本年９月、東芝は、２度の有価証券報告書等の提出の延期を経て「不適切な会計処理」（不正会計・粉飾）を行っていたとして過年度決算訂正等を行った。2011年に資本市場の信頼性を損なうような大規模な会計不祥事・経営者不正が起きたことを契機に、監査基準の改定および監査基準の特別基準として「監査における不正リスク対応基準」が導入され、会社法でも企業統治のための制度改正が行われる等、多方面で公正な資本市場の維持のための努力が続けられている最中、企業統治の優等生としてトップランナーと考えられていた東芝が長期にわたり粉飾を行っていたことが市場関係者に衝撃を与えたことは想像に難くない。

ところで、事業者によって、扱う個人番号の規模や特定個人情報等の取扱い事務の特性は異なる。上記の取扱規程等の趣旨をくみ取るならば、実際に個人情報ファイルの取扱規程等を作成するためには、各事業者の具体的な事務の流れを整理する必要があろう。

すなわち、ひな型となるモデル規程があったとしても、それは参考にするにとどまり、そのまま利用することはガイドラインの趣旨と異なると言える。この点は、ガイドライン策定の過程で特定個人情報保護委員会から公表されていた「取扱規程等について統一的なモデルを提示する予定はない」との考え方にもつながる。

新しく公表される法令やその取り組みに当たっての指針を示すガイドラインなどは、その性質から文字による情報が多い。
また、条文は必ずしも業務の順序と同じではなく、また体系立てて説明される形になっていないため、これらは読み込まないと全体が頭に入らない。
番号法に基づくガイドラインも同じである。
このようなとき、ガイドラインを読むために全体を鳥瞰した絵があると理解しやすくなる。

マイナンバー制度は、新しい法制度の要請に基づく対応であるため、「安全管理措置の構築」と聞くと、全く新しいしくみを導入しなければならないと思うかもしれない。
しかし、別添資料を読むと、新たに付加された個人番号関連の事務をどのように既存業務に取り込むかがポイントであること、また、その検討は「内部統制の構築」と多くの共通点があることに気づく。

前回、不正リスクを識別するための不正リスク要因の重要性について触れたが、最終回である【第３回】では、企業における不正リスク対応基準の付録１「不正リスク要因の例示」を受けた対応について解説する。

不正リスク対応基準をめぐる現状把握と不正リスクの想定に続き、【第２回】では、不正リスクを識別するための不正リスク要因の検討の重要性について解説する。
なお、文中の意見に関する部分は、筆者の個人的な見解である。また、本稿で触れている個別の事案については、これらが一般的にも起こりうることを鑑みて、企業が不正リスクに対応する際の参考になることを目的として記載している。特定の会社の経営管理のしくみを批判・批評することを目的としていないことをお断りしておく。

不正リスク対応基準の設定を契機に、企業では組織内の不正を阻止する風土の醸成と不正リスクの観点からリスク・コントロールの再評価が求められている。【第１回】では、不正リスク対応基準をめぐる現状把握として、不正リスク対応基準の設定背景と不正リスクの想定について解説する。
なお、文中の意見に関する部分は、筆者の個人的な見解である。また、本稿で触れている個別の事案については、これらが一般的にも起こりうることを鑑みて、企業が不正リスクに対応する際の参考になることを目的として記載している。特定の会社の経営管理のしくみを批判・批評することを目的としていないことをお断りしておく。