世界最高峰の専門家がいても、なぜ企業は失敗するのか？

世界最高峰の専門家がいる。

その専門家が危険を発見し、改善の必要性を指摘する。組織も問題を認識し、対応を進めている。それでも、重大な事故が発生してしまう。

2026年10月に発生したGMOインターネットグループのサイバー攻撃は、そんな不可解な問題を私たちに突きつけた。

私は、この事件について誰が悪いのかを論じたいわけではない。まして、経営者の発言を面白おかしく取り上げることにも関心はない。

もっと根本的で、私たち自身にも関係する問題がある。企業の中に存在する高度な知識は、なぜ必ずしも企業の能力にならないのだろうか。

これはサイバーセキュリティだけの問題ではない。病院でも、航空会社でも、製造業でも、私たちの身近な職場でも起こり得る。

そして、私はここに企業の競争力を左右する重要な仕組みが隠れていると考えている。

なぜGMOの事件は、普通のサイバー攻撃と違うのか

GMOインターネットグループは、サイバーセキュリティを重要な事業領域として展開してきた。

傘下のGMOサイバーセキュリティ byイエラエには、国際的な競技大会で高い実績を残してきた専門家が所属する。2025年には、世界的なセキュリティイベントDEF CONの「Cloud Village CTF」で3年連続世界1位を達成したと発表している。

セキュリティに関する高度な技術力を、事業上の強みとして育ててきた企業グループなのである。

一方、今回の攻撃対象となった「お名前.com デスクトップクラウド」では、2026年10月20日に不正なプログラムの設置が確認され、翌21日からサービスが停止された。

影響を受けた可能性のあるサーバーは26,739件。利用者の金融取引に関係する認証情報が不正に利用された可能性も公表された。

ここで注目すべきなのは、優秀な専門家がいたのに攻撃された、という単純な矛盾ではない。世界中の企業がサイバー攻撃を受けている。高度な専門家がいたとしても、あらゆる攻撃を防げるわけではない。

重要なのは、その後に明らかになった事実である。

熊谷正寿代表は、グループ内のホワイトハッカーが事前に改善すべき課題を指摘していたことを明らかにした。

現場は対応を進めていたものの、サービスへの影響や他の課題との優先順位を考慮した結果、対応の深さと速度が十分ではなかったという。

2024年4月の段階でセキュリティ子会社が改善を指摘していたことも報じられている。ただし、具体的な指摘内容と今回の侵入経路との関係については、今後の検証が必要だ。

ここで問題の性質が変わる。知らなかったから対応できなかった、という話ではない。

少なくとも一部の課題については、知識が存在し、問題が認識され、対応も始まっていた。それでも、十分な結果には至らなかった。問題を発見する能力と問題を解決できる組織であることは別なのだ。

これは、あなたの会社でも起きているかもしれない

少し身近な例で考えてみよう。

ある会社の経理担当者が、請求処理の仕組みに問題があることを発見したとする。同じ請求書を二重に登録できてしまう。今のところ大きな損害は出ていないが、支払件数が増えれば誤送金が発生する可能性がある。

担当者は上司に報告する。

上司は問題を理解し、システム担当者に相談する。しかし、修正には一定の費用と時間がかかる。ちょうど新しい会計システムの導入も予定されている。

「新システムに切り替えるまで、今の運用で注意して対応しよう」そう判断したとする。

この判断は、必ずしも不合理ではない。数週間後に新システムへ移行するのであれば、現行システムを大規模改修するよりも、暫定的なチェックを設けた方が合理的な場合もある。

問題は、その先にある。新システムの導入が遅れたらどうするのか。二重支払の検知方法は決まっているのか。担当者が休暇を取った場合にも確認できるのか。

そして、誰がその状態を監視しているのか。最初の判断が合理的だったとしても、状況が変われば判断を見直す必要がある。

ところが、多くの組織では、判断した瞬間に問題が処理済みとして扱われてしまう。

「検討した」「方針を決めた」「対応中である」こうした言葉によって、実際には残っている危険が、管理されているように見えてしまう。

ここに、組織特有の落とし穴がある。

一度の判断が、いつまでも正しいとは限らない

経営判断は、その時点で利用可能な情報に基づいて行われる。

しかし、企業を取り巻く環境は変化する。取引件数は増え、技術は変わり、人員も入れ替わる。以前は十分だった対策が、いつの間にか不十分になることもある。

そのため、経営者が一度正しい判断をしたからといって、将来も正しい状態が維持されるとは限らない。

例えば、システムの改修を半年延期すると決めたとしよう。

その半年間に、想定していた攻撃手法が広く知られるようになったらどうだろうか。あるいは、サービスの利用者が急増し、事故が発生した場合の影響が大きくなったらどうだろう。

当初の判断を支えていた条件は、すでに変わっているかもしれない。それでも「経営会議で決定済み」という理由だけで、方針が変更されなかったらどうなるか。

決定済みという事実が、再検討を妨げることになる。

本来、意思決定とは、将来の変化を無視するためのものではない。不確実な状況の中で、現時点の行動を決めるためのものである。重要なのは、一度決めた方針を守ることだけではなく、どの条件が変わったら判断を見直すかまで決めておくことだ。

私は、これを経営における「判断の有効期限」の問題と考えている。

病院では、なぜ看護師が医師に異議を唱える仕組みが必要なのか

病院の手術室を想像してほしい。

経験豊富な医師が手術を進めている。そこへ看護師が、患者の状態について異常を感じたとする。看護師は医師に伝える。しかし、医師は問題ないと判断して手術を続ける。

この場面で、看護師はどうすべきだろうか。

もちろん、看護師の判断が常に正しいわけではない。医師には医師の専門的な判断がある。しかし、もし看護師の懸念が正しかった場合、それが十分に検討されないまま手術が続けば、患者に重大な影響が生じる可能性がある。

米国の医療研究品質庁（AHRQ）が展開するTeamSTEPPSには、このような状況で安全上の懸念を伝え、必要に応じて再度問題を提起する考え方が組み込まれている。

さらに、問題が解消されない場合には、他の医療従事者や上位者を巻き込むことも想定されている。

これは、医師の判断を否定するための仕組みではない。個人の判断に、組織としての確認機能を持たせるための仕組みである。

ここには、企業経営にも通じる重要な思想がある。専門家が警告を発したという事実よりも、その警告が解消されるまで組織がどう動くかが重要なのだ。

飛行機を止める判断は、誰の仕事なのか

航空機の整備でも、似た問題が起こる。

ある整備士が、機体の部品に通常とは異なる摩耗を発見したとする。技術的な観点では、追加検査が必要かもしれない。しかし、その機体は数時間後に多数の乗客を乗せて出発する予定である。

運航を止めれば、航空会社には大きな損失が発生する。整備士は技術的な問題を評価できる。一方、運航計画や事業全体の損失は、別の部門が把握している。

ここで重要なのは、どちらかが絶対的に正しいという話ではない。整備上の危険性と、運航上の制約を同じ判断の場に載せる必要があるということだ。

米国連邦航空局（FAA）は、航空安全に関する組織的な仕組みとして、安全管理システム（SMS）を位置づけている。これは、危険を発見するだけでなく、リスクを評価し、対策を実施し、その有効性を確認するための組織的な仕組みである。

安全を専門部署だけの責任として閉じ込めない。経営活動そのものに、安全に関する意思決定を組み込む。

この考え方は、企業経営全般に応用できる。サイバーセキュリティも同じだ。技術者が危険を発見することと、企業がリスクを受け入れるかどうかを判断することは別である。

だからこそ、両者をつなぐ仕組みが必要になる。

トヨタは、なぜ異常を発見したら知らせる仕組みをつくったのか

製造業に目を向けると、さらに分かりやすい。

自動車の組立ラインで、作業者が部品の異常に気づいたとする。そのまま作業を続ければ、不良品が次の工程に流れる可能性がある。しかし、作業を止めれば生産計画に影響する。

ここでも、品質と生産効率の間に判断が必要になる。

トヨタ生産方式には「自働化」という考え方がある。異常が発生したときに設備を止めたり、アンドンによって問題を知らせたりすることで、不良の発生や拡大を抑える。

重要なのは、問題を発見した人が、ただ報告書を作成して終わる仕組みではないことだ。異常が発見されたら、組織が対応する必要のある状態に変わる。

問題の発見が、組織の行動と結びついているのである。

もちろん、現実の工場では停止基準や復旧手順があり、すべての異常で無条件に生産を停止するわけではない。しかし、異常を検知し、必要な対応につなげる仕組みが工程に組み込まれている点は重要だ。

さて、ここで考えてみたい。

私たちの会社では、問題を発見した人が、それを解決につなげる仕組みを持っているだろうか。それとも、問題を発見した人が何度も説明し、関係者を説得し、予算を確保し、ようやく改善に着手できるのだろうか。

もし後者なら、専門家が優秀であるほど、その人に負荷が集中する構造になっているかもしれない。

なぜ優秀な人がいる組織ほど、問題が見えにくくなることがあるのか

ここから、もう一段深く考えてみたい。

優秀な人材がいることは、企業にとって明らかに強みである。しかし、その強みが、逆に組織の問題を見えにくくしてしまう場合がある。

例えば、非常に優秀なシステム担当者がいる会社を想像してほしい。システムに障害が発生すると、その担当者は素早く原因を特定し、深夜でも対応して復旧させてしまう。

経営者は、その担当者を高く評価するだろう。「彼がいるから、うちのシステムは安心だ」しかし、同じような障害が毎月起きていたらどうだろう。

担当者が優秀であるために、毎回の障害は短時間で解決される。顧客への影響も小さく、経営会議では大きな問題として扱われない。ところが、障害の原因となるシステム構造は、何も改善されていない。

本来なら、障害が繰り返される理由を分析し、システム自体を改善する必要がある。しかし、優秀な担当者が毎回問題を解決することで、組織の欠陥が表面化しなくなっている。

これは、単なる属人化の問題にとどまらない。個人の能力が、組織の改善を遅らせる可能性があるという逆説である。

以前の記事「料理長が全部味見するレストランは、なぜ大きくなれないのか？」でも、似た構造を考えた。

料理長の味覚が優れているからこそ、すべての料理を自分で確認したくなる。しかし、その能力に依存している限り、店の規模が大きくなるほど料理長自身が制約になる。

重要なのは、料理長の能力を下げることではない。料理長が持っている判断基準を、他の人でも一定の品質を再現できる仕組みに変えることだ。

セキュリティでも、品質管理でも、経営判断でも、構造は同じである。優秀な人材の存在そのものではなく、その能力をどこまで組織全体に実装できるかが問われる。

報告したのに動かない組織は、何を失っているのか

ここまでの話を、情報の流れから考えてみよう。

専門家が問題を発見する。その問題を上司に報告する。上司が経営者に説明する。経営者が対応方針を決める。

一見すると、合理的な仕組みに見える。しかし、実際にはそれぞれの段階で、情報の意味が変わる可能性がある。

例えば、専門家が「この状態を放置すると、一定の条件下で顧客情報が外部から取得される可能性がある」と報告したとする。部門責任者は、それを「システムに改善が必要」と要約する。経営会議では「セキュリティ対策を継続中」と報告される。

この三つの説明は、同じ事象について述べている。しかし、受け取る人の認識は同じだろうか。

最初の説明には、顧客情報が外部に取得される可能性という具体的な危険が含まれている。最後の説明では、対策が進んでいるという印象の方が強くなる。

情報は伝わっている。しかし、危険の意味が薄まっている。

以前の記事「報告しない組織では、なぜ指示する人まで無能になるのか？」では、経営者が適切な判断をするためには、判断に必要な情報が正しく届く必要があることを考えた。

今回の問題は、その先にある。報告が存在していても、判断に必要な意味が保持されているとは限らない。報告したかどうかだけでなく、相手が何を認識し、どのような判断をしたのかまで確認しなければならない。

経営者に必要なのは、専門家になることではない

では、経営者はどうすればよいのだろうか。

すべての専門分野を理解し、技術者と同じ水準の判断ができるようになるべきなのだろうか。

もちろん、それは現実的ではない。大企業の経営者が、セキュリティ、会計、法務、製造、物流、人事のすべてについて専門家になることは不可能である。

そもそも、専門家を配置するのは、経営者一人では把握できない領域を補うためでもある。

だからこそ、経営者に必要な能力は別にある。専門家が示した問題を経営上のリスクとして理解し、判断に必要な情報を引き出し、適切な資源を配分する能力である。

ただし、ここにはもう一つの問題がある。経営者が「専門家に任せた」と言っているにもかかわらず、専門家には対応を決定する権限がない場合だ。

専門家は問題を認識している。しかし、改修予算を決められない。サービス停止も決められない。他部門の協力も自由には得られない。

それでも、問題が解決しなければ専門家の責任になる。これは、専門家の能力とは別の問題である。

以前の記事「『任せた』と言う経営者ほど、なぜ途中から口を出したくなるのか？」では、権限と責任の不一致について考えた。

委任とは、仕事を渡すことだけではない。どの範囲を任せ、何を判断でき、どの条件で上位者へ戻すのかを定める必要がある。

今回のような専門性の高い問題では、この委任設計がさらに重要になる。専門家が危険を発見しても、その危険を解消するための権限がなければ、自分の能力だけでは問題を解決できないからだ。

企業の能力を、私は六つに分けて考えたい

ここまで考えると、企業の能力を専門家の人数や技術力だけで評価することには限界がある。

私は、専門知識が実際の経営成果に変わるまでの能力を、六つに分けて考えることを提案したい。

最初に必要なのは、問題を発見する認識能力である。

しかし、認識した問題が判断者に正しく伝わらなければ、その知識は組織全体の行動につながらない。そこで伝達能力が必要になる。

次に、届いた情報を基に対応方針を決める判断能力が求められる。

さらに、必要な人員や予算を確保して実際の行動に移す執行能力がなければ、どれほど優れた判断も実現しない。

そして、実行した対策が本当に有効だったかを確認する検証能力が必要になる。

最後に、失敗や成功から学び、次の判断の仕組みを改善する学習能力がある。

この六つは、単に足し算すればよいものではない。

例えば、問題を発見する能力が非常に高くても、改善に必要な権限がなければ、実際の成果は制約される。反対に、経営者の決断が迅速でも、正確な情報を得られなければ、誤った方針を素早く実行してしまうかもしれない。

重要なのは、それぞれの能力がどのように接続されているかである。私は、この一連の能力を「専門知の経営実装能力」と呼びたい。

六つの能力がそろっていても、なぜ失敗するのか

ここで、さらに重要な問題がある。

ある組織で、六つの能力がすべて一定の水準を満たしていたとする。問題を発見できる。報告もできる。経営者が判断できる。実行する人員もいる。検証する仕組みもあり、改善活動も行われている。

それでも、失敗することはある。なぜなら、それぞれの能力が存在することと、それらが適切な時間内に接続されることは別だからだ。

例えば、問題を発見してから経営会議に報告されるまで1か月かかる。経営会議で対応が決まってから予算が付くまで、さらに2か月かかる。

予算が付いてから開発が始まるまで3か月かかり、実装後の検証にはさらに1か月かかる。すべての工程が動いていたとしても、問題発見から対策の有効性を確認するまで7か月が経過している。

その間に、環境は変化しているかもしれない。これは、個々の能力の有無だけでは評価できない問題である。企業の競争力を左右するのは、能力の総量だけではなく能力間の接続速度と接続品質でもある。

しかも、単純に速ければよいわけではない。重要な検証を省略して判断だけを早めれば、逆に危険が増える可能性もある。必要なのは、重要な情報の正確さを保ちながら、意思決定と実行に至るまでの不要な遅延を減らすことだ。

これは、製造業における工程設計や、物流における全体最適の問題にも似ている。倉庫で作業者の歩行速度を上げても、出荷指示の作成や在庫確認が遅ければ、倉庫全体の処理能力は必ずしも高まらない。

次に書こうとしている「ロボットが速くなっても、倉庫は速くならない」というテーマとも、ここでつながる。

個別の能力を高めることと、全体の成果を高めることは違うのである。

自分の会社が本当に優秀か、どうすれば見分けられるのか

ここで、読者自身の職場を思い浮かべてほしい。最近、何か問題が発見されただろうか。

例えば、顧客から同じ苦情が繰り返されている。システムで同じ障害が発生している。在庫差異が毎月発生する。特定の担当者が休むと仕事が止まる。

その問題について、原因は分かっているだろうか。そして、原因が分かっているなら、なぜまだ解決していないのだろうか。

ここで「忙しいから」「予算がないから」「人が足りないから」という答えが返ってくるかもしれない。もちろん、それらは現実的な制約である。しかし、その制約を踏まえたうえで、誰が何を判断したのだろう。

改善に必要な費用はいくらか。放置することによる損失はどの程度か。いつまでに対応できなければ、方針を見直すのか。こうした問いに明確に答えられないのであれば、問題は単なる人手不足ではない可能性がある。

例えば、毎月10時間の手作業が発生する業務があるとしよう。

担当者は自動化できると分かっている。しかし、改修には30時間必要になるため、日常業務を優先して先送りしている。半年後には、手作業に60時間を使っている。しかも、担当者が休めば業務が止まり、入力ミスも発生する可能性がある。

この場合、問題を解決する技術が不足しているわけではない。どの仕事に時間を投資すべきかを判断する仕組みが不足している。

こうした状態は、どんな会社にも起こり得る。大企業だから安全とは限らない。小さな企業だから非効率とも限らない。

規模や人材の数だけでは、その会社の実際の能力は分からない。

優秀な企業とは、失敗しない企業なのだろうか

私は、企業を評価するとき、事故や失敗が発生したという事実だけで判断するべきではないと思う。どれほど優れた企業でも、失敗することはある。

未知のリスクもあれば、予測できなかった環境の変化もある。合理的な判断を積み重ねても、望ましくない結果が発生する場合がある。その一方で、事故が発生していないからといって、その企業の管理体制が優れているとも限らない。

単に、まだ問題が顕在化していないだけかもしれない。だからこそ、結果だけでなく、その結果が生まれるまでの判断過程を評価する必要がある。

問題を発見できていたか。必要な情報は届いていたか。合理的な判断が行われたか。実際に行動へ移されたか。そして、結果が想定と異なったとき、その理由を検証できているか。

このような過程を確認することで、企業の能力をより正確に評価できるようになる。

今回のGMOの事件についても、私は同じ姿勢で考えたい。

専門家からの指摘が、どのように評価され、どのような判断を経て、どこまで実行されたのか。その詳細が明らかにならなければ、今回の問題を正確に評価することはできない。

一方で、明らかになった事実を基に、私たち自身の組織を見直すことはできる。

この事件を、特定企業の失敗として消費するだけではもったいない。もっと多くの企業が抱えている構造的な問題を考える材料にできるからだ。

AI時代には、この差がさらに大きくなる

最後に、少し先の未来について考えてみたい。

AIの普及によって、企業が利用できる知識は急速に増えている。これまで専門家が長時間かけて分析していた情報を、AIが短時間で整理できるようになってきた。

システムの異常を検知する。契約書の問題を発見する。販売データから需要の変化を予測する。業務の非効率を分析する。

こうした能力は、今後さらに広がるだろう。

しかし、私はここに新しい問題が生まれると考えている。企業が問題を発見する能力だけが急速に高まり、問題を解決する組織能力が追いつかない可能性である。

例えば、AIが毎日100件の改善提案を出すようになったとする。しかし、企業が月に10件しか判断できず、そのうち3件しか実行できないのであれば、残りの提案は蓄積されていく。

分析能力が10倍になっても、実行能力が変わらなければ、成果が10倍になるわけではない。むしろ、未処理の問題が増え、組織の混乱が大きくなる可能性もある。

AIを導入した企業が必ずしも競争力を高められるわけではない理由の一つが、ここにあるのではないだろうか。

AIを使える人材がいること。
AIが高度な分析を行えること。
そして、AIが提示した知見を企業の意思決定と行動に反映できること。

この三つは、同じではない。

今後、企業間で差がつくのは、AIの利用率や導入数だけではなく、AIを含む専門知をどこまで経営に実装できるかという部分かもしれない。

世界最高峰の専門家がいることと、世界最高峰の経営ができることは違う

企業は、優秀な人材を採用する。専門部署を設置する。外部の専門家と契約する。新しい技術を導入する。AIを活用する。いずれも重要な投資である。

しかし、それだけで企業の能力が高まったと考えるのは早い。

専門家が発見した問題が、経営者に正しく伝わっているだろうか。
経営者は、その問題を理解し、合理的な判断をしているだろうか。
決めたことは実行され、結果が確認されているだろうか。
そして、同じ問題が発生したとき、以前よりも適切に対応できる組織になっているだろうか。

私は、こうした問いに答えられる企業こそ、実際の組織能力を持つ企業だと考える。

専門知識は、企業の競争力の源泉になり得る。しかし、専門知識が存在するだけでは競争力にならない。その知識を、適切な時間内に意思決定へ変換し、実行し、成果として検証できる必要がある。

これが、私の考える「専門知の経営実装能力」である。

そして、この能力は企業の規模や専門家の人数だけでは測れない。世界最高峰の専門家がいることと、世界最高峰の経営ができることは違う。この違いを理解しないまま人材や技術への投資だけを増やしても、組織が強くなるとは限らない。

今回のGMOの事件が私たちに投げかけている問いは、単に「なぜ攻撃を防げなかったのか」ではない。「私たちの組織は、知っていることを、本当に実行できる組織になっているのか」

私は、この問いにこそ、事件を超えて考える価値があると思う。

関連記事

「料理長が全部味見するレストランは、なぜ大きくなれないのか？」

優秀な個人の能力が、なぜ組織の成長を制約することがあるのか。飲食店の経営を通じて、個人の能力を組織の仕組みに変える重要性を考えた記事。

「報告しない組織では、なぜ指示する人まで無能になるのか？」

経営者の判断力は、本人の能力だけでは決まらない。判断に必要な情報が届かない組織で、何が起こるのかを考えた記事。

「『任せた』と言う経営者ほど、なぜ途中から口を出したくなるのか？」

仕事を任せることと、判断権限を委任することは違う。権限・責任・情報の不一致が、どのように組織の機能を損なうのかを考察した記事。

これらの記事では、それぞれ異なる角度から組織の問題を扱ってきた。

今回の記事は、さらにその先にある問いを考えたものだ。組織が問題を認識できることと、実際に問題を解決できることは、なぜ一致しないのか。

この違いを理解することが、企業の本当の競争力を考える入口になるのではないだろうか。

参考資料・事実確認

GMOインターネット株式会社「お名前.com デスクトップクラウドへの不正アクセスに関するお詫びとお知らせ」（2026年10月）

GMOインターネットグループ「GMOイエラエ DEF CON 33 Cloud Village CTF 世界1位、3連覇達成」（2025年）

熊谷正寿公式ブログ「今こそ官民連携で日本を守ろう――能動的サイバー防御を具申した理由」（2026年10月公開・更新）

米国医療研究品質庁（AHRQ）「TeamSTEPPS」

米国連邦航空局（FAA）「Safety Management System」

トヨタ自動車「トヨタ自動車75年史・トヨタ生産方式」

※本記事は2026年11月1日までに確認できた資料を基に構成している。GMOの内部判断に関する未公表事項については断定せず、企業経営に共通する構造的な問題として考察した。