2019年11月27日

データ戦略と法務・コンプライアンス戦略の一体性の確保

1

中崎・佐藤法律事務所 代表
九段金融・IT研究所 共同代表
弁護士 中崎 隆

第１ 本シンポジウムの狙い
第２ データ戦略の重要性と課題
第３ 事業戦略と法務・コンプライアンスの一体性の確保
第４ まとめ2

第１ 本シンポジウムの開催の経緯と意義

3

データ戦略の重要性

データ戦略の重要性が増している。
データ戦略対応が企業等の命運を決する時代に。

4

開催の経緯 － 当初の問題意識
欧米トップ企業との契約交渉等で感じたデータ戦略の意識⇩〇日本で「データ戦略と法務・コンプラ」の重要性が看過されていないか。
〇法務・コンプラも含めた、企業全体、グループ全体としての戦略策定・遂行等が必要なのではないか。（「ワン・チーム」）⇩☑ 弁護士、法務／コンプラ等の側からできることがないか。
☑ 経営、データ戦略等の側からできることがないか。

5

開催の経緯 － IT法部会
第一東京弁護士会
総合法律研究所「IT法部会」等にて研究（2015年～）。
⇩「データ戦略と法律」（日経BP社、2018年） など一定の成果。
⇩
弁護士が中心となった研究から視野をさらに広げる必要。
⇩
最先端でご活躍なさる方々のお話を伺い、その問題意識をお伺いしたい。
⇩
今回のシンポジウム企画に。

6

今回の企画の意義
データ戦略の策定・遂行にあたってイシュー／ハードルとなりやすい部分（課題等）を洗い出し、課題解決のためのありうるソリューション（解決策）等を検討し、データ戦略策定・遂行等に各関係者が貢献する（又は政策提言する）際の一助となることを目指したい。

7

第２ データ戦略の意義

8

データ戦略の意義「データ」の「取扱い」に関する「戦略」「データ」には、顧客データ、従業員データ、提携先データ等の当該企業等が有する全てのデータを含む意味。
「取扱い」は、データの取得、加工・連携・分析、利用、保管・保存、共有・提供・報告、廃棄等を含む意味。
「戦略」は、企業等の目的を達成するための戦略。ここでは、Tacticsやデータガバナン
スの在り方等を含む意味。

Mission （目的）Strategy（戦略）Tactics （方策）Action （行動）9

データ戦略の具体的な落とし込み
Andreas Weigend氏（元Amazon社チーフ・サイエンティスト）の著書（「Data for the People」）で紹介されている事例
Mission （目的）：
世界中で最も顧客中心の会社となり、顧客が欲しいものを何でもオンラインで購入できるようにすること。
Strategy（戦略）：
顧客が自らの興味、好み、そのときの状況に応じて「何を買うべきかを判断するのに役立つ情報の提供」
問題の設定／仮説の設定：
製品等の評価を自社の従業員が行う方が顧客の判断に役立つのか、それとも一般の利用者が行う方が役立つのか。
データ等により検証：
検証作業に必要な条件や障害を洗い出してクリアした上で、テストを実施し、その結果のデータを分析。上記問題では、一般の利用者が行う評価の方が役立つとの結論。
Action （行動）：検証の結果得られた知見を組織内で共有し、サービス等の改善へとつなげていく。

10

データ戦略の検討項目の例（１）データの取得必要なデータは何か。どのデータ項目を取得するか。
誰から取得するか。データの取得の形態・頻度・法的構成はどうするか。データ量をどう増やすか。M&A、業務提携等を行うか。同意をどう取得するか（ポイント等の活用？）（２）データの加工・連携・集約
データを利用しやすいようにどのようにデータを加工・連携（名寄せを含む）・集約等するか。システム設計はどのようなものとするか。グループ会社間での情報収集・加工等に際してのルールをどのようなものとするか。
（３）データの利用
11
どのような目的・方法・態様で利用することとするか。

データ戦略の検討項目の例（４）データの共同利用・第三者提供・報告・公表
アクセス権をどう設定するか。グループ会社等との共同利用をどの範囲でどう行うか。第三者への提供等の態様・範囲・条件等をどう設定するか。同意の取得法はどうするか。
（５）データの保管・保存
保管等は自社でするか、委託先か、クラウドサービス事業者か、外部倉庫か。 どこの国に保管・保存するか。バックアッ
プは、どうするか。セキュリティレベルはどうするか。
（６）データの廃棄いつのタイミングで破棄するか。
（そもそも破棄しやすいような保存形態で保管しているか） 12

データ戦略 検討例 （取引時確認のケース）
取引時確認とは、銀行等が、基本契約締結時等に行う免許証等による顧客の調査手続。法令で義務付けられているもの。
（１）データの取得
本人確認書類として認める書類の範囲をどうするか。免許証を原則とするか。免許証等のコピーをとるか、取らないか。あやしい
顧客について、どの範囲の情報を追加的に取得するか。
銀行等の本人確認に依拠するか。依拠する場合には、提供を受けることが必要となる情報をどのように取得するか。
（２）データの加工・連携・集約
グループ内での顧客ID等による名寄せ、連携を行うか。免許証や、申込書等をスキャンして、デジタルデータとして保存するか。
（３）データの利用
どのように疑わしい取引（犯罪等の疑いのある取引）を検出するか。どのように偽造免許証等を検出するか。

13

データ戦略 検討例 （取引時確認のケース）（４）データの共同利用・報告・第三者提供
グループ会社に対して住所変更等の届出があった場合に、他のグループ会社との関係でも住所変更と取り扱うか。
グループ内でどのように疑わしい取引の届出に係るデータを共有するか。そもそも共有できるのか。
（５）データの保管・保存確認記録を紙で保管するのか、電磁的に保管するのか。
（６）データの廃棄
いつのタイミングで破棄するか。例えば、違法方向により、過去に解約した顧客でも、確認記録を破棄してしまえば、取引時確認の省略ができなくなるし、再度、取引の申し込 14みがあったときにも、検出ができないのではないか。

個人情報保護法等との関係でよく問題となる点
 提携先との契約内容やプライバシーポリシー等をどのようなものとするか
 個人情報の関係をどう整理するのか
一方による顧客個人情報の取得 ＋ 個人情報の取扱いの委託一方による顧客個人情報の取得 ＋ もう一方への第三者提供

同時取得 ／ 独立取得
共同利用
 提携先が顧客個人情報を本当に取得していないのか。
 関係者の同意をどのように取得するか。
 自社が提携先に提供するデータの利用目的・態様をどのように制限するか。
 データの帰属又は利用許諾の条項をどのようなものとするか。
15

データ戦略の策定に際しての目的やユーズケースの明確化の重要性
データ戦略策定に際しては、データ戦略策定の主たる目的の絞り込みや、主として想定しているデータのユーズケース等の明確化／共有化を図ることが重要。

16

データ活用の大前提
 データは目に見えないが、利用等の取扱いに際しては制約がある。
① 契約等による制約② 法令による制約 （個人情報保護法、業法等）
 データの取扱いに関するルールを守りながら、データを活用する必要がある。

法務とデータ戦略部門等の協働が不可欠

・契約内容等を適正なものにデータ活用の確保のため他社に自社データを不当に利用されないため・法令違反を回避し、効率的に法令等を遵守
・適正な社内体制の整備
17

データ戦略を語る前の心がまえ データ戦略を展開するには、データを取得する必要があり、データの客体からの同意／利用許諾が重要。
個人情報

本人の同意

企業データ 当該企業の同意／利用許諾（ライセンス条項）
 同意を得るために、コスト／リスクを上回るベネフィット（Benefit）の提供と、企業としての信用が重要。後者については、コストとベネフィットの比較のため、Transparency[透明性]＆Controlが大事。
 信頼／ベネフィットのいずれかを欠けば、同意は得られない。
データ戦略
関係者の同意
信用ベネ
フィット

利便性
（／対価）

関係者とWin-Winな関係を。

信用法令等の遵守が重要。

18

顧客等の信頼顧客等の信頼を得るためには・データを売っているというイメージ、データで儲けているというイメージは、プラスに働かない・あまりに自社に有利な約款等の条項は反感を買う
Win – Winでなければ長くは続かない
・利用者に対する透明性／コントロールがない仕組みは、違法・罰金リスクとともに、利用者の信頼を害するリスク・利益相反にも十分に注意する必要
・顧客等に見えない所でも、法令や他社との契約を守れていることを確保する必要19

どうやって稼ぎに結び付けるか？
 商品・サービスの開発・改善につなげていく

例）本業のデータを、カード事業に活用（トランザクション・レンディング） 顧客のニーズにあったプロモーションに活用

例）カード等の利用履歴や位置情報等を用いたターゲティング広告や、クーポンの発行、Landing Page Optimization、メールマガジン発行、クーポンアプリの発行 など
 不正取引や、疑わしい取引の発見のために活用

例）顧客のIPアドレス、アプリの位置情報等を用いて、不正なカード利用（第三者利用や現金化）等を検知

20

どうやって稼ぎに結び付けるか？
 業務フローの効率化のために活用

例）AI等を活用し、優先的に営業をかけるべき営業先を抽出等
 経営やビジネス判断のためのデータ活用例）ビジネス・インテリジェンス・ツール等を用いた経営数値の分析・共有により経営課題等を明確化※ 最近は、リスク等も含め、様々な経営数値をスコアリングする動きが顕著。

21

データをどのように稼ぎに結び付けるか？
データを自社サービスのために使う

データを他社サービスのために使うデータを自社 パターン１
で使う○自社のウェブサイトでのレコメンドや、Landing PageOptimization（LPO）○自社のメールマガジン○自社によるクーポン発行

パターン２ （広告事業）○自社の広告サービス（自社ウェブサイト等において他社のための広告を掲出）○自社のDMPサービス

データを他社 パターン３ （アウトソーシング）
で使う○委託先の活用○広告会社への発注（他社DMPの利用）

パターン４ （データ事業）○データの販売○データのライセンス22

欧米の先進的な企業はデータでどう稼いでいるか？
 広告収益、自社製品・サービス（ クラウド収益、携帯電話等）＋プラットフォーム手数料。
 ユーザーとのコンタクトポイントをおさえる。
⇒製品売上、広告収益、データ収集。
 ユーザーについてのデータを大量収集・分析。（クラウド必須）（検索／取引・決済／閲覧・クリック／通信／予定表／友人等）
 データ分析のためにデータ連携（ID連携／クッキーシンク等）
 ユーザーに対して、ユーザーにあったプロモーションを実施。
（広告／Recommend／メール／キャンペーン／ポイント）
 ABテスト（ライブテスト）等により、ウェブサイト等を地道に改良。
ユーザーの好み／ニーズに徹底的にあわせる。
 不正取引対策も実施。
23

データ管理の必要性〇データ戦略を重視し、データに価値があると考えるのであれば、データを管理するべきという発想に。
〇体制整備／内部統制の観点からも、情報の取得／伝達が一つの重要な柱とされている。
・法令等遵守その他の目的達成に、一定の情報が必要（事業目的／マネーロンダリング／不正検知／利益相反管理等）
・法令等その他との関係で、一定の情報の利用／共有が禁止（他社との契約／インサイダー取引／利益相反等）
番号

COSO枠組の内容

13

組織は，内部統制が機能することを支援する，関連性のある質の高い情報を入手または作成して利用する。

14

組織は，内部統制が機能することを支援するために必要な内部統制の目的と内部統制に対する責任を含む情報を組織内部に伝達する。 24

15

組織は，内部統制が機能することに影響を及ぼす事項に関して，外部の関係者との間での情報伝達を行う。

データガバナンスとの関係でもCOSO（体制整備）の考え方を抑えることが有用
 体制整備は、会社法、金商法、銀行法、貸金業法、割賦販売法、犯収法等、様々な法令で求められている。
 その根底には、COSOの内部統制（internal control）の考え方がある。
 データマネジメントとの関係でも内部統制の考え方が有用。

25

体制整備
目的達成のために必要となるリスクの洗い出し⇩
当該リスクを評価した上で、リスクを受容するか、リスクを低減する措置を講ずるか等を評価・検討⇩
リスクを低減しつつ、目的を達成するための仕組みを構築⇩
当該仕組みが機能することを確保⇩
上記により経営のレベルについて一定水準を確保

上記の考え方のベースとなっているのが、COSO報告書 （次頁参照）
26

体制整備のイメージ

トップの意識社内規程等の整備

研修

実践

チェック

イラストの引用元： いらすとや

27

COSO報告書における内部統制の考え方
３つの目的①事業目的、②報告（の適正）、③法令等遵守
５つの構成要素①統制環境、②リスク評価、③統制活動（リスク低減措置等）、④情報及び伝達、⑤モニタリング
COSOキューブ
複数のレイヤーで組織全体として対応する必要
・ グループ全体
・ 会社単位
・ 事業部単位・ 機能単位28

出展：COSOのHP

要は
 データ戦略との関係でも、部門横断、サービス横断、グループ横断での対策の観点がグローバルスタンダード。
 部門の壁、サービスの壁、グループ会社の壁、国籍の壁、言語の壁等を超えてデータ戦略に取り組む必要。
 契約交渉にしても、法令等遵守にしても、グループ全体としての戦略策定と遂行が重要。
 グループ内の各社のシステムが別々などということでは、法令等の遵守も確保できない。

29

第３ データ戦略の課題

30

データ戦略との関係での考えられる課題☑ 必要なデータ項目、データ量 （規模） をいかに確保するか－ M&A、業務提携等☑ 技術面の課題をいかに乗り越えるか－他社からのライセンス等☑ 統一的なデータ戦略のニーズ（仕様・規格の統一、システム統合・データ連携） と、 各サービス・グループ会社の自主性確保・負担軽減のニーズをいかに調整するか☑ グループ内の利害関係を一致させるための工夫をどのように行うか☑ 人材をいかに確保するか。

31

データ戦略との関係での考えられる課題☑ グループ全体としての体制整備をいかに確保するか。
☑ 法令違反その他の不祥事の多発をいかに抑止するか。
☑ 利用者の信頼をいかに確保するか。
☑ 業務提携先その他の利害関係者とどのように利害調整するか。
☑ セキュリティ対策、不正対策。
☑ 法令等の環境面での問題をどのようにクリアするか。
（例えば、マイナンバー制度の使いにくさ）－ ロビーイング☑ 国／言語 の壁をいかに乗り越えるか。
－多様な人材を獲得するための人事制度、翻訳ソフト等

32

第４ データ戦略と法務・コンプライアンス戦略との一体性

33

経営戦略と、法務・コンプラ戦略は表裏一体

34

「コンプライアンス・リスクは、ビジネスと不可分一体で、往々にしてビジネスモデル・ 経営戦略自体に内在する場合が多く、その管理は、まさに経営の根幹をなすものである。しかしながら、金融機関の経営陣において、そのような発想が十分ではない」
金融庁（コンプライアンス・リスク管理基本方針）
このような傾向は、必ずしも金融機関に限らないのではないか。
35

経営陣の姿勢
上記の問題を解決するためには、金融機関の経営陣における、「コンプライアンス・ リスク管理は、まさに経営の根幹をなすものである」との認識に基づいた経営目線での対応が極めて重要となる。
金融庁（コンプライアンス・リスク管理基本方針）

36

経営陣として考えられる対策
 データ戦略に係る統括的な責任者の設置
 データ戦略に係る統括的な部署の設置
 予算の確保、優秀な人員の確保

 グループ横断、サービス横断、部署横断でのデータ戦略の策定・遂行を後押し（共通のKPIの設定等のグループ内の利害を揃えるための仕組み作り）
 データガバナンスの意識の向上

37

データ戦略部門として考えられる対策
 視野を広げること

 データアナリスト等だけでなく、関連する他分野の専門家もチームに含めること
 他部門との連携の強化
 データ戦略に係る目的／ビジョンの共有
 関係部署／業務提携先等との丁寧な利害調整
38

法務／コンプラ部門として考えうる対策
 競合他社／提携先等の約款、サービス、特許等の分析

他社の長期的な戦略、適用法令等を理解すること。
 事業戦略への法務面からのアドバイス。

 法令改正の予想と必要な対応のアドバイス。
 システム改築へのアドバイス。
 経営会議等を傍聴し、事業部側の狙いやニーズをしっかり理解。

議案等に重要な問題／リスクがある場合は、必要に応じて指摘。
 データ戦略的な観点からも、契約条項について、コメント。

（特にデータの帰属、利用目的制限、ライセンスの条項等）

39

法務・コンプラ部門として考えられる対策
 クラウド等のデータ関連事業で超重要取引先への営業へ同行

 社内研修等を通じた社内意識改革支援
 重要な契約交渉への立会、その他の支援
 ロビーイング支援
 データ戦略事業部との兼務・データ戦略部門への常駐（週に1度等）、その他、データ戦略部門等との連携強化

40まとめ サービスの壁、部門の壁、グループ会社の壁等を超えた、グループ一体としてのデータ戦略の策定・遂行が求められている。

41

参考文献
 Andreas Weigend 「Data for the People：

How to Make Our Post-Privacy Economy
Work for You」
 安宅和人「イシューからはじめよ―『知的生産の「シンプルな本質』」
 別所直哉「ビジネスパーソンのための法律を変える教科書」
 工藤卓哉ほか「アクセンチュアのプロフェッショ
ナルが教える データ・アナリティクス実践講座」
42

参考文献：データ戦略と法律 攻めのビジネスQ&A
出版元 日経BP社（2018年）
編著者／中崎隆、安藤広人、板倉陽一郎、
永井徳人、吉峯耕平
著者／上野陽子、尾城亮輔、笠松航平、梶谷篤、木佐優、斎藤綾、島崎政虎、鈴木正人、関口康晴、高橋孝彰、辻畑泰喬、平山賢太郎、村上光明、持田大輔、森大輝、吉浦洋一、吉田秀平、渡邊涼介

43

経歴

経歴
長島・大野・常松法律事務所
経済産業省に出向 － 割賦販売法改正等の立法、監督の基本方針の作成等
ヤフー株式会社 広告・データ事業法務チームの責任者等
山下・柘・二村法律事務所 パートナー
現在、中崎・佐藤法律事務所 代表弁護士。九段金融・IT研究所 共同代表。
専門 ― 金融、インターネット・広告事業、外国企業との提携等との関係が専門。
英語 ― アメリカに8年居住（英検1級 TOEFL 113/120 TOEIC 975/990）
その他―日本オンラインゲーム協会監事（元）、日弁連企業内弁護士小委員会副座長

書籍

44