企業秘密漏洩のリスクマネジメント（その２）

（１０日午前　追記あります）

元モーニング娘。の加護チャンが深夜レストランでの喫煙シーンを撮影され、プロダクションは本人の番組降板を含む謹慎処分を決定し、「管理不行届を猛省している。今後このようなことのないよう、十分管理監督いたします」と発表しました。さて、本人を管理監督する、とはいったいどういったことを今後加護チャンになさるのであろうか？

一昨日、エントリーいたしましたみずほ銀行元課長の企業情報漏洩の件での逮捕を受け、みずほ銀行は同様の文章で今後の内部管理体制の強化を誓約しております。コメントをいただいたケロタさんのおっしゃるとおり、この方は前職（つまり犯行時）こそ営業店に勤務されていたものの、現在の職務が本店の内部監査室（組織図によりますと）調査役（ひょっとすると、本当に機密漏洩などを監視する部署かもしれません）、ということでありまして、みずほ銀行においては、そのショックは計り知れないものではないでしょうか。みずほ銀行の内部管理体制への取り組みなどを読んでおりましても、おそらく金融機関としての日本で最も高い水準にある内部監査体制を保持しているものと思われますし、そういった体制をもってしても、営業店舗における顧客との癒着、犯罪への加担、コンプライアンス体制への意識の希薄化といったものは回避できないところがあることを物語っているようです。そういったことを考えますと、さきほどの加護チャンと同様、これ以上に内部管理体制を強化するって、いったいどういうことをされるのか、具体的に教えていただきたいところであります。

ろじゃあさんがコメントくださったように、どうもきょうあたりの報道によると、行内にいても、先が知れてるということで、このフロント企業の代表者といっしょに事業を始めたかったようでして、行内における人間関係あたりが、内部管理体制などとは別次元で犯行の動機になっていた可能性もあるようです。（あくまでも報道内容が真実ならば・・・ということですが）ただ、それであってもいきなり顧客１２００名分の情報を７００枚のコピー用紙にプリントアウトして、社外に持ち出すという行動は、かなり異常と思われますが、どうなんでしょうか。金融機関の営業店舗であれば、誰でもこういった情報はアクセス可能であり、また紙ベースもしくは電磁的方法による複製作業といったものが日常茶飯に行われているとしたら、もはや対処の方法もなく、たまたまフライデーされた加護チャンの喫煙のように、見つかったのは運が悪かっただけで、どこでも流出している、といった状況になってしまってるんじゃないでしょうか。よくよく自分の仕事を振り返ってみますと、コンプライアンス委員会の委員などの提案でも、こういった事態が発生して、「さらなる内部管理体制の向上策」の考案といったものは、実は経営陣の監視義務違反にならないような方策、つまり「後ろ向きのコンプライアンス」であって、本当に会社のレピュテーションを低下させないことを目標とした「前向きのコンプライアンス」を目指しているのか、自信がなくなるときがあります。

そういった面においては、胡桃さんがコメントでご紹介いただいているような、先進技術を利用した犯罪抑止効果のある機械に頼りたくなる気持もわかります。また、アクセスに際しての情報共有化を進めて、コピーはかならず複数人によって行うような業務執行体制をとることなども検討されるところです。しかしながら、こういった運動を行内で進めるとなると、本当に社内における行員のストレス悪化につながる危険性もあるんでしょうね。一昨日のエントリーでは、私は行員の「犯罪発覚の容易性に関する認識」が抑止効果を持つのではないか、とも述べましたが、実は今回の件では、どうもフロント企業の役員ということは知らなかったようでして、純粋に企業情報を持ち出して、今後の事業に役立てようと考えていたようです。競争相手への企業情報の譲渡につきましても、業務上横領だけでなく、不正競争防止法の改正などによりまして、ずいぶんと罰則が強化されておりますので、その目的如何にかかわりなく、情報漏洩に対しては企業がキビシイ態度で臨むことを行員に周知徹底する以外には防ぎきれないのではないでしょうか。（そういった意味では、fujiさんがコメントされているように、厳罰化によって防止しなければいけない部分もあるかもしれませんね）あとは高額の予算導入による営業店舗のシステム変更以外にはありえないように思えます。こういった犯行をやろうと思えばできるけれども、おそらくすぐに発覚するであろうから、やっぱりやらない、と思えるようなシステム、そういったものが各企業の業務プロセスを見直すなかで、ひらめくかどうか、情報保護の安定性そのものが商売道具である金融機関にとっての大きな課題だと思います。

（２月１０日午前　追記）

朝日新聞ニュースとして、秘密漏洩罪の罰則強化に関する個人情報保護法改正案原案が作成された旨の報道がありました。今国会に提出されるかどうかは、今後慎重に判断する、とのことです。この罰則強化の流れというのは、私の上記意見と同じ趣旨かと思われますが、今朝、コンプライアンスプロフェッショナルさんより、詳細なコメントを頂戴しておりますので、対応策のひとつとして検討してみたいと思います。相手が「フロント企業」ということですと、コンプライアンスプロフェッショナルさんのように、いくつかの対応パターンもあるかもしれません。企業としましては、社員個々の不祥事といったものは「常にありうる」と認識したうえで、リスクを最低限度に抑える手法も検討すべきでしょう。ただ、私も経験がありますが、各企業で発生しうる不祥事リスクを洗い出せと指示しても、簡単に洗い出して、対応策を創造するのはムズカシイです。どうしても日々の業務に追われて、後回しになってしまいがちです。担当者が頑張ろうしても、現場がなかなか協力してくれないこともあります。こういったところにも、企業トップもしくは担当取締役の熱意の有無が影響する、というのが実感ですね。