お疲れ様です。

ウイルス対策は昨今、コストパフォーマンスの時代に到来していると思います。

弊社では自社内にメールサーバーが有り、そこにはトレンドマイクロのInterScan Messaging Security Suite(IMSS)がインストールされており、ここでウイルス対策とスパム対策をしております。

なぜ、このソフトを導入したかといいますと、以前はクライアント側のウイルス対策ソフトでPOP3等で対策をしていたのですが、やはりウイルスをクライアントまで持ち込んでいることには変わりませんし、そこで駆除できないケースも多くありました。
メールサーバー等、実際にウイルスが実行される前にサーバー側で処理されれば、より危険度は減るという観点です。（実際にメールからのウイルスによるトラブルは激減しました）

最近では、昔ほどウイルスメールというのが攻撃の対象で無くなってきているのも事実だと思います。
感染源としては以前に多いですが、ウイルスのメカニズムが昔からまり変わっていないため、メールソフト等である程度の対策がすでに完了しているため、業者さんも感染したことがないと言われたのではないかと思います。
（昔、OutlookExpress6時代の脆弱性によるウイルス感染は多方面でよく聞きました）

CALM-AVの制度がどうのという観点は、何とも言えませんが、ホスティング業者としては無償でウイルス対策等を行うためには、ライセンス費用が発生しない物を採用しているケースは多いと思います。
あくまでも、無償製品ですからそこに対して責任を問える物ではなく、ホスティング業者も無償である程度のウイルス対策を行っていますので、厳密にやりたい場合はご自分でご検討くださいという趣旨ではないかと思います。
（実際、ホスティング業者でCLAM-AVを使っているところは多いです）

WEBのウイルス対策と一緒で、ゲートウェイ側（サーバー側）でブロックすることがより危険性は低くなりますが、クライアントアンチウイルスソフトでの対応や社員へのセキュリティ教育の実施等で、そこまでは必要ないと考えることも出来ると思いますので、その辺は、メールがウイルスに感染した際における社内での業務リスクや社員のスキルによってご判断されることが望ましいのではないかと思います。
もし、ホスティング業者が無償でCLAM-AVによるウイルスチェックをしてくれて、クライアントにもメールソフトに対応したウイルス対策ソフトがインストールされていて、ホスティング業者の価格が納得いくのであれば、私の感触では、無理してゲートウェイ側のメールアンチウイルスソフトを入れる必要は無いかなと思います。

弊社では、IMSSを今も利用しているのは、ウイルスメール対策という観点というよりもアンチスパムという観点に重きが変わっているのも事実です。

ウイルスメール自身は減少している代わりに、フィッシング委詐欺のメールや単純に迷惑メールなど、1次感染ではないエリアでウイルスに感染するケースが出てきていますので、ただのメール自身へのウイルス対策というのは、先ほども書きましたが昔ほどの意味は無いのかもしれません。

IMSSは、フィッシングメールやスパムメールもかなり高い精度でフィルタリングしてくれるため、非常に重宝しております。
（価格的には余りやすくはありませんが、費用対効果があると弊社では思っております）

セキュリティ対策(大きく括れば『リスクマネジメント』)というのはどこまでいっても完璧ということはありえず、リスクが顕在化してしまったときのダメージと費用対効果を考慮して落としどころを見つけていくしかありませんよね。

セキュリティ対策ということから考えるとメール経由でのウイルス感染というのはほんの一部分でしかなく、例えば個人情報漏洩関連だけですが、JNSA の公開している資料を見ると「ワーム・ウイルス」が原因となっているのはわずか0.4%に過ぎません。
http://www.jnsa.org/result/incident/2010.html

もちろん、情報漏洩だけが受けるダメージでではなく、最悪社内システムがダウンして業務が止まった場合の損失、ウイルス駆除にかかる時間・コスト、お客様にウイルスメールを送信してしまった場合の信用の失墜など「万が一起こってしまった場合の損失」x「その万が一が起こる可能性」と、対策のためにかかるコストを量りにかけて判断するしかないですよね。

ちなみに、検討されている業者がウイルス対策として導入しているという Clamav は OSS (オープンソースソフトウェア) で、利用料金は発生しませんが、原則的には無保証です。一般的には有償のウイルス対策ソリューションより若干検出率は落ちると評価されています (新種のウイルスが発見されたとき、他の有償ソフトよりも早く対応されることもあったりはするので、あくまで「一般論として」なんですけれど)。ただ、有償ソフトが保証しているのはあくまで「サポート期間中であればアップデートを提供していく」「質問・相談窓口を設け、対応する」ことであり、100%の防御を約束しているわけではないですし、万が一ウイルスが素通りしてしまった場合に受ける被害を補償してくれるものでもありません。

つまり、有償ソフトを利用する最大のメリットは、万が一が起こった場合、お客様に対して「ウチはクライアント PC にウイルス対策ソフトを入れるだけでなく○○も導入していたんですが、その○○に不具合があたため、ご迷惑をお掛けしてしまいました」と、責任転嫁した説明ができるかどうかなんじゃないでしょうか (それでお客様が納得するかどうかは別問題)。

そのメリットと「有料ソフトも検討しましたが、かなり高額でした。(40ユーザー位で年間約20?30万程)」とを量りにかけて、そこまでする必要があると考えるかどうかだと思います、結局のところ。

当社ではゼロックス社のbeat-boxというゲートウェイ型のセキリュティを使用しており、beat-boxの支配下ではウィルスチェックがされます。
しかし支配下でないモバイル等ではウィルスチェックがされない為、上記のようなご質問をさせていただきました。
よろしくお願いいたします。

非常に難しい選択かと思います。
どこまで対策しても完璧とは言い切れない案件ですから。

他の回答者さんのご意見も踏まえ、メリット・デメリットをマトリクス状にまとめ、IT担当役員に決裁させるのも手かと思います。
問題（セキュリティインシデント）発生時にIT部門だけで責任が取れるとは限りませんし（むしろそういうケースは稀）、経営陣のゴーサインは必須でしょう。

ウィルスチェックは何重にも入れておくのがいいでしょう。できれば２社くらいにしておくとよいかも。
私のところでは　インターネットの接続口にも入れてありますし、社内のサーバ・クライアントを問わず入れています。社内のメールサーバにはほかのPCとは違うメーカのアンチウィルスがいれてあります。モバイルではＰＣにはたとえ個人所有であってもアンチウィルスが入れてあること（しかも更新している証拠を提出することにしています）が許可の条件になっています。　でもスマートフォンではアンチウィルスを入れるわけにいかないのでちょっと困りものです。

こういう対策は「ここまでやれば完璧」ということはありえないので費用の許すかぎりのことはしておく必要があります。