「手土産転職」とは？中小企業が知っておきたい内部不正リスクと対策

情報漏えいと聞くと、外部からのサイバー攻撃を思い浮かべる方が多いのではないでしょうか。ニュースで報じられるのも、ランサムウェアや不正アクセスといった外部脅威が中心です。しかし、実際に企業から重要な情報が流出する経路を調べてみると、様相は少し異なります。

独立行政法人情報処理推進機構（IPA）が公開した「企業における営業秘密管理に関する実態調査2024」報告書では、営業秘密の漏えいルートとして外部からのサイバー攻撃等が36.6%と最も高い割合を占める一方、現職従業員等のルール不徹底（32.6%）、金銭目的等の具体的な動機によるもの（31.5%）、誤操作・誤認等（25.4%）という、内部の従業員に起因するルートが僅差で続いています。単純に合算できる性質の数値ではありませんが、内部に起因する漏えいが決して例外的な事象ではないことは、この調査結果からも見て取れます。

この記事では、内部不正の一形態として近年話題になる「手土産転職」を切り口に、中小企業が知っておきたい内部不正のリスクと、その考え方の基本を整理します。

「手土産転職」とは何か

「手土産転職」とは、従業員が転職する際に、在籍していた企業の営業秘密や技術情報を、転職先へ持ち出してしまう行為を指す言葉です。

ここで重要なのは、「手土産転職」が必ずしも明確な悪意を伴う行為とは限らないという点です。本人にとっては「これまで自分が作り上げてきた資料を、次の職場でも活用したい」「自分のこれまでの業績を端的に示したい」という程度の感覚であっても、それが営業秘密の持ち出しに該当し、法的な問題に発展する可能性があります。

なぜ悪意なく情報を持ち出してしまうのか

情報の持ち出しが悪意のない形で起きてしまう背景には、雇用環境の構造的な変化も一因にあると考えられます。

終身雇用が前提だった時代には、従業員が転職すること自体が少なく、「会社の情報を外部に持ち出す」という発想そのものが生まれにくい環境でした。しかし転職が当たり前になった現代では、個人が自身のキャリアを主体的に形成していく中で、「自分が携わった仕事の成果は、自分自身のスキルや実績の一部である」という意識を持ちやすくなっています。この意識のズレが、悪意のない情報持ち出しにつながる土壌になっていると考えられます。

さらに、退職時の対応が不十分な企業では、この傾向が強まる可能性があります。入社時にはオリエンテーションや研修を通じて情報管理のルールを丁寧に説明する企業でも、退職時には事務手続きのみで済ませてしまうケースが少なくありません。退職という区切りの場面でこそ、情報管理に関する説明を改めて行うことが、持ち出しの抑止につながると考えられます。

転職先・転職元、双方が負うリスク

手土産転職は、情報を持ち出された転職元企業だけの問題ではありません。持ち出された情報を受け取る形になる転職先企業にとっても、看過できないリスクとなります。

転職元企業にとっては、営業秘密の漏えいという事態そのものが経営上の損失であり、場合によっては不正競争防止法上の対応を検討する必要が生じます。一方、転職先企業にとっては、意図せず他社の営業秘密を利用してしまうことになれば、転職元企業から損害賠償請求や差止請求を受けるリスクを負うことになります。

採用面接の段階で「前職の資料やノウハウを持ち込める」ことを前向きに評価してしまうと、結果として自社が法的リスクを抱え込む可能性がある、という点には注意が必要です。

つまり手土産転職は、転職する本人だけでなく、転職元・転職先双方の企業に不利益が生じうる構造を持っています。

「不正のトライアングル」という考え方

内部不正がなぜ発生するのかを考える際の枠組みとして、「不正のトライアングル」と呼ばれる理論があります。これは、不正行為が「動機」「機会」「正当化」という3つの要素が揃ったときに発生しやすくなる、という考え方です。

• 動機：金銭的な事情、待遇への不満、転職先での評価を高めたいという思いなど
• 機会：情報にアクセスできる権限があり、かつ持ち出しても発覚しにくい環境があること
• 正当化：「自分が作った成果だから問題ない」「みんなやっている」といった、自分自身の行為を正当なものと納得させる理由づけ

つまり、この3つの要素を取り去ることで、不正な情報の持ち出しを防ぐことにつながるわけです。

とはいっても、この3つの要素のうち、「動機」を組織側の努力だけで完全に取り除くことは容易ではありません。従業員個人の事情や心理に関わる部分が大きいためです。一方で、「機会」と「正当化」については、組織側の取り組みによって削減できる余地があります。アクセス権限を必要最小限に保つこと、情報の持ち出しが記録・検知される体制を整えること、退職時に情報管理の意味を改めて説明することなどが、この2つの要素を減らす方向に働きます。

なお、内部の従業員に対する向き合い方には、外部の第三者への警戒とは異なる難しさもあります。明確な証拠がない段階で従業員を疑うような対応を取れば、それ自体が従業員のプライバシーや信頼関係を損ない、組織にとって別のリスクを生む可能性があります。内部不正への対策は、監視を強めることと従業員との信頼関係を保つことの、両立を意識して設計する必要があります。

中小企業が今日からできること

手土産転職を含む内部不正への対策は、大掛かりなシステム投資から始める必要はありません。まず取り組みの方向性として、次のような観点を確認しておくことが出発点になります。

• 退職予定者・異動予定者に対する、情報管理に関する説明の実施
• アクセス権限の棚卸しと、業務上必要な範囲への見直し
• 退職時のアカウント・権限削除に関する運用ルールの確認
• 情報の持ち出しが起きた場合に、どのような経路で検知・把握できるかの確認

これらをどのような手順で、どこまでの水準で整備すべきかは、企業の規模や取り扱う情報の性質によって異なります。まずは自社の現状がどのあたりにあるのかを確認するところから始めてみてください。

情報管理体制の整備や、退職時の運用ルールの見直しについてご相談されたい場合は、まずご相談ください。現状の整理から、優先して着手すべき点の洗い出しまで、一緒に確認します。