にするとともに、特性に応じて分類されたグループ横断リスク（コンプライアンス、品質・安全性、情報管理）については、個別にリスクマネジメントを推進する体制を整備しています。各推進体制の運用状況については、定期的に取締役会に報告しています。

具体的な取組の一つとして、年度ごとに国内外のグループ会社および当社の全部門のリスクアセスメントを実施し、その結果を踏まえた対策の策定・実施・評価を行い、全グループ会社・全部門がそれぞれの課題解決に向け計画的に取り組んでいます。また、リスクアセスメントの結果に加え、その結果を踏まえて特定した課題およびその対応状況を経営層や取締役会へ報告しています。

※ 地震、台風、豪雨などの自然災害、感染症の大流行、調達・生産・在庫管理や人材管理に関するリスクなど、グループ各社が自らの責任において取り組む業務活動上のリスク

※ ※ CSIRT（Computer Security Incident Response Team）：サイバー攻撃による不正侵入の未然防止策の検討を行うとともに、侵入を検知した場合に迅速に対応するための体制

事業継続計画（BCP）と事業継続マネジメント（BCM）

当社の社会的使命である医薬品の安定供給という観点から、大規模災害やパンデミックはもとより、多様な災害や想定外の事態に対応した事業継続計画（オールハザード型BCP：Business Continuity Plan）を策定しています。さらに、当社のリスク管理の強化および実効性向上を図るため、BCPの見直し、事前対策の実施、教育・訓練の実施等の継続的なマネジメントサイクルを確立し、平時からのマネジメント活動を推進する持続的な事業継続マネジメント（BCM：Business Continuity Management）を進めています。

初動対応計画

災害発生後速やかに情報収集を開始し、被害状況を取りまとめ、災害対策統括本部の設置可否の進言や統括本部設置後の情報収集を行うCMT（Crisis Management Team）を設置しています。

CMTでは、迅速かつ的確な初動対応力の向上を目的に、定期的な訓練等を実施しています。加えて、CMTと各拠点（現地対策本部）や災害対策統括本部との連携訓練を実施し、災害発生時の危機管理対応力の向上を図っています。また、訓練等を通じて課題を抽出し、BCPおよび対応手順の見直し・改善を継続的に行っています。

情報管理

当社は、企業活動において大切な資産である情報を活用し、確実に保護することが重要であると考えています。記録と情報管理に関するグローバルポリシーおよび情報管理、ITセキュリティ等に関する各種規則を定め、適切なリスク管理を行っています。また、業務におけるIT・生成AIの活用を踏まえた業務記録の適切な管理を目的として、会議録画データの取扱いを含む社内規則を制定し、業務遂行過程で作成・取得される記録の保存および利用に関するルールの明確化を図っています。

機密情報および内部情報の管理

当社は、社内規則に基づき、重要度に応じて適切に保有情報を管理しており、その状況を毎年確認しています。また、情報管理担当執行役員、情報管理委員会等の管理体制を整備しています。さらに、インサイダー取引の未然防止を図るため、社内規則において内部情報・インサイダー情報の適切な管理を含む、役職員が遵守すべき基本的事項を定めています。また、役職員への教育研修も定期的に実施し、会社情報の漏えい防止および適切な情報管理の徹底に向けた意識の向上を図っています。

個人情報の管理

当社は、個人情報保護方針を定め、社内規則に基づき、事業活動を通じて取得した医療関係者、製品使用者、取引先、株主、役職員等の個人情報を、国内外の個人情報保護法制に従い適切に保護しており、その状況を毎年確認しています。また、個人情報管理担当執行役員、個人情報相談窓口等の管理体制を整備し、役職員に対し定期的に教育研修を実施するなど、個人情報保護の推進に取り組んでいます。

情報セキュリティ

社会環境の変化や情報技術の進歩に合わせた技術的な対策に加え、社内規則、手順類の見直しと遵守状況のモニタリングを続けるとともに、役職員に対する情報セキュリティ教育を定期的に実施し、意識の向上を図っています。また、生成AIの活用拡大を踏まえ、利用に関する社内ルールを整備し、情報漏えいや法令違反等のリスク管理と情報保護に留意しながら、業務効率化と創造的な価値創出を両立し、安全かつ適正な活用を推進しています。
このほか、グループ会社や取引先におけるセキュリティリスクへの対応にも取り組んでいます。特に、サプライチェーンを通じた情報セキュリティリスクへの対策として、セキュリティレイティングサービスを利用して取引先のITセキュリティ評価を実施しています。
加えて、サイバー攻撃による不正侵入の未然防止策の検討を行うとともに、侵入を検知した場合に迅速に対応するための体制（CSIRT: Computer Security Incident Response Team）を設置するとともに、情報セキュリティ事故に対する予防活動を継続的に実施しています。また、CSIRTでは定期的にサイバー攻撃の発生を想定した対応訓練を実施しています。