ヨーロッパの会計事務所が国境を越えた業務で顧客の財務データを保護する方法
ヨーロッパの会計事務所が国境を越えた監査を行う際、すべての財務書類は、専門職の守秘義務を満たすインフラを通過するか、刑事責任を生じさせるインフラを通過します。ドイツの§203 StGBは懲役刑を科し、フランスのsecret professionnelは禁錮刑と15,000ユーロの罰金を科します。スイスの第321条は国境を越えて国際顧客にも適用されます。これらは抽象的な法的リスクではなく、顧客データの保存や送信に用いる技術選択に直接結びつく現実のリスクです。
構造的な問題は、専門職の守秘義務の枠組みがクラウドコンピューティングによる外国政府のアクセス経路が生まれる前に設計されたことにあります。たとえば、ドイツの監査法人が米国本社のプラットフォームにクライアントの作業書類を保存すると、米国当局はヨーロッパの裁判所を介さず、監査法人への通知もなく、契約書のいかなる条項も無視して、そのプロバイダーにデータの提出を強制できます。本ガイドでは、国境を越えた会計業務においてコンプライアンスを満たすアーキテクチャのあり方と、カスタマー管理型暗号化が専門職の守秘義務、GDPR、DORAを同時に満たす技術的基盤である理由を解説します。
エグゼクティブサマリー
主なポイント：ヨーロッパの会計事務所は、クライアントデータの無断開示に対し刑事罰のもとで業務を行っていますが、大半は欧州法枠外で外国政府のアクセス経路を生む米国本社のプラットフォームに財務データを保存しています。しかも弁護士と異なり、会計士は法的特権に頼ってこのギャップを埋めることができません。欧州司法裁判所（ECJ）は、会計士には弁護士よりも弱い保護しか認めておらず、主権アーキテクチャこそが専門職の守秘義務を満たす唯一信頼できる仕組みであるとしています。
なぜ重要か：2023年のMOVEit侵害ではビッグ4のうち3社が被害を受け、英国財務報告評議会（FRC）は2024年に127件の執行事例を報告、その中で技術的失敗が専門職不正の増加カテゴリとなっています。またDORAは、金融機関のクライアントから会計事務所に直接技術要件を流す仕組みを導入しました。主権アーキテクチャを証明できない事務所は、今後ますます規制産業からの排除や執行リスクの高まりに直面します。
5つの重要ポイント
- 専門職の守秘義務はヨーロッパ全域で刑事罰を伴い、技術選択がコンプライアンスに直結します。ドイツの§203 StGB、フランスのsecret professionnel、スイスの第321条、オランダの第272条、英国コモンローの義務はいずれもクラウドプラットフォームまで適用範囲が拡大しています。これは単なるITの問題ではなく、ライセンスや起訴リスクに直結する専門職責任の問題です。
- 会計士は弁護士の特権的保護を持たないため、より強固な主権アーキテクチャが必要です。ECJは会計士の保護が弁護士よりも弱いと判断。弁護士はCCBEのクラウドガイダンスや2025年の条約保護を得ましたが、会計士は法的特権ではなく技術的コントロールに頼る必要があり、アーキテクチャこそが主たる防御策となります。
- DORAの要件は金融機関から会計サービス提供者へ直接流れます。第30条はデータ主権、暗号鍵管理、エグジット戦略を契約で求めています。銀行が会計事務所を利用する場合、これらの技術要件は会計士が使うプラットフォームにも及び、ベンダーアーキテクチャが金融業界向け会計事務所の直接的な規制事項となります。
- 国境を越えた業務は、クライアントデータが法域をまたぐことでコンプライアンスギャップを生みます。ドイツの事務所がスイス親会社のフランス子会社を監査する場合、3つの守秘義務体制下でデータを処理します。一方CLOUD法により、データの保存場所に関係なく米国のアクセスが可能です。標準契約条項（SCCs）は主権的な法的権限を上書きできず、唯一対抗できるのは技術アーキテクチャのみです。
- 大手会計事務所は多額のセキュリティ投資にもかかわらず、持続的な脅威に直面しています。ビッグ4のうち3社がMOVEitの被害に遭い、Sax LLPの侵害は16か月間発見されませんでした。Deloitteは4か月間侵害に気付かず500万ドルを支払いました。専門職賠償保険会社は現在、技術アーキテクチャを精査し、主権型導入オプションを求めるほか、一部の保険ではプロバイダーが暗号鍵を管理する場合の侵害を補償対象外としています。
ヨーロッパの会計士が委任できない専門職の守秘義務
会計士の専門職守秘義務はヨーロッパ全域で刑事罰を伴いますが、これらの枠組みはクラウドコンピューティングによる外国政府のアクセス経路が生まれる前に設計されています。その結果、紙のファイル時代に想定された義務が、事務所以外の第三者も技術的にアクセスできるインフラに適用されるという構造的な緊張が生じています。
ドイツの§203 StGBおよび§43 WPOは技術プラットフォームの選択にまで及ぶ刑事責任を課す
ドイツの§43 WPOは監査人の守秘義務を専門職義務として定め、§203 StGBは無断開示を責任者に対し懲役刑を科す犯罪としています。1万5千人以上の専門職がこの義務を負っています。ドイツ公認会計士協会（Institut der Wirtschaftsprüfer）は、§43 WPOの守秘義務がすべての技術システムに及ぶこと、監査人はプロバイダーが復号鍵を保持するプラットフォームでは義務を果たせないことを明言しています。米国管理下のインフラにクライアントデータを保存すると、ドイツ法の統制外での開示経路が生じ、これは契約上の無断アクセス禁止条項とは無関係に存在します。
フランス、スイス、オランダも会計士に同等の刑事守秘義務を課す
フランスの商法L. 822-15条は監査人（commissaires aux comptes）にsecret professionnelを課し、刑法226-13条違反は禁錮刑と15,000ユーロの罰金を科します。CNILのガイダンスは、第三者プロバイダー利用時も会計士がクライアントデータ保護の責任を負い、アウトソーシングで義務が移転しないことを強調しています。スイス刑法第321条は監査人・税理士の守秘義務を国際顧客にも拡張します。オランダ刑法第272条はNBA登録会計士の守秘義務を規定し、オランダDPAは守秘義務がデジタルシステムやクラウドインフラにも及ぶと強調しています。
会計士の保護が弁護士より弱いというECJ判決により、技術アーキテクチャが主たる防御策となる
英国の会計業務はFRCやICAEW基準で補強されたコモンローの守秘義務下にあります。大陸法の刑事規定はありませんが、違反すれば民事責任、専門職不正認定、1990年コンピュータ不正利用法や2018年データ保護法による起訴の可能性があり、FRCの2024年報告では127件の執行事例と技術的失敗の増加が指摘されています。決定的なのは、ECJのOrdre des barreaux francophones判決で会計士の法的保護が弁護士よりも緩いと明確化されたことです。つまり、会計士は法的特権を主張して強制開示に抵抗できず、インフラレベルでの無断アクセスを技術的に不可能にするアーキテクチャ（プロバイダーが協力なしにアクセスできないカスタマー管理型暗号化）を実装する必要があります。
GDPRコンプライアンス完全チェックリスト
Read Now
会計事務所向けGDPRおよびDORAの技術要件
GDPRはセキュリティ要件の基準を定め、DORAは金融機関から会計サービス提供者へ直接流れる技術要件を追加します。両者は、契約だけでは満たせないコンプライアンスフレームワークを形成します。
GDPR第32条は、管理者が排他的に鍵を管理する場合のみ十分な保護を提供する暗号化を要求
GDPR第32条は「適切な技術的および組織的措置」として暗号化、機密性、完全性、可用性を要求しています。第5条1項(f)の「完全性および機密性」原則は無断処理からの保護を求めており、プロバイダーがクライアントデータにアクセスできるアーキテクチャとは矛盾します。Article 29 Working Partyのガイダンスは、暗号化が十分な保護を提供するのは管理者が排他的に復号鍵を管理する場合のみと明言しています。プロバイダー管理の暗号化は要件の形式を満たしても実質を満たしません。
Schrems II判決は、第三国政府がデータにアクセスできる場合、SCCs単独では移転要件を満たせないとした
Schrems II判決は、政府監視が欧州同等の保護を欠く法域にデータが流れる場合、SCCs単独では十分な保護を提供できないとしました。ECJは、第三国の義務が必要かつ比例的な範囲を超えて公的機関のアクセスを認める状況を問題視しており、これはCLOUD法の対象となる米国本社クラウドプロバイダーにまさに該当します。EDPBのガイダンスは、管理者が第三国法や実務が保護の有効性を損なうか評価し、必要に応じて追加の技術的措置を講じるよう求めています。会計事務所の場合、SCCsはカスタマー管理型暗号化と組み合わせて初めて有効となります。
DORA第30条は金融機関クライアントから会計事務所へ直接技術要件を流す
DORA第28条5項は金融機関にICTサードパーティプロバイダーの評価を求め、第30条はデータ保護や暗号化などのセキュリティ措置を契約で確保することを義務付けています。金融機関が会計事務所を利用する場合、これらの義務は会計士が使うプラットフォームにも及びます。第30条2項(j)はデータ処理場所への対応、第30条2項(k)はデータアクセス・復旧・返還・削除に関する規定を求めています。EUデータセンター保存を契約で定めても、運用者が非EU拠点から技術的アクセスを維持していれば義務を満たしません。第28条3項は完全なデータ削除を可能にするエグジット戦略を要求し、ベンダーロックインを防ぐアーキテクチャを求めています。
国境を越えた業務がデータ主権リスクを増幅
国境を越えた監査では、複数の専門職守秘義務体制下のクライアントデータが、まったく異なる主権のもとにあるインフラを通過します。このコンプライアンスギャップは理論上のものではなく、構造的なものであり、関与する法域が増えるほど拡大します。
複数法域の業務はクライアント作業書類を同時に重複する守秘義務体制下に置く
ドイツの事務所がスイス親会社のフランス子会社（オランダ拠点あり）を監査する場合、作業書類はドイツ§43 WPO、フランス商法、スイス第321条、場合によってはオランダの守秘義務の対象となります。各法域は、どの政府からどんな命令が来ても無断アクセスを技術的に不可能にするコントロールによってのみ、正当なアクセスを確保することを求めています。契約書やデータ処理契約ではなく、技術的アーキテクチャによる対応が必須です。
CLOUD法は物理的保存場所に関係なく米国政府による欧州クライアントデータへのアクセスを可能にする
米国本社のプラットフォームに作業書類を保存すると、CLOUD法により米国政府機関は物理的なデータ保存場所に関係なく開示を強制できます。この法律は「米国内に物理的に所在しない」場合でも米国人・米国法人に適用されます。EUデータセンターや欧州保存を契約で定めても、運用者が米国命令を受ける可能性があります。これは理論上の問題ではなく、United States v. Microsoft事件ではCLOUD法成立前に米国政府がアイルランド保管のメールの提出を求め、原則は今も変わりません。国家安全保障書簡やFISA命令は対象者への通知を禁じ、欧州の法的手続きで争うこともできません。
ジオロケーションコントロールは物理的なデータ場所のみを制御し、法的・技術的コントロールにはならない
ジオロケーションコントロールは物理的なデータ保存場所を指定しますが、プロバイダーの法的義務や技術的アクセス能力には影響しません。物理サーバーの場所と法的・技術的データコントロールは本質的に異なり、主権を決定するのは後者です。EDPBのSchrems IIガイダンスは明確に、技術的措置で政府アクセスからの保護を確保できない場合、SCCs単独では頼れないとしています。標準契約条項は当事者間の契約義務を定めますが、プロバイダー本国の一方的な主権的権限を上書きできません。カスタマー管理型暗号化による排他的鍵管理のみが、どの政府から命令が来てもプロバイダーの技術的アクセスを排除できる唯一の仕組みです。これはプロバイダーに法的禁止を課すのではなく、技術的に実行不可能にするものです。
侵害事例が第三者インフラのリスクを証明
大手会計事務所で発生した最近の侵害事例は、プロバイダーが技術的にデータにアクセスできる第三者インフラが生むリスクは、高度なサイバーセキュリティ対策でも排除できないことを示しています。
MOVEit侵害とその後の事例は、ビッグ4のセキュリティ投資でも第三者リスクを排除できないことを示す
2023年のMOVEit脆弱性はビッグ4のうち3社に影響し、広く利用されていたファイル転送ソフトウェアのSQLインジェクションによりM&Aクライアントデータが流出しました。これは多額の専用予算を投じた高度なサイバーセキュリティプログラムがあっても発生しました。Sax LLPは2025年末、2024年の侵害で22万8千人分の情報が16か月間発見されなかったと公表。Deloitteは数百件のファイアウォール警告があったにもかかわらず、攻撃者による4か月間のアクセスを許し、ロードアイランド州に500万ドルを支払いました。大手でも第三者インフラ上で持続的な脅威にさらされるなら、中小事務所は検知・対応リソースが限られる分、さらに大きなリスクに直面します。
専門職賠償保険会社と規制当局は、今や技術アーキテクチャをコンプライアンス事項として精査
専門職賠償保険会社は一連の侵害事例を受け、技術アーキテクチャの精査を強化しています。複数の保険会社が国境を越えた業務向けに主権型導入オプションを必須とし、一部の保険ではプロバイダーが管理アクセスや暗号鍵を保持する場合の侵害を補償対象外としています。これは、プロバイダーの鍵アクセスを既知かつ管理可能なリスクとみなし、事務所が軽減しないことを選択したと見なすためです。英国FRCは技術コントロールの失敗を執行カテゴリとして明記。ドイツ公認会計士会（Wirtschaftsprüferkammer）は、監査人の§43 WPO義務が技術選択にまで及び、プロバイダーに委任できないことを強調しています。クライアントデータがプロバイダーの技術的アクセス下にある場合、そのアクセスは侵害や政府強制開示の経路となり、両方のリスクを排除できる唯一のアーキテクチャは、クライアントデータが会計事務所が排他的に管理する鍵で暗号化されたまま維持されるものです。
カスタマー管理型暗号化アーキテクチャが専門職の守秘義務を満たす
専門職守秘義務、GDPR要件、DORA要件を同時に満たす技術アーキテクチャの核心は、「クライアントデータが会計事務所が排他的に管理する鍵で暗号化されたまま維持される」ことです。すべてはここから始まります。
事務所管理のHSMにより、プロバイダーはどんな状況でもクライアントデータに技術的にアクセスできなくなる
カスタマー管理型暗号化は、鍵の生成と保存を事務所が排他的に管理することから始まります。鍵はハードウェアセキュリティモジュール（HSM）内で生成され、耐タンパー性を持ち、物理的に事務所管理下にあるか、鍵主権に配慮した欧州プロバイダーで運用されます。クライアントデータはセキュアメール、ファイル共有、マネージドファイル転送を通じて入力された時点で、事務所のHSM鍵で即座に暗号化されます。暗号化データはさまざまなインフラに保存可能ですが、プロバイダーは復号できません。たとえ政府命令やセキュリティインシデントが発生しても、クライアントデータは保護されます。これはECJ判決が会計士に生じさせた構造的問題に直接対応します。法的特権は技術アーキテクチャの代替にはなりませんが、アクセスを不可能にする技術アーキテクチャは同等の実効性をもたらします。
このアーキテクチャはGDPR第32条、DORA第30条、各国専門職守秘義務を単一実装で満たす
カスタマー管理型暗号化は、コンプライアンス要件全体を同時に満たします。GDPR第32条の暗号化要件を満たし、Article 29 Working Partyの「管理者が排他的に復号鍵を管理する場合のみ十分な保護」とのガイダンスにも合致します。DORA要件にも対応し、事務所のみが平文情報にアクセスできるため、金融機関クライアントが契約でサービスプロバイダーに流す技術アーキテクチャ義務を満たします。ドイツ、フランス、スイス、オランダ、英国の専門職守秘義務も、外国政府を拘束できない契約禁止条項ではなく、暗号レベルで無断開示経路を排除することで満たします。
導入の柔軟性により、事務所は主権アーキテクチャを業務規模やクライアント要件に合わせて選択可能
導入の柔軟性はデータ主権と業務ニーズのバランスを取ります。最も機密性の高い案件を扱う事務所にはオンプレミス導入が最大のコントロールを提供します。欧州データセンターでのプライベートクラウドや強化仮想アプライアンスは、専任オンプレミス担当者を持たない事務所にも主権性を維持しつつインフラ管理負担を軽減します。国境を越えた業務でも、データはライフサイクル全体で事務所鍵で暗号化されたまま維持され、アクセスコントロールで復号可能な担当者を制御しますが、鍵管理はどこにチームメンバーがいても事務所が保持します。
導入における考慮事項
主権アーキテクチャへの移行には、技術移行、ワークフロー統合、規制文書化の計画が必要ですが、技術的な決定と同じくらい導入の順序も重要です。
現状のデータフローの把握が、どのシステムに主権アーキテクチャが必要かを決める
技術的評価は現状のデータフローの把握から始まります。どのフローが専門職守秘義務の対象となるクライアント情報を含み、どのフローが内部業務データでより緩やかな管理で済むかを特定します。すべての事務所データがカスタマー管理型暗号化を必要とするわけではありませんが、すべてのクライアント財務データ、業務作業書類、機密クライアント情報を含むコミュニケーションは必要です。このスコープ設定により、導入規模や鍵管理アーキテクチャが決まり、主権アーキテクチャを全データフローに一律適用してしまうというよくある誤りを防げます。
鍵管理アーキテクチャは最重要決定事項であり、各法域の規制期待に合わせるべき
鍵管理アーキテクチャは最も重要な導入決定事項です。オンプレミスHSM、欧州プロバイダーのクラウド型HSMサービス、強化仮想アプライアンスのいずれを使うか決定します。大規模事務所は最大のコントロールを求めてオンプレミスHSMを選ぶことが多く、DORA規制下の金融機関クライアントが契約で要求する場合もあります。中小事務所は運用の複雑さを軽減できる欧州HSMサービスを選ぶ場合もあります。いずれの選択肢でも重要なのは、鍵が常に事務所の排他的管理下にあり、プロバイダーが緊急サポートやバックアップ、政府命令などいかなる状況でもアクセスできないことです。
規制文書は受動的ではなく能動的にアーキテクチャコンプライアンスを示すべき
規制文書は、技術アーキテクチャがGDPR第32条、DORA要件、各国専門職守秘義務をどのように満たしているかを示すべきです。技術アーキテクチャ図、鍵管理手順、アクセス制御ポリシー、インシデント対応手順、プロバイダーがクライアントデータにアクセスできないことを確認する契約条項などを含めます。特にDORA対象の金融機関クライアントは、業務開始前にセキュリティアーキテクチャの詳細な技術付録を求める傾向が強まっています。これを能動的に提出できる事務所は規制産業で競争優位を得られ、クライアントの質問に後追いで対応する事務所は営業上不利になります。
Kiteworksはヨーロッパの会計事務所が主権アーキテクチャで専門職守秘義務を満たすことを支援
ヨーロッパの会計事務所は、契約では満たせず法的特権でもカバーできないコンプライアンス要件、すなわち技術選択にまで及ぶ専門職守秘義務と、GDPR・DORAが求める技術的コントロールを同時に満たす必要があります。カスタマー管理型暗号化こそがこのギャップを埋めるアーキテクチャであり、どの政府から何を要求されてもプロバイダーがクライアントデータに技術的にアクセスできなくし、規制当局・専門職監督機関・DORA規制クライアントが業務開始前に求める証跡も提供します。
Kiteworksは、カスタマー管理型暗号化アーキテクチャを提供し、ドイツ、フランス、スイス、オランダ、英国の専門職守秘義務を満たしつつ、GDPR第32条およびDORAの技術要件にも対応できるようヨーロッパの会計事務所を支援します。当プラットフォームは事務所管理の暗号鍵を用い、鍵が事務所インフラから外部に出ることはありません。つまり、Kiteworksが政府命令を受けたりセキュリティインシデントが発生しても、クライアント財務データは保護され、当社が顧客データにアクセスする技術的手段を持つことはありません。
導入オプションも柔軟で、事務所データセンターでのオンプレミス設置、事務所管理下の欧州施設でのプライベートクラウド導入、インフラ管理の複雑さを軽減しつつ主権アーキテクチャの利点を提供する強化仮想アプライアンスなどを選択できます。ドイツではBfDIガイダンス、フランスではCNIL要件、スイスでは銀行守秘義務、その他欧州各地で業務ニーズやクライアント期待に合わせて導入可能です。
本プラットフォームは、セキュアメール、ファイル共有、マネージドファイル転送、ウェブフォームを統合アーキテクチャで提供し、会計事務所がすべてのクライアントデータ送信を単一の主権型プラットフォームで管理できるようにします。これにより鍵管理が簡素化され、複数ベンダー関係による攻撃対象領域が削減され、FRC、Wirtschaftsprüferkammer、その他の監督機関要件を満たす統合監査ログも提供します。
詳細は、ぜひカスタムデモをご予約ください。
よくあるご質問
ハイパースケールプロバイダーは自ら暗号鍵を管理し、政府命令があれば顧客データを復号できる技術的能力を維持しています。カスタマー管理型暗号化は異なり、会計事務所がハードウェアセキュリティモジュールを用いて暗号鍵を生成・管理・保管し、プロバイダーに鍵情報を一切渡しません。これはコンプライアンスに直結します。ドイツの§203 StGB、フランスのsecret professionnel、スイスの第321条は、単なる契約禁止ではなく、無断アクセスの技術的可能性そのものを排除することを求めています。プロバイダーが鍵を管理する場合、政府命令があればクライアントデータは平文で開示されますが、事務所が鍵を管理すれば同じ命令でも暗号文しか提供できません。これは法的特権では実現できない専門職守秘義務の技術的遵守を可能にします。
業務契約書には、導入場所（オンプレミスまたは特定の欧州データセンター）、暗号化方式とカスタマー管理型鍵管理の明記、クライアントデータにアクセスできる担当者の制限、データ保持・安全な削除手順、インシデント通知義務などを明記すべきです。DORA規制金融機関向けには、第30条の該当条項を明記します。Schrems IIが求めるSCCsを超える追加措置としてアーキテクチャが補完的措置を提供していることも記載します。高度なクライアントはセキュリティアーキテクチャの詳細な技術付録を求める傾向が強まっており、主権アーキテクチャを既に導入している事務所は、これを能動的に提示できます。
移行期間中は、クライアント向けコミュニケーションには主権アーキテクチャを導入し、内部コミュニケーションは既存プラットフォームを継続利用します。クライアントとのやり取り、監査作業書類、財務資料には主権プラットフォームを先行導入し、メールルーティングでクライアント宛メッセージを自動的に主権プラットフォーム経由に設定します。クライアント文書は主権プラットフォーム利用を必須とするポリシーを導入。新規案件から段階的に移行し、進行中案件は適切なタイミングで切り替え、過去データも順次対応します。移行日以降の新規クライアントデータはすべて、事務所が排他的に暗号鍵を管理するインフラを通すことが、最も厳格な守秘義務を満たす上で重要です。
カスタマー管理型暗号化が正しく導入されていれば、プロバイダーは平文データにアクセスできず、技術的に開示は不可能です。しかし、プロバイダーが鍵を管理するプラットフォームを利用していた場合、専門職守秘義務は継続し、ドイツの§203 StGB、フランスの226-13条、スイスの第321条に基づき無断開示による刑事責任が生じます。この場合、直ちに法的助言を求め、法的に許される範囲で関係クライアントに通知し、主権アーキテクチャへの緊急移行を検討すべきです。専門職賠償保険会社は、プロバイダーアクセスを許容したプラットフォーム利用による開示について補償除外とする傾向が強まっています。
標準契約条項は当事者間の契約義務を定めますが、主権的な法的権限を上書きしたり、政府による強制開示を防ぐことはできません。EDPBのSchrems IIガイダンスは、第三国法が必要かつ比例的な範囲を超えて公的機関のアクセスを認める場合、SCCs単独では十分な保護を提供できないと強調しています。推奨される補完措置の中心は、復号鍵を持たない者にはデータを判読不能にする技術的対策であり、カスタマー管理型鍵による暗号化がEDPBの有効な例として挙げられています。SCCsはカスタマー管理型暗号化と組み合わせて初めて有効であり、契約は当事者間の合意を、暗号化アーキテクチャは契約では防げない外国主権への法的強制開示を防ぎます。
追加リソース
- ブログ記事
データ主権：ベストプラクティスか規制要件か？ - eBook
データ主権とGDPR - ブログ記事
データ主権で陥りがちな落とし穴 - ブログ記事
データ主権ベストプラクティス - ブログ記事
データ主権とGDPR【データセキュリティの理解】