日本年金機構サイバー攻撃事件に思う個人情報管理のむずかしさ

本日は薬師寺にて、毎月恒例の弥勒縁日の法要に行ってまいりました。執事長から参集者に対して「すでにご承知のとおり、管主が人の道に反する行動をとり、たいへん申し訳ありませんでした。本人は責任をとって退山されました」と、不祥事の経緯を丁寧に説明されていました。週刊誌の記事が発端でしたが、こういった宗教法人でも適時適切な危機管理は（組織の信用回復のために）不可欠だと改めて認識した次第です。

危機管理といいますと、5月19日の日経朝刊社会面に、「年金機構へのサイバー攻撃、容疑者不詳のまま書類送検へ」との見出しで、ひっそりと２行ほどの記事が掲載されていました。２０１５年に発生した日本年金機構のサイバー攻撃事件については、私も事件解明に関与しましたので、今回の記事はとても残念です。事後規制が効かないだけに、企業としては、今後さらに事前予防が重要になると思います。

私はあまり情報セキュリティーには詳しくありませんが、詳しくない人間でも、事前予防のための重要な施策については検討しておくべきです。ＰＣやサーバーに入り込まれた原因は、ホントに初歩的なセキュリティ保護のミス（ひとりひとりの心がけ、といっても良いかと）だからです。攻撃する側は長期戦でじっくりと攻めてきますが、情報管理の簡単なマナーさえ毎日励行していれば防ぐことができると思います。でも、ときどき仕事が忙しかったり、私的な都合で貸与パソコンを利用したりして例外を許容すると（相手が長期戦だけに）侵入されてしまうことになります。もうこのあたりは「多少、業務の効率性を犠牲にしてでも安全性を重視しよう」といった思想で動いている企業も増えてきたのかもしれません。

また、当時も書きましたが、ちゃんとしたセキュリティ会社さんとのお付き合いが大切かと（笑）。「大丈夫です。とくに問題ありませんでした」と診断されて安心しているうちに侵入者が活動を開始していた、といったシャレにならない事態がありましたので、「お医者さん選び」と同じだと痛感しました。

ＪＩＣＰＡジャーナルに「職業倫理」に関する連載記事（３回目）が掲載されました。

ＦＡＣＴＡ６月号（最新号）のオリンパス関連の記事ですが、本日公開のオンライン版と「合わせ技」でスゴイことになっていますね。「中国深圳のデジカメ工場を閉鎖するのはこういった理由があるから」ということで、「なるほど・・・たしかに」と思われる方もいらっしゃるかもしれませんね。

しかし、これだけの内部文書がＦＡＣＴＡに届く・・・というのは、相当人数による内部告発が行われている、ということでしょうか。弁護士成果物が開示されていますので、弁護士秘密特権侵害のようにも見えますが、真摯な目的による告発は公益通報者保護法によって違法性が阻却される、ということにもなりそうで・・・（たしかに今のＯ社の状況では内部通報者に不利益が及ぶ可能性があり、告発者が保護される要件を満たしてしまうのかもしれません）、うーーーん、本件は書きたいことがヤマほどありますが、諸事情によりこれ以上のコメントは差し控えます。

さて、第一法規「会計・監査ジャーナル」の連載論稿は、今回が３回目（最終回）となります。「精神論ではなく、実践論としての職業倫理を考える－実践に活かす職業倫理（ミクロとマクロの視点）」というテーマで、最終回は職業倫理を活かす具体的な場面を考えてみました。企業が事業戦略を遂行する場面において、心理的なバイアスや成功体験、知らず知らずのうちに公正なプロセスを欠いてしまう業務執行判断など、「性弱説」に立って不正を予防もしくは早期に発見しようという心がまえを解説しています。人間の弱さを認め直し、弱い自分をどうコントロールするか・・・というところの実践例は、日常のお仕事にも活用いただけるのではないかと考えております。ご興味がありましたらご一読くださいませ。

内部通報制度の認証制導入に期待する

消費者庁公益通報者保護制度の実効性向上検討会報告書において提言されていました「内部通報制度の認証制度」ですが、5月12日の日経朝刊一面で「今年の9月ころに実施される予定」と報じられていました（サンダースさんがコメント欄でご紹介されているので、私も少しだけ書かせていただきます）。民間事業者による自主的な取組を促進するための施策として、消費者庁でも検討されてきた制度ですね。ＩＳＯでも新たな指針として検討されているそうです（これは知りませんでした）。

この制度は、消費者庁による民間事業者向けガイドラインを参考に、実効性の高い内部通報制度を整備して、コンプライアンス経営の推進に積極的に活用する企業を認証する、というものです。民間の第三者評価機関が、４０項目程度の審査基準をもとに評価・認証するようですね。認証を受けた民間事業者側は、取得を積極的にアピールすることで、自浄能力の高さ、製品やサービスの安全性を社会に広報していただくことを想定しています。

ここからは私の個人的な意見ですが、この認証制度が大企業向けなのか、というとそうではなく、中小企業にも認証の機会を付与すべき、ということです。民間事業者向けガイドラインは、小さな事業者でも参考にしていただくことを念頭に置いていますので、中小企業の実情も踏まえて、前向きに取り組んでいる事業者の方々も認証される資格はあるはずです。なので、認証評価基準の運用は弾力的であるべきです。

つぎに、いったん認証を受けた後に「ほったらかし」では意味がない、という点です。継続研修制度や認証更新制として、整備よりも運用を重視した認証制度にすべきです。認証を受けたにもかかわらず、不正が起きたから認証取消し・・・といったものではなく、たとえ不正が起きたとしても自浄能力を発揮することに寄与すれば「優れた制度」として認められるべきですし、また形だけ整備していたとしても、実際に運用されている形跡がみられない、ということでしたら認証を取り消す、といった仕組みが必要かと思います。

そして最後になりますが、認証を受けた企業の取組みを、できるだけ公共財として周知すべきです。とくに、中小企業の内部通報制度については創育工夫の余地が多いはずです。様々なアイデアで優れた内部通報制度を整備・運用している事業者がいらっしゃれば、できるだけ他社の参考にもしていただければと。なお、老婆心ながら、（制度が実施される前に）行政法に詳しい方に、こういった認証の付与、取消といったことの法的性質について、きっちり学んでおいたほうが良いかなぁと思いますね。

コンプライアンス・リスクの格付けが始まるそうで。。。

5月13日の日経ニュースによりますと、東京商工リサーチさんが5月14日から国内外の企業の法令順守（コンプライアンス）リスクを算出するサービスを始めるそうです。40以上の国・地域の約３万5000件以上の制裁リストやメディア情報をもとに、法令順守に違反しているリスクを100段階で格付けする、とのこと。法令順守リスクなる概念は初めて知りました。

東証「企業不祥事予防のプリンシプル」に対応して、予防のための取組みの開示を準備されている企業が出てきていますが、このようなコンプライアンス・リスクが格付けの対象になりますと「なにがなんでも隠しちゃえ！」「バレたらバレたで、そん時に考えよう」といった企業も増えてくるような気がします。まぁ、そういった企業はマイナスポイントが大きく付く・・・といったことになるのかもしれませんが。

しかし、日本企業の場合、「法令順守」に問題がある企業は、むしろ「取引先に迷惑をかけてはいけない」との思いから自社に不正リスクを抱えてしまうことも多いわけでして、一概に法令順守リスクが高い企業＝「おつきあいしたくない企業」とも言えないのではないかと。むしろ、こういった格付けの判断基準となるハードロー違反よりも、判断基準からはずれるソフトローを無視する企業のほうが「おつきあいしたくない企業」だったりするような気がします。

ＫＡＭ導入（監査基準の改訂）で監査役等の存在感は高まるか？

ゴールデンウイークも関係なく外部調査委員会の仕事で働き続けておりまして、なかなかブログを更新する時間がとれません（もうすこしお待ちください）。なので、ブログを書きたいネタだけのご紹介です。中身はほとんどありません（笑）。

5月8日、金融庁・企業会計審議会監査部会は「監査基準の改訂について（公開草案）」を取りまとめ、公表しています。紹介文に、

我が国の監査プロセスの透明性を向上させる観点から、監査報告書において「監査上の主要な検討事項」の記載を求める案が取りまとめられました

とありますとおり、監査報告書の長文化（監査上の主要な検討事項を新たに記載する）を実施する、ということで監査基準が改訂されるようです。金融庁の内部告発本と称される「金融庁の基礎知識」の中で、筆者が（先行する英国のロールスロイス社の例を引用しながら）「いの一番で長文化を始めたロールスロイスさん、笑いものになっちゃったし、そんなにたいした制度でもないですよ、証券アナリストの人たちが絶滅するくらいかな・・」と指摘されていますので、私もやや疑心暗鬼なところもありますが、ともかくＫＡＭの制度化には期待をしております。

普段なら、部会の議事録からキッチリと読んでいるのですが、残念ながらまだ読めておりません。ただ、ざーっと草案を眺めておりますと、会社法上の機関である監査役等（監査役、監査等委員、監査委員）の皆様が重要な役割を担うことがわかります。

（３）経営者及び監査役等の責任

経営者には、財務諸表の作成責任があること、財務諸表に 重要な虚偽の表示がないように内部統制を整備及び運用する 責任があること、継続企業の前提に関する評価を行い必要な 開示を行う責任があること  監査役等には、財務報告プロセスを監視する責任があること

７　監査上の主要な検討事項

１ 監査人は、監査の過程で監査役等と協議した事項の中から 特に注意を払った事項を決定した上で、その中からさらに、 当年度の財務諸表の監査において、職業的専門家として特に 重要であると判断した事項を監査上の主要な検討事項として 決定しなければならない。

ということで、監査役等の今後の監査報告書における重要な責任が明記されるようになるようですね（草案段階ですが）。監査役等ときちんと連携をした、ということも、監査人の責任欄に記載することにもなるようです。金商法上の監査報告書にも「監査役等の責任」が明記される意味は（今後、いろいろな理由から）大きいかもしれません。

内部統制報告制度、不正対応監査基準にも監査役等は登場しておりましたが、監査報告書に統括責任者として監査役等が明記されるわけで、ぜひとも経営者の皆様に（これを機会に？）財務報告プロセスへの監査役等の関与がきわめて重要であることを認識していただければと（まぁ、こんなときにかぎって指名委員会等設置会社の監査委員（元）の方がインサイダー取引疑惑で監視委員会から強制調査されている、といったニュースが飛び込んできたりするのがナントも・・・ですが）。

ＥＳＧ投資のＥ（環境）は商売のタネと考えるべきでは？

ニッセイアセット・マネジメント社の井口譲二さんから、財務・非財務情報の実効的な開示なる新刊書を献本いただきました（どうもありがとうございます）。副題にもあるように、ＥＳＧ投資に対応した企業報告の例なども紹介されていて、非財務情報報告、ＥＳＧ投資への企業対応の現状を知るにはたいへん参考になる一冊です。

別冊商事法務さんは、有益な資料を専門家が整理をしてコメントを加える、といったスタイルが多いように感じます。しかしこの本は、井口さんの個人的な知見・経験に基づく解説が多くて良いですね。欧米企業や団体、機関投資家の考え方なども、井口さんのわかりやすい解説を拝読して初めて理解したところもあります。

ところで、これは私の（素人考えによる）独断にすぎませんが、ＥＳＧ投資がさかんになる中で、どうもＥ（環境）への企業の取組みが、ＣＳＲ（社会的責任）と結び付けて紹介されている例が多いように思いますが、もっと商売と結びついているのではないか・・・と感じております。むしろEＳＧの中で一番ビジネスと関連性が深いのがＥ（環境）ではないでしょうか。

最近のＶＷの排ガス規制違反への刑事、民事の厳しい制裁をみれば明らかですが、環境対応は企業のリスク管理（コンプライアンス）の重要な要素です。また環境規制を「排出権取引」の発想からみていきますと、環境対策のアドバンテージは、企業の収益とも密接な関係に立つはずです。２０４０年までに英国ではガソリン車は走行できなくなる、ＨＶもダメ・・・といったニュースが出ていましたが、環境問題とはあまり縁がないような企業が持っている多様な技術について、有益な取引の材料になる可能性が高まるのではないかと。つまり、Ｅ（環境）というのは事業戦略の攻めにも守りにも大きな影響を及ぼすものであり、そこを説明できるＫＰＩを企業が上手にプレゼン（開示）しなければならないのではないかと思うのです。

ＥＳＧ投資という視点において、「環境に優しい製品を作っています」とか「廃棄物ゼロ（リサイクル）を目指しています」といった事業戦略を売りにすることも大切ではありますが、この会社は１０年後も生き残ることができるような（環境を売りにする会社が欲しがるような）技術を持っています、環境規制に違反して叩かれるような要素は当社のビジネスにはありません、といった「現実の商売のアピール」こそ、Ｅ（環境）によって評価されるべきではないのかなぁと考えております。従業員の方々にも「へえ、そうなんだ。ウチの会社の商品って、社会の役に立ってるんだぁ」と、承認欲求を満たしてもらえそうな工夫が求められているのではないかと。

法令違反が放置されている内部統制報告制度の運用（その２）

いつも有益な情報をいただいております「いたさん」さんから教えていただいたのですが、日本公認会計士協会さんが、4月6日、監査・保証実務委員会研究報告第32号「内部統制報告制度の運用の実効性の確保について」を公表されたようです。少し長いですが、ようやく拝読させていただきました。

『本研究報告は、平成28年３月に公表された「会計監査の在り方に関する懇談会」の提言「―会計監査の信頼性確保のために―」において、「内部統制報告制度の運用状況については必要な検証を行い、制度運用の実効性確保を図っていくべき」とされたことを踏まえて、内部統制報告制度について所期の目的を達成するような運用が定着しているのかどうかについて検討を行い、その結果を取り纏めたもの』とのこと。

ようやく訂正内部統制報告書の運用に内在する課題についても光があたりましたね。私は２０１３年１０月に「法令違反が放置されている内部統制報告制度の運用」なるエントリーを書きましたが、ようやくそこで問題提起していたことが、日本公認会計士協会さんでも取り上げていただけることになったようで、少しうれしい気分です。最初にこの問題をブログで取り上げて、もう１０年ほどですね。

このように考えますと、そもそもリスクを開示せよ、としている金商法の適用において、経営者も監査法人も法令違反の状態にあると言わざるを得ません。制度施行から５年が経過して、この点について誰も疑問を抱かないということは、まさに上場会社のすべてが、そして監査を担当するすべての監査法人が思考停止状態にあると言えます。ちなみに今年３月に出版しました拙著「法の世界における会計監査｣の中でも、この問題について疑問を呈しましたが、これまで、この点についてはどなたからもご異論をいただいておりません。

ずいぶん上から目線で偉そうな物言いをしていますが（笑）、それだけ当時は内部統制報告制度の運用に危機感を抱いていた・・・ということでご容赦ください（いまは当時ほどの情熱が・・・）。<m(__)m>いま読み返してみて、当時と今と、私の意見は全く変わっておりません。

いずれにしましても、会計不正が発覚した企業において訂正内部統制報告書が提出される場合に、訂正の理由を経営者が詳細に開示するとなりますと、経営者の法的責任が問われるリスクは高まるでしょうね。日本の内部統制報告制度ではダイレクトレポーティングを採用していないわけですが、それでも会計監査人のリーガルリスクも考えられるわけです。会計士の皆様方が、この研究報告で課題とされていることを実践していただくことに期待します。まさに職業倫理に裏打ちされた会計プロフェッション、そして財務報告サプライチェーンにおける「ゲートキーパー」としての役割だと思います。

上場会社のＣＥＯ解任手続きの明示はむずかしい・・・と思う

4月30日の日経法務面特集では、近時のコーポレートガバナンス・コート改訂の目玉であるＣＥＯ解任手続の明示、および明示された手続の遵守（コード補充原則４－３②、同４－３③）について解説記事が掲載されていました。業績不振であるにもかかわらず、経営トップが居座り続けるような事態を回避し、日本企業のトップ人事の透明性を海外投資家にも説明しやすくする、ということが目的で改訂されるようです。

ただ、記事によりますと、この改訂４－３を上場企業が遵守することを前提として、「どう表記したらよいのかわからない」と、担当者が困惑している事情も紹介されています。某社の例として法令違反ある場合や著しい業績不振が認められる場合、といったことが指針として開示される予定のようです。しかし、そもそも業績不振が明らかな段階になって初めて解任・・・というのは遅すぎるわけでして（笑）、コードが改訂される趣旨は「たとえ業績が良くても、資本コストを考えない経営を続けている人を解任せよ」ということなので、このままだとコンプライしていますと言いながら、実質はコンプライ（遵守）していない（コードの解釈を誤る）、という規則違反（東証ルール違反）に陥る上場企業が増えるばかりになりそうです。

取締役の解任には正当理由が必要である（正当理由ない場合は損害賠償義務が会社に発生する）と会社法が明文で規定していますが、代表取締役の解職についてはそのような規定はありません。このあたりの説明は、代表取締役任用契約の存否、という会社法上の争点にも関わりますので明確には言えませんが、取締役会はいつでも代表取締役を自由に解職できる、というのが会社法の立場と考えられます。このような会社法の趣旨からみれば、代表取締役の解職指針を決めて、取締役会はこれに従え、というのも、やや問題がありそうです。もちろんコード策定者からすれば、会社法の趣旨を尊重したうえで、あえて指針を定めることは何ら問題ない、とおっしゃるはずです。しかし、解職される代表取締役からすれば「指針を作ったのだから、当社では代表取締役の解職事由を制限する合意があったと言える。だから、私の解職理由をきちんと指針に従って説明せよ」と抗弁を出すことも予想されます。当然裁判になれば長期化します。つまり、経団連さんの指摘するように「本来自由であるべき解職制度を硬直化してしまう」ことは大いに問題です。

「当社は改訂されたコード４－３②および③には従いません。当社はダイバーシティ（意見の多様化）を重視するため、取締役の多様な意見を代表者の選解任に反映させるためには、選解任にかかる一律の指針を設けないことが適切と判断いたしました。なお、コード４－３②および③の趣旨については賛同いたしますので、その趣旨は取締役会の実効性評価を適切に行うこと、取締役の指名、報酬に関する評価に社外取締役が関与することで実現してまいりたいと思います」

という形でエクスプレインするくらいが、ちょうど企業実務にも適しているのではないでしょうか。

機関投資家の皆様にとっても、上場会社がコンプライできないことを無理やり「コンプライしています」と宣言するよりも、詳細な理由の下で説明を受け、その説明内容の実現を対話を通して監視する道が確保されるほうが、よっぽど「形式から実質へ」と企業統治改革が進んでいることを実感できるのではないかと。

GWにおススメの調査委員会報告書－雪印種苗・品種偽装事件

（二日続けての委員会報告書ネタになりますが）品質問題を発生させた企業の調査委員を二つ兼務していることもありまして、研究目的で雪印種苗さんの「種苗法違反等に関する調査報告書」を一日かけて読みました。「全文開示版」と「簡略版」がリリースされていまして、全文版は２４０頁、簡略版でも１３０頁、いずれも読了しました。

新聞でも報じられているように、委員会報告書が開示された4月27日、雪印種苗（メグミルクさんの１００％子会社）の社長さんが辞任をされましたが、今後の第三者委員会報告書のモデルになるのではないかと思うほどに秀逸な報告書です。もともと種苗法違反（商品の表示に関する規制違反）の事実を独立した第三者によって解明していく、ということだったのですが、二度にわたる内部告発が指摘していた「品種偽装」の疑惑が浮かび上がり、最終的には社長さん（当時の専務）が品種偽装の隠蔽に関わっていたことまでが刻銘に描かれています。まさにデジタル・フォレンジックがなければ社長さんの関与は認定できなかったのでありまして、ＤＦの威力をまざまざと見せつけられる内容になっています。

最初の内部告発（２０１４年）が新聞社に届いたため、新聞記者が動くのですが、会社は当該記者への対応に万全を期して、なんとか記事化されることを防ぎます（内部告発が直ちに新聞ネタにはならない現実がわかります）。しかし、二度目の内部告発（２０１７年１１月）が業界団体のところへ届くと、今度は農水省から報告要請を受けることになります。ここで種苗法違反の事実調査目的で設置された第三者委員会が、過去２回の（品種偽装疑惑解明のための）社内調査委員会の問題点を厳しく指摘し、「社内調査委員会の結果には依拠できない」としてフォレンジックおよび独自ヒアリングによる本格調査に移行します。監査役が社内調査のヒアリング記録を改ざんしたり、取締役が親会社（雪印メグミルク社）の社外役員の調査を妨害したり、さらには親会社に虚偽報告を行います。この報告書を読みますと、いかに社内調査委員会というものが脆弱であるか、思い知らされます。

「１０年ほど前にはたしかに不正が行われていたが、雪印事件をきっかけに不正は止めている」という子会社の調査事実（本当はその後も品種偽装が続いていたのですが）を親会社が知ったとき、親会社はステイクホルダーのために、また全グループのために、不祥事を公表すべきか否か。本件では不祥事を公表しない、という方針を親会社も了承するのですが、（子会社から虚偽報告を受けていたとしても）親会社として、過去のグループ会社の不正をどこまで公表すべきか、とても悩ましい問題ではあります。本件でも、子会社から相談を受けた親会社は、いったん公表すべきでは？との意見を表明するのですが、その後は子会社調査の結果を受けて「非公表」という方向性を承認するのですが、このあたりは有事の経営判断とも関連するグループ会社管理の在り方として議論したいところです。

本報告書は大きく分けて「種苗法違反」に関する報告と「品種偽装」に関する報告に分かれますが、ゴールデンウイークにお時間のある方には、ぜひとも「品種偽装」の部分（第三章以下）について、フォレンジックで浮かび上がった関係者メールの生々しいやりとりが描かれている「全文開示版」の通読をおススメいたします。この報告書を読んで監督官庁がどのように動くのか、社長退任というガバナンス上の対応が、今後のステイクホルダーの動きにどう影響が出るのか、とても興味深いところです。それにしても内部告発の威力はすごい（私個人の感想ですが、会社も第三者委員会委員も、誰が告発したのかはわかっていたのではないでしょうか）。このような結果にならないためにも、内部通報制度を機能させる必要があります。

ＤＦ（デジタルフォレンジック）業者が足りない！－調査委員会激増の中で

本日（4月28日）も、私が委員長を務めておりますＴＮ社外部調査委員会を開催しておりましたが、終了後、「社内調査、社外調査の委員会が増えているので業者の『取り合い』状態が続いているようだ。掛け持ちができない仕事なのでたいへんな状況」との話題が出ておりました。速やかに調査委員会を立ちあげたいのにＤＦ業者さんがいない・・・という状況は、考えてみると恐ろしいです。

たしかに、私が独自で調べた結果からみますと、1月～4月までにリリースされた（上場会社の企業不祥事発生に伴って立ち上げられた）社内調査委員会、社外調査委員会の数は、２０１５年から今年までの推移でみますと１８件→１８件→１０件→２７件となっていて、今年は激増しています。さらに開示が必要かどうか、会計監査人の品質管理部門の判断に資するための予備調査まで含めますと、調査委員会が相当に増えていることは間違いありません。予備調査にまでフォレンジックが必要かどうかは事案次第かと思いますが、フォレンジック業者の取り合い状態・・・というのも頷けます。

フォレンジックには①委員との連携（保全対象者の絞り込み、キーワード検索の有効性）、②フォレンジックを監督するアドバイザー（費用対効果）、③会社の協力関係（対象者のＰＣやスマホ、クラウドの提供）が必要ですが、なんといっても保全から解析、一次レビュー、二次レビューに多くの専門人員の投入が不可欠で、ここのところが事実認定のための証拠発見、件外調査の合理性確保の決め手となります。実際に調査活動に携わりますと、フォレンジックの巧拙が調査の成否を決める、ということも実感します。将来的にはＡＩによって作業の一部は代替できそうですが、やはり人間の勘や会社、委員の我儘への忍耐（？）なども必要なのですべて代替できるような仕事ではありません。

フォレンジック担当者は、会社と委員会がどのような姿勢で対峙しているのか、一番近くで見ています。「なんちゃって委員会」なのか「真にステイクホルダーに説明責任を尽くすための委員会」なのか、一番わかる立ち位置にいらっしゃいます。今後、どんな方々に調査委員会を構成してもらうか、悩んだときはフォレンジック業者の方に聞いてみるのも良い方法かもしれませんね。