　技術流出によるワーストシナリオとして、主に4つのケースが想定されている。1つ目のケースは、「合弁パートナーによる技術流出」だ。海外に存在する合弁先での技術指導や共同開発の過程でコア技術／ノウハウが不当に持ち出される、合弁解消後に元パートナーが同一技術で競合製品を市場投入するといった事態が考えられる。2つ目のケースは、「SNSを起点とした産業スパイの接触」だ。巧みな条件提示やアプローチによって不満を持つ従業員が勤務先の特定情報を持ち出してしまう事例であり、場合によっては懲戒解雇や刑事告訴に発展する。

　3つ目のケースは、「役員の転職に伴う営業秘密の漏えい」だ。競業避止義務契約が不十分な場合やモラルの低下により、前職で得た設計図やパラメータ情報を移籍先に提供してしまう被害が発生する可能性がある。4つ目のケースは、「海外子会社へのサイバー攻撃」による情報漏えいだ。セキュリティ対策が手薄な海外子会社や業務委託先を足掛かりとして本社のネットワークへ侵入され、技術や顧客情報が流出する可能性がある。このことから自社単体のみならず、サプライチェーン全体を視野に入れた防衛が不可欠となっている。

情報流出ケースと想定されるワーストシナリオ［クリックで拡大］出所：PwC Japan有限責任監査法人

　技術流出の主要なルートは「海外拠点」「人」「共同研究」「サプライチェーン経由」の4つに大別される。

　雨宮氏は「『国外経由×人経由』や『国外経由×サプライチェーン経由』という掛け算によってリスクが非常に高まっている。海外拠点の側面では現地のガバナンスや情報管理、契約自体の甘さが、人の側面では人材の流動化や役員／社員の情報意識不足が、共同研究の側面ではパートナーの情報管理や研究参加者の情報管理の不十分さが、サプライチェーンの側面では取引先の管理不足や必要以上の情報開示がリスクとして挙げられる」と語る。

　また、製造業では派遣会社など社外から人を採用して現場を回している企業も多い。この観点でのリスクについて西田氏は「自社のノウハウにどこまで外部の人を携わらせているかによってリスクが変わる。また、外部の人が直接ノウハウに触れることがなくても、情報に対するアクセス権限が曖昧で、実質的に触ることができてしまう状態であった場合や、実務上で紙による管理をしており、その状態が現場で曖昧な場合に、設計図が無くなるといった話も考えられる」と述べる。

技術流出の主要パターン［クリックで拡大］出所：PwC Japan有限責任監査法人

技術流出のよくある未対応事象と最低限実施すべき事項

　技術流出に関するよくある未対応事象としては、海外拠点の側面では、本社では管理できているが、海外子会社ではアクセス権管理が全く管理できていない、もしくは不十分といった事象が挙げられる。人の側面では、入社時のスクリーニングをしていない、退職時の情報の取り扱いや技術についての契約が形骸化している、持ち出しログを誰も管理していない、通報ルートが存在しないといった事象が存在している。

　共同研究の側面ではパートナー企業のデューデリジェンスをしていない、コア情報を提供してしまうといった事象が、サプライチェーンの側面では、契約終了時の情報破棄を確認していない、委託先の管理／監査ができていないといった事象が挙げられる。

「これらのことを考慮し、われわれは最低限実施すべき事項として『ガバナンス』『ルール』『契約』『技術対策』『運用監査』を挙げており、この5点で統制をかけるフレームワークが重要である」（雨宮氏）