22Mar.2019

シ ス テ ム 監 査

研究ノート

コーポレートガバナンスの一環としての知的財産権及びデータに関する方針等の開示の現状

Current Status of Disclosure of Policies on Intellectual property rights and Data as part of “Corporate Governance”

荒牧裕一

Yuichi Aramaki

大和大学
Yamato University

概 要2018 年 4 月のシステム監査基準及びシステム管理基準の改訂でシステム管理が IT ガバナンスの問題として位置づけられ、2018 年 6 月の東京証券取引所のコーポレートガバナンス・コードの改訂でも内容の拡大と強化が図られる等、コーポレートガバナンスの重要性が増し、ステークホルダーに対する非財務情報の開示の必要性もより高まっている。
このような背景の下、東京証券取引所第１部上場会社の内、情報・通信業に分類されている 205 社を対象として、システム管理基準で求められている項目から、開示の進んでいると思われるもの（個人情報に関する方針、情報セキュリティ基本方針等）と開示が進んでいないと思われるもの（知的財産権やデータに関する方針）を選び、現状調査を行った。
その結果、法令で開示が義務付けられている情報については開示が進んでいるが、そうでない情報の開示は、知的財産権の保護のように開示の内容が不十分であったり、外部へのデータ提供等のように独立した方針の策定自体がほとんどなされていない等、総じて低調であることが定量的に確認できた。
キーワード：IT ガバナンス、個人情報、知的財産権、データ、情報開示
Ⅰ．はじめに
１．本研究の背景と意義
2018 年には、コーポレートガバナンスについて注目すべき２つの動きがあった。第１は、2018年 4 月のシステム監査基準及びシステム管理基準の改訂であり、システム管理が IT ガバナンスの問題として位置づけられる等、システム監査制度とガバナンスとの関係がより明確・密接になった。
第２は、2018 年 6 月の東京証券取引所のコーポレートガバナンス・コードの改訂であり、内容の拡大と強化が図られている。
このようにコーポレートガバナンスの重要性が増すにつれ、ステークホルダーに対する情報開示の必要性もより高まっている。しかし、システム管理基準で求められている項目の中には、個人情報に関する方針や情報セキュリティ基本方針のよ
投稿受理日
査読完了日

2019 年 4 月 16 日
2019 年 5 月 30 日

うに開示が進んでいると思われるものもあれば、知的財産権やデータに関する方針のように、開示が進んでいないと思われるものもある。
そこで本研究では、上場会社のホームページ（以下、「HP」という。）においてこれらの項目が実際に開示されているかどうかの現状を調査し考察を加えた。これまでは各項目の開示が進んでいるかどうかについて経験上の定性的な判断しかできなかったが、本研究の調査によって現状を定量的に確認できる点に意義がある。
2．先行研究IT ガバナンス等に関する先行研究としては、原田要之助の「AI のガバナンスについて－ IT ガバ
ナンスの系譜からの考察」1）等、いくつかの先行研究が存在する。

Vol.32, No.1

コーポレートガバナンスの一環としての知的財産権及びデータに関する方針等の開示の現状

しかし、本研究のように個人情報、知的財産権、データ等の開示状況と IT ガバナンスとを結びつけて行った研究は、ほとんど存在しない。
3．定義
本研究で用いる以下の用語の定義を示す。
（1）コーポレートガバナンス
本研究では、東京証券取引所の上場会社を調査対象としていることから、東京証券取引所の「コーポレートガバナンス・コード」の定義に従う。すなわち、「「コーポレートガバナンス」とは、会社が、株主をはじめ顧客・従業員・地域社会等の立場を踏まえた上で、透明・公正かつ迅速・果断な意思決定を行うための仕組みを意味する。」2）（2）ステークホルダー
一般的には、会社と直接・間接的な利害を有する者あるいはその集団のことであり、利害関係者とも呼ばれる。具体例としては、上記 (1) のコーポレートガバナンスの定義で述べられている「株主をはじめ顧客・従業員・地域社会等」が挙げられる。
ただし本研究では、会社の HP 上での開示を調査しているため、従業員といった会社内部者ではなく、株主、顧客、地域社会等の外部者を想定している。
（3）IT ガバナンス
システム管理基準の定義に従う。すなわち、「ITガバナンスとは経営陣がステークホルダのニーズに基づき、組織の価値を高めるために実践する行動であり、情報システムのあるべき姿を示す情報システム戦略の策定及び実現に必要となる組織能力である。」3）（4）情報セキュリティガバナンス
経済産業省の定義に従う。すなわち、情報セキュリティガバナンスとは「コーポレート・ガバナンスと、それを支えるメカニズムである内部統制の仕組みを、情報セキュリティの観点から企業内に構築・運用すること」4）を意味する。
（5）個人情報
個人情報保護法における「個人情報」の定義に従う。5）23（6）知的財産権
知的財産基本法の定義に従う。すなわち、「「知的財産権」とは、特許権、実用新案権、育成者権、意匠権、著作権、商標権その他の知的財産に関して法令により定められた権利又は法律上保護される利益に係る権利をいう。」6)
なお、「その他の知的財産に関して法令により定められた権利又は法律上保護される利益に係る権利」の例としては、不正競争防止法で保護される営業秘密等が挙げられる。
（7）データ
自社又は他社にとって経済的価値のある情報であって、個人情報や知的財産権に該当しないもの。
例えば、IoT によって収集した情報やＢ to Ｂ取引により入手した情報で、不正競争防止法の営業秘密の要件を満たさない情報等が考えられる。

Ⅱ．本論
１．ガバナンスにおける情報開示の必要性
まず、コーポレートガバナンス、IT ガバナンス、及び情報セキュリティガバナンスにおける、ステークホルダーに対する情報開示の必要性について検討する。
1．1 コーポレートガバナンスにおける情報開示
東京証券取引所のコーポレートガバナンス・
コードでは、基本原則 3 で「上場会社は、会社の財政状態・経営成績等の財務情報や、経営戦略・経営課題、リスクやガバナンスに係る情報等の非財務情報について、法令に基づく開示を適切に行うとともに、法令に基づく開示以外の情報提供にも主体的に取り組むべきである。」7）と規定され、法令によって開示が義務付けられていない情報についても積極的な開示を求めている。
さらにその「考え方」においては、「上場会社は、法令に基づく開示以外の情報提供にも主体的に取り組むべきである。更に、我が国の上場会社による情報開示は、計表等については、様式・作成要領などが詳細に定められており比較可能性に優れている一方で、会社の財政状態、経営戦略、リスク、ガバナンスや社会・環境問題に関する事項（いわゆるＥＳＧ要素）などについて説明等を行ういわ
ゆる非財務情報を巡っては、ひな型的な記述や具体性を欠く記述となっており付加価値に乏しい場

24

シ ス テ ム 監 査合が少なくない、との指摘もある。取締役会は、こうした情報を含め、開示・提供される情報が可能な限り利用者にとって有益な記載となるよう積極的に関与を行う必要がある。」7）と述べられており、非財務情報についても、ひな型的な記述を脱した具体性のある開示が求められている。
このように、コーポレートガバナンスにおいては、ステークホルダーに対する情報開示は基本的な前提となっており、必要性が示されている。
1．2 IT ガバナンス及び情報セキュリティガバ
ナンスにおける情報開示（1）IT ガバナンスの EDM モデル
システム監査基準でも参照されている、IT ガバナンスに関する国際標準である ISO/IEC 38500
シリーズ及び日本規格である JIS Q 38500 においては、IT ガバナンスにおける経営陣の行動のフ レ ー ム ワ ー ク を、 評 価（Evaluate）、指示（Direct）、モニタ（Monitor）により構成し、それらの頭文字をとって EDM モデルと呼んでいる（図 1 参照）。
この EDM モデルにおいては、ステークホルダーへの報告については触れられていない。

図1

JISQ38500 の EDM モデル8)（2）情報セキュリティガバナンスの EDM+OR モ
デル
経済産業省の「情報セキュリティガバナンス導入ガイダンス」においては、情報セキュリティガバナンスにおける経営陣の行動のフレームワーク
について、EDM モデルに監督（Oversee）と利害関係者（ステークホルダー）への報告（Report）

Mar.2019を加えた、EDM+OR とも言えるモデルが示されており、情報開示の必要性が示されている。
（図2 参照）

図2

経済産業省の EDM+OR モデル 9)（3）IT ガバナンスにおける情報開示の必要性
上記 (1)(2) で述べたように、IT ガバナンスのフレームワークではステークホルダーへの報告は触れられておらず、情報セキュリティガバナンスのフレームワークにのみ報告（Report）が加えられている。しかしこのことは、IT ガバナンスにおいてステークホルダーへの報告すなわち情報開示が不要であるという意味ではない。
IT ガバナンスも情報セキュリティガバナンスも、より広い概念のコーポレートガバナンスの一部であり、コーポレートガバナンスにおいてステークホルダーに対する情報開示が基本的な前提となっている以上、IT ガバナンスにおいても必要性があると解すべきである。この解釈は、IT ガバナンスの定義に「ステークホルダのニーズに基づき」という表現が入れられていることとも整合する。
2．情報開示の現状調査について情報開示の現状を定量的に確認するために、上場企業の HP における非財務情報の開示について調査を行った。その対象となる会社の範囲及び調査項目等は、次のとおりである。
2．1 対象会社の範囲
東京証券取引所第１部上場会社の内、業種が情報・通信業に分類されている 205 社を対象とした。
これは、調査内容についてより利害関係が高いと

Vol.32, No.125

コーポレートガバナンスの一環としての知的財産権及びデータに関する方針等の開示の現状考えられる業種を選んだものである。
2．2 調査項目（1）個人情報の取扱い、知的財産権の保護、外部へのデータ提供等に関する方針
システム管理基準には、IT ガバナンスにおけるコンプライアンスの評価・指示・モニタの一環として、「経営陣は、個人情報の取扱い、知的財産権の保護、外部へのデータ提供等に関する方針を定めて指示し、その結果をモニタしていること。」が規定されている。
この規定では、個人情報、知的財産権、データという３つの項目が並列で挙げられている。しかし、経験上、個人情報についてはほとんどの会社がこれを開示していると感じているのに対し、知的財産権やデータについては開示している会社が少ないように感じている。そこで、まずこれらの３項目について調査した。
10）

2．3 調査方法
現状調査の方法は、2019 年 3 月 13 日から 4月 13 日の約１か月間に渡り、対象会社の HP にアクセスし、会社情報（行動規範等）や IR 情報（直近に開示された有価証券報告書等）等において調査項目が開示されているかどうかを確認した。
3．調査結果
情報開示の現状調査の結果は次のとおりである。
3．1 概要各調査項目の確認結果を概要を表 1 に示す。
表1

HP における情報開示の概要

個人 知的認証 監査
データ セキュリティ
情報 財産権取得 報告書
開示会社数 204 社 152 社（73 社） 101 社（2）情報セキュリティ基本方針
2019 年の改正前のシステム管理基準では、「情報セキュリティ基本方針を明確にすること。」11）と規定されていたが、改正後の基準では、「情報セキュリティの評価・指示・モニタ」12） というEDM に準拠した規定となった。
ただし、情報セキュリティの評価・指示・モニタを行う前提として、情報セキュリティ基本方針の明確化が当然必要となることから、今回の現状調査では、情報セキュリティ基本方針の開示の有無を確認した。
（3） プ ラ イ バ シ ー マ ー ク・ISMS（ISO27001）
認証取得等
システム監査基準では直接求められていないが、情報セキュリティの評価・指示・モニタを実施していることを担保する方法として、プライバシーマークないし ISMS（ISO27001）の認証取得が行われている。この認証取得について開示が行われているかどうか確認した。
併せて、システム監査ないし情報セキュリティ監査を実施した企業が、その監査報告書を開示しているかどうかについても調査した。

39 社

0社

3．2 項目別調査結果（1）個人情報の取扱いに関する方針
調査対象 205 社中 204 社と、ほぼ全ての会社
において、HP 上で「個人情報保護方針」や「プライバシーポリシー」等の方針の開示がなされていた。しかもそれらのほとんどは、トップページ下部にリンクが設定され、１クリックで内容を確認することができた。
このように、個人情報の取扱いに関する方針の開示率が高い理由としては、個人情報保護法が一定事項の開示を義務付けていることが考えられる。
（2）知的財産権の保護に関する方針
ほとんどの会社において「関係法令の遵守」といった表現でのコンプライアンス全般に関する方針を開示していた。しかし、知的財産権あるいはIP（Intellectual Property）等の権利を明示して方針を開示した会社は 152 社に留まった。それらの開示形式別の内訳を表 2 に示す。
表2

知的財産権の保護に関する方針の開示状況

コンプライアンス 有価証券報告書
関連規程
ひな型的 具体的
開示会社数

136 社

68 社

21 社

経営戦略・ 知的財産情報開示無し
経営計画関連 開示指針準拠
22 社

2社

（53 社）

26

シ ス テ ム 監 査

知的財産権については、39 社が行動規準等のコンプライアンス関連規程で知的財産権の保護を挙げていた。また、68 社は有価証券報告書の「事業等のリスク」において自社の知的財産権の保護と他社の知的財産権の侵害リスクについて、ひな型的に言及するに留まり（図 3 参照）、充実した内容の開示をしている会社は少なかった。
知的財産権に関する情報開示では、2004 年に経済産業省が「知的財産情報開示指針」13）というガイドラインを公表しているが、この指針に準拠して開示を行っている会社は、日本電信電話（株）
14）
及び（株）ＮＴＴドコモ 15） の同一グループ会社２社だけであった。
(5）コンプライアンスに関するリスク② 知的財産権について当社グループは、運営サイト及びサービス名称等について積極的に商標登録の取得に努めるとともに、第三者の知的財産権を侵害しないよう十分な注意を払っております。また、当社グループが提供するサービスにおいて、当社グループが所有する知的財産権を第三者に使用許諾する場合や、第三者の所有する知的財産権の使用許諾を受ける場合があり、その場合は使用許諾契約の締結等による管理体制を強化しております。
しかしながら、知的財産権の範囲や契約条件の解釈の齟齬等により、認識外で第三者の知的財産権を侵害した場合、当社グループは第三者から知的財産権侵害の訴訟、使用差止請求等を受ける可能性があります。その結果、解決に多額の費用と時間がかかり、当社グループの業績及び今後の事業展開に影響を及ぼす可能性があります。

図３

有価証券報告書の「事業等のリスク」におけるひな型的な開示の例 16)（3）外部へのデータ提供等に関する方針
データ提供等に関する方針については 73 社の会社が開示をしていたが、73 社全てが Cookie、Web ビーコン、アクセスログ（IP アドレス）等、個人情報の定義からは外れるがプライバシー性の高いパーソナルデータの取扱いに関する方針を規定したに過ぎないものであった。しかも内 65 社
は、独立した方針ではなく、「個人情報保護方針」

Mar.2019や「プライバシーポリシー」等の一部として規定されていた。
このように、データ提供等に関する方針については、まだ独立した方針ではなく個人情報の取扱いに関する方針の延長線での開示がされているに過ぎない。今後 AI や IoT 等の活用が進む中、パーソナルデータ以外のデータに関する方針が策定・開示されることが望まれる。
（4）情報セキュリティ基本方針
情報セキュリティ基本方針等については 101 社が開示をしていた。全体の約半数に留まった理由
としては、個人情報の取扱いに関する方針と異なり、法律による義務付けがないことが考えられる。
しかし、情報・通信業の上場会社であれば、ほとんどが情報セキュリティ基本方針等を策定しているはずであり、それらを積極的に開示することが望まれる。

（5） プ ラ イ バ シ ー マ ー ク・ISMS（ISO27001）
認証取得
プライバシーマークないし ISMS（ISO27001）
認証取得については 136 社が開示をしていた。約３分の２に留まった理由としては、グループの持株会社が上場している場合に、調査対象の持株会社ではなくグループ内の事業会社が認証を取得している例が多いこと等が考えられる。
（6）システム監査・情報セキュリティ監査報告書
情報セキュリティ基本方針やセキュリティへの取り組みの説明の中で、情報セキュリティ監査等を実施している旨を開示していた企業は散見された。しかし、監査報告書を開示している企業は確認できなかった。
4．考察
情報開示の現状調査の結果を見ると、個人情報の取扱いに関する方針のように、法令で開示が義務付けられている情報についてはステークホルダーに対する開示が進んでいる。しかしそれ以外については、情報セキュリティ基本方針のようにほとんどの企業が策定していると考えられる情報であっても約半数の会社しか開示していなかった。また、知的財産権の保護のように開示される方針の内容が不十分であったり、外部へのデータ提供等のように独立した方針の策定自体がほとんVol.32, No.1

コーポレートガバナンスの一環としての知的財産権及びデータに関する方針等の開示の現状

どなされていないものもある。
このように、法令で開示が義務付けられていない情報の開示は総じて低調である。しかし、1.1で述べたとおり、コーポレートガバナンス・コー
ドの基本原則 3 には「法令に基づく開示以外の情報提供にも主体的に取り組むべき」7）旨規定されており、少なくとも上場会社においては、これらの情報の開示は経営者のステークホルダーに対する義務であると考えるべきであろう。また、開示内容が不十分であったりひな型的なものに留まるのであれば、実質的にステークホルダーへの情報開示がなされたとは考えられず、十分かつ具体的な内容の開示が求められる。
5．限界
本研究における現状調査とその考察に関しては、次のような限界があると考えられる。
（1）調査対象会社の業種
今回の調査対象は、東京証券取引所第１部上場会社の内、情報・通信業の 205 社であった。このように限られた業種のみを対象とした調査であったため、その調査結果は、あくまでも調査対象の範囲内での傾向を示すものにすぎず、日本の会社の全体の傾向を示すものではない。例えば、同じ上場会社でも電気機器の製造業を調査対象とすれば、より充実した情報開示の傾向が示される可能性がある。
（2）調査方法
調査の方法として、対象会社の HP にアクセスし情報開示の有無を確認した。このような確認方法は手軽である半面、開示項目の見落としや勘違いの危険性があるため、やや調査の正確性に欠けている可能性がある。
（3）調査時期
調査は 2019 年 3 月 13 日から 4 月 13 日に実施したため、有価証券報告書等の決算関係資料を確認する際には、直近の通期である 2018 年 1 月から１2 月決算のものを対象とせざるを得なかった。そのため、システム管理基準の改訂が公表された 2018 年 4 月よりも前の資料と後の資料が混在することになった。
システム管理基準の改訂をきっかけの一つとした現状調査である以上、改訂後の資料に統一した調査が出来るように調査時期を調整したほうが好27

ましかった。
Ⅲ．おわりにコーポレートガバナンスにおいて必要なステー
クホルダーへの非財務情報の開示に関して現状調査を行った。調査項目は、システム管理基準で求められている項目から、開示の進んでいると思われるもの（個人情報に関する方針、情報セキュリティ基本方針等）と開示が進んでいないと思われるもの（知的財産権やデータに関する方針）を選んで行った。
その結果、法令で開示が義務付けられている情報については開示が進んでいるが、そうでない情報の開示は総じて低調であることが定量的に確認できた。
コーポレートガバナンス・コードでは「法令に基づく開示以外の情報提供にも主体的に取り組むべき」7）旨規定されており、少なくとも上場会社においては、これらの情報の開示は経営者のステークホルダーに対する義務であると認識すべきであり、今後は一層の情報開示が行われることを期待したい。
参考文献
1）原田要之助 (2016);「AI のガバナンスについて－ IT ガバナンスの系譜からの考察」,『情報セキュリティ総合科学第 8 号』,pp50-70
2）東京証券取引所 (2018);「コーポレートガバナンス・コード」, コーポレートガバナンス・コー
ドについて3）経済産業省 (2018),「システム管理基準」, シ
ステム管理基準の枠組み 1.
4）経済産業省 HP;「情報セキュリティに関する政 策、 緊 急 情 報 」,https://www.meti.go.jp/policy/netsecurity/sec_gov-TopPage.html,（2019 年 4 月 14 日 )5）個人情報の保護に関する法律 , 第 2 条 1 項
6）知的財産基本法 , 第 2 条 2 項
7）前掲 2), 基本原則 3, 考え方
8）日本規格協会 (2015);JISQ38500:2015（IT ガバナンス）,3.2.1c) 図 1
9）経済産業省 (2009);「情報セキュリティガバナンス導入ガイダンス」,p4 図 1-210）前掲 3), Ⅰ .7(4)11）経済産業省 (2004),「システム管理基準」, Ⅰ
1.1(6)

28

シ ス テ ム 監 査12）前掲 3), Ⅰ .8
13）経済産業省 (2004);「知的財産情報開示指針」
14）日本電信電話株式会社 HP;「知的財産センタ」,http://www.ntt.co.jp/chizai/,(2019 年 4 月 12 日 )15）株式会社ＮＴＴドコモ HP;「ドコモの知的財産」,https://www.nttdocomo.co.jp/corporate/technology/ipr/,(2019 年 4 月 12 日 )16）株式会社エイチーム (2018);「2018 年 7 月期 有価証券報告書」,p12

Mar.2019