サイバーリスク保険をめぐる修繕費及び法人税領域の検討

サイバーリスク保険をめぐる修繕費及び関連領域の検討

1.情勢

昨近、インターネットウィルスに伴うハッキングや不正アクセスなどのようないわゆるサイバーセキュリティについて、対策強化の重要性が謳われています（金融庁：金融分野におけるサイバーセキュリティ対策について🔗）（経済産業省：昨今の情勢を踏まえたサイバーセキュリティ対策の強化について注意喚起🔗）。このような情勢を受けインターネットを利用したビジネス環境が整備される中で、サイバーセキュリティ対策として、サイバーリスク保険なる商品が取り扱われています（日本損害保険協会：サイバー保険特設サイト🔗）。
当該保険商品が保証する内容は、サイバー攻撃の発見時の各種対応費用だけでなく、サイバー攻撃の“おそれ”が発見された時の外部機関への調査依頼費用・フォレンジック調査費用や、事故が収束した後の再発防止費用、コンピュータシステムが損傷した場合の修理費用等についてなど多岐にわたります。
また、被害を受けた第三者からの損害賠償請求に対して、負担する損害賠償金や争訟費用等を補償するものもあるようです。

2.問題意識

ここで、保険金が支払われ、特に再発防止費用として、ウィルス対策ソフトやサーバーを購入した場合、支払われた保険金については収入として計上される一方で、ウィルス対策ソフトを購入する取引は原則的に新規資産の取得として取り扱われ、将来にわたって規則的に減価償却を通じて費用化されることから、一連の取引について、収入と費用が時期的に対応しないのではないかという疑念が生じます。

一般的に発生した損害に起因する保険金請求をし、保険金を受け取る場合、法人税法基本通達（損害賠償金等の帰属の時期）に基づき、収益と費用は同じ事業年度に計上しなければならないと考えられます。
同通達は、注書きにおいて、損害賠償の起因となった損害に係る損失については、その損害の発生した時点で損金算入することができるとし、損害賠償金の支払いとの対応関係を切断して処理することができる旨を明らかにしていますが、損害賠償請求の起因となった損失の全部又は一部が損害保険契約又は共済契約に基づいて保険金又は共済金によって補填される場合は、補填される部分について保険金等との対応関係が要求されることとなっています。
この考え方は、法人税法基本通達９－７－１８（自動車による人身事故に係る内払の損害賠償金）と同じであると思われます。
同通達の逐条解説には、「一般の損害保険にあっては損害が確定し損失として認められるものがあっても、それについて収入すべき保険金が見込まれる以上、収支対応の思想から、①保険金の額が確定するまで損失は仮勘定として損金に算入しないか、②損失を発生事業年度で損金に算入する一方、保険金の見積計上をするかの選択適用が認められている」とあります。

税務の基本思想の中にも、損害保険について収支対応の考えが根底に流れていると思われる一方で、収入に対応する支出の側が「損害賠償金」のような経費でなく、「減価償却資産」である場合には、実質的な費用化は将来期間に渡って発現するため、厳密には収入と費用が同一事業年度で対応しないと考えられる点はどう整理されるのでしょうか。当該疑問を解消する意図で、次の検討に移りたいと考えます。

3.検討・考察

関連する領域として思い当たるのは、

です。以下、それぞれ前提となる事例においてあてはめを行ってみます。

（1）保険金等による圧縮記帳（法47条1項）について

保険金で取得資産について圧縮記帳が適用できる場合は、『所有固定資産の滅失及び損壊』により支払いを受けるものに限られています（国税庁：保険金等で取得した固定資産等の圧縮記帳🔗）。
ここで、サイバー保険の請求事由が発生した際には、資産の損壊や滅失は生じていないものと想定されます。
すなわち、ウイルス感染によってデータ上（仮想空間上）の破損はあるかもしれませんが、パソコンやサーバーひいてはその中に設定されているソフト等については物理的には従前通りの姿形で存在しています。そのため、上記事例の場合、私見として保険等による圧縮記帳の適用はできないのではないかと判断されます。

（2）災害の場合の資本的支出と修繕費の区分の特例（法基通7-8-6）について

これについては、同逐条解説において、被災資産の復旧に変えて新規に資産を取得するための支出（中略）については、その支出が損壊等をした資産の被害前の効用を維持するために行う（中略）場合には、その支出は修繕費に該当すると説明されています。
ここで、今回の検討対象である取引が同通達の適用となるかどうかについてですが、そもそもサイバー攻撃が『災害』というものに含まれているかどうかが問題となります。2021年11月の毎日新聞の記事🔗では、「サイバー攻撃はもはや災害」という見出しが用いられています。
『災害』の定義ですが、別の条文で参考となるものがありましたので記載しておきます。

災害によつて生じた損失の繰越控除を認められる災害については，政令で次のように定められている。
令第115条　法第58条第１項（青色申告書を提出しなかつた事業年度の災害による損失金の繰越し）に規定する政令で定める災害は，冷害，雪害，干害，落雷，噴火その他の自然現象の異変による災害及び鉱害，火薬類の爆発その他の人為による異常な災害並びに害虫，害獣その他の生物による異常な災害とする。

サイバー攻撃は、人災であるのはそうだと思われますが、火薬類の爆発その他人為による異常な災害と同列に並べられるような災害の範疇に含まれるかが釈然としません。
また、人為による異常な災害という表現は、別の条文であります法人税法11条で、火災、火薬類の爆発、ガス爆発、交通途絶その他の人為による異常な災害と用いられております。これについても、物理的な性質が共通点としてあるように見受けられ、データ上の事故が含まれるか否かは判然としません。

このように見てくるとサイバーセキュリティ事故が、検討対象である法基通7-8-6にいう災害に該当するかどうかは感覚的にダイレクト性が足りないと判断され、適用できないのではないかと判断しています。

（3）機能復旧補償金による固定資産の取得または改良（法基通7-8-7）について

同通達は、法人が有する固定資産について電波障害や日照妨害、風害や騒音等、により機能の低下があったことにより、原因者から補償金を受け、当該補償金で固定資産の取得をしたときは一定の要件に相当する額を修繕費で処理することを認めています。
法基通7-8-6よりも事例に近づいたのは、その原因を表現する言い回しです。インターネットウィルスの感染は、電波障害ではないですが、先述の災害よりかはニュアンスが近くなったと個人的には思います。
一方で今回事例と合わないのは、「原因者から補償金」を受けているという箇所です。
サイバー保険は、同商品を取り扱う「保険会社」から「保険金」として収受しており、インターネットウイルスを拡散させている主体から補償を収受しているものではありません。

なお、同通達の解説では、同条項と圧縮記帳との関連について、損害賠償金の圧縮記帳は滅失した固定資産について代替資産を取得する場合の問題であって、これを修繕費の概念で処理することは到底無理であると言及しています。
すなわち、あえて「原因者」からの「補償」と表現されているのは「保険金」を対象から外すという意図があったのではと推察します。

4.暫定的結論

命題は、前提とする事例において保険収入とそれに見合う費用が同一の事業年度で対応しないのではないかというものでしたが、関連領域の検討でそれを解決する規定は厳密には存在していないように思います。
保険の圧縮記帳では、その前提に再発予防のための資産の新規取得が観念されておらず、災害関連の通達には災害の概念にサイバー攻撃が含まれているか釈然とせず、機能復旧の通達には、保険金が含まれているかどうかに懸念があります。関連領域において各々前提が当てはまらないように思います。
すなわち、暫定的な結論は、前提事例においては収入と費用を同一事業年度で対応させることはできないのではないかということです。今後より、研究することでさらなる発見があるかもしれませんが、規定自体ががサイバーリスクを想定する時代に、整備されていないことなどが問題の遠因として存在しているように思われます。