インシデント広報の実務と法務
企業が危機時に信頼を守るために

ここでいうインシデント広報は、社会的、法的、経済的に重要な異常事態が発生した場合に、関係者へ必要な情報を適時、正確、誠実に伝えるための意思決定、文書作成、発表、質疑応答、更新、記録化、検証の一連のプロセスです。

次の比較表は、インシデントの類型ごとに典型例と広報上の論点を整理しています。事案の種類によって、優先すべき相手、守るべき情報、法定手続が変わる点を読み取れます。

次の表は、通常広報、危機広報、法定開示の違いを示しています。インシデント広報はこれらを横断しますが、法令上の最低限の通知だけでは社会的説明として足りない場合がある点を確認してください。

インシデント広報では「早く出す」と「正しく出す」が対立するように見えます。しかし実務では、初動で出す情報と、調査後に出す情報を分けることで両立を目指します。

次の比較表は、情報の種類ごとに初動で扱いやすい範囲と、調査後に示すべき範囲を整理しています。早期発信では、確度の低い原因や責任を断定しない点を読み取ってください。

次の横並びの要点は、危機時に同時管理すべき基本原則を示しています。単に謝るだけでも、単に法的リスクを避けるだけでも足りないことを確認してください。

初動72時間では、広報文の作成だけでなく、被害拡大防止、証拠保全、事実確認、当局報告、本人通知、取引先説明、社内統制を並行して進めます。

次の時系列は、発覚直後から72時間までの優先順位を示しています。時間が進むほど関係者が増えるため、初期の記録と判断根拠を残すことが重要です。

次の表は、初期評価で確認する判定軸を示しています。広報の必要性だけでなく、当局報告、本人通知、適時開示、会見の可能性まで同時に見ます。

個人情報漏えいの場合、報告対象事態を知った時点からおおむね3〜5日以内の速報が目安となり、確報では概要、対象個人データの項目、本人の数、原因、二次被害、本人対応、公表、再発防止などを整理します。

発生時に直ちに「公表するか、しないか」を二分すると、法定手続、被害者保護、営業秘密、捜査協力、社会的説明責任を見落としやすくなります。

次の判断の流れは、公表範囲を決める順序を表しています。人命や自衛行動が必要な場面では早い注意喚起を優先し、守るべき情報がある場面では範囲や時期を調整する点を読み取ってください。

次の表は、情報提供の4分類を示しています。同じ事案でも、当局には報告し、対象者には通知し、社会には限定的に注意喚起するなど、複数の方法を組み合わせることがあります。

公表を検討すべき事情には、生命・身体・財産への被害可能性、顧客の自衛措置、個人情報や決済情報の漏えい可能性、報道やSNS拡散、サービス停止、投資判断への重要影響、行政処分・捜査・訴訟・リコール・決算訂正の可能性があります。一方で、捜査妨害、追加攻撃、プライバシー侵害、名誉毀損、営業秘密、秘密保持義務がある場合は、範囲、時期、内容を慎重に設計します。

記者会見は常に必要ではありませんが、死亡・重大傷病、大規模な消費者被害、大規模な個人情報漏えい、重大なサイバー攻撃、公共性の高いサービス、企業価値への重大影響、経営陣の関与や組織的隠蔽の疑いがある場合は開催を検討します。

次の一覧は、会見前に準備する項目を示しています。登壇者の善意による未確認発言を防ぐため、話す内容と話さない内容を事前に整理することが重要です。

次の表は、記者から受けやすい質問と回答方針を整理しています。断定を避けながら、事実確認、被害者保護、説明責任から逃げない姿勢を示します。

SNS時代には、報道機関だけでなく、動画配信、掲示板、口コミサイト、レビューサイト、従業員投稿、顧客投稿が情報環境を形成します。公式サイトに一次情報ページを置き、SNSでは一次情報へ誘導し、誤情報には感情的に反論せず、事実で訂正します。個別被害者とのやり取りは公開SNS上で細かく行わず、なりすましアカウントや偽メールへの注意喚起も行います。

インシデント広報では、早く説明したい要請と、証拠を保全して正確に調査したい要請が衝突します。広報が事実調査を先走ると、後日発表を訂正することになり、信頼を損ないやすくなります。

次の一覧は、事案別に保全対象となりやすい資料を整理しています。どの資料が後日の調査、当局対応、訴訟、保険金請求に関係するかを読み取ってください。

リーガルレビューは、発表文を薄めるための手続ではありません。未確認事実を断定しない、法的責任を不必要に拡大しない、法定報告・通知を漏らさない、個人情報や営業秘密を守る、契約違反や秘密保持違反を防ぐ、当局や裁判所で説明可能な記録を残す、被害者保護と説明責任を実現するための確認です。

日本法では米国型の広範な秘匿特権とは制度構造が異なりますが、クロスボーダー事案、米国訴訟、当局調査、国際仲裁、海外子会社案件では、弁護士依頼者間通信やワークプロダクトの保護が問題となる場合があります。外部専門家、外国法事務弁護士、eディスカバリ専門家と連携し、調査報告書、メール、会議メモ、ドラフトを慎重に管理します。

強い組織は、発生後に初めて広報方針を考えるのではなく、平時から判断基準、承認権限、文書ひな形、訓練、見直しを整えています。

次の一覧は、インシデント広報規程に含める項目を示しています。規程は形式ではなく、誰が、いつ、何を根拠に判断するかを動かすための土台です。

次の表は、事前に準備する文書の種類と用途を整理しています。事案でそのまま使うのではなく、初動時間を短縮するための土台として整備します。

訓練は少なくとも年1回、サイバー攻撃を想定した机上演習、個人情報漏えいの本人通知演習、記者会見シミュレーション、役員向け危機対応演習、コールセンターFAQ訓練、SNS炎上対応訓練、適時開示判断演習、製品回収・対象ロット特定訓練を組み合わせます。

インシデント広報の失敗は、事案そのものだけでなく、その後の説明態度によって拡大します。典型パターンを知っておくと、初動で避けるべき判断が見えやすくなります。

次の比較一覧は、失敗パターンと対策を並べたものです。批判を抑えようとするほど、沈黙、断定、矮小化、説明不一致が起きやすい点を読み取ってください。

次の強調枠は、失敗を避けるための短い原則です。インシデント広報では、批判を消すことより、相手が安全に判断できる情報を継続して出すことが信頼回復につながります。

ここでは、企業の危機対応でよく問題になる論点を一般的に整理します。実際の対応は、法令、契約、被害状況、証拠状況、上場規則、業種規制、海外法制、保険契約、捜査・行政対応の有無により変わります。

詳細が分からない段階でも公表する必要はありますか

一般的には、顧客・利用者・取引先・社会が自衛措置を取る必要がある場合や、法定報告・本人通知・適時開示の可能性がある場合には、初動告知や限定通知を検討するとされています。ただし、事案の重大性、証拠状況、守秘義務、捜査や当局調査への影響によって結論は変わる可能性があります。具体的な対応は、資料を整理したうえで弁護士等の専門家へ相談する必要があります。

謝罪すると法的責任を認めたことになりますか

一般的には、迷惑や不安をかけたことへの謝意と、過失や違法性の認定は分けて表現することが多いとされています。ただし、文言、事実関係、被害状況、契約、訴訟可能性によって法的な評価は変わる可能性があります。具体的な文案は、事実関係を確認したうえで弁護士等の専門家へ相談する必要があります。

個人情報漏えいでは何を先に伝えますか

一般的には、対象者が取るべき行動、不審メールやなりすましへの注意、漏えいした可能性のある項目、確認済みの範囲、問い合わせ窓口を優先して整理するとされています。ただし、本人通知の可否、対象者特定の進捗、二次被害の可能性、当局報告の順序によって対応は変わります。具体的には、個人情報保護法や関連ガイドラインを確認し、専門家へ相談する必要があります。

サイバー攻撃では技術情報をどこまで出しますか

一般的には、サービス影響、利用者影響、復旧状況、防御行動、問い合わせ窓口は示しつつ、侵入口、未修正脆弱性、詳細なネットワーク構成、検知ルールなど攻撃を助長し得る情報は慎重に扱うとされています。ただし、関係機関への共有、当局報告、取引先説明、本人通知で必要となる情報は異なります。具体的な開示範囲は、CSIRT、フォレンジック専門家、弁護士等と確認する必要があります。

発表後に追加事実が判明した場合はどうしますか

一般的には、発表済み情報、訂正が必要な情報、新たに判明した情報、次回更新予定を分けて更新するとされています。ただし、訂正の範囲、対象者への再通知、適時開示、当局への追加報告、取引先説明の要否は事案により変わります。具体的には、版管理と承認記録を確認しながら専門家へ相談する必要があります。