内部不正への備えが必要なことは分かっている。けれども、専任の情報システム担当はいない。予算も人手も限られている。何から手をつければいいのか分からないまま、対策が後回しになっている——多くの中小企業が、この状態にあります。

本記事では、公的調査が示す中小企業の実態を踏まえたうえで、「全部やる」でも「何もしない」でもない、現実的な進め方を整理します。読み終えたとき、自社が今すぐ着手すべきことの優先順位が見えている状態を目指します。

＜この記事は専門家が監修しています＞
監修：渥美 雅之（弁護士 / 三浦法律事務所 パートナー）
元・公正取引委員会事務総局、米国連邦取引委員会（FTC）執務経験を有し、企業法務・独占禁止法・コンプライアンス領域に精通。日本経済新聞「企業法務弁護士ランキング」選出。

「うちは大丈夫」——その認識のズレが最大のリスク

まず、多くの企業が直面している構図を確認します。

IPA（情報処理推進機構）の「企業における営業秘密管理に関する実態調査2024」によると、過去5年以内に営業秘密の漏えい事例・事象を認識している企業の割合は35.5%。前回調査（2020年度）の5.2%から大きく増加しました。漏えいは、もはや珍しい出来事ではありません。

一方で、対策の状況には規模による差がはっきり出ています。営業秘密への不正アクセス防止策について「特に何もしていない」と答えた割合は、次のとおりです。

企業属性「特に何もしていない」
従業員301人以上・製造業9.7%
従業員301人以上・非製造業17.3%
従業員300人以下・製造業26.0%
従業員300人以下・非製造業42.0%

そして、より根深いのが社内の認識のズレです。同調査で、内部不正を誘発する環境について「当てはまるものはない」と答えた割合は、サイバーセキュリティ部門では7.6%だったのに対し、経営層では45.1%でした。IPAはこれを、経営者と部門担当者のリスク認識の相違として指摘しています。

つまり、現場はリスクを感じているのに、経営層には見えていない。この状態では、対策に予算も権限も下りません。

なぜ内部不正対策は後回しになるのか

IPAは、中小企業の課題として次の3点を挙げています。

  1. 内部不正防止が「重要な経営課題」として認識されていない
  2. 営業秘密は各社の業務に依存するため定義が難しく、守るべき情報資産を特定できていない
  3. サイバーセキュリティ対策は講じているものの、内部不正対策は後手に回りがち

3点目が、特に実態をよく表しています。ウイルス対策ソフトやファイアウォールは導入している。けれども、それらは外部からの攻撃を防ぐものであって、正規の権限を持つ従業員の操作を止めるものではありません。

外部対策と内部対策は、守る相手が違います。前者だけを整えても、内部リスクは手つかずのまま残ります。

「性善説」でも「監視」でもない、第三の道

では、内部不正対策として何をすべきか。ここで多くの企業が二択で悩みます。

性善説（何もしない）の問題は、信頼それ自体ではなく、証拠が残らないことです。「何かあったかもしれない」となったときに、事実を確認する手段がない。結果として、疑わしいというだけで無実の従業員に嫌疑が向いたり、逆に不正が見過ごされたりします。

性悪説（常時監視）の問題は、コストと副作用です。全端末に監視ツールを入れれば費用がかかり、「見られている」という感覚は、従業員のモチベーションや心理的安全性を損ないます。少人数で顔の見える関係が強みである中小企業ほど、この副作用は大きく出ます。

現実的な答えは、その中間にあります。普段は監視しない。ただし、何かあったときには事実を確認できる備えを持っておく。 信頼して働いてもらうことと、いざというときに動ける手段を持つことは、矛盾しません。

「上乗せ」で考える——ゼロから作らない

もう一つ、中小企業にとって重要な考え方があります。

IPAは、中小企業の対策推進のヒントとして、サイバーセキュリティ対策でカバーできない内部不正特有の対策は、既に実施しているサイバーセキュリティ対策に「上乗せ」することが効率的かつ効果的だとしています。

つまり、内部不正対策のためにゼロから体制を作り直す必要はありません。今あるものに、足りない部分を足していく。この発想であれば、限られたリソースでも着手できます。

何から始めるか——優先順位のつけ方

「全部やる」は不可能です。だからこそ、順番が重要になります。着手しやすく、効果が見えやすい順に並べると、次のようになります。

1. 守るべき情報を決める

すべてを守ろうとすると、何も守れません。まず、流出したら事業に打撃がある情報（顧客リスト、図面、価格情報など）を数点に絞って特定します。IPA調査では、中小企業で秘密情報の格付け表示が実効性を持って実施されている割合は22%前後にとどまります。「これは機密だと思わなかった」という言い逃れを防ぐ意味でも、明示は有効です。

2. ルールと周知を整える

就業規則や社内規程に、業務用PCの取り扱いと確認（モニタリング）に関する方針を定め、従業員に周知します。周知することそのものが抑止力になります。なお、規程の整備にあたっては、顧問の弁護士・社会保険労務士にご確認ください。

3. リスクが高まるタイミングを決めて手順化する

常時ではなく、リスクが集中する場面に絞って手順を用意します。代表的なのが退職時です。退職手続きの一部としてPC確認を組み込めば、全員一律の運用として無理なく回せます。

4. 有事に動ける手段を持つ

そして、実際に何かが起きたときに事実を確認し、証拠として残せる手段を用意しておきます。ここが抜けていると、1〜3を整えても「疑わしいが確認できない」で止まってしまいます。

「有事に動ける手段」がないという壁

4番目が、多くの中小企業でつまずくポイントです。

疑いが生じたとき、対象のPCを自分で操作して調べようとするのが自然な反応です。しかし、ここには3つの限界があります。

  1. 削除済みのデータは、標準機能では見えない — 最も知りたい「消された痕跡」に手が届かない
  2. 「ただのコピー」は証拠にならない — 改ざんの有無を証明できず、裁判・懲戒・行政調査の際に有効な証拠とみなされない可能性がある
  3. 不用意な操作が、かえって痕跡を壊す — ファイルを開くだけでメタデータが書き換わることで、後の専門調査を困難にする

かといって、外部の専門業者にフォレンジック調査を依頼すれば、数十万円から数百万円の費用と、数日から数週間の時間がかかります。「疑わしい」という段階で、その決断は簡単ではありません。

専門部署なしで、一次判定まで自社で行う

この壁を埋める現実的な選択肢が、簡易フォレンジックツールです。

EASY Forensics は、USBを対象のPCに挿すだけで、改ざん防止のハッシュ値を記録しながらデータを保全し、確認できる痕跡を自動でレポート化します。専門知識がなくても簡単操作で実施できます。

EASY Forensicsの主な機能

  • 分析レポートの自動生成（各種閲覧履歴・外部ストレージ接続履歴）
  • 個人情報を含んだファイルを検出
  • 後日調査可能な形でPCデータを保全

これにより、自社で「シロ・クロ」の一次判定が可能になります。問題がなければ社内で解決し、判断がつかない場合にのみ専門業者へ引き継ぐ——この流れであれば、費用と時間を抑えながら、証拠能力を保った状態で確認を進められます。

まとめ｜中小企業の内部不正対策・第一歩チェックリスト

内部不正対策は、100点を目指すと動けなくなります。できることから順に積み上げるほうが、結果的に前に進みます。

  • 経営層と現場でリスク認識を共有する（認識のズレが最大の障害）
  • 就業規則・モニタリング方針を整え、従業員に周知する（詳細は弁護士・社労士へ確認）
  • 既存のサイバー対策に「上乗せ」する発想で、足りない部分だけ補う
  • 退職時など、リスクが高まるタイミングの手順を決めておく
  • 有事に事実を確認し、証拠として残せる手段を用意しておく

「起きてから困る」ではなく、「起きてもすぐ動ける」。その状態を、無理のない範囲で作っておくことが、中小企業にとって最も投資対効果の高い備えです。

参考文献・出典

この記事の監修者

渥美 雅之（Masayuki Atsumi）：三浦法律事務所 パートナー弁護士（第二東京弁護士会所属）ニューヨーク州弁護士 / 英国弁護士

神戸大学法科大学院修了後、公正取引委員会事務総局に入局。司法修習を経て森・濱田松本法律事務所にて企業法務に従事。シカゴ大学ロースクール（LL.M.）修了後、米国法律事務所および米国連邦取引委員会（U.S. Federal Trade Commission）にて執務。株式会社LIXILコンプライアンス調査部長を経て、現職。 競争法（独占禁止法・景表法）、コーポレートガバナンス、危機管理・コンプライアンスを専門とし、上場企業の社外取締役・社外監査役も務める。日本経済新聞社「企業法務・弁護士調査」等、著名アワードにて高い評価を獲得。主要取扱分野：独占禁止法・景表法 / コーポレートガバナンス / 情報セキュリティ / 国際法務