重要インフラ事業者向け情報セキュリティセミナー

ＩＴ障害に対して配慮すべき法的事項
内部統制と責任論からみた｢重要インフラの情報セキュリティ対策に係る基本的考え方｣

独立行政法人 情報処理推進機構（IPA）
有限責任中間法人 JPCERT コーディネーションセンター(JPCERT/CC）
稲垣隆一法律事務所
弁護士 稲

垣

隆 一

© Copyright RYUICHI INAGAKI 2005

ＩＴ障害に関連する事件 何が起きているのか
■

■

■

■

■

■

1

航空
■
2003年3月21日 ANAシステムダウンにより羽田始発から発着遅れ150便欠航300便遅れ。１０万2000人に影響■
2006年2月17日 国土交通省東京航空管制部 フライトプラン転送システムがダウン。羽田、成田、中部、関西などへのフライトプランの転送不能。７分間で復旧し、ダイヤへの影響なし。
■
2006年1月3日 日本航空運行管理システムＪＡＬＦＯＳがダウン。出発便の重量・重心の自動計算不能に。国内線９便，国際線１便が最大53分遅れ，２２００人に影響。
通信■2005年10月13日 兵庫県西宮市の加入電話の電話番号が１日近く入れ替わる事故。
■
2005年11月2日 ドリーム・トレイン・インターネット（東電系ＩＰ電話グループ）のプロバイダ統合に際してのシステムトラ
ブルで，電話回線業者に契約者のデータ送信不能に。新規契約者８００件に影響。
証券■
2003年10月3日 東証システム障害 1128株のみずほファイナングループ株の売り注文に対して買い注文がないのに取引を誤って成立させ，約定代金3億3千万円を支払い。
金融■
2002年 みずほシステム統合に伴うＡＴＭ障害。振込不能による代金回収の遅れ，再請求費用などの賠償請求（東京都水道局 １６９７万円、ＮＴＴ東日本、西日本、ＮＴＴドコモ、ＮＴＴコミニュケーション合計約２億７０００万円、東京電
力５０００万円。九州電力６００万円などが報じられている）■
2006年1月 三菱東京ＵＦＵ銀行 システム統合検査間に合わず合併御業務開始期日を延期。
■
2005年 富士火災海上保険会社 プログラムの欠陥やチェックシステムの不備のため過去3年間に4827件合計約1億2914万円の保険金不払発生。過去６年ないし９年間に約２５万件４１９４万円の保険料を違法徴収■
2005年10月７日 ソニー生命02年における変額保険，変額個人年金保険の解約返戻金，積立金計算プログラムの修正時のミスにより，過去3年間に解約返戻1119件約144万円の支払い不足。
首都高■
2006年１月12日午後８時から８時間首都高ＥＴＣに障害。約６万台に影響。時間帯割引が不能となったため、希望者からの料金後払いで対応。
損害賠償約款
■独立行政法人通関情報処理センター 「システム障害に係る利用者への損害賠償について」・・・・連続してシステム全部停止の障害が発生した場合、センターは臨時開設手数料のうち利用者の申請に基づきセンタ−が認定した損害を賠償する。（http://www.naccs.go.jp/unkyou/unkyou/29data/songaibaisho.pdf）© Copyright RYUICHI INAGAKI 2005

重要インフラ ＩＴ障害の際の法的根拠は何か■ 責任を負う相手との主たる法律関係■ 商品市場■■■■

大規模取引先･･･個別契約
大衆取引先･････約款契約
不法行為法制会社法■ 株式市場■ 会社法■ 証取法■ 証券市場のルール■ 株主・その他の利害関係者■ 会社法・不法行為法■ 社会･国■ 事業法■ その他の項法的規制■ 責任の根拠

株式市場
株式市場
株式市場

取引先
取引先
取引先

利害関係者
利害関係者
利害関係者

契約・任意選択ルール
契約・任意選択ルール
契約・任意選択ルール
契約・任意選択ルール
契約・任意選択ルール
契約・任意選択ルール
不法行為・会社法
不法行為・会社法
不法行為・会社法
不法行為・会社法
不法行為・会社法
不法行為・会社法
重要インフラ
重要インフラ
重要インフラ
重要インフラ
重要インフラ
重要インフラ

事業法･独禁法･個人情報保護法その他の行政規制
事業法･独禁法･個人情報保護法その他の行政規制
事業法･独禁法･個人情報保護法その他の行政規制
事業法･独禁法･個人情報保護法その他の行政規制
事業法･独禁法･個人情報保護法その他の行政規制
事業法･独禁法･個人情報保護法その他の行政規制
国･自治体
国･自治体
国･自治体

■ なすべきことをなしていたか2© Copyright RYUICHI INAGAKI 2005

ＩＴ障害防止のために「なすべきこと」をどう把握するのか
内部統制 大和銀行代表訴訟事件判決(平成12年9月20日大阪地方裁判所判決)■■

リスク管理体制＝内部統制の整備が必要
リスク管理体制＝内部統制の整備が必要｢健全な会社経営を行うためには、目的とする事業の種類、性質等に応じて生じる各種のリスク･･･の状況｢健全な会社経営を行うためには、目的とする事業の種類、性質等に応じて生じる各種のリスク･･･の状況を正確に把握し、適切に制御すること、すなわちリスク管理が欠かせず、会社が営む事業の規模、特性等を正確に把握し、適切に制御すること、すなわちリスク管理が欠かせず、会社が営む事業の規模、特性等に応じたリスク管理体制（いわゆる内部統制システム）を整備することを要する。｣に応じたリスク管理体制（いわゆる内部統制システム）を整備することを要する。｣■■

リスク管理体制＝内部統制の大綱決定は取締役会の職務
リスク管理体制＝内部統制の大綱決定は取締役会の職務｢重要な業務執行については、取締役会が決定することを要する（商法二六〇条二項）から､会社経営の根幹｢重要な業務執行については、取締役会が決定することを要する（商法二六〇条二項）から､会社経営の根幹に係わるリスク管理体制の大綱は、取締役会で決定することを要し､業務執行を担当する代表取締役及び業務に係わるリスク管理体制の大綱は、取締役会で決定することを要し､業務執行を担当する代表取締役及び業務担当取締役は、大綱を踏まえ、担当する部門におけるリスク管理体制を具体的に決定するべき職務を負う｡
担当取締役は、大綱を踏まえ、担当する部門におけるリスク管理体制を具体的に決定するべき職務を負う｡■■

リスク管理体制＝内部統制の構築は取締役の善管義務の内容をなす
リスク管理体制＝内部統制の構築は取締役の善管義務の内容をなす

取締役は、取締役会の構成員として、また、代表取締役又は業務担当取締役として、リスク管理体制を構築す
取締役は、取締役会の構成員として、また、代表取締役又は業務担当取締役として、リスク管理体制を構築すべき義務を負い、さらに代表取締役及び業務担当取締役がリスク管理体制を構築すべき義務を履行しているかべき義務を負い、さらに代表取締役及び業務担当取締役がリスク管理体制を構築すべき義務を履行しているか否かを監視する義務を負うのであり、これもまた、取締役としての善管注意義務及び忠実義務の内容をなすもの
否かを監視する義務を負うのであり、これもまた、取締役としての善管注意義務及び忠実義務の内容をなすものと言うべきである｡と言うべきである｡■■

取締役のリスク管理体制の整備は監査役によって監査される取締役のリスク管理体制の整備は監査役によって監査される監査役は、商法特例法二二条一項の適用を受ける小会社を除き、業務監査の職責を担っているから、取締役が監査役は、商法特例法二二条一項の適用を受ける小会社を除き、業務監査の職責を担っているから、取締役がリスク管理体制の整備を行っているか否かを監査すべき職務を負うのであり、これもまた、監査役としての善管
リスク管理体制の整備を行っているか否かを監査すべき職務を負うのであり、これもまた、監査役としての善管
意義務の内容をなすものと言うべきである
意義務の内容をなすものと言うべきである3© Copyright RYUICHI INAGAKI 2005

大和銀行事件
■
■

■
■
■
■

■
■
■
■

4

リスク管理体制とコンプライアンス体制整備問われているのは、主として、被告らのうち、大和銀行の代表取締役・・・及び取締役在任中問われているのは、主として、被告らのうち、大和銀行の代表取締役・・・及び取締役在任中にニューヨーク支店長の地位にあった者が、同支店における財務省証券取引及びカストディにニューヨーク支店長の地位にあった者が、同支店における財務省証券取引及びカストディ
業務に内在する、・・・事務リスクを適切に管理する仕組み、すなわちリスク管理体制を整備し業務に内在する、・・・事務リスクを適切に管理する仕組み、すなわちリスク管理体制を整備していたか否か、また、その余の被告らに、取締役又は監査役としての監視義務違反又は監ていたか否か、また、その余の被告らに、取締役又は監査役としての監視義務違反又は監査義務違反が認められるか否かである。
査義務違反が認められるか否かである。
ところで、取締役は、自ら法令を遵守するだけでは十分でなく、従業員が会社の業務を遂行
ところで、取締役は、自ら法令を遵守するだけでは十分でなく、従業員が会社の業務を遂行する際に違法な行為に及ぶことを未然に防止し、会社全体として法令遵守経営を実現しなけする際に違法な行為に及ぶことを未然に防止し、会社全体として法令遵守経営を実現しなければならない。
ればならない。
しかるに、事業規模が大きく、従業員も多数である会社においては、効率的な経営を行うた
しかるに、事業規模が大きく、従業員も多数である会社においては、効率的な経営を行うた
め、組織を多数の部門、部署等に分化し、権限を部門、部署等の長、さらにはその部下へ委め、組織を多数の部門、部署等に分化し、権限を部門、部署等の長、さらにはその部下へ委譲せざるを得ず、取締役が直接全ての従業員を指導・監督することは、不適当であるだけで譲せざるを得ず、取締役が直接全ての従業員を指導・監督することは、不適当であるだけでなく、不可能である。
なく、不可能である。
そこで、取締役は、従業員が職務を遂行する際違法な行為に及ぶことを未然に防止するた
そこで、取締役は、従業員が職務を遂行する際違法な行為に及ぶことを未然に防止するための法令遵守体制を確立するべき義務があり、これもまた、取締役の善管注意義務及び忠めの法令遵守体制を確立するべき義務があり、これもまた、取締役の善管注意義務及び忠実義務の内容をなすものと言うべきである。
実義務の内容をなすものと言うべきである。
この意味において、事務リスクの管理体制の整備は、同時に法令遵守体制の整備を意味
この意味において、事務リスクの管理体制の整備は、同時に法令遵守体制の整備を意味することになる。
することになる。

© Copyright RYUICHI INAGAKI 2005

内部統制 対象領域に応じて基準はさまざま■ 業務･財務・コンプライアンス情報など■ 会社法■ 監査役監査基準■ その他のガイドライン・指針■ 特定業務情報など■ 業務検査基準■ 財務報告･会計情報など■ 証取法・企業内容等の開示に関する内閣府令■ 有価証券報告書の提出に関する財務局の指導■ 証券市場による誘導

業務全般
特定業務
財務報告

■ 「適時適切な情報開示に関する宣誓」■ 「有価証券報告書等の適正性に関する確認書」■ 会計監査基準■ Ｊ−Ｓｏｘ5© Copyright RYUICHI INAGAKI 2005

新会社法の内部統制の内容は何か
基本方針の決定と整備
基本方針の決定と整備
取締役会非設置会社
取締役会非設置会社

取締役会設置会社
取締役会設置会社

第三百四十八条
第三百四十八条 取締役は、定款に別段の取締役は、定款に別段の定めがある場合を除き、株式会社（取締役会定めがある場合を除き、株式会社（取締役会設置会社を除く。以下この条において同じ。）
設置会社を除く。以下この条において同じ。）の業務を執行する。
の業務を執行する。
22 取締役が二人以上ある場合には､株式会
取締役が二人以上ある場合には､株式会
社の業務は､定款に別段の定めがある場合を社の業務は､定款に別段の定めがある場合を除き､取締役の過半数をもって決する｡
除き､取締役の過半数をもって決する｡
33 前項の場合は､次に掲げる事項についての前項の場合は､次に掲げる事項についての決定を各取締役に委任することができない
決定を各取締役に委任することができない
四四 取締役の職務の執行が法令及び定款に取締役の職務の執行が法令及び定款に適合することを確保するための体制その他株適合することを確保するための体制その他株式会社の業務の適正を確保するために必要な式会社の業務の適正を確保するために必要なものとして法務省令で定める体制の整備ものとして法務省令で定める体制の整備

大会社
大会社

委員会設置会社
委員会設置会社

第三百六十二条
第三百六十二条
２２ 取締役会は、次に掲げる職務を行う。
取締役会は、次に掲げる職務を行う。
一
一 取締役会設置会社の業務執行の決定
取締役会設置会社の業務執行の決定
４４
取締役会は、次に掲げる事項その他の取締役会は、次に掲げる事項その他の重要な業務執行の決定を取締役に委
重要な業務執行の決定を取締役に委任することができない。
任することができない。
六
六 取締役の職務の執行が法令及び定款
取締役の職務の執行が法令及び定款に適合することを確保するための体制に適合することを確保するための体制
その他株式会社の業務の適正を確保
その他株式会社の業務の適正を確保するために必要なものとして法務省令するために必要なものとして法務省令で定める体制の整備で定める体制の整備

第四百十六条
第四百十六条 委員会設置会社の取締役会は、第三委員会設置会社の取締役会は、第三百六十二条の規定にかかわらず、次に掲げる百六十二条の規定にかかわらず、次に掲げる職務を行う。
職務を行う。
一
次に掲げる事項その他委員会設置会社の業
一
次に掲げる事項その他委員会設置会社の業
務執行の決定
務執行の決定ロ
ロ 監査委員会の職務の執行のため必要なものと監査委員会の職務の執行のため必要なものとして法務省令で定める事項
して法務省令で定める事項
ホホ 執行役の職務の執行が法令及び定款に適合執行役の職務の執行が法令及び定款に適合することを確保するための体制その他株式会することを確保するための体制その他株式会社の業務の適正を確保するために必要なもの
社の業務の適正を確保するために必要なものとして法務省令で定める体制の整備として法務省令で定める体制の整備

大会社
大会社

第四百十六条
第四百十六条２２ 委員会設置会社の取締役会は、前項第一号イか委員会設置会社の取締役会は、前項第一号イからホまでに掲げる事項を決定しなければならない。
らホまでに掲げる事項を決定しなければならない。

第三百六十二条
第三百六十二条 ５５ 大会社である取締役会設
大会社である取締役会設
置会社においては、取締役会は、前項第六号に置会社においては、取締役会は、前項第六号に掲げる事項を決定しなければならない。
掲げる事項を決定しなければならない。

第三百四十八条
第三百四十八条 ４４ 大会社においては、取締
大会社においては、取締役は、前項第四号に掲げる事項で定める体制
役は、前項第四号に掲げる事項で定める体制の整備)を決定しなければならない。
の整備)を決定しなければならない。

監査
監査

内部統制ｼｽﾃﾑの整備は取締役会･取締役の責務
内部統制ｼｽﾃﾑの整備は取締役会･取締役の責務

取締役による内部統制システムの整備は監査役によって監査される
取締役による内部統制システムの整備は監査役によって監査される

監査役設置会社､会計監査人設置会社の監査役は､事業報告に内部統制の基本方針の決定･内部統制整備の決議が記載されているときは､定款で監査役の監査役設置会社､会計監査人設置会社の監査役は､事業報告に内部統制の基本方針の決定･内部統制整備の決議が記載されているときは､定款で監査役の監査権限を会計に限定しているときをのぞき､､その事項の内容が相当でないと認めるときはその旨と理由を監査報告書に記載(第四百三十六条1項､2項､施行監査権限を会計に限定しているときをのぞき､､その事項の内容が相当でないと認めるときはその旨と理由を監査報告書に記載(第四百三十六条1項､2項､施行
規則第百二十九条1項五号､2項)｡取締役会ではこれらの監査を受けたものは取締役会の承認を得なければならない(法第四百三十六条3項)
規則第百二十九条1項五号､2項)｡取締役会ではこれらの監査を受けたものは取締役会の承認を得なければならない(法第四百三十六条3項)

事業報告による開示
事業報告による開示

内部統制システムは株主･会社債権者に開示・報告される
内部統制システムは株主･会社債権者に開示・報告される

内部統制の基本方針の決定･内部統制整備の決議は事業報告書に記載(第四三五条2項､施行規則百十八条2号)
内部統制の基本方針の決定･内部統制整備の決議は事業報告書に記載(第四三五条2項､施行規則百十八条2号)
事業報告及び事業報告に係る監査役(監査役会設置会社の監査役会委員会設置会社では監査委員会)の監査報告における監査報告の意見)は招集通知に添
事業報告及び事業報告に係る監査役(監査役会設置会社の監査役会委員会設置会社では監査委員会)の監査報告における監査報告の意見)は招集通知に添付､本店･支店への備置などの方法により株主･会社債権者及び親会社社員に開示する(法第四百三十七条､施行規則第四款､第百三十三条以下､法第四百四十付､本店･支店への備置などの方法により株主･会社債権者及び親会社社員に開示する(法第四百三十七条､施行規則第四款､第百三十三条以下､法第四百四十
二条)
二条)

6

© Copyright RYUICHI INAGAKI 2005

新会社法の内部統制 具体的には 施行規則98条
整備すべき内部統制ｼｽﾃﾑとは整備すべき内部統制ｼｽﾃﾑとは
法第三百四十八条第三項第四号に規定する法務省令で定める体制は、次
法第三百四十八条第三項第四号に規定する法務省令で定める体制は、次に掲げる体制とする。
に掲げる体制とする。
一取締役の職務の執行に係る情報の保存及び管理に関する体制
一取締役の職務の執行に係る情報の保存及び管理に関する体制
二損失の危険の管理に関する規程その他の体制
二損失の危険の管理に関する規程その他の体制
三取締役の職務の執行が効率的に行われることを確保するための体三取締役の職務の執行が効率的に行われることを確保するための体制
制
四使用人の職務の執行が法令及び定款に適合することを確保するた
四使用人の職務の執行が法令及び定款に適合することを確保するた
めの体制
めの体制
五当該株式会社並びにその親会社及び子会社から成る企業集団にお五当該株式会社並びにその親会社及び子会社から成る企業集団における業務の適正を確保するための体制ける業務の適正を確保するための体制
２２ 取締役が二人以上ある株式会社である場合には、前項に規定する取締役が二人以上ある株式会社である場合には、前項に規定する体制には、業務の決定が適正に行われることを確保するための体体制には、業務の決定が適正に行われることを確保するための体制を含むものとする。
制を含むものとする。
３３ 監査役設置会社以外の株式会社である場合には、第一項に規定す監査役設置会社以外の株式会社である場合には、第一項に規定する体制には、取締役が株主に報告すべき事項の報告をするためのる体制には、取締役が株主に報告すべき事項の報告をするための体制を含むものとする。
体制を含むものとする。
４４ 監査役設置会社（監査役の監査の範囲を会計に関するものに限定
監査役設置会社（監査役の監査の範囲を会計に関するものに限定する旨の定款の定めがある株式会社を含む。）である場合には、第する旨の定款の定めがある株式会社を含む。）である場合には、第一項に規定する体制には、次に掲げる体制を含むものとする。
一項に規定する体制には、次に掲げる体制を含むものとする。
一監査役がその職務を補助すべき使用人を置くことを求めた場合に一監査役がその職務を補助すべき使用人を置くことを求めた場合における当該使用人に関する事項
おける当該使用人に関する事項
二前号の使用人の取締役からの独立性に関する事項
二前号の使用人の取締役からの独立性に関する事項
三取締役及び使用人が監査役に報告をするための体制その他の監査
三取締役及び使用人が監査役に報告をするための体制その他の監査役への報告に関する体制
役への報告に関する体制
四その他監査役の監査が実効的に行われることを確保するための体制
四その他監査役の監査が実効的に行われることを確保するための体制

7

記録管理･情報セキュリティ
リスク管理体制･事業継続体制

大和銀行事件
大和銀行
大和銀行事件
大和銀行
日本長銀事件事件
日本長銀事件事件

効率性の確保コンプライアンス体制
企業集団管理業務決定の適正管理
取締役の株主への報告ルートの確保
監査の実効性確保の体制

取締役会等の責務
監査の対象© Copyright RYUICHI INAGAKI 2005

内部統制はどのようにして整備するのか
大和銀行代表訴訟判決(平成12年9月20日大阪地方裁判所判決)
行為のときを基準として判断行為のときを基準として判断整備すべき内部統制の内容については経営裁量が認められる｡
整備すべき内部統制の内容については経営裁量が認められる｡■ 行為の時を基準に判断する■■整備すべきリスク管理体制の内容は、リスクが現実化して惹起する様々な事件事故の整備すべきリスク管理体制の内容は、リスクが現実化して惹起する様々な事件事故の経験の蓄積とリスク管理に関する研究の進展により、充実していくものである。
経験の蓄積とリスク管理に関する研究の進展により、充実していくものである。 したがっしたがって、・・・現時点で求められているリスク管理体制の水準をもって、本件の判断基準とするて、・・・現時点で求められているリスク管理体制の水準をもって、本件の判断基準とすることは相当でない
ことは相当でない■ 内部統制の内容の選択には経営裁量が認められる■■

8

どのような内容のリスク管理体制を整備すべきかは経営判断の問題で・・会社経営の専
どのような内容のリスク管理体制を整備すべきかは経営判断の問題で・・会社経営の専門家である取締役に、広い裁量が与えられていることに留意しなければならない。
門家である取締役に、広い裁量が与えられていることに留意しなければならない。

© Copyright RYUICHI INAGAKI 2005

裁量権の逸脱 判断の指標は何か
日本長期信用銀行プロジェクト融資事件判決(平成１４年４月２５日東京地裁判決)
適切な事実認識と判断の推論過程･判断内容の合理性がポイント
適切な事実認識と判断の推論過程･判断内容の合理性がポイント■■ 取締役の判断に許容された裁量の範囲を超えた善管注意義務違反があるとするた
取締役の判断に許容された裁量の範囲を超えた善管注意義務違反があるとするた
めには
めには
■
■

9

判断の前提となった事実の認識に不注意な誤りがあったか否か、又は判断の過程・内容判断の前提となった事実の認識に不注意な誤りがあったか否か、又は判断の過程・内容が取締役として著しく不合理なものであったか否か、すなわち、当該判断をするために当が取締役として著しく不合理なものであったか否か、すなわち、当該判断をするために当時の状況に照らして合理的と考えられる情報収集・分析、検討がなされたか否か、これら時の状況に照らして合理的と考えられる情報収集・分析、検討がなされたか否か、これらを前提とする判断の推論過程及び内容が明らかに不合理なものであったか否かが問わを前提とする判断の推論過程及び内容が明らかに不合理なものであったか否かが問われなければならない。
れなければならない。

© Copyright RYUICHI INAGAKI 2005

大和銀行代表訴訟事件判決にみる内部統制の整備


脅威とリスクの把握
リスク対処方針の決定
リスク対処方針「最小限に食い止める」

決定
最小限に
食い止める

対処策の選択リスク対処方針との合理的関連性が
必要

実行と責任

10






財務省証券取引には、取引担当者が自己又は第三者の利益を図るため、その権限を
財務省証券取引には、取引担当者が自己又は第三者の利益を図るため、その権限を濫用する誘惑に陥る危険性があるだけでなく価格変動リスク（市場リスク）が現実化して濫用する誘惑に陥る危険性があるだけでなく価格変動リスク（市場リスク）が現実化して損失が生じた場合に、その隠ぺいを図ったり、その後の取引で挽回をねらいかえって損損失が生じた場合に、その隠ぺいを図ったり、その後の取引で挽回をねらいかえって損失を拡大させる危険性（事務リスク）を抱えている。また、カストディ業務には、保管担当
失を拡大させる危険性（事務リスク）を抱えている。また、カストディ業務には、保管担当者が自己又は第三者の利益を図って保管物を無断で売却して代金を流用する等、権限者が自己又は第三者の利益を図って保管物を無断で売却して代金を流用する等、権限を濫用する危険性（事務リスク）が内在している。
を濫用する危険性（事務リスク）が内在している。
「このような不正行為を未然に防止し、損失の発生及び拡大を最小限に止める」必要「このような不正行為を未然に防止し、損失の発生及び拡大を最小限に止める」必要
がある。
がある。
「そのリスクの状況を正確に認識・評価し、これを制御するため、様々な仕組みを組み「そのリスクの状況を正確に認識・評価し、これを制御するため、様々な仕組みを組み合せてより効果的なリスク管理体制（内部統制システム）を構築する必要がある。」
合せてより効果的なリスク管理体制（内部統制システム）を構築する必要がある。」｢財務省証券の保管残高の確認は、カストディ業務に内在する事務リスクを適切に管｢財務省証券の保管残高の確認は、カストディ業務に内在する事務リスクを適切に管理するため、最も基本的かつ効果的であり、欠くことのできない仕組みである。他にど理するため、最も基本的かつ効果的であり、欠くことのできない仕組みである。他にどのような仕組みを組み合せようとも、適切な残高確認を欠いたリスク管理体制は十全とのような仕組みを組み合せようとも、適切な残高確認を欠いたリスク管理体制は十全とは言い難い。｣
は言い難い。｣「事務リスクを適切に管理するためには、預かり保管する証券の性質に応じた適切な「事務リスクを適切に管理するためには、預かり保管する証券の性質に応じた適切な方法によって保管残高を検査することが必要である。」
方法によって保管残高を検査することが必要である。」｢残高確認を行うに当たって、預かり保管する証券の性質に応じた適切な方法を採り、｢残高確認を行うに当たって、預かり保管する証券の性質に応じた適切な方法を採り、いわば現物確認を行うことが必要である。証券が発行されているのであれば、現金のいわば現物確認を行うことが必要である。証券が発行されているのであれば、現金の残高を確認する際実際に現金を数えて帳簿上の金額と照合するように、証券の現物と残高を確認する際実際に現金を数えて帳簿上の金額と照合するように、証券の現物と帳簿上の記載とを突合することが必要であり、証券が発行されない登録債であり、かつ、
帳簿上の記載とを突合することが必要であり、証券が発行されない登録債であり、かつ、
バンカーズ・トラストにその保管を再委託している場合には、カストディ業務の担当者をバンカーズ・トラストにその保管を再委託している場合には、カストディ業務の担当者を介さず、直接バンカーズ・トラストに対して保管残高の照会を行うことが必要となる。
介さず、直接バンカーズ・トラストに対して保管残高の照会を行うことが必要となる。
にもかかわらず、ニューヨーク支店では、毎月の店内検査、随時実施されていた内部にもかかわらず、ニューヨーク支店では、毎月の店内検査、随時実施されていた内部
監査担当者による監査、二年に一回の臨店検査、米州企画室による検査、三年に一回監査担当者による監査、二年に一回の臨店検査、米州企画室による検査、三年に一回の会計監査人による監査のいずれにおいても、検査対象であるニューヨーク支店あるの会計監査人による監査のいずれにおいても、検査対象であるニューヨーク支店ある
いはカストディ係にバンカーズ・トラストから財務省証券の保管残高明細書を入手させ、いはカストディ係にバンカーズ・トラストから財務省証券の保管残高明細書を入手させ、その保管残高明細書と同支店の帳簿とを照合するという確認方法を採用していた。
その保管残高明細書と同支店の帳簿とを照合するという確認方法を採用していた。
そのため、井口に保管残高明細書を改ざんする機会を与える結果となり、本件無断そのため、井口に保管残高明細書を改ざんする機会を与える結果となり、本件無断売却及び虚偽のバンカーズ・トラストの保管残高明細書の作成及び虚偽の保管残高明売却及び虚偽のバンカーズ・トラストの保管残高明細書の作成及び虚偽の保管残高明細書のファクシミリ送信を発見、防止することができなかった。
細書のファクシミリ送信を発見、防止することができなかった。
大和銀行のリスク管理体制は、この点で、実質的に機能していなかったものと言わな
大和銀行のリスク管理体制は、この点で、実質的に機能していなかったものと言わなければならない。
ければならない。

© Copyright RYUICHI INAGAKI 2005

裁量権逸脱の判断 下部組織の検討への信頼が許される場合とは
日本長期信用銀行プロジェクト融資事件判決(平成１４年４月２５日東京地裁判決)
専門知識と能力ある職員が重畳的に情報収集・分析・検討を加える手続きの整備が必要
専門知識と能力ある職員が重畳的に情報収集・分析・検討を加える手続きの整備が必要■■ 取締役の行なった情報収集・分析、検討などに不足や不備がなかったかどうかにつ取締役の行なった情報収集・分析、検討などに不足や不備がなかったかどうかにつ
いては
いては
■
■
■
■
■
■

分業と権限の委任により広汎かつ専門的な業務の効率的な遂行を可能とする大規模組
分業と権限の委任により広汎かつ専門的な業務の効率的な遂行を可能とする大規模組織における意思決定の特質が考慮に入れられるべきであり織における意思決定の特質が考慮に入れられるべきであり下部組織が求める決裁について、意思決定権者が、自ら新たに情報を収集・分析し、そ下部組織が求める決裁について、意思決定権者が、自ら新たに情報を収集・分析し、その内容をはじめから検討し直すことは現実的でなくの内容をはじめから検討し直すことは現実的でなく下部組織の行った情報収集・分析、検討を基礎として自らの判断を行なうことが許される
下部組織の行った情報収集・分析、検討を基礎として自らの判断を行なうことが許されるべきである。
べきである。

■■ 特に、原告のように専門知識と能力を有する行員を配置し、融資に際して、営業部
特に、原告のように専門知識と能力を有する行員を配置し、融資に際して、営業部
店、審査部、営業企画部などがそれぞれの立場から重畳的に情報収集、分析及び店、審査部、営業企画部などがそれぞれの立場から重畳的に情報収集、分析及び検討を加える手続が整備された大銀行においては、検討を加える手続が整備された大銀行においては、
■
■

■
■

11

取締役は、特段の事情のない限り、各部署において期待された水準の情報収集・分析、
取締役は、特段の事情のない限り、各部署において期待された水準の情報収集・分析、検討が誠実になされたとの前提に立って自らの意思決定をすることが許されるというべき検討が誠実になされたとの前提に立って自らの意思決定をすることが許されるというべき
である。
である。
そして、上記のような組織における意思決定の在り方に照らすと、特段の事情の有無は、そして、上記のような組織における意思決定の在り方に照らすと、特段の事情の有無は、
当該取締役の知識・経験・担当職務、案件との関わり等を前提に、当該状況に置かれた当該取締役の知識・経験・担当職務、案件との関わり等を前提に、当該状況に置かれた取締役がこれらに依拠して意思決定を行なうことに当然に躊躇を覚えるような不備・不足
取締役がこれらに依拠して意思決定を行なうことに当然に躊躇を覚えるような不備・不足があったか否かにより判断すべきである。
があったか否かにより判断すべきである。
© Copyright RYUICHI INAGAKI 2005

重要インフラのＩＴ障害に関する法的課題■■ 法的責任の根拠はなにか
法的責任の根拠はなにか
■
■
■
■
■
■

関係者の意思の自由の確保
関係者の意思の自由の確保
具体的には･････想定した価値を想定したリスク内で得られること
具体的には･････想定した価値を想定したリスク内で得られること法的責任が発生するのは法的責任が発生するのは
■
■
■
■

■
■

得られた価値が想定より低いとき得られた価値が想定より低いとき現実化したリスクが想定より高いとき現実化したリスクが想定より高いとき組織が関係者の意思の自由を確保するためになすべきことは組織が関係者の意思の自由を確保するためになすべきことは
■
■
■
■
■
■

コンプライアンス
コンプライアンス
情報開示
情報開示
確実な価値の移転と現実化したリスクの想定内への封じ込め
確実な価値の移転と現実化したリスクの想定内への封じ込め■■ ＩＴ障害との関係における論点
ＩＴ障害との関係における論点■■

コンプライアンス
コンプライアンス
■
■

■
■

情報開示
情報開示
■
■

■
■

開示すべき情報は何か､これを可能とする条件は何か､情報開示をどのようにして確保するか開示すべき情報は何か､これを可能とする条件は何か､情報開示をどのようにして確保するか確実な値の移転と現実化したリスクの想定内への封じ込め
確実な値の移転と現実化したリスクの想定内への封じ込め■■

12

ルールの正統性をどう確保するか=どのような内容のルールを誰がどのようにして作るか
ルールの正統性をどう確保するか=どのような内容のルールを誰がどのようにして作るか

事業継続のレベルをどう措定するか､事業継続をどのように確保するか
事業継続のレベルをどう措定するか､事業継続をどのように確保するか© Copyright RYUICHI INAGAKI 2005

重要インフラのＩＴ障害に関する法的課題■■ 重要インフラの機能と特性
重要インフラの機能と特性
■
■
■
■
■
■

他に代替することが著しく困難なサービスを提供する事業
他に代替することが著しく困難なサービスを提供する事業
国民生活及び社会経済活動の基盤
国民生活及び社会経済活動の基盤
その機能が停止､低下又は利用不可能な状況に陥った場合に､我が国の国民生活またその機能が停止､低下又は利用不可能な状況に陥った場合に､我が国の国民生活または社会経済活動に多大なる影響を及ぼすおそれが生じる
は社会経済活動に多大なる影響を及ぼすおそれが生じる
従って■■ 重要インフラのＩＴ障害に関する
重要インフラのＩＴ障害に関するコンプライアンス
コンプライアンスと情報開示の確保は国民生活と社と情報開示の確保は国民生活と社会経済活動の基盤
会経済活動の基盤
しかし■■ＩＴ障害に対する責任の原則
ＩＴ障害に対する責任の原則
■
■
■
■

■
■

ＩＴ障害に対する重要インフラの法的責任は各重要インフラ自身にあるＩＴ障害に対する重要インフラの法的責任は各重要インフラ自身にある所管官庁は各重要インフラのＩＴ障害対処を支援する責任を負う
所管官庁は各重要インフラのＩＴ障害対処を支援する責任を負う

これで良いのか??
立ち上がった男たち

その意味を具体的に捉えるとその意味を具体的に捉えると■■ルールと責任の範囲の決定､脅威の把握､対処方針の決定､対処策の選定､実行が各重要インフラ自ルールと責任の範囲の決定､脅威の把握､対処方針の決定､対処策の選定､実行が各重要インフラ自身の責任｡その担保は各重要インフラの資産と所管官庁による業法規制身の責任｡その担保は各重要インフラの資産と所管官庁による業法規制■■ 新たな枠組みの必要･･･｢重要インフラの情報セキュリティ対策に係る基本的考え方｣
新たな枠組みの必要･･･｢重要インフラの情報セキュリティ対策に係る基本的考え方｣
13© Copyright RYUICHI INAGAKI 2005

平成１７年９月１５日情報セキュリティ政策会議決定｢重要インフラの情報セキュリ
ティ対策に係る基本的考え方｣の意義
■

意義
■
■

平成１２年１２月｢重要インフラのサイバーテロ対策に係る特別行動計画｣の見直しと新
視点の導入
見直し
■

重要インフラの範囲､対象分野の拡大と継続的な見直し■

重要インフラの範囲■■

重要インフラの対象分野■■｢サイバー攻撃等の意図的要因｣に止まらず｢人為的ミス､外部委託等の情報技術の適用方法の変化に伴う構造的な脅威などの非意図的要因｣や｢地震･津波などの自然災害｣など多種多様な脅威のすべて｡

新たな視点
■

｢個別の取り組みを政府が支援する｣から｢我が国全体としてセキュリティ水準を向上させてゆく｣という観点■

重要インフラの相互依存性解析
■
■

■

■

重要インフラに起こりうる脅威の把握ある重要インフラのＩＴ障害が他のどのインフラに影響するかの相互依存性の把握

分野横断演習などの重要インフラ横断的な総合的対策の強化

重要インフラ防護の一層の強化
■
■
■
■

14

重要インフラのうち､そのサービスの提供が情報システム委大きく依存しているため､ＩＴ障害についての総合的な取り組みが必要と考えられる分野｡ 情報通信､金融､航空､鉄道､電力､ガス､政府･業精査^ビス(地方公共団体を含む)､医療､水道､物流の１０分野｡

想定する脅威の見直し■■

他に代替することが著しく困難なサービスを提供する事業が形成する国民生活及び社会経済活動の基盤であり､その機能が停止､低下又は利用不可能な状況に陥った場合に､我が国の国民生活または社会経済活動に多大なる影響を及ぼすおそれが生じるもの

分野毎の安全基準･ガイドラインの作成･評価
官民の連絡･連携､情報共有体制の強化とその実効性の確保
情報セキュリティ基盤の強化
詳細検討の実施© Copyright RYUICHI INAGAKI 2005

平成１７年９月１５日情報セキュリティ政策会議決定｢重要インフラの情報セキュリ
ティ対策に係る基本的考え方｣実現にむけた期待■ コンプライアンスの確保の視点から■ ｢分野毎の安全基準･ガイドラインの作成･評価｣について｢分野毎の安全基準･ガイドラインの作成･評価｣について■■ 基準の策定の責任は依然として各重要インフラに委ねられている基準の策定の責任は依然として各重要インフラに委ねられている■■ 重要インフラの機能､ＩＴ障害の社会的影響､防護目的からして各事業法によ重要インフラの機能､ＩＴ障害の社会的影響､防護目的からして各事業法による担保との連携をどのように図るかが今後の課題
る担保との連携をどのように図るかが今後の課題■ 情報開示の視点から■ ｢官民の連絡･連携､情報共有体制の強化とその実効性の確保｣について■■ その重要インフラが対策を講じる視点からのもの
その重要インフラが対策を講じる視点からのもの■■ 開示すべき情報の範囲の決定
開示すべき情報の範囲の決定■■ 相互依存する相手方のリスク把握の視点からも検討されることが望まれる
相互依存する相手方のリスク把握の視点からも検討されることが望まれる■■ 開示を可能とする条件整備
開示を可能とする条件整備■■ 免責･守秘の保障についても検討が望まれる
免責･守秘の保障についても検討が望まれる■ 事業継続確保の視点から■ 事業者による事業継続を支援する主体と責任､行動計画の検討が望まれる
15© Copyright RYUICHI INAGAKI 2005

ISMS認証取得

稲垣隆一法律事務所
弁護士 稲 垣 隆 一〒104-0028
東京都中央区八重洲2-10-10ムラキビル６階
PHONE:03-3279-0300/FAX:03-3279-0301
Bengoshi̲inagakimail@alpha.ocn.ne.jp

日本弁護士連合会
日本弁護士連合会 コンピュータ委員会副委員長・情報問題対策委員会委員・消費者問題対策委員会(電子商取引・ネットワーク部
コンピュータ委員会副委員長・情報問題対策委員会委員・消費者問題対策委員会(電子商取引・ネットワーク部
会)
外
会) 外
学
学会
会等
等

法とコンピューター学会・情報ネットワーク法学会・日本刑法学会・システム監査学会
法とコンピューター学会・情報ネットワーク法学会・日本刑法学会・システム監査学会 外外公
公 務
務 法制審議会刑事法部会(ハイテク犯罪関連)幹事・警察庁「総合セキュリティ対策会議」・経済産業省「情報セキュリティ監査研
法制審議会刑事法部会(ハイテク犯罪関連)幹事・警察庁「総合セキュリティ対策会議」・経済産業省「情報セキュリティ監査研究会」・「情報セキュリティ教育研究会」、JIPDEC「システム監査基準検討委員会」「ＩＳＭＳ運営委員会」・総務省「地方公共団体究会」・「情報セキュリティ教育研究会」、JIPDEC「システム監査基準検討委員会」「ＩＳＭＳ運営委員会」・総務省「地方公共団体
におけるシステム監査のあり方に関する調査研究会」，「地方公共団体の情報セキュリティレベルの評価に係る制度の在り方ににおけるシステム監査のあり方に関する調査研究会」，「地方公共団体の情報セキュリティレベルの評価に係る制度の在り方に関する検討会専門委員」，「地方公共団体の各種インシデントの適切な予防及び復旧に役立てる仕組みの具体化のための調関する検討会専門委員」，「地方公共団体の各種インシデントの適切な予防及び復旧に役立てる仕組みの具体化のための調査研究会委員」，内閣官房「ＩＴ戦略本部情報セキュリティ基本問題委員会第１，第２分科会」「内閣官房「情報セキュリティ政策
査研究会委員」，内閣官房「ＩＴ戦略本部情報セキュリティ基本問題委員会第１，第２分科会」「内閣官房「情報セキュリティ政策
会議セキュリティ文化専門委員会」「重要インフラ専門委員会」委員外を歴任
会議セキュリティ文化専門委員会」「重要インフラ専門委員会」委員外を歴任
著書・論文
著書・論文 サイバースペースと法規制（日本経済新聞社・平成9年）
サイバースペースと法規制（日本経済新聞社・平成9年）
持株制度の運用と実務（新日本法規出版・平成10年）
持株制度の運用と実務（新日本法規出版・平成10年）
情報ネットワークの法律実務（第一法規出版・平成11年）
情報ネットワークの法律実務（第一法規出版・平成11年）
法律実務のためのコンピュータ徹底活用ブック（トール・平成11年）
法律実務のためのコンピュータ徹底活用ブック（トール・平成11年）
ビジネスマンのためのインターネット法律辞典（日経BP社・平成13年）
ビジネスマンのためのインターネット法律辞典（日経BP社・平成13年）
個人情報保護法Ｑ＆Ａ（中央経済社・平成13年）
個人情報保護法Ｑ＆Ａ（中央経済社・平成13年）
情報セキュリティ監査と管理の法的問題（日本内部監査協会）
情報セキュリティ監査と管理の法的問題（日本内部監査協会）
IJ 01378 ISMS認証基準(Ver.2.0）
個人情報保護法と企業対応（清文社・平成15年
個人情報保護法と企業対応（清文社・平成15年 新版・平成16年)
新版・平成16年)
IS 92993 ＢＳ7799：Pert2:2002
いやでもわかる法律（日経ビジネス人文庫）外
いやでもわかる法律（日経ビジネス人文庫）外業務
業務 企業の業務上組織上のリスク対策・商品開発や契約における法規適合性確保の取り組み・顧問業務・内部統制構築
企業の業務上組織上のリスク対策・商品開発や契約における法規適合性確保の取り組み・顧問業務・内部統制構築
ＩＳＭＳ構築・プライバシーマーク取得支援・継続のための教育・システム監査・セキュリティ監査
ＩＳＭＳ構築・プライバシーマーク取得支援・継続のための教育・システム監査・セキュリティ監査
個人情報保護法適合性監査・継続教育
個人情報保護法適合性監査・継続教育

16© Copyright RYUICHI INAGAKI 2005