記事 コンプライアンス総論 日大アメフト問題はオリンパスや東芝と同じだ 日本型組織にひそむ「病理」 日大アメフト問題はオリンパスや東芝と同じだ 日本型組織にひそむ「病理」 2018/05/29 アメリカンフットボールの悪質な反則タックルが波紋を呼んでいるが、この問題は、単にスポーツ界だけにとどまらない。以前から何度も議論されてきたにもかかわらず、一向に改善しない日本型組織における本質的な病理といってよいだろう。日本企業がしっかりとしたコーポレートガバナンスを確立できないこととも密接な関係がある。
記事 国際法・国際標準化 GDPR（EU一般データ保護規則）とは何か？ 概要と対応方法をわかりやすく解説する GDPR（EU一般データ保護規則）とは何か？ 概要と対応方法をわかりやすく解説する 2018/04/06 GDPR（EU一般データ保護規則）は、日本を含むEU域外の企業にも広く影響があり、また、違反時の制裁金が高額なため、GDPR対応を検討する日本企業は増えています。GDPR対応においては、まず「GDPRで保護されるべき個人データとは何か」「同データの取り扱いがある場合、日本企業にどういった影響があるのか」「影響がある場合、企業として対応すべきことは何か」を見極めることが重要です。本稿では「GDPRとは何か」を説明するとともに、企業が対応する方法と注意すべきポイントを紹介します。
記事 ガバナンス・内部統制・不正対策 GRCとは何か？ トーマツが基礎から解説するGRCツール導入の方法 GRCとは何か？ トーマツが基礎から解説するGRCツール導入の方法 2018/03/19 グローバル展開や新規ビジネス進出という企業戦略を着実に遂行するには、同時にGRC（ガバナンス・リスク・コンプライアンス）の高度化も求められる。GRCの高度化をインフラとして支援するのがGRCツールだ。筆者は2008年からコンサルタントとしてGRCツールの導入に携わり、多くの企業のGRCツール導入を支援してきた。本稿では、これらの経験を基に、日本企業や海外グローバル企業のGRCツールの活用事例を中心にGRCツールの現在のトレンドについて紹介したい。なお、文中意見に関する記述は筆者の私見であり、所属する法人などの公式見解ではないことを、あらかじめご了解いただきたい。
記事 リーダーシップ 「裸の王様マネージャー」が組織に絶望を蔓延させる 「裸の王様マネージャー」が組織に絶望を蔓延させる 2017/12/28 挨拶の仕方から口癖。取引先との折衝における交渉スタイル。トラブルが発生したときに、重要視するポイントや初動対応の流儀。同じ企業に属する人々は、部門や階層が違っていても、何かしら似た特徴を備えているものだ。とはいえ、実際に実現したい「企業バリュー」と、実際に定着している企業カルチャーにギャップがあり、「どうすればいいカルチャーが根付くのか」と悩む経営者、マネージャーは多い。その問題を解く鍵は、「上長の言動」と部下の「絶望の学習」にある。
記事 ガバナンス・内部統制・不正対策 取締役会の役割とは何か、今後はリスクとリターンの整合性が重要に 取締役会の役割とは何か、今後はリスクとリターンの整合性が重要に 2017/12/11 企業を適正に経営するための「コーポレートガバナンス」。その実効性を高め、企業の“稼ぐ力”をつけるため、日本で「コーポレートガバナンス・コード」が導入されてから2年以上が経過した。上場企業のコーポレートガバナンス・コード導入は、形の上では進んでいるが、中身の運用については「道半ば」。日本企業の稼ぐ力も、十分にはついていないのが実情のようだ。とりわけ、コーポレートガバナンスのカギを握っている取締役会に着目し、コーポレートガバナンス・コードによる改革がどこまで伸展しているのか、どんな課題があるのか。KPMGコンサルティング パートナーの林拓矢氏が解説した。
記事 個人情報保護・マイナンバー エクイファックスで1.5億人の個人情報漏えい、ちらつく中国の影 エクイファックスで1.5億人の個人情報漏えい、ちらつく中国の影 2017/10/11 米三大信用調査企業の一角であるエクイファックスが、1億4450万人分の個人情報漏えい事件を起こした。2017年3月から7月の間に、既知のApache Strutsの脆弱性に対するハッカー攻撃を受け、社会保障番号や運転免許証番号・生年月日・住所・クレジットカード情報などを流出させたのである。この問題は、リチャード・スミス最高経営責任者（CEO）の辞任に発展した。7月末の攻撃発覚後、1か月以上も事実を公表しなかっただけでなく、影響を受けた人々への対応がずさんであったことが強く批判され、株価は25％以上も下げている。日本企業のIT関係者は、エクイファックスの失敗から何が学べるのだろうか。
記事 ガバナンス・内部統制・不正対策 コーポレートガバナンス・コードとは何か？ 粉飾決算を防ぐにはどうすればいいのか？ コーポレートガバナンス・コードとは何か？ 粉飾決算を防ぐにはどうすればいいのか？ 2017/04/06 話題を集めた東芝に限らず、上場企業の「不適切な会計・経理」が相次いでいる。東京商工リサーチの調査によれば、2016年に「不適切な会計・経理」を開示した上場企業は57社で、2008年以降過去最多を記録した。コンプライアンス体制・意識の欠如、従業員への過度なノルマなどの原因もあるが、監視体制の強化や厳格な運用が求められる企業会計についていけず、処理の誤りにより生じたケースもあったという。一連のガバナンス強化要請の背景には、日本企業の国際的な評価を高め、海外からの投資を促進する狙いがある。そこで2015年6月に金融庁、東京証券取引所が肝煎りとなって策定し、上場企業はその遵守を求められているのが「コーポレートガバナンス・コード」だ（2017年12月5日一部更新）。
記事 セキュリティ総論 改正個人情報保護法からEU一般データ保護規則まで、日本企業のセキュリティ対策状況は 改正個人情報保護法からEU一般データ保護規則まで、日本企業のセキュリティ対策状況は 2017/03/27 日本情報経済社会推進協会（以下、JIPDEC）とアイ・ティ・アール（以下、ITR）は27日、国内企業653社のIT／情報セキュリティ責任者を対象に共同で実施した「企業IT利活用動向調査2017」の結果を発表した。日本企業におけるインシデントの認知状況や情報セキュリティ対策の取り組み状況、2017年5月に全面施行となる改正個人情報保護法やEU域内居住者の個人情報の域外への移転を制限する「EU一般データ保護規則（GDPR）」への対応状況、働き方改革とセキュリティ対策の関係性などを紹介しよう。
記事 ガバナンス・内部統制・不正対策 消費者庁 大友氏が解説、「内部通報制度ガイドライン」大幅改正のポイントとは？ 消費者庁 大友氏が解説、「内部通報制度ガイドライン」大幅改正のポイントとは？ 2017/03/06 公益通報者保護法に基づき、多くの企業で「内部通報制度」を構築、運用していることだろう。しかし、昨今の企業不祥事を見ても「内部に通報しても十分に対応してくれない」「不利益を被る可能性がある」ことを理由に、外部に通報するケースは依然として多く、内部通報制度が形骸化しているのではとの懸念の声があるのも事実だ。こうした背景をもとに、11年ぶりに改正されたのが「公益通報者保護法に関する民間事業者向けガイドライン」だ。公益通報者保護法を管轄する消費者庁 消費者制度課 総括補佐の大友 伸幸 氏がガイドラインの要点について解説した。
記事 ガバナンス・内部統制・不正対策 日本企業の「内部通報窓口」が不十分な理由、どうすれば有効に機能するのか 日本企業の「内部通報窓口」が不十分な理由、どうすれば有効に機能するのか 2016/12/14 現在、ほとんどの日本企業が内部通報窓口を設けている。その目的は大きく3つで、不正の「発見と抑止」、従業員からの「相談」受付、万一の事件・事故に見舞われた時の「免責」だ。しかし、これらの目的に応じて窓口を分けている企業は極めて少ない。デロイト トーマツ リスクサービス シニアマネジャーの亀井将博氏は「3つは本来的に必要となる機能が異なるものだ。それを同じ内部通報の仕組みで行うのか」と疑問を呈する。今の企業に求められるのは、グローバルレベルで窓口を統合した上で、各種通報にもきめ細かく対応していくことのできる体制作りだ。
記事 コンプライアンス総論 公務員の情報セキュリティ不備「わざと」じゃなくても罰則のワケ 公務員の情報セキュリティ不備「わざと」じゃなくても罰則のワケ 2016/10/19 9月30日、国家公務員の人事行政を行う人事院が「懲戒処分の指針について」というガイドラインの改正を行ったことを発表した。この改正では、公務員が必要な情報セキュリティに関する対策を怠った場合、停職や減給など懲戒処分の対象となることが新しく明記された。たとえ「わざと」でなくても、必要な対策を行わず情報を漏えいさせたり業務に支障が出たりした際にも懲戒処分されるという改正の意味と、民間企業への影響を考えてみたい。
記事 セキュリティ総論 杉本武重弁護士が解説、EU一般データ保護規則の内容とその対応策 杉本武重弁護士が解説、EU一般データ保護規則の内容とその対応策 2016/10/06 2016年4月、欧州議会において欧州連合（European Union: EU）の一般データ保護規則が採択され、2018年5月25日からの適用開始が予定されている。同規則では厳しい制裁金規定が設けられている。すなわち、違反企業には、当該企業グループの前事業年度の年間売上高の4％以下または2000万ユーロ以下のいずれか高い方の金額の制裁金が課せられるなどの可能性がある。したがって、今後、EUと経済取引を行っている日本企業には、今まで以上にEUの個人情報の取扱いにあたって、より厳格な取り組みが求められることになる。同規則の概要と対応策について、EU法に詳しいウィルマーヘイル法律事務所ブリュッセルオフィスの弁護士の杉本武重氏が解説した。
記事 個人情報保護・マイナンバー 板倉陽一郎弁護士が解説、改正個人情報保護法で日本はEUの十分性認定を受けられるのか 板倉陽一郎弁護士が解説、改正個人情報保護法で日本はEUの十分性認定を受けられるのか 2016/10/06 2015年9月、改正個人情報保護法が成立し、個人情報保護委員会の設置などその一部が、今年2016年頭から施行された。また、公的部門の改正法も、2016年5月に成立した。今回の法改正は、EUの「十分性認定」を受けることを見据えて行われた側面がある。改正個人情報保護法によって、日本はEUの十分性認定を受けられるようになるのか。ひかり総合法律事務所 弁護士の板倉陽一郎氏が解説する。
記事 個人情報保護・マイナンバー 改正個人情報保護法、EU一般データ保護規則対応（GDPR）への4ステップ 改正個人情報保護法、EU一般データ保護規則対応（GDPR）への4ステップ 2016/10/06 EUでは現行のEUデータ保護指令に替わり、2018年5月から一般データ保護規則（GDPR）が施行される予定だ。一方我が国でも2015年9月に個人情報保護法が改正され、2年以内の施行が見込まれている。こうした2つの法改正に対応するために、日本企業は今からどのような準備を進めていけばいいのか。実務上、特に課題となる個人情報の越境移転について、デロイト トーマツ リスクサービス マネジャーの大場敏行氏が解説する。
記事 ID・アクセス管理・認証 「不正のトライアングル」を徹底理解！日本年金機構も狙われた「特権ID」の守り方 「不正のトライアングル」を徹底理解！日本年金機構も狙われた「特権ID」の守り方 2016/09/27 システム管理上必要不可欠な権限である「特権ID」は、あまりにも全能であるがゆえに、悪用されると企業を存亡の危機に陥れるリスクがある。実際、2015年5月に発生した日本年金機構の約125万件もの個人情報流出事件をはじめとして、特権ID奪取による大規模な情報漏えいは多発している。特権IDを守る上で重要なのは、外部からの標的型サイバー攻撃対策はもちろん、内部不正の予防が重要だ。今回は米国の犯罪学者であるD.R.クレッシー氏が導き出した「不正のトライアングル」理論を参考に、企業がとるべき内部不正対策を考えてみたい。
記事 標的型攻撃・ランサムウェア対策 多様化するサイバー攻撃の時代の「セキュリティ対策立案」で重視すべき4つのポイント 多様化するサイバー攻撃の時代の「セキュリティ対策立案」で重視すべき4つのポイント 2016/08/24 昨今、標的型サイバー攻撃など、巧妙化・多様化する攻撃によって、企業の機密情報が盗まれる事件が多発している。このような事件を未然に防ぐために、いま企業のセキュリティ対策はどう変わらなければならないのか。デロイトトーマツ サイバーセキュリティ先端研究所の兼松孝行氏は、「従来型のセキュリティ対策だけでなく、より深化した対策の検討と工夫が必要になってきた」と指摘し、新たなサイバーセキュリティ対策立案のステップと検討のポイントについて明らかにした。
記事 セキュリティ総論 「セキュリティガバナンス」の構築を成功に導く7つのポイント 「セキュリティガバナンス」の構築を成功に導く7つのポイント 2016/08/24 サイバー攻撃の複雑化、セキュリティ関連の新たな法令・ガイドの策定などに呼応して、「経営目線で統括的なセキュリティ管理態勢を整備したい」というニーズが増えている。そこで登場するキーワードが「セキュリティガバナンス」だ。これは従来から存在するものの、いざ整備に取り組むと、完成形が初期イメージと異なる、または、そもそも計画段階で頓挫するなど、うまくいかず失敗した企業も多いのではないだろうか。効果的なセキュリティ対策には、まずセキュリティを統括するための「ガバナンス」の整備が重要である。デロイトトーマツ サイバーセキュリティ先端研究所の高橋宏之氏は、セキュリティガバナンスの整備を成功に導くための重要な検討ポイントとノウハウについて、過去の成功事例をベースに体系立てて解説した。
記事 セキュリティ総論 CSIRT実践構築術、実効性を最大化させる人、業務、技術のバランスとは CSIRT実践構築術、実効性を最大化させる人、業務、技術のバランスとは 2016/05/18 サイバー攻撃による被害が多発している現在、企業には被害を受けることを前提とした体制作りが求められている。そこで今、日本企業が注力しているのがインシデント発生時に対応に当たるCSIRTの構築だ。しかし、デロイト トーマツ リスクサービス マネジャーの岩本高明氏は、「実際にCSIRTを立ち上げている企業も多いが、具体的に組織としてどう運営していくのか、どんな攻撃があった時にどんな動きをするのかといったところまで詰め切れている企業は、まだまだ少ない」と指摘する。それでは実効性のあるCSIRTを構築するためには、一体どうすればいいのか。岩本氏が明らかにした。
記事 セキュリティ総論 サイバー攻撃のリスク評価に必要不可欠な「サイバー・インテリジェンス」とは サイバー攻撃のリスク評価に必要不可欠な「サイバー・インテリジェンス」とは 2016/05/18 デロイトトーマツグループでサイバーリスクへの対応支援を専門とするデロイト トーマツ リスクサービス。同社では2016年5月、新たにサイバー・インテリジェンス・センター（CIC）を開設し、サイバー・インテリジェンスを活用したより高度なセキュリティ分析サービスの提供を開始する。シニアマネジャーの佐藤功陛氏は、「現在のサイバー攻撃のリスクを正しく評価するためにはサイバー・インテリジェンスが必要になる」と指摘、そもそもサイバー・インテリジェンスとは何か、CICでどんなサービスを提供するのかについて説明した。
記事 リーダーシップ 上場企業の役員報酬はどう決まるのか？どう決めれば業績を伸ばせるか 上場企業の役員報酬はどう決まるのか？どう決めれば業績を伸ばせるか 2016/03/18 米国企業の役員報酬の総額は18億1718万、英国企業では7億2,053万円にのぼる。これに対して日本企業では6,965万円と米英と大きな差が付いている。一方、米英独仏では上場企業の100％が報酬委員会を設置し、その中で役員の報酬が決まるというスキームになっているが、日本では一部上場企業の28％しか報酬委員会を設けていない。企業の役員報酬は、どのような過程を経てどう決定されるべきなのか。デロイト トーマツ コンサルティング パートナーの村中靖氏は、2015年6月に適用が開始された「コーポレートガバナンス・コード」を踏まえた、日本企業における役員報酬制度のあるべき姿を提示した。
記事 リーダーシップ 日本企業の取締役会では何を議論すべきなのか トーマツ 山内達夫氏が解説 日本企業の取締役会では何を議論すべきなのか トーマツ 山内達夫氏が解説 2016/03/14 2015年5月に改正会社法が施行し 、株式会社は新たに「監査等委員会設置会社」という形態を選択することが可能になった。さらに同年6月からは上場企業が順守すべき行動規範を示した「コーポレートガバナンス・コード」の適用が始まり、独立社外取締役を2名以上置くことが謳われている。有限責任監査法人トーマツ シニアマネジャーの山内達夫氏は「それに伴い、取締役会で議論される内容がこれまでと変わってきている」と指摘する。企業の取締役会では現在、何が議論されていて、それをどう変革すべきなのか。山内氏が解説した。
記事 ガバナンス・内部統制・不正対策 「チャイナリスク」を感じるのはどんな時？ 中国企業と取引のある日本企業に聞いた 「チャイナリスク」を感じるのはどんな時？ 中国企業と取引のある日本企業に聞いた 2016/03/03 中国企業と取引のある日本企業は、どんな時にチャイナリスクを感じるのか。海外企業の日本進出は、安倍内閣の成長戦略を受けて今後ますます増えると見込まれている。こうした中で三井物産クレジットコンサルティングは、中国ビジネスに関する意識調査を実施。中国企業と取引のある企業のチャイナリスクへの意識や対応を紹介した。
記事 人材管理・育成・HRM トヨタ自動車、大規模な体制移行を発表 製品軸に7つの「カンパニー」を設置へ トヨタ自動車、大規模な体制移行を発表 製品軸に7つの「カンパニー」を設置へ 2016/03/02 トヨタ自動車は2日、4月より大規模な体制移行を発表した。製品を軸に、7つの「カンパニー」を設置するとともに、ヘッドオフィスに「未来創生センター」を新設する。
記事 個人情報保護・マイナンバー 牧野 二郎弁護士に聞く、Excelでの管理はNG！やってはいけないマイナンバー対策 牧野 二郎弁護士に聞く、Excelでの管理はNG！やってはいけないマイナンバー対策 2016/02/05 マイナンバー法の運用がスタートした。大企業を中心に粛々と対応が進んでいるとはいえ、中小企業の3～4割は対応の方針すら決めかねている状況だ。企業のマイナンバー法対応に数多く関わる牧野総合法律事務所 弁護士 牧野 二郎氏に、企業がマイナンバーを取り扱う際の重要事項である「安全管理措置」への対応の仕方や要点、やってはいけない対応といったマイナンバー運用のポイントを聞いた。
記事 個人情報保護・マイナンバー セーフハーバー協定の無効判決やストレスチェック義務化、個人情報保護法の最新動向 セーフハーバー協定の無効判決やストレスチェック義務化、個人情報保護法の最新動向 2016/01/28 世界各国で個人情報に関連する法制度が大きく変化してきており、特にアジア諸国ではここ数年間で個人情報やプライバシーに関する法制度の整備が加速している。こうした環境下で課題となるのが、越境データ、すなわち国をまたいでやり取りされる個人データの取り扱い方だ。日本では2017年後半以降に改正個人情報保護法の施行が予定されているが、この背景には、グローバルな法制度への対応が1つの目的として挙げられる。改正法の施行に向けて、日本企業はどのような点に留意すべきなのか。デロイト トーマツ リスクサービス シニアマネジャーの北野晴人氏が解説した。
記事 個人情報保護・マイナンバー 板倉陽一郎弁護士が指南、「改正個人情報保護法」施行前に行うべき8つの準備事項 板倉陽一郎弁護士が指南、「改正個人情報保護法」施行前に行うべき8つの準備事項 2016/01/28 2015年9月、改正個人情報保護法が成立、公布された。その背景には大きく3つの目的がある。ビッグデータおよびパーソナルデータの利活用を促進すること、欧州の十分性認定に対応すること、そして名簿事業者への規制を強めることだ。全面施行が予定されているのは2017年で、実質的に残り1年弱の猶予期間しかない。ひかり総合法律事務所の板倉陽一郎 弁護士は「これから事業者は、8つのポイントに留意して対応準備を進めていく必要がある」と指摘する。
記事 個人情報保護・マイナンバー “JALの初動対応、日本年金機構の内部リークに学べ” マイナンバー漏えい時の対策 “JALの初動対応、日本年金機構の内部リークに学べ” マイナンバー漏えい時の対策 2016/01/26 2016年1月より本格運用が開始されたマイナンバー制度。企業の実務担当者とすれば、システム面だけでなく、運用面での懸念事項や対応策を整理しておきたいところだ。マイナンバーをはじめとする（特定）個人情報漏えいを防ぐ管理上の問題点や、マイナンバー保管をクラウド事業者に依頼する企業の注意点、さらには、個人情報漏えいの際の対応や危機管理・リスクマネジメントはどうすべきなのか。一般財団法人 日本情報経済社会推進協会（JIPDEC） 常務理事 坂下 哲也氏、ロケットワークス 代表取締役の岩村 昭英氏、エルテス 代表取締役 菅原 貴弘氏が議論した。
記事 情報漏えい対策 エルテス 菅原 貴弘氏が語る企業のネット炎上 「炎上前に火種をキャッチせよ」 エルテス 菅原 貴弘氏が語る企業のネット炎上 「炎上前に火種をキャッチせよ」 2016/01/12 2015年は、サイバー攻撃により企業や政府機関等の組織が保有する重要情報が大量漏えいする事案が数多く報じられた。情報漏えいと聞くと、外部からの不正アクセスを思い浮かべる読者は多いと思うが、実際は情報漏えいの要因の8割以上は組織の内部に起因するといわれる。リスクマネジメントの専門家である、エルテス 代表取締役 菅原 貴弘氏が、内部に起因する情報漏えいと風評被害、ネット炎上といったリスクへの対策を語った。
