コンプライアンス一考

（丸の内中央法律事務所報No.15, 2009.8.3）

□　皆様、暑中見舞い申し上げます。

　今回は、最近、大手証券会社Ｍ社で発生した顧客情報の流出事件を例に、改めてコンプライアンスについて考えてみたいと思います。

□　この事件は、これまでの報道、Ｍ社のプレスリリース及び金融庁の報道発表によりますと、平成２１年１月～３月にかけて、Ｍ社のシステム部の当時の部長代理が、顧客情報である約１４９万件分の個人情報を不正に持ち出し、そのうち約５万件分を３社の名簿業者に、約３２万８０００円で売却したされる事件です。そして顧客情報は名簿業者から不動産、商品先物業者など約９５社に転売されていたことが判明しております。流出した個人情報の内容は、氏名、住所、電話番号、性別、生年月日、職業、年収区分、勤務先名、勤務先住所、勤務先電話番号、役職、業種まで、幅広い範囲に及んでおります。なお、元部長代理は、同年３月に、社外から継続的に購入している情報が保存されているコンパクトディスクも持ち出した上、第三者に売却したことが判明しております。

　そして、この流出により、顧客に対し、不動産投資業者や商品先物取引業者からの勧誘が相次ぎ、Ｍ社に対する苦情や問い合わせが平成２１年５月１９日時点で１万２０００件を超えたということです。Ｍ社では、緊急対策本部を設置し、専用の電話窓口などを設けるとともに、担当者が転売の対象となった顧客に対し電話や訪問にて謝罪するとともにお詫びの手紙を一斉に発送するなどの対応をしたとのことです。また、名簿業者及び勧誘業者に対し弁護士名で警告文を発送するとともに勧誘の中止を要請する一方で、５万人の顧客に対してはお詫びのしるしとして一人あたり１万円の商品券を６月下旬に送付したとのことです。顧客に支払った総額は約５億円にのぼっております。

□　この事件は、大手証券会社内の権限ある者による故意による行為であること、流出した個人情報の数が膨大な数であること、不動産投資業者などからの勧誘など顧客に被害が発生したことなどから大きく報道されました。この事件により、部長代理は懲戒解雇処分となったばかりか、不正アクセス禁止法違反と窃盗罪で逮捕起訴されました。犯行の動機は、消費者金融への借金返済のためということです。そして、Ｍ社には、金融庁から金融商品取引法に基づく業務改善命令、個人情報の保護に関する法律に基づく勧告の行政処分が下されました。

□　この事件の原因は、金融庁によると、①「･････個人顧客情報の不正持出しを可能とする一連の権限等が分断されていなかった。」こと、元部長代理「への管理・牽制も十分ではなく、･････隠蔽行為も可能な状況であった。」こと、元部長代理「の不正行為は監視対象外であった。」ことなど、②委託先職員が行う「定例作業以外のコンパクトディスクへの情報保存やコンパクトディスクの貸出しを依頼する際には、所定の承認手続を経て行うこととされていたが、その確認が徹底されていなかった。」こと、③Ｍ社における「職員への教育・研修は、今回の事案のような意図的な不正行為を防止する観点が希薄であり、とりわけ、大量の顧客情報等を取り扱うシステム部職員には高い倫理観が求められるにも関わらず、そうした点に着目した対応が不足していたこと。また、情報セキュリティ管理に関する外部委託先職員への教育・研修も不足していたこと。」、③Ｍ社は、「情報セキュリティ管理の総合的な運営のための『情報セキュリティ委員会』を設置し、経営陣も参加して議論を行っているが、リスク管理上の問題点について深度ある検討が行われたとは認められない。」「･････情報システムの管理はシステム部自身の所管とされており、牽制が働きにくい態勢となっていた。」ことなどが指摘されております（平成２１年６月２５日付金融庁ホームページより抜粋）。

□　そして、金融庁は、行政処分として、金融商品取引法第５１条に基づく業務改善命令を出しました。その中では「･････④例えば以下の観点から、情報セキュリティ管理態勢の充実・強化を図ること。

• 部門間の牽制機能の確保
• 外部委託先を含めた各種手続の運用実態の検証と、その実効性の確保
• 不正行為を可能とする一連の権限等の特定職員への集中状況の検証と、当該権限等の分断又は幅広い権限等を有する職員への管理・牽制の強化
• 不正行為の隠蔽の防止

　⑤不正行為の未然防止に向けて、人事管理等の改善を図ること。特に、職業倫理の強化等を図る観点から教育・研修のあり方を見直し、適切に実施すること。」を求めております。（前掲金融庁ホームページより抜粋）。

□　Ｍ社は、この処分を受け、業務改善報告（概要）や調査報告書（抜粋）にて、再発防止のための対策を公表しております。

　私は、今回の事件の要因及び金融庁が発した業務改善命令の内容は、自社のコンプライアンス体制がきちんと機能しているのかを検証するよい機会として捉えるべきだと思います。コンプライアンス体制は、ともすれば、規定を整備し、委員会を設置すれば一安心となりがちですが、本当にその部署や部門に的確に対応した体制となっているのか、牽制がとれる体制が実際に機能しているのか、各種会議や委員会も、起こりうるリスクに対して具体的に対応・検討がなされているのかなど、不断に検証し、改善がなされるべきものと考えます。特に、今回の事件のように権限ある社内の者による故意行為の場合は、対策も容易ではないですが、コンプライアンス体制を万全のものとするには、社内の者による不正行為のための対策も欠かせません。そのために重要となってくるのは、社内体制というハードの問題の以上に、社員の職業意識や倫理観の醸成です。すなわち、牽制が働く仕組みや権限の分散体制の確立等のハード面ももちろん重要ですが、最後は、行為者自身の倫理感が砦となります。そのためには、経営トップがコンプライアンスの重要性を明確なメッセージとして発信し続けることはもとより、コンプライアンスを無視・逸脱すると、行為者のみならず、会社や顧客、取引先、そして社会に対して大きな損害を与えることになり、最終的には決して誰も得をしない結果になること、そして、コンプライアンスを実践することが、自分自身をはじめ、会社、顧客、取引先ひいては社会に最大の利益をもたらすということを研修や教育で繰り返し、繰り返し伝えていくこと、さらには、不正行為の動機となりかねない悩みや苦しみを、できるだけ事前にキャッチし、解決できるような仕組み（たとえば、いわゆる飲ミュニケーションでもよいと思います））を会社や組織の特性に応じ構築していくこと等も検討に値すると思います。

　最後までお読み頂きありがとうございました。

以　　上