内部監査人協会（ＩＩＡ）情報／内部監査財団・Crowe

2020年３月

プライバシーとデータ保護
第１部：弾力的なフレームワークを構築する際の内部監査の役割
内部監査財団・Crowe
著者：パメラ・Ｓ・フルビー ＣＣＥＰ，ＣＩＰＰ／ＵＳ

Ｒ・マイケル・バーニー ＣＰＡ，ＣＩＡ
訳者：堺

咲子

内部監査人協会（ＩＩＡ）専門職資格審議会 委員
インフィニティコンサルティング 代表
ＣＩＡ，ＣＣＳＡ，ＣＦＳＡ，ＣＲＭＡ，ＣＰＡ（ＵＳＡ）目
55
序文とエグゼクティブ・サマリー 
１．プライバシーとデータ保護に関する課
題の歴史と進展 56
キロバイトからゼタバイトへ 
56
問題の定義、用語の定義 58
保護、プライバシー、およびレジリエ
ンス（弾力性） 
59
２．法規制の状況、コンプライアンス、その他のリスク 
60
規制環境の進化 61
ＧＤＰＲは素晴らしい新世界か 
61
ＥＵ域外の進展状況 
62
米国のデータ保護制度 
63
コンプライアンスを超えるリスク  64
３．内部監査にとってのデータ保護の課題
と懸念
64データ保護の課題に対する内部監査人

次
64
の見解 
内部監査とデータ保護が交差する場所

65
一般に認められた10のプライバシー原則 
66
４．弾力的にデータ保護に取り組むための
フレームワーク 
67
フレームワークの構成要素と構造  68
内部監査の役割：統合的アプローチ

68
５．フレームワークの導入と遵守状況の監
査 
68
推奨する導入方法と監査方法 68
事例研究：プライバシー・フレームワ
ークの適用 70
結論とさらなる研究 71

序文とエグゼクティブ・サマリー

はその他の第三者との関係を持つ事実上すべ

現在、顧客、従業員、サプライヤー、またデータ保護要件の明確な規制対象となっていての組織体は、急増を続けるプライバシーとCopyright © 2020 by the Internal Audit Foundation, formerly The Institute of Internal Auditors Research
Foundation (IIARF). All rights reserved.© 2020 Crowe LLP.

月刊監査研究2020. 8（No.561）

55

内部監査人協会（ＩＩＡ）情報

る。このような規制は、組織体全体に課題を稿の第２部を今後１年から１年半の間に公表提起することがあり、また、内部監査人に特する予定である。これらの段階では、内部監有の課題を突き付ける可能性がある。

査財団会員に対するアンケートや実地インタ

これらの課題は、この分野で最も有名な最ビューに基づいて、専門職としての内部監査

近の規制措置の１つである、欧州連合（Ｅがどのようにデータ保護とプライバシーの課

Ｕ）の「一般データ保護規則（ＧＤＰＲ）」

題に対応しているかを検討する。プロジェクの2018年の施行に伴い特に注目を集めた。米トの最終段階では、プライバシー担当役員や国では、2020年１月１日に「カリフォルニア

他のステークホルダーがこれらの同じ問題を

州消費者プライバシー法2018年（ＣＣＰＡ）」

どのように捉えているかを検討し、内部監査が施行され、状況がさらに複雑になった。知専門職がステークホルダーの期待にうまく応名度の高いＧＤＰＲとＣＣＰＡは、このようえているかを評価することを目標とする。

な多くの規制構造の中の２つに過ぎず、これらの規制構造が組み合わさって、急増し絶えず変化する規制環境を生み出している。
テクノロジーの進歩は、プライバシーとデ

１．プライバシーとデータ保護に関する課題の歴史と進展

ータ保護に関する多くの懸念の根本原因であ

過去数十年のテクノロジー革命がもたらしるが、これらはＩＴの問題だけにとどまらなた多くの影響の１つは、プライバシーとデーいことに注意することが重要である。データ

タ保護の課題が重大な懸念事項として浮上し保護とプライバシーは職務の枠を超えた課題

たことである。あらゆる種類の組織体（公共なので、組織体全体で取り組まなければならと民間、営利と非営利、ローカルとグローバ

ない。

ル）は、顧客、サプライヤー、規制当局、お本稿は、内部監査人がプライバシーとデー
タ保護の諸問題に関する自身の現在の準備水

よびステークホルダーなどとの新たな交流の仕方を模索している。

準を評価する際の一助となることを意図してこれらすべての交流を推進する原動力は、

いるが、その理由は、特に内部監査人の取りデータである。このようなデータは大抵、機組み方が、内部監査専門職の現状に関連して

密情報、専有情報、または個人情報である。

いるからである。この自己評価の要素の１つ

貴重なデータを盗難、紛失、または誤用からには、所属する組織体の現在のデータ環境を保護する必要があるため、組織体には全く新理解することと併せて、第三者との関係やテしい懸念分野が生じ、内部監査人には対処す

クノロジーのような重要分野の監査手法が変べき全く新しいリスク分野が生じた。

化する可能性を理解することが含まれる。
さらに本稿は、内部監査人が特有のリスク

キロバイトからゼタバイトへと脅威を理解し、関連するコントロールが効

いろいろな意味でこれらの課題に対する関果的に策定、導入、および運用されているか

心が高まったのは、過去25年間にわたる市場を確認する一助となることも意図している。

とテクノロジーの大きな変化の必然的な帰結

本稿の後半の節で示すフレームワーク、監査である。1995年には、インターネットは毎秒

計画、および導入に関する議論は、内部監査

28.8キロビットのダイヤルアップモデム、パ部門の体制を構築する基礎を提供するためのソコンのハードディスク容量は500メガバイものである。

ト、携帯電話はアナログ、そして人々は依然

本研究プロジェクトの今後の段階では、本56

月刊監査研究としてポケベルを使用していた。現在、世界2020. 8（No.561）

内部監査人協会（ＩＩＡ）情報中のデータ作成量は16ゼタバイト（ＺＢ）を

ＩｏＴデバイスに加えて、他の最新テクノ

超えており、2025年までに163 ＺＢに達する

ロジーも、データのプライバシーに対する懸１

念をさらに高めている。人工知能（ＡＩ）とと予測されている 。
データ量の急増以上に、このようなデータ

機械学習テクノロジーは、膨大な量のデータ量の増加を組織体が把握して利用する様々なを収集している。これらはまさにその性質上、方法も劇的に変化してきた。ソーシャルメデ

様々なデータポイントを、個人の行動や嗜好

ィアやテクノロジー企業は、ユーザーデータに新たな洞察をもたらす形で結び付け、最近の共有方法と共有相手の選択に関して一層厳のオンライン分析で指摘されているように、

しい監視に直面しており、個人データや機密

本来は個人的で機密である情報を作り出してデータを実際には誰が所有しているのかといいる３。

う問題は、より複雑になってきた。

例えば、携帯電話用の販売アプリケーショ

データ所有権の問題は、文化の影響も受け

ンは、ＡＩテクノロジーを使用して、営業担ている。例えば一般論として、最近の欧州の当者のスマートフォンから位置情報やインタ

人々の文化的見解によると、個人データは個ーネットのアドレスを追跡し、その情報を顧人のみが所有できるという認識に向かって展客の所在地や購入履歴と組み合わせることが開している。この見解は、個人の権利と、組できる。このＡＩアプリケーションによって織体がデータを所有しているという認識とのパターンが明らかになると、会社や営業担当間に、深刻な衝突を生み出している。

者が出張、時間および資源を効率的に管理すモノのインターネット（ＩｏＴ）のようなるのに役立つ可能性がある。しかし、営業担

データ駆動型の新たなテクノロジーは、デー

当者は、雇用主が自分の位置情報、特に夜間タ保護とプライバシーに関して新たな懸念をや週末のデータを見ることに不快感を覚える

提起している。なぜならば、インターネット

かもしれない。

に接続されたセキュリティカメラ、スマートこのような複雑さのため、フォレスター・

デバイス、双方向テレビのチューナー、スマリサーチ社のバイスプレジデントで主席分析ートウォッチのような画期的なモノが、個人官のアンドラス・クザー氏は、「ＡＩは多くの情報の使用方法や共有方法を再定義するからデータを必要とするため、プライバシーへのである。例えば、2018年に米国国防総省の分影響は一層大きくなる。個人を識別できるデ

析官は、「兵士が身につけているフィットネ

ータが、さらに収集される可能性がある」とス・トラッカーなどのウェアラブル・テクノ

いう見解を述べた４。

ロジーからの位置情報データを介して、敵が急成長を遂げているもう１つのテクノロジ

部隊の位置を特定する可能性がある」という、ーであるブロックチェーンも、非常にデータ

ＩｏＴの思いも寄らない影響に直面した。そ

駆動型であり、独特のデータプライバシーのの結果、国防総省は在外職員によるＩｏＴデ問題を提起している。ブロックチェーンのト２

バイスの使用を制限せざるを得なかった 。

ランザクションは、すべてのトランザクショ

ＩｏＴデバイスの導入が急加速しているたンがネットワーク上のすべてのノードを通じめ、個人データの保護とセキュリティに関すてブロックチェーン・ネットワーク上のすべ

る消費者の懸念は高まり、より切迫している。

てのユーザーに表示されるため、変更や改ざ

こうした消費者の懸念は、プライバシーとデんができないように設計されている。だが、ータ保護の問題に取り組むようにと、組織体機密情報がたとえ暗号化されていても、トラとその内部監査人に圧力をかけている。

ンザクションのパターンを明らかにする可能

月刊監査研究2020. 8（No.561）

57

内部監査人協会（ＩＩＡ）情報性があるので、個々のユーザーの識別に使用
５

織体は、プライバシーと機密データをどのように維持し保護するかを戦略的に考えなけれされるかもしれない 。
サイバー犯罪は、プライバシーとデータ保ばならない。特に、内部監査人には、データ

護について、急速に変化する別の側面を象徴

保護の課題について検証やアシュアランスをしている。サイバー犯罪者とそのツールがよ提供する明らかなニーズがある。しかし、こり巧妙化するにつれて、情報テクノロジーののニーズと同時に、内部監査人にはさらなる専門家と組織体のリーダーも、所有する企業

洞察を提供し、組織体がこれらのリスクをモ

情報や個人情報を含む情報資産の保護というニタリングして対処するために、より積極的ゲームで後れを取らないようにと悪戦苦闘しなアプローチを取るよう導く機会がある。

てきた。
近頃注目を浴びた事例は、サイバー犯罪に問題の定義、用語の定義

関連するプライバシー・リスクの規模と範囲

データ保護とプライバシーの問題をさらにを示している。例えばフェイスブック社では、検討する前に、関連する概念と用語を明確に

過去１年半にわたって大規模なデータ漏洩がすると役に立つかもしれない。「個人データ」相次いだ。具体的には、2018年９月に5,000という用語は、一体何を意味するのだろうか。

６

７

万件 、2019年４月に５億4,000万件 、2019８

個人の氏名、住所、生年月日、各種のアカウ

年12月に２億6,700万件の情報漏洩である 。

ント番号のような、明白な例があることは確

もちろんフェイスブック社は、単なる顕著かである。しかし、コンピュータのＩＰアドな一例に過ぎない。近年、あらゆる種類や規

レスや個人のウェブブラウザに保存されてい模の銀行、医療機関、信用調査機関、小売業

るクッキーのような、あまり明白ではない種

者が攻撃されている。調査機関の１つである類の情報についてはどうだろうか。

コンパリテック社が全米の10年分のデータ漏

欧州のＧＤＰＲでは、個人データを「識別洩を照合したところ、2008年から2019年半ばされた自然人又は識別可能な自然人（「デーまでの間に9,696件のサイバーセキュリティ

タ主体」）に関する情報」10と定義している。

侵害があり、合計107億件の個人データに影

ＧＤＰＲは、特定の人物に関するほとんどあ９

響を及ぼしていることが判明した 。政府やらゆる種類の情報に適用することを目的とし規制当局は様々な方法で対応してきたので、ているため、定義は意図的に広範かつ一般的

次節でその一部を考察する。第３のディフェである。より明確にするために、ＧＤＰＲはンスラインという立場にある内部監査人は、

次のように続けている。「識別可能な自然人

所属する組織体が法規制上の義務を遵守してとは、特に、氏名、識別番号、位置データ、

効果的に対応していることを検証する上で、オンライン識別子のような識別子を参照する

周知の役割を担っている。

ことによって、又は、当該自然人の身体的、しかし、プライバシーとデータ保護に関連

生理的、遺伝的、精神的、経済的、文化的又するリスクは、規制を遵守しないことによるは社会的な同一性を示す一つ又は複数の要素

罰金や罰則の可能性を超えたものである。個を参照することによって、直接的又は間接的人データの不正使用、データ漏洩、不適切なに、識別されうる者をいう」11。

通知や同意の実務、および関連する諸問題にもっと簡単に言えば、個人データとは、誰より、評判、業務、および事業継続のリスクかを識別するために使用され得るあらゆる情が影響を受ける可能性もある。

報である。しかし、ある情報が実際に個人情その結果、今日の内部監査人とその所属組

58

月刊監査研究報であるかどうかの判断は、状況次第である。

2020. 8（No.561）

内部監査人協会（ＩＩＡ）情報

英国のデータ保護の独立規制機関であるプラ保護に対するセキュリティだけのアプローチ

イバシー監視機関（ＩＣＯ）がＧＤＰＲに先は十分ではない。

立って公表した文書は、この違いをうまく説先に示唆した文化的な問題、すなわち、個明している。ＩＣＯの説明は、次のように指人データが、データを取得や保存する組織体

摘している。

にではなく個人に帰属すると認識されている「氏名は、誰かを識別する最も一般的な手ことは、今ではＧＤＰＲのような規制に成文段である。しかし、潜在的な識別子が実際に化されつつあり、プライバシーを基本的人権

個人を識別するかどうかは、状況次第である。

として確立している。現在のデータ保護実務

ジョン・スミスという氏名は、その氏名を持では、データを安全に保存することと、デー

つ個人が多いため、それだけでは必ずしも個タ所有者（個人）が特に許可した分野に個人

人データとは限らない。しかし、氏名が他のデータの使用を制限することの、両方に対応

情報（例えば、住所、勤務先、電話番号など）しなければならない。

と組み合わされている場合は、通常、１人の12

個人を明確に識別するのに十分である 。」

言い換えると、組織体は、この個人データを特定の事業目的のために基本的には借りて逆に、その個人の氏名を知らずに個人を識おり、あらかじめデータ主体が同意した範囲

別することも可能である。身体的特徴や他の内でこれを使用しなければならない、というデータとの組み合わせ（例えば、年齢、性別、ことを理解し始めている。

自宅住所、仕事、個人の所有物、オンライン・「干渉されない権利」と定義されることもプロフィールなど）は、個人を識別するためあるデータプライバシーの概念も変化していに使用することができる。したがって、たとる。現在、データに基づく個人のプライバシ

え１つのデータが個人データではないように

ーは目に見えない問題ではなく、どのような見えても、それが他のデータと組み合わさる

種類のデータが収集され、誰がアクセスでき、と意味を持ち、個人の身元を合理的に証明すどのように使用され、どのくらいの期間保存るために使用される可能性がある。

されるか、という問題になっている。

大抵の組織体は、顧客、従業員、サプライ

プライバシーやデータ保護に関連する法令

ヤー、およびその他のステークホルダーに関を遵守していることを実証した企業とのみ、する様々な種類の情報を収集している。これ

データを共有することを選択する人々が増えらの情報を個人データと見なすべきかどうかている。ソーシャルメディア・サイトが個人は、その情報がどのように収集され、使用さを識別できるユーザー情報を収集して、研究れ、保存され、また、他の情報と結び付く可機関や他の企業と共有したような有名なデー能性があるかに、ある程度依存する。結局のタ侵害は、データ所有者の認識や同意なしにところ、あらゆる種類の組織体は、収集や処情報が共有される可能性があることを示して理をするほぼすべてのデータに注意を払わないる。また、このようなデータ侵害例は、個ければならない。

人データの不正使用に関連するリスクを消費者に思い出させる役割も果たしている。

保護、プライバシー、およびレジリ
エンス（弾力性）

原則に合わせなければならないと気付いていデータの完全性、保持、および可用性はする。個人所有のデバイスを会社のネットワー

べて、データセキュリティに対するアプロー

クに接続すると、雇用主がある程度のリスク

チ全般の重要な特徴である。しかし、データに曝される可能性があるため、従業員が会社

月刊監査研究

雇用主も、データ運用の実務をデータ保護

2020. 8（No.561）

59

内部監査人協会（ＩＩＡ）情報のネットワーク上で個人のモバイルコンピュ

い。ただし、ゼロから出直したり、コンプラーティング・デバイスを使用している間は、

イアンスの取り組みをやり直したりすること

個人のプライバシー権を大幅に制限、またはなく、新しい要件を吸収して適応できるとい

完全に排除するという利用規定に署名するこう意味で、関連する課題の多くに対処していとを、組織体が従業員に義務付けることが次る。

第に一般的になってきている。同時に、雇用

レジリエンスの辞書的な定義は、強靭性や主は、従業員のプライバシー関連の期待を、弾力性に加え、困難から迅速に回復する能力

ＧＤＰＲや他のデータプライバシー規制の下のような概念を指す。プライバシーとデータで従業員に与えられたものとして考慮する必保護の実務という状況では、強靭性は必ずし要がある。

も最も重要な要素ではないが、レジリエンス

別の言い方をすれば、セキュリティなしでの他の側面である弾力性と回復力は、確かにはプライバシーは存在できないが、プライバ

重要な要素である。規制要件、ステークホル

シーがなくてもセキュリティは存在し得るの

ダーの期待、およびテクノロジー自体が進化で、組織体や従業員から見れば理想的な状況

し続けているので、組織体が迅速に適応するではない。テクノロジーの継続的な進歩に伴ためには、弾力性と回復力の両方が必要だろ

い、組織体と個人は、適切かつ効果的なデー

う。

タ運用をしながら関連のあるソーシャルメデ

一方で内部監査は、弾力的なデータ保護策

ィアでやり取りをすると同時に、データの保の有効性をしっかりと検証できる品質を示す

護、データの脅威、およびセキュリティとプ必要がある。内部監査人協会（ＩＩＡ）と関ライバシーを提供するために必要な手順につ連機関（本稿の第３節で詳細に説明）が行っいての認識と知識を高めなければならない。

た最新の研究によると、内部監査の専門家は、

プライバシーとデータ保護は、もはや単なデータのプライバシーとそれに関連する諸問るセキュリティ上の課題ではない。実際、セ

題を、対処すべき主要なリスクと考えること

キュリティだけでは不十分である。セキュリが増えている。しかし同時に、これらの諸問

ティと同様に、プライバシーは組織体の文化

題は、内部監査人に貴重な機会ももたらしてに不可欠でなければならない。その目的は、いる。内部監査人は、データ保護とプライバ

プライバシーとセキュリティ関連の考え方を

シー・プログラムの有効性についてアシュア

総合的なアプローチに統合し、セキュリティ

ランスを提供することに加えて、組織体の回とプライバシーの専門家が一緒になって、全復力を高めたり、リスクが進化し続けても効

般的なデータ保護という共通のゴールに向か果を維持したりするために、積極的な役割をうことである。

果たすこともできる。

今日の環境下では、一方では新たな規制と基準が生まれ、他方では消費者とステークホ
ルダーの期待が高まっているため、データ保
護とプライバシー・プログラムの重要な要素としてレジリエンスの概念に焦点を当てる先

２．法規制の状況、コンプライ
アンス、その他のリスク
データ主体のセキュリティとプライバシー

見性のある組織体が増えている。

を保護するために、様々な政府機関と様々な「レジリエンス」は、プライバシーとデー

地理的場所の規制当局がデータ保護活動を強タ保護の問題への取り組み方を考えるときに化し続けているので、プライバシーとデータ

最初に思い浮かぶ言葉ではないかもしれな

保護の状況は一層複雑になっている。現在、60

月刊監査研究2020. 8（No.561）

内部監査人協会（ＩＩＡ）情報

事実上どの法域においても、顧客、従業員、バシーに特化した規制はないが、事実上すべ

サプライヤー、またはその他の第三者との関ての州で、データ侵害の取り扱いに関する法係を持つあらゆる組織体は、増え続ける数々

令要件が施行されている。これらの法令の多のプライバシーとデータ保護に関する具体的

くは、ＧＤＰＲと同様に、個々の法域をはる

要件の対象となっていることがわかる。

かに超えて効力を持つ包括的な法律である。

規制環境の進化

ＧＤＰＲは素晴らしい新世界か

本節で後述する有名なＧＤＰＲは、既に施長期にわたって可決されてきた個人データ

行されているか現在検討されている多くの同の保護とプライバシーを規定する多くの新し等の規制構造の１つに過ぎない。デジタルデい規制構造の中でも、ＥＵのＧＤＰＲは明ータが登場して以来、約100か国と全米50州

らかに近年で最も有名である。ＧＤＰＲは、

で個人データの保護を目的とした法律を制定

1995年の「データ保護指令」に代わって2018

している（図表１）。多くの州では、プライ

年に発効した。ＧＤＰＲは、ＥＵ加盟国の市＜図表１＞プライバシーとデータ保護の進展
2001
カナダの個人情報保護および電子文書法（PIPEDA）は、商業活動に関連するプラ
イバシーの問題に対応している。
1973
スウェーデンは、個人データを処理するコン
ピュータの出現に対応して、初めて国家レベルのデータ保護法を可
決した。

1970

1996
米国の医療保険の相互運用性と説明責任に関する法律（HIPAA）1996年は、医療費支払いの目的で使用される個人情報に対応
している。

2002
研究の保護とアクセスのためのハイブリッ
ド環境の確保（SHERPA）と呼ばれる組織
体は、英国の大学にある研究機関用データ
リポジトリへのオープンアクセスの確立を支援している。

1974
米国の家庭教育の権利とプライバシーに関する法律（FERPA）は、学校や大学が保持する学生情報を管理する５つの基本的なプライバシーの権利を定めている。

2003
米国公正信用報告法2003年では、信用取引に従事する企業に、個人情報盗難の警告の兆候を認識し、疑わしい事象に対応するための措置を講じることを義務付け
ている。

1995
EUのデータ保護指令（指令95/46/EC）は、
1973年にスウェーデンで提唱された概念を拡張したものである。

2005
HIPAAセキュリティ規則は、個人の健康データのセキュリティに対応し
ている。

1980

1990

2000

1988
オーストラリアは、政府機関とほとんどの民間企業を対象としたプライバシー法1988年を
施行した。

2010

2020

2003−2018
全米50州が、様々な種類のデータ
侵害法を制定している。
2018
オーストラリアは、プライバシー法1988
年の違反通知修正案を可決した。

1991
米国被験者保護連邦政策（共通規則）は、研究の被験者のプライバシー権を含む倫理原則に対応している。

カリフォルニア州は、カリフォルニア州
消費者プライバシー法 2018年を可決した。

1999
米国のグラム・リーチ・ブライリー法は、消費者データを保護するために金融機関にプライバシー規定を課している。

EUは、一般データ保護規則（GDPR）を施行した。
カナダは、PIPEDA 2001年にデータ侵害
通知の修正を追加した。

注：例を示したに過ぎず、完全なリストではない。
［出典］Croweによる分析

月刊監査研究2020. 8（No.561）

61

内部監査人協会（ＩＩＡ）情報

民の個人データを処理する組織体に対して、大幅に改善したりしなければならなかった。

データプライバシーとセキュリティの多数の

ＧＤＰＲの影響は、影響を受けた組織体全体要件を導入した。

で感じられたことであって、決してＩＴ部門

ＧＤＰＲは、ＥＵ市民と居住者の個人デーに限定されないと認識することが重要である。

タを処理する組織体、あるいは、ＥＵ内に居住者または訪問者として滞在している個人に

ＥＵ域外の進展状況

サービスを提供する組織体に適用される。営ＥＵ域外の多くの国々でも、データプライ

利と非営利の両方を含む、あらゆる業界やセバシー制度を再構築している。例えばブラジ

クターの組織体は、物理的にＥＵ域内に拠点

ルでは、従来のデータ保護法のフレームワーを置くか、ＥＵ域内で事業を行っているか、

クは、様々な経済セクター間で矛盾していた

単にＥＵ居住者に商品やサービスを販売してため広く施行されていなかった。しかし、長いるかを問わず、この規制の対象となる。た

年の努力の末、新たな一般データ保護法がだし、ＥＵ居住者に対する商品やサービスの2018年に可決され2020年に施行される。

販売でＧＤＰＲが発動されるのは、その販売

この新法は、ＥＵのＧＤＰＲの多くの概念が目的に合ったものである場合、つまり商品に基づいているが、その他の事項も加えていやサービスが明らかにＥＵ居住者に販売される。ブラジル市場にサービスを提供し、ブラる場合のみであることに注意されたい。ＥＵ

ジルに所在するデータ主体の個人データを収域内の誰かが米国を拠点とするウェブサイト

集する外国企業は、ブラジル国内に物理的なから購入しただけでは、ＧＤＰＲは自動的に拠点があるかどうかに関わらず、同法の対象は発動されない。

となる。

前述のように、ＧＤＰＲの個人データの定

多くの人々は、ブラジルの新しいデータ保義は、当該自然人に関する「身体的、生理的、護法が最終的には他のラテンアメリカ諸国の

遺伝的、精神的、経済的、文化的又は社会的模範になるかもしれないと期待しているが、な同一性」に特有な要素を含む、「識別された地域全体で一貫している状況とは程遠い。例

自然人又は識別可能な自然人」に関するあらえば南米大陸では、ＥＵが適切と認める一般

13

ゆる情報を対象としている 。これは、以前的なデータ保護法を施行しているのはアルゼのＥＵデータ保護指針からの重要な拡大であ

ンチンとウルグアイの２か国だけであり、Ｅる。

Ｕ加盟国とこの２か国との間では、ＥＵ居住

ＧＤＰＲは組織体に、個人データの処理方

者の個人情報が自由にやり取りできる14。

法に関して個人の選択を尊重するよう義務付

コロンビアは、強力な規制に支えられた進けている。同意の文書は、わかりやすい言葉

歩的なデータプライバシー制度があると、一で作成しなければならず、また、どのような般に認識されている。実際、プライバシーの

個人データを収集し、どのように使用し、ど権利とデータを修正する権利という２つの基

こでどのように共有するかを説明しなければ本的な個人データの権利が、憲法に規定されならない。さらに、データ侵害を確認したらている15。メキシコは、2010年と2017年に包72時間以内に関係当局に報告しなければなら括的な連邦データ保護法を可決し、政府機関ない。

は近年４つの規制文書や指針を追加で公表し多くの組織体はＧＤＰＲを遵守するために、てきた16。特定の経済セクターのみを対象と通知、同意、およびデータ収集のために、新するデータ保護法があるのは４か国であり、

たなプロセスを開発したり既存のプロセスをデータ保護法が全くないのは１か国である17。

62

月刊監査研究2020. 8（No.561）

内部監査人協会（ＩＩＡ）情報

このように規制体系が多種多様なことかールを採択した20。韓国で個人データは、包ら、ラテンアメリカ全域に利害関係のある組

括的な一般データ保護法とセクター固有の法

織体は、データ保護要件を遵守することがセ

令によって保護されている。2019年にはテクキュリティチームとデータチームだけでな

ノロジー・セクターの改正法令が施行され、く、それらの取り組みと結果を検証する内部

さらに、他のデータ保護法の改正法案が現在、監査グループにとっても深刻な課題であると数件検討されている21。

認識している。
アジアでも同様に、データ保護の状況は

米国のデータ保護制度

様々である。例えばインドでは、特に同国の米国内では、大半の州が過去15年間にデー非常に盛んなテクノロジー・セクターを考慮

タ保護規制を公表しているが、大多数はデー

して、多くの人々が不十分と考えてきた要件

タ侵害への対応に重点を置いている。多くのを満たすべく、初めての包括的なデータ保護

州の法令には共通の要素があるが、それらは法をめぐる論争が展開された。この法案の詳実質的には個々の法令の寄せ集めのようなも細をめぐる議論は数年間続いたが、2019年12のである。現実問題として、個々の法令に対

月４日、連邦内閣は「個人情報保護法案」をする遵守状況は、通常、各州の要件に照らし18可決した 。この長年の議論は、バックオフて個別に分析する必要がある。

ィス機能をオフショアからインドに移したい

また、個人情報を処理する際に事業者にデと考えている多くの企業に課題をもたらしてータセキュリティの実施を義務付けることにいるが、欧州企業や多くの多国籍企業は、強加えて、11州ではさらに進んで、事業者にベ力で包括的なデータ保護の規制構造がない場

ンダーとの契約にデータセキュリティ規定を所で、自社のデータ処理機能が運営されるこ

組み込むことも義務付けている22。同様に、とには反対している。

特定の業界に対してデータプライバシーの問

中国のデータプライバシーのフレームワー

題に対処する法令を施行している州もある

クは、最近まで、様々な法律とセクター固有が、あらゆる経済セクターに適用される広範の法令で構成されていた。しかし、2017年となデータプライバシー施策を策定している州

2018年に、中国の消費者はソーシャルメデ

は、ほんの数州に過ぎない。

ィアとインターネット企業による個人データ

カリフォルニア州では、「カリフォルニアの使用をめぐる数件の注目すべき論争を受け

州消費者プライバシー法2018年（ＣＣＰＡ）」て、より具体的なプライバシー権を要求し始がこれまでで最も包括的なアプローチと考えめた。中国の全国人民代表大会は、2018年後られており、プライバシーへの広範な対応が半に、新しい個人情報保護法が正式に次期の始まっている。2020年１月に施行されたＣＣ

議会の議題となったと発表した。一方で新法

ＰＡは、主に包括的かつ広範であることから、が起草されている間、国家最高のインターネ

米国版ＧＤＰＲと呼ばれることもある。しかット規制当局である中国サイバースペース管

し、このような比較は、２つの構成の多くの理局は、新法の今後の方向性を示す新しい指重要な違いを見落としている。

19

針を発表した 。

ＧＤＰＲと同様にＣＣＰＡは、他の州や国

日本は最近、「個人情報の保護に関する法に拠点を置く多くの組織体に遵守を求めてい律 」 を 改 正 し て Ｇ Ｄ Ｐ Ｒ 基 準 に 近 付 け た。

る。ＣＣＰＡの場合、年間５万人以上のカリ

2019年初頭、日本政府はＥＵ諸国から移転さフォルニア居住者の個人情報を取得する組織れたデータにのみ適用される一定の補完的ル

体、年間総収入が2,500万ドルを超える組織

月刊監査研究2020. 8（No.561）

63

内部監査人協会（ＩＩＡ）情報

体、またはカリフォルニア居住者データの販売によって収入の過半数を得ている組織体
23

は、同法を遵守しなければならない 。

ることもできる。
さらに、規制要件に違反したことが確認されると、有名な報道機関から公表されること

ＧＤＰＲとＣＣＰＡは、基本的な用語や定が多いため、コンプライアンス違反に関連す義といった根本的なものを始め、多くの重要る評判の低下は著しく、また長期間続く。組な点で異なる。ＧＤＰＲの個人データの定義

織体が加害者であるか、データ侵害や盗難のが広範で多少包含的なのとは異なり、ＣＣＰ

単なる被害者であるかに関わらず、様々な法

Ａは、「個人情報」（「個人データ」ではない）

域のステークホルダーに適用される各種の通を、具体例の長いリストにして非常に明示的

知や軽減措置に従わないと、重大な責任を負に定義している。また、「個人情報」に含まれうことになる。

24

組織体は個人のデータプライバシーの問題ない情報も列挙している 。
ＣＣＰＡでは、カリフォルニア州の居住者だけでなく、ミッション・クリティカルな情は、組織体が保有する個人情報の開示を請求

報 ｂ や他の業務上の機密情報を危険に曝す、し、その個人情報を消去させ、その情報の販

データ侵害に関連する業務運営上や財務上の売に異議を申し立てる権利がある。また、要リスクも認識しなければならない。研究成果、請があれば、組織体はデータの使用方法や共独自の公式、または重要な業務データなどの有者についての情報を提供することが義務付

盗難や取り返しのつかない損失は、組織体をけられている。さらに、同法は、検証プロセ

存続の危機に曝すことになり、最終的には、

ａスの策定、明示的なオプトイン 同意の取得、事業継続性に関する問題や懸念を引き起こす

広範な通知と文書化要件の遵守など、組織体可能性がある。財務から存続までの様々なリが取らなければならない一連の事前措置の概スクは、内部監査が十分な注意を払うに値す

25

要を説明している 。

る。

コンプライアンスを超えるリスク

３．内部監査にとってのデータ保護の課題と懸念

急増しているデータ保護やプライバシー規制の対象となる組織体は、たとえ気付いていなかったとしても違反していれば違反ごとに現在の組織体にとって、プライバシーとデ数千ドルの罰金が科せられることがあるたータセキュリティの課題は広範かつ多大な影

め、重大な財務リスクに直面する可能性があ響を及ぼすため、データ保護に関連するリスる。しかし、罰金や制裁金は、規制に違反しクは、内部監査専門職の大きな懸念事項となた場合に組織体に生じ得るリスクの１つに過

っている。

ぎない。
規制当局は、救済策が講じられるまで、デー

データ保護の課題に対する内部監査人の見解

タの国際的な移転を停止するよう命じることサイバーセキュリティとデータプライバができる。また、規制構造を遵守するためにシーは、新たに発表された「Risk in Focus

外部の支援を求めることを、組織体に強制す

2020（2020年に注目するリスク）」調査に参多くの場合、プライバシーとデータ保護のａ

訳注 企業などが個人情報を収集・利用しようとする場合、事前に本人が承諾すること。
訳注ｂ 障害などによる中断を許されず、年中無休体制を要求される基幹業務およびそれを支えるＩＴシステムの情報。

64

月刊監査研究2020. 8（No.561）

内部監査人協会（ＩＩＡ）情報

た懸念事項であった。この調査結果は、英国、

内部監査とデータ保護が交差する場
所

アイルランド、ドイツ、ベルギー、オランダ、

プライバシーとデータ保護に関連するリス

スペイン、スウェーデン、フランス、イタリ

クについて洞察とアシュアランスを提供する

アのＩＩＡ国別代表機関の連合体が2019年９内部監査人の取り組みは、これらのテーマに月に発表した。

関連するリスクと優先順位が常に変化してい加した欧州の内部監査専門家にとって突出しこの調査の回答者の４分の３以上（78％）

るために、明らかに複雑になっている。現在は、所属する組織体が現在直面している上位のプライバシーやデータ保護プログラムと、

５つのリスクの中にサイバーセキュリティとそれらをモニタリングする責任を負う内部監

26

データセキュリティを挙げている 。これは査機能は、弾力的で適応力がなければならな

３年連続であり、データ保護関連の問題は監い。内部監査機能は、現在の環境においても27有効であると同時に、未確定の将来のリスク

査人の最大の懸念事項であった 。
データの公表にあたり、調査レポートは、や状況を積極的に予測しなければならない。

ＧＤＰＲ導入後最初の８か月間に、欧州全体

有効なプライバシー・プログラムを策定すで推定５万9,000件の個人データの侵害が発ることは、気の遠くなる作業かもしれない。

生したと指摘している。同レポートによると、関与するプロセス数の多さ、データが使用さ

サイバーセキュリティは「現代では永遠のリれる場所と方法の多さ、収束しない規制要件、

28

スク 」であり、「サイバーセキュリティとデおよび作業の規模は、圧倒的かもしれない。

ータ保護やプライバシー・リスクの収れんはこのような環境は、問題を理解して第３のデ29ィフェンスラインの役割を果たすために必要継続する」と予測している 。
欧州の連合体の調査結果は、ＩＩＡが行っな資源を揃える際に、内部監査機能にリスクた最新のグローバルな調査結果と一致していをもたらす。しかし同時に、この環境は、内る。ＩＩＡの新刊「OnRisk 2020（2020年の部監査が助言業務で組織体に価値を付加する

リスク）」は、内部監査専門家、取締役およ機会を開くことにもなる。
強固で先を見越した内部監査プログラム

び経営幹部を対象に行った定量的・定性的調
査結果を組み合わせたレポートである。

は、もともとリスクベースであり、組織体がこの調査結果を分析したところ、サイバー認識している最も高いリスクを最も重視してセキュリティ、データ保護、およびデータ倫いる。データ保護とプライバシーの分野では、

理は、2020年に組織体へ影響を及ぼすと認識

組織体は最もリスクの高いデータを特定し、されたトップリスクの１つであることが明ら

それがどのように使用されているかを追跡すかになった。同レポートは、内部監査を含むるための体制を構築しなければならない。最リスク・マネジメント機能に携わる人々の一もリスクの高い分野に最初に焦点を当てれ部にとって、「サイバーセキュリティ、およびば、組織体は幅広くて重要な、そして戦略的データや新たなテクノロジーは、知識がかなでさえある、個人データの使用と保護に関連り不足している分野である」と指摘した。さする以下のような質問に答えることができる

らに同レポートは、「知識が不足している分野

ようになる。

と関連性の高いこれらのリスクは、リスク・●

最もリスクの高い分野は何か。あらゆる

マネジメントの担当者が優先的に知識を身に組織体が最も高いリスクと見なす事業上つけるべき２つのリスク分野であることを示の機密情報以外で、組織体が保持するユ30

唆している」と述べている 。

ーザーの個人情報の観点から見てリスク

月刊監査研究2020. 8（No.561）

65

内部監査人協会（ＩＩＡ）情報に提供するために、他に何ができるか。

や機密性が高いデータは何か。
組織体は、プライバシー侵害の可能性を

●

●

●

予測し、侵害を事後検出するのではなくおよびデータのアクセス可能性の問題に事前に防ぐための先を見越した強力なプ

ついて、組織体内での認識を高めるため

ライバシー・プログラムを、どうすればに、内部監査はどのような役割が果たせ策定できるか。

るか。これらの同じ分野において経営者

組織体は、データ保護プログラム全体をのアカウンタビリティを高めるために、最初から再設計することなく、強力で弾内部監査はどのような支援ができるか。

力性があり、新たな規制の影響を吸収で●きるデータ保護基盤を、どうすれば構築できるか。

内部監査は、データ保護において、どのような役割を果たすべきか。

●

データ主体のプライバシーの保護が、追●データのプライバシー、データの完全性、コンプライアンスの観点から、内部監査
自体のエクスポージャーはどの程度か。

加手続ではなく初期設定となるように、
業務プロセスをどのように改訂できるか。
プライバシー保護をどのようにＩＴシス●

テムに組み込むことができるか。
●●●

組織体がこのような質問へ取り組み始める

必要な機能を犠牲にすることなく、プラための方法の１つは、プライバシーとデータ

イバシーを設計上組み込むためにどのよ

保護に弾力性のあるフレームワークを採用すうな措置が取れるか。

ることである。一般向けや業界固有の様々なプライバシー規制によって特定の機能がサイバーセキュリティ・フレームワークがあ

継続的に使用できない場合、組織体はどるが、２つ例を挙げると、米国国立標準技術のような措置を取るのか。

研究所（ＮＩＳＴ）が策定したＮＩＳＴサイｃ

バーセキュリティ・フレームワーク、およびは、プロセスまたはシステムのライフサ

国際標準化機構（ＩＳＯ）と国際電気標準

イクルを通じてどのように拡張できるか。

会議（ＩＥＣ）が公表したＩＳＯ／ＩＥＣ

監査人とプライバシー担当役員の間に、27000サイバーセキュリティ・フレームワー

優先順位や懸念事項に関する期待ギャッ

クは、データの漏洩、侵害、およびその他のプはあるか。

問題に迅速に対応して回復するための基盤をプライバシー・バイ・デザインの要件●

一般に認められた10のプライバシー
原則

内部監査部門も準備をすべきであり、また、提供している。2020年１月、ＮＩＳＴはさ

進んで自部門の役割と実績を熟考すべきであらに一歩進んで、新しいＮＩＳＴプライバシる。自問すべき重要な質問には、次のようなー・フレームワークの第1.0版を公表した。こものがある。

のフレームワークは、「全社的リスク・マネジ●

内部監査は、組織体に過度の圧力や極端メントを通じてプライバシーを改善するためな追加コストをかけずに、どうすれば迅のツール」と説明されている31。

速かつ効率的に対応できるか。
●

訳注

66

ＮＩＳＴ以外にも多くの組織体が、基本的要件の遵守を検証する以外に、内部監査

なデータ保護プロトコルの域を超えることのは、アカウンタビリティや開示性をさら

重要性を認識して、特にデータのプライバシｃGDPR Article 25 Data protection by design and by default（ＧＤＰＲ 第25条 データ保護バイデザイン及びデー
タ保護バイデフォルト）の内容を指すものと解される。

月刊監査研究2020. 8（No.561）

内部監査人協会（ＩＩＡ）情報

ーの問題に取り組んでいる。そうした中でも、体は、（物理的および論理的の両方の）

明確なプライバシー・フレームワークを策定

不正アクセスから個人情報を保護する。

するためのモデルとして、米国公認会計士協

９．品質。組織体は、通知で明らかにした会（ＡＩＣＰＡ）などの組織体が策定した一目的のために、正確で、完全で、関連

般に認められた10のプライバシー原則（ＧＡ

性のある個人情報を保持する。

ＰＰ）が多くの注目を集めている（図表２）。

10．モニタリングと執行。組織体は、プラ＜図表２＞ＡＩＣＰＡの一般に認められたプ
ライバシー原則

イバシーに関する方針と手続の遵守状

１．管理。組織体は、プライバシー方針と手続を定義し、文書化し、伝達し、アカウンタビリティを割り当てる。
２．通知。組織体は、プライバシー方針と手続に関する通知を行い、個人情報の収集、使用、保持、および開示の目的を明らかにする。
３．選択と同意。組織体は、個人が利用できる選択肢を説明し、個人情報の収集、使用、および開示に関して黙示的または明示的な同意を得る。
４．収集。組織体は、通知で明らかにした目的のためにのみ個人情報を収集する。
５．使用・保持・廃棄。組織体は個人情報を、通知で明らかにして黙示的または明示的な同意を得た目的に限定して使用する。組織体は個人情報を、明示した目的の遂行に必要な限り、または法令等により要求された場合に限り保有し、その後は適切に廃棄する。
６．アクセス。組織体は個人に対して、個
人情報のレビューと更新のためのアクセスを提供する。
７．第三者への開示。組織体は、通知で明らかにした目的のために、個人から黙示的または明示的な同意を得た場合に限り、個人情報を第三者に開示する。
８．プライバシーのセキュリティ。組織

訳注

ｄ況をモニタリングし、プライバシーに関する苦情や紛争に対処するための手続を整備する。
［出典］https://iapp.org/media/presentations/
11Summit/DeathofSASHO2.pdf

これらの10の原則は、すべてのリスク担当
者が弾力性のあるプライバシーとデータ保護
プログラムを構築するための一般的な基礎を提供するものであり、特定の関連リスクについて監査を計画する際のフレームワークと方法論も含まれているｄ。より技術的なサイバ
ーセキュリティ基準と比較すると、ＧＡＰＰの構成はプライバシーの基盤を構築し始める
ための、より簡単でアクセスしやすい方法も示している。

４．弾力的にデータ保護に取り組むためのフレームワーク
前述のように、強固で弾力的なリスクベー
スのプライバシー・プログラムを策定して導入するプロセスは、難問かもしれない。ＧＡ
ＰＰの10の原則は、基礎知識や基盤となり得
るし、様々なサイバーセキュリティ・フレー
ムワークは、策定用のテンプレートとして利用することができる。しかし、大抵の組織体
は、最終的には構成と方向性を示す明確なプ
ライバシーとデータ保護のフレームワークを備える必要があると認識している。



GAPP「CPA and CA Practitioner Version」には、付録として監査実務家用のガイダンスや監査報告書の雛形も示されている。

月刊監査研究2020. 8（No.561）

67

内部監査人協会（ＩＩＡ）情報＜図表３＞プライバシーとデータ保護のフレームワーク例

法務、プロセス、組織使用のための法的根拠の確立、データ保護担当役員の役割の定義、データ主体の要求の処理、第三者の管理、データ侵害への対応、ならびにサポート組織、プロセス、および文化の変更の導入
情報セキュリティとデータ保存
情報セキュリティと個人データの保持に対するアプローチの理解と定義
データの定義とマッピング
組織体が取得して処理する個人データの理解、定義、文書化

リスクガバナンス
データ保護リスク選好度とより広範な
ERMフレームワークへのリンク

データガバナンス
取 得・ 処 理 さ れ た 個 人 デ ー タ の 所 有
権、受託責任、およびコントロール

データ保護の方針と基準
リスク選好度に沿った運用変更の設計を管理するために強化された方針と基準

処理の内容、使用、合法性

データ主体の要求と権利
アクセス権行使、忘れられる権利、
可搬性、制限、修正

データ保護運用モデル
データ保護担当役員の役割、プライバ
シー設計、データ保護影響評価、第１・第２のラインの責任
情報セキュリティ
電子的第三者の管理法的文書、デューデリジェンス、監
督

侵害管理
と通知

研修と意識
ニーズを満たすためのデータ保護研修の強化、およびコミュニケーションと文化の変更

情報セキュリティ
物理的

データ保存
削除、難読化、仮名化

欧州経済地域外への個人データの移転
標準合意、拘束力のある企業規則、プライバシーシールド

アカウンタビリティとガバナンス
GDPRの要件に対応する方針と基準を通じて、データ保護、アカウ
ンタビリティの強化、ガバナンス
に関する組織体のリスク選好度を決定

データの定義とマッピング
個人データの使用、場所、および内部・外部の移動の文書化と分類［出典］Croweによる分析

フレームワークの構成要素と構造

ば、プロセスはより効率的になり、最終的に図表３は、フレームワークの構成方法の一

プライバシーとデータ保護プログラムが、よ例である。この例でフレームワークは、効果り効果的になる。様々なステークホルダー間的なプライバシーとデータ保護プログラムののコミュニケーション、調整、および統合は、

一部として考慮すべき重要な要素に対応する

リスクと機会を明らかにして最初に評価する

ように設計されている。このフレームワーク

際、すなわち、プロセスの初期段階で特に重には、必要とされるアカウンタビリティとガ要である。

バナンスの体制、対処しなければならない法的問題と組織的問題、および、効果的なプラ
イバシーとデータ保護プログラムの不可欠な要素である重要データのセキュリティとデー
タ管理機能の詳しい説明が含まれている。

５．フレームワークの導入と遵守状況の監査
プライバシーとデータ保護プログラムを策定して導入し、その後、遵守状況と有効性を

内部監査の役割：統合的アプローチ

監査することは、当初は、圧倒的に複雑で入内部監査には、弾力的なフレームワークのり組んだプロセスのように思えるかもしれな

策定と適用を支援する上で果たすべき重要ない。しかし、あらゆる複雑な施策と同様に、役割がある。そのような中で内部監査は、組作業を数段階に分割すると、より管理しやす

織体に価値を付加する重要な機会に遭遇するくなる。

可能性もある。
通常の場合と同様に、内部監査チームがフ推奨する導入方法と監査方法

レームワークを策定して導入するプロセス全図表４に示すように、第１段階は、プライ体で他のステークホルダーとチームを組め

バシーとデータ保護のフレームワーク自体の68

月刊監査研究2020. 8（No.561）

内部監査人協会（ＩＩＡ）情報

選択である。前節で示したフレームワーク例を伝える。

のような、関連性のある適切なフレームワー●

クを選択すると、作業を始める手掛かりとな

裏付け、影響力のある提言を導き出す

り、範囲を決定し実施手順を伝達するための基礎になる。それ以外にもフレームワークは、評価やコミュニケーションの形式を確立するのに役立つかを説明する。
４．策定した内部監査計画を実施する。
●

ので、プライバシーとデータ保護プログラム

和するためのコントロールとの結び付したプログラムの全般的な有効性に関する監

きを、ステークホルダーとプロセスオ

査結果を報告する際の両方、つまりプログラーナーが理解できるようにする。

ム全体を通して使用することができる。

●＜図表４＞プログラム導入手順●

ワークを見極める。
複数の規制に対応するフレームワーク

５．経営者が策定した是正措置の完了をモ
ニタリングする。

フレームワークを使用して、内部監査●語を作成する。

●に視覚的イメージを示して、適切なコ認められたプライバシー手続を関連付

ントロールの相対的な水準を明らかにけ、それらを導入されたコントロール

する。

２．組織体のプライバシー関連リスクを評価する。
製造業者の営業秘密や従業員のデー
タ、金融機関の顧客や従業員のデータなど、組織体が収集・保持する重要な種類のデータを特定する。
国内、地域、国際的に、組織体がどこで、どのように事業を行っているかを評価する。
●

ステークホルダーとプロセスオーナー

規制要件、関連するビジネスリスク、と結び付ける。

●

フレームワークを利用して、現状と比べた望ましい状態を示す。

と主要なステークホルダーとの共通用●

修復または是正措置のための提言を作成する。

を選択する。

●

例外を特定し、現状と原因の両方を明らかにする。

１．関連性のあるプライバシー・フレーム●策定したフレームワークを使って発見事項を伝達し、特定されたリスクと緩の要件をリンクさせて明確にする際と、導入●実施する監査手続がどのように結論を選択したプライバシー・フレームワー
クによって特定した最も高いリスク分
野を強調する。

３．リスク評価結果を活用して監査計画を策定する。

［出典］Croweによる分析

第２段階は、プロジェクトのリスク評価を実施して、組織体のプライバシーとデータ保
護の真のリスクを明らかにし、協働すべきス
テークホルダーを見極め、関連するプロセス
オーナーを特定することである。回答すべき
重要な質問には、次のようなものがある。
●

組織体が収集または保持する重要な種類のデータはどれか。

●

組織体はどのような法域で事業を行っているか。

●

研修、ガバナンス、所有権などの問題を扱った、データプライバシーに対する体系化された手法はあるか。
リスク評価の結果、より高いリスクとして●範囲を決める。

●

監査計画を決定する理由となるリスク

月刊監査研究明らかにされた分野を強調すべきであり、第３段階である監査計画を策定して範囲を決め

2020. 8（No.561）

69

内部監査人協会（ＩＩＡ）情報るために使用すべきである。初年度のリスク

顧客との接触データに追加の同意コントロー

評価結果を使用して、将来的に（リスク対応

ルを適用する必要があるか、適切なデータセを）強化したり策定を進めたりする分野を特キュリティ対策が適用されているか、個人を定している組織体もある。また、初年度のデ識別できるデータが存在するか、を判断する

ータマッピング手続に主に焦点を当てて、ア

組織体の能力が制限される。これにより、組

プローチと結果が完全で持続可能であるとい

織体は規制違反に対して罰金や制裁が課されうアシュアランスを提供することを選択する

るリスクが増加するとともに、そのような違組織体もある。リスク評価結果を理解するこ反の結果として評判リスクに曝される。」とにより、組織体は関連データを特定して適切なコントロール活動を実施することができ

監査報告書の意見には、是正措置の提言も含めるべきである。
監査意見を表明した後は、第５段階である、る。
第４段階は、内部監査計画を実施し、選択

経営者が策定した是正措置の完了のモニタリしたフレームワークを使用して結果を伝達す

ング、およびプライバシーとデータ保護に関ることで、特定したリスクと期待するコント

連したリスク分析を行うことに進む。フレー

ロールとの間の明確な関連性を示すことであムワークに簡単な色分けの方法を取り入れる。例えば、当初の監査範囲では完了したデると、適切にコントロールされていない分野

ータマッピング作業の評価に焦点が当てられ（赤）、部分的にコントロールされている分野ていて、監査の結果、すべての重要なプロセ（黄）、および適切にコントロールされている

スが組織体のデータマッピング作業に含まれ分野（緑）といった視覚的なイメージが示せていないことが判明したと仮定する。この発る。リスクに関連する分野とは見なされない

見事項は、以下を明らかにするような方法で、要素（例えば、国内だけで事業を行う組織体

明確に伝えるべきである。

における国境を越えた移転など）は、青で示

規準（考慮すべきすべての重要なプロセ●

すことができる。
このようにして、組織体が重要な要素へのス）●

現状（考慮していなかったプロセス）

取り組みを開始して弾力性を高める方向に進●原因（そのプロセスが含まれていなかっ

むと、フレームワークは、プログラムの成熟た理由）

度の向上とコントロールの有効性の改善に向●結果（影響の財務的な定量化）

けて、進捗状況を視覚化、追跡、伝達する明●是正措置（何をいつ行うか、経営者が是

確で直感的に理解しやすい方法が示せる。

正措置に同意しているかを含む）
監査報告書での記載例は、以下の通りである。
「手続の実施中、品質保証書の管理に関連するプロセス活動が組織体のデータマッピン
グ作業に含まれていないことが判明した。このプロセスをデータマッピング作業に含めな
いと、組織体が取得、保持、および使用するデータを完全に識別できなくなる可能性がある。このデータを識別できないと、データ保持方針に従ってデータが保持されているか、

70

月刊監査研究事例研究：プライバシー・フレー
ムワークの適用
高性能のトラック部品（専用ライト、カスタムグリル、車内宿泊設備など）の開発・販売に力を入れているＡ社は、Ｂ２Ｂ
企業として30年以上、北米全域で事業を行ってきた。同社は大手の長距離輸送トラッ
ク会社から買収を提案されており、合弁会
社の年間収益は20億ドルと推定された。
経営陣は、この買収提案に色めき立った

2020. 8（No.561）

内部監査人協会（ＩＩＡ）情報

が、その主な理由は、トラック部品事業の
収益目標達成の可能性である。しかし、長期的な観点から、経営陣は顧客の販売デー
タを他の利用可能なデータベース（典型的なドライバーの移動ルート、買収候補となる他の運送会社、その他の関連データなど）と組み合わせる潜在的な機会も見出した。
取締役会での取引の検討中に、取締役の１人が、会社が計画した方法で情報を統合することに付随するプライバシー関連の影響について質問した。議論の後、取締役は内部監査部門長（ＣＡＥ）に、新たな合弁会社のプライバシーとデータ保護の現状に関する監査を実施するよう提案した。
ここで概説したフレームワークと内部監
査のアプローチを使用することにより、Ｃ
ＡＥは以下を対象とする明確な監査計画を策定することができた。
●

ドライバーの移動ルートや顧客の販売
データに関するデータガバナンスな
ど、取り上げるべき重要な要素●

データの使用方法に関する顧客への連絡を含む必要な同意要件●

監査結果を取締役会に報告するための明確な報告の仕組み
買収の一環として説明された、関連する事業目標に合わせたリスクベースのアプローチを使用して、ＣＡＥは経営陣が関連するリスクを特定して定量化し、提案された買収を支援し迅速化し得る適切なリスク軽減策の策定に役立つことができた。

米双方で近頃行った内部監査専門職の調査で示された懸念に反映されている。
事実上すべての場合において、データ保護とプライバシーに関する懸念に適切に対処す
るには、組織体内の様々な部門や機能を超えた連携による職務横断的な取り組みが必要である。内部監査人は、所属する組織体の現在のデータ環境に照らして自身の準備水準を評価することによって、この分野でより積極的な役割を果たし始めることができる。
本稿で示したフレームワークと導入方法は、組織体がデータプライバシー関連のリスクを管理して軽減するために、関連するコントロールの策定と実施を支援する上で成功した１つのアプローチである。しかし、テクノロジ
ー環境と規制環境の双方ともに進化し続けているので、組織体全体、とりわけ内部監査部
門は、ステークホルダーの期待の変化に迅速に適応できるようにする必要があるだろう。
今後数か月間、本稿の著者は、これらの課題に対する内部監査専門職の対応を評価し続けることになる。本研究の次の段階では、内部監査財団会員に対するアンケートと、非公式な事例研究や実地インタビューなどの追加調査を行う。この第２段階の目標は、専門職が継続中の課題にどのように対応しているかを評価することであり、発見事項のレポート
は2020年後半までに公表予定である。
2021年初頭に完了予定の本研究プロジェク
トの第３段階では、様々なステークホルダー
がデータのプライバシー問題をどのように捉えているか、そして何よりも、この分野における内部監査の役割と実績をどのように認識

結論とさらなる研究しているかを報告する。現在の資料で明らかになった具体的な問題点、懸念事項、事例に現在の急速に進展している規制環境は、データ・テクノロジーの継続的な進歩やプライ

ついては、プライバシー担当役員への実地イ
ンタビューで得た意見も付記する。

バシーとデータ保護の課題に対する認識の高

最終的な目標は、様々な状況下の内部監査

まりと相まって、内部監査人に特有の課題を専門家がプライバシーとデータ保護の懸念に提起している。これらの課題の緊急性は、欧どれだけうまく対応したかを報告すること

月刊監査研究2020. 8（No.561）

71

内部監査人協会（ＩＩＡ）情報と、プライバシーとデータ保護の問題に対す

６

Kate O’Flaherty,“Facebook Data Breachるステークホルダーの認識が内部監査の取り―What To Do Next,”Forbes, Sept. 29, 2018,

組みとどの程度整合しているかを検討して、

https://www.forbes.com/sites/kateoflahertyuk

内部監査専門職がステークホルダーの期待を/2018/09/29/facebook-data-breach-what-to

予測して対応することに成功してきたかを評価することである。当面、本研究の次の段階-do-next/#6779f4f02de3
７

Karl Utermohlen,“Facebook Data Breachが継続する間、本稿で取り上げた背景、フレ

2019: 540 Million Users’Records Exposed,”ームワーク、導入方法が、内部監査部門がこ

InvestorPlace, April 4, 2019, https://investor

の重要な懸念分野に対する自らの対応を発展

place.com/2019/04/facebook-data-breach

させ向上させる上で有益な基礎となるよう、期待する。

-2019/
８

Phil Muncaster,“Data Leak Exposes 267
Million Facebook Users,”Infosecurity Maga-

１

Timothy King,“IDC: Data Creation to Reachzine, Dec. 20, 2019, https://www.infosecurity

163 Zettabytes by 2025,”Data Management-magazine.com/news/data-leak-exposes-267

News, April 11, 2017, https://solutionsreview.

-million/com/data-management/idc-data-creation-to

９Paul Bischoff,“Which States Have the Most

-reach-163- zettabytes-by-2025/

Data Breaches?”Comparitech, June 20, 2019,“New Policy Prohibits DoD Employees Fromhttps://www.comparitech.com/blog/vpn-

Using GPS Services in Operational Areas,”

privacy/data-breaches-by-state/

２

Defense Logistics Agency Public Affairs

３

10

Regulation（EU）2016/679 of the European

Department news release, Aug. 8, 2018, https:

Parliament and of the Council（official text of//www.dla.mil/AboutDLA/News/NewsArticle

the GDPR）, Article 4, p. 33, https://eur-lex.

View/Article/1597116/new-policy-prohibits

europa.eu/legal-content/EN/TXT/PDF/?uri-dod-employees-from-using-gps-services-in=CELEX:32016R0679 .

ｅ-operational-areas

11

Alyssa Provazza,“Artificial Intelligence Data

12

Ibid.

“Determining What Is Personal Data,”U.K.

Privacy Issues on the Rise,”TechTargets Office online
Information Commissioner’

Network, May 26, 2017, https://searchmobile

guidance, Dec. 12, 2012, p. 7, https://ioc.org.

computing.techtarget.com/news/450419686/

uk/media/for-organisations/documents/1554/
determining-what-is-personal-data.pdf

Artificial-intelligence-data-privacy-issues-on
-the-rise

13

４

Ibid.

14

５

Matteo Cagnazzo and Chris Wojzechowski,

if a Non-ＥＵ Country Has an Adequate Level“Security and Privacy in Blockchain Environ-of Data Protection,”European Commission

ments,”dotmagazine, June 2017, https://www.website, https://ec.europa.eu/info/law/law

dotmagazine.online/issues/innovation-in-digital

-topic/data-protection/international-dimension

GDPR, Article 4, p. 33.

“Adequacy Decisions: How the ＥＵ Determines-data-protection/adequacy-decisions_en-commerce/what-can-blockchain-do/security-and-privacy-in-blockchain-environments

15“Data Protection Laws of the World”（Colom-

訳注ｅ 日本語訳は、https://www.ppc.go.jp/files/pdf/gdpr-provisions-ja.pdf

72

月刊監査研究2020. 8（No.561）

内部監査人協会（ＩＩＡ）情報bia）, DLA Piper, 2020, https://www.dlapiper

Practices,”Bloomberg Law Privacy and Data

dataprotection.com/index.html?t=law&c=CO

Security, November 2018, http://www.vlplaw

“Data Protection Laws of the World”（Mex-group.com/wp-content/uploads/2018/11/Data

16-Security-Overview-V2.pdfico）, DLA Piper, 2019, https://www.dlapiper
dataprotection.com/index.html?t=law&c=
17

23

MX&c2=

Section 1798.140, https://leginfo.legislature.

Margareth Kang,“What to Expect From Brazil’sca.gov/faces/billTextClient.xhtml?bill_id=
201720180AB375

General Data Protection Law?”Berkeley Tech-18

nology Law Journal, University of California,

24

Ibid.

April 22, 2019, http://btlj.org/2019/04/what

25

California Consumer Privacy Act of 2018,-to-expect-from-brazils-general-data-protection

Sections 1798.105, 1798.110, and 1798.115,-law/

https://leginfo.legislature.ca.gov/faces/
billTextClient.xhtml?bill_id=201720180AB375

Tahira Noor Khan,“India Is Set to Get Its First
Data Protection Law,”Entrepreneur India,

19

California Consumer Privacy Act of 2018,

26“Risk in Focus 2020: Hot Topics For Internal

Dec. 9, 2019, https://www.entrepreneur.com/

Auditors,”European Confederation of Insti-

article/343612

tutes of Internal Auditing, September 2019, p.

Winston Ma Wenyan,“Chinais Waking Up to7, https://www.iia.nl/SiteFiles/Publicaties/

Data Protection and Privacy,”World Economic

Risk%20in%20Focus%202020%20IIA%20NL%

Forum, Nov. 12, 2019, https://www.weforum.

20LR%20def.pdf

org/agenda/2019/11/china-data-privacy-laws

27

Ibid, p. 5

-guideline

28

Ibid, p. 11“EU Japan Adequacy Decision”fact sheet,

29

Ibid, p. 13

European Commission website, January 2019,30

20“OnRisk 2020: A Guide to Understanding,https://ec.europa.eu/info/sites/info/files/

Aligning, and Optimizing Risk,”Institute ofresearch_and_innovation/law_and_regulations/Internal Auditors, 2019, p. 5, https://dl.theiia.

documents/adequacy-japan-factsheet_
en_2019_1.pdf
21

org/AECPublic/OnRisk-2020-Report.pdf
31“NIST Releases Version 1.0 of Privacy Frame-

Kwang Bae Park and Hwan Kyoung Ko,“Korea:

work,”NIST news release, Jan. 16, 2020, https:

, InterData Protection 2019”（Section 18.2）//www.nist.gov/news-events/news/2020/01/

national Comparative Legal Guides, March 7,

nist-releases-version-10-privacy-framework

2019, https://iclg.com/practice-areas/data-pro
tection-laws-and-regulations/korea
22

Melissa Krasnow,“Practical Guidance Overview: State Laws Requiring Data Security

月刊監査研究2020. 8（No.561）

73