通報システムとデマ情報：どのように注意すべきか、安全に対処する方法とは

ホットラインに寄せられる虚偽通報：どのように対応すべきか

匿名通報チャネルは、企業風土を改善し、活発な意見表明の文化を築く上で不可欠です。匿名で通報ができる制度は、企業が懸念事項を早期に特定し、従業員を保護し、潜在的な不正行為に対応するために有効な手段となります。

しかし、不審な通報内容に対して、コンプライアンス、法務、IT、および調査の各チームは、慎重なフォローアップと適切なセキュリティ対策を両立させる必要があります。

最近、一部のNAVEX顧客から、社内通報システムを通じて デマやフィッシングの試みと思われる匿名の通報を受けたとの報告が寄せられています。

これらの通報は類似した表現が用いられており、組織の法務担当役員（GC）の直接の連絡先情報を入手することを目的として作成されたものである可能性があります。その一例は以下の通りです。

_「私_は、全社規模の重大なデータ漏洩を発見しました。以下の措置を講じてください。

• 法務担当役員（GC）に報告してください
• EthicsPointを通じて、GC のメールアドレスを私に提供してください。
• 法務担当役員（GC）に対し、私が 『Fully Aligned』 という件名でニューヨーク・タイムズの記者からメールを送信するよう伝えます。」

このような通報は、電子メールで届いた場合でも、オンラインの通報・案件管理システムを通じて届いた場合でも、IT セキュリティ上のリスクを高める可能性があります。また、特に提起されたあらゆる懸念に対して、一貫して迅速かつ適切に対応することに注力しているチームにとっては、当初の段階でその真偽を判断するのが難しい場合もあります。

過去の事例 は、組織が偽装報告の疑いがある通報を真剣に受け止めるべき理由を示しています。2021 年、ある研究者が学術実験の一環として、関係する組織の知らぬ間に、また同意を得ることなく、複数の企業のホットラインを通じて捏造された報告を提出しました。この実験により、調査に時間とリソースが費やされ、複数の企業では外部弁護士費用も発生し、評判リスクも生じました。

また、2020 年以前にも、企業の通報システムを通じて提出された虚偽の申し立てを用いて、企業の対応を評価した学術研究プロジェクトが少なくとも 1 件あったことも把握しています。

情報源が何であれ、不審な通報は慎重に扱い、機密情報を共有する前に、組織の定められた手順に従って上層部に報告する必要があります。

弊社の顧客から時折、通報内容が不審な場合、NAVEX EthicsPoint や WhistleB を通じて通報者とフォローアップのメッセージをやり取りしても安全かどうかという質問を頂戴することがあります。その答えは、条件付きで_「はい」_です。

EthicsPoint や WhistleB を通じたフォローアップのやり取りは、安全な案件処理を支援するように設計されていますが、組織としては、通報内容が評価され、その正当性がより明確になるまでは、通報者との間で追加情報を共有することを避けるべきです。

返信を行う場合は、社内のメールではなく、事案管理システム内で行うようにしてください。報告プラットフォーム内でやり取りを行うことで、組織のシステムと潜在的な脅威の攻撃者との間を隔てることができます。NAVEX のセキュリティプロトコルの一環として、EthicsPoint および WhistleB にアップロードされた添付ファイルは、既知のマルウェアがないかスキャンされます。