内部統制の観点から考えるWeChat(微信)業務利用の功罪

中国では日本のLINEに相当するSNSアプリとして微信（ウィーチャット）が、社内連絡だけでなく取引先や業務委託先など外部者との連絡でも普通に使われます。微信ではPDF、ワード、エクセル、PPTなどのファイルが添付でき、PCがなくても相手先のスマホにファイルを送信し確認を受けたり、商談を進めることができます。この利便性の高さが中国企業の事業展開のスピード感を支えています。微信が“攻める営業”を支えるアプリである一方で、個人所有のスマホを業務利用することは、情報セキュリティの観点からみれば脇が甘いともいえ、誤送信や情報漏洩の起点となりえます。

中国に進出している日系企業でも、微信の自由度とリスクに腐心している実情がうかがわれますが、微信の業務利用を禁止することまではしていないようです。運用ルールを規定しているものの実際の運用は各人の自覚任せ、という企業が多く、IT技術的な制限まで掛けている企業は少数派のようです。

微信の業務運用に対してはSNS運用規定を制定するのが最低限の内部統制、IT技術を活用した予防的手段の導入までできれば満点、というところでしょう。

まず、そもそも個人のスマホを業務利用することを良しとするか、ですが、ここは中国の商習慣上、必須と割り切らざるを得ないでしょう。財政的に余裕のある会社では業務上利用するスマホを会社が支給することも考えられ、会社支給ならば使用に制約を掛けることも可能とはなりますが、スマホを二台持ちさせたところで個人所有スマホを業務利用しないという保証はありません。

個人スマホの利用は良しとするとして、次なる問題は、業務利用と私用の境界線をはっきりさせられないか、ということでしょう。業務で取引先に送る微信アカウントは同時に友人とチャットするアカウントでもあり、実名でなく愛称、証明写真でなくスナップ写真、ということも多いでしょう。それで取引先と業務上のやりとりをするのはラフすぎる！と考える人もいるでしょう。中国人の感覚として年代に関わらずここはお互いあまり気にはしないようですが、（送られた相手がライバル会社ということはないにしても）押し間違い、誤送信の可能性はありますし、実名でないことからチャットの相手が本当に取引先の本人なのかの身分確認が甘くなることはあり得ます。微信ではグループを作成してメンバーに一斉配信することができますが、招待されたメンバーの素性を全て把握できていないままに重要なファイルを共有してしまうリスクもあるでしょう。本来は少なくとも自社の社員には業務上使用するアカウントは実名で登録してほしいところです。

微信には「LINE WORKS」のように業務利用を目的とした「企業微信」というアプリがあり、弁護士事務所など相手先に素性を明確にする必要のある法人で使われているようですが現状、普及度はあまり高くはありません。それでも企業微信は登録する法人の認証と使用する従業員各人の身分証明書確認と実名登録が必要であり、相手先も自社も相互に利用すれば誤送信のリスクは相当程度低減させることができそうです。普及は今後の中国ビジネス社会が「SNSの業務利用における自由と制約」をどのように構築するか、にかかってくるのでしょう。自社だけ導入しても効果は限定的ですが、かといって誰も動かなければリスク低減は少しも進まない。。。ジレンマです。

次なる問題は、スマホアプリの制約だけではファイルの転送を防げないということです。

情報は操作性の良いPCから漏洩することが多く、微信のPC版アプリを会社支給PCにインストールできるようになっていれば、ここからファイルを外部に転送することが可能になります。PCからの情報漏洩では、USBを挿せないようにしたり（ファイルの受け渡しはメール送受信のみと）する企業は銀行やメーカーでもそれなりに多くあります。会社支給PCへのソフトウエアの随意インストールの禁止はファイルの外部流出を防ぐ内部統制の有効な手段のひとつです。更に会社支給PCにアクセスログ（記録）を取れるIT管理ソフトウエアを標準装備すれば、百度（バイドゥ）クラウドなどの個人で開設したクラウドサーバーへのデータ転送が事前にブロックできないまでも記録に残りますので、不正への心理的抑制効果が期待できます。

SNS管理規定は導入当初は実行可能な範囲で簡便的に規定すべきでしょう。例えば、「微信を通じた添付ファイルの送付を禁ずる」と規定しても、これだけで意図的な不正行為を事前に制止できるものではありません。雇用契約違反による懲戒処分や訴訟が不正行為への心理的制約となることに期待したいところです。情報漏洩等の不祥事が発生した場合の違反者の特定と不正行為の立証責任は会社側にあります。SNS管理規定の有無は情報内部統制の観点から、対策を講じているかいないかの境界判断における決め手となります。先ずは規定の整備から取り組んでみてください。

**********************************************************************************************

SNS業務利用管理規定（参考例）

＜目的＞

第１条　本規定は、当社の適用対象人員が、会社支給情報端末及び私物情報端末上において、取引先の要請等の理由からSNSを業務目的で利用する場合の事項を定めるものである。

＜適用対象人員＞

第２条　本規定は、当社の業務に従事する全ての個人に適用する。

＜適用対象情報端末＞

第３条　業務上使用するパーソナルコンピュータ（以下「PC」という)、タブレット、スマートフォンおよびその関連ハードウェア・ソフトウェア等（以下「情報端末」という）を指す。

＜業務上使用の定義＞

第４条　私用SNSアカウントの業務上の使用は、私物情報端末上においてはチャット交信のみを認めファイルの送信はこれを禁じる。

＜SNS利用の目的＞

第５条　SNSの業務上の利用は、従業者及び社外者との業務連絡を主たる目的とするものであり、契約合意等の会社としての重要な意思表示には適さないツールであることを認識する。

＜機密情報保護＞

第６条　SNSを通じて当社の事業に関わる機密情報や、顧客、取引先、従業者の個人情報が漏洩しないように十分注意する。

＜企業イメージの保全＞

第７条　勤務環境、業務内容、成果物などは会社の重要な情報であり、写真や動画の転送やモーメンツへの公開等を禁ずる。

＜相手先確認＞

第８条　アカウントの交換に際しては、相手先の身元を十分に確認する。

＜グループ作成における注意＞

第９条　私物情報端末には業務上使用するいかなるファイルも保存してはならず、また複製の作成を禁止する。業務上使用するファイルを私物情報端末から外部記憶媒体装置（他のPC,外付けハードディスク、USBメモリなど）或いは個人で使用するクラウドサーバーに転送、保存することを禁ずる。

＜懲戒処分＞

第１０条　対象人員が本規定に反する行為をおこなった場合には、「就業規則」の定め及び各人の雇用契約の条項に基づき懲戒処分する。

*************************************************************************************