}}ご登録のアカウントは「メールアドレスの認証」が完了しておりません。認証がお済みでないアカウントは、登録から48時間後に消去されます。引き続きご利用される場合は、「メールアドレスの認証」をクリックしてください。MyページとはMyページ会員に登録すると、あなたの興味・関心のあるテーマのコンテンツが表示されるほか、お気に入りの記事をライブラリに保存できます。!KPMGジャパンのプライバシーポリシーが更新されました。最新のプライバシーポリシーをご確認ください。!オンライン・プライバシー・ステートメントが更新されました。プライバシーポリシーが更新されました。最新のプライバシーポリシーをご確認ください。(以降、番号制度と記載。俗にいうマイナンバー制度)の運用開始が間近に迫ってきている。具体的には、2015年10月から日本国内の全住民に対し、一人ひとり異なる12桁の番号が付与・通知され、2016年より当番号を用いた行政事務が開始される予定である。関連するコンテンツ同様の制度は既に幾つかの諸外国でも導入されており、米国(社会保障番号)、スウェーデン(個人識別番号)などは歴史も古く、官民問わず幅広い分野で利用されている。日本においては比較的限定された範囲でマイナンバーの取扱いがなされる予定であるが、事業者にとっても具体的な対応事項が発生する。本稿では、番号制度の概要および事業者全般への影響を整理したうえで、金融機関において特に留意すべき影響と対応事項について解説を行う。~個人番号と法人番号~番号制度は、所定の目的のもと、個人もしくは法人に対して一意の社会保障・税番号が付与される制度である。俗にマイナンバー制度と呼ばれる。対するものが「法人番号」であり、前者だけをマイナンバーと呼ぶ場合もあれば、双方含めてマイナンバーと呼ぶ場合もある(「マイナンバー」は俗称であり、法令上での定めは無い)。含めたものとして扱う。個人番号と法人番号の概要は<図表1>の通りである。住民票を有する国民一人一人に対して付与される12桁の番号。行政機関をふくむ設立登記された法人一社一社に付与される13桁の番号。前述した通り日本国内の全住民に対し付与される一意の番号(数字12桁)である。対象をより具体的に説明すると「日本国内に住民票を有する者」であり、日本国民であっても国外滞在等で住民票が無い場合は対象とならず、反対に外国籍でも住民票がある場合は対象となる。個人番号は、漏えいして不正に用いられるおそれがあると認められる場合に限り、本人の申請又は市町村長の職権により変更することが可能とされている。一方で法人番号とは、日本国内の全法人に対し付与される一意の番号(数字13桁)である。こちらの対象は主に「行政機関および設立登記団体」であり、事業者は一般的に設立登記団体であることから、事業者毎に一意の番号が付与されるということになる。法人番号は、その法人格が継続する限りにおいては原則不変とされている。個人番号と法人番号を大きな違いは「公開情報か否か」という点である。個人情報は非公開情報であり、法人番号は公開情報である。この点は、情報の取扱ルールに直結する。個人情報の一種でもある個人番号については「安全管理措置」という名目において、厳格な情報セキュリティ上の管理が求められる。一方で法人番号については、インターネットを通じての公開が予定されており、その取扱いに制限はなく利活用も自由とされている。事業者がマイナンバー対応を行ううえでは個人番号と法人番号の双方を取り扱う必要があるが、個人番号の安全管理措置と法人番号の利活用を意識しながら進めていくことになると考える。個人番号については、通知されるにあたって「通知カード」が本人に送付され、希望者が所定の手続きを行うことによって「個人番号カード」が発行される仕組みとなっている。個人番号カードの発行が任意であり全員が保有していないことについては、後述の本人確認手続にも影響があるため留意しておきたい。~導入の目的と利用範囲~番号制度の導入目的については、内閣官房の公表資料において以下の通り言及されている。分野で効率的に情報を管理し、複数の機関が保有する個人の情報が同一人の情報であることを確認するために活用されるもので、行政を効率化し、国民の利便性を高め、公平・公正な社会を実現する社会基盤です。3分野でマイナンバーを利用していくということである。行政においては、国民一人ひとりを一意に識別できないことによる事務の煩雑化が問題視されていた。国税庁においては、課税のため個人の所得を正確に把握する必要から、各事業者から報告される個人宛支払情報(支払調書)を名前や住所等で名寄せしている。名前は一意の情報ではなく、住所も変更される可能性があるため、本人識別に一定の負荷を要する状況となっている。個人にとっても問い合わせ対応等の負荷がかかり、結果として所得情報を正確に把握できないこともあることから税負担の不公正が発生する余地ともみなされている。この例においては、番号制度導入に伴い個人が一意に識別されることにより、「国税庁における名寄せ・調査負荷の軽減(=行政の効率化)」「個人における対応負荷の軽減(国民の利便性向上)」「公正な課税(=公平・公正な社会実現)」が図られるということになる。このようにマイナンバー取得の契機は行政事務での利用であることから、原則として事業者は、行政事務に対する一種の補助者としての位置付けで番号制度に関わっていくことになる。~法制度概要~番号制度の根拠となる法律は、2013年5月に制定・公布されている。番号制度の関連法は大きく4つの法律で構成されており、一般にマイナンバー関連4法と呼称されている<図表2>。CIO法」については事業者への実務に直接的な影響は無いことから、実際に考慮すべきは「番号法」となる。定義の他、特定個人情報の提供や罰則等について定めている。特定個人情報の提供については、特定個人情報(個人番号を含む個人情報)を提供しても良いケースを列挙している。行政機関からその他機関への特定個人情報提供に係るケースについても列挙されており、当提供時には「情報提供ネットワークシステム(行政機関内での個人番号も含む情報共有システム)」を介して情報をやり取りすることが予定されている。おいて退職者等の個人番号を収集する困難性に配慮したものと想定)」程度であるが、当該箇所に係る具体的な政令は発されておらず2016年の施行時からの運用開始は無いとの見解が公式に示されていることから、当該箇所について現時点で深く考慮する必要は無いと考える。評価」を受けることが必要とされていることもあり、当該箇所については引き続き注視していくべきである。上述の通り、番号法においては個人情報保護法と同等もしくはそれ以上に、特定個人情報に対する情報セキュリティ上の対策を強く求めている。その内容を具体的に規定しているのが「特定個人情報の適正な取扱いに関するガイドライン」である。詳細は後述するが、特定個人情報を扱ううえで事業者が留意すべき事項(安全管理措置)について定めており、「しなければいけない」「してはいけない」という強い文言も散見される。当該箇所については「従わない場合は法令違反と判断される可能性がある」と記載されていることから、ガイドラインという名称に囚われず法令の一種とみなして対応していくことが求められていると解釈できる。マイナンバー制度における対応事項1)事業者が端的に実施すべきこと番号制度の開始に伴い事業者が実施すべきことは、誤解を恐れず端的にいえば「行政への提出書類にマイナンバーを反映すること」である。それに対応するために、安全管理措置を施した事務設計・システム設計およびその対応を行っていく必要があると整理すれば分かりやすい。そのためまずは「行政への提出書類は何か」「どのような情報を反映しないといけないか」ということを理解するのが事業者への影響を把握するうえでの近道であると考える。それぞれの観点で整理すれば良い。「税」については国税庁の管轄であるため、当庁のホームページ等において具体的な対象が整理されている。3つに分別して言及したい。法定調書とは、簡単に言えば「税務署に提出が義務付けられている個人および法人への支払に関する資料」であり支払調書とも呼ばれる。税務署では発生を捕捉しづらい個人への支払や法人への特定支払について、本人からの申告とは別に法定調書を通して支払元から情報を取得し、両者を突合させることにより税の申告漏れがないかを適宜モニタリングしており、当該事務においてマイナンバーが活用されるものと考える。年末調整申告書は従業員の源泉所得税関連の申告書を指している。毎年年末近くなると扶養控除や保険料控除の申告書を従業員自ら作成することがあると思うが、そのような書類が該当する。上記以外の文書を包含して分類しており、例えば国税(消費税や法人税)の申告書や法人設立届出書などが該当するが、上述の2つと比較すると影響は限定的である。「社会保障」については厚生労働省の管轄であるため、同様に当省のホームページ等によって具体的な対象が整理されている。書類」の2つに分別している。各保険に係る全ての届出書や申請書が対象とはなっていないため、同省のホームページを参照したうえで対象を識別されたい。「災害対策」については現時点において、どの行政機関にどのような文書を提出するかの取り決めは無いため、現時点での検討は不要であり、引き続き経過を注視していくという対応レベルに留まるものと考える。金融機関においては激甚災害時において金銭を支払うために必要な限度で個人番号を利用できる」としているため、自社ないし業界として対応すると決定した場合については、その具体的な対応方法について検討が必要となってくるだろう。~反映すべき情報および対象書類との整理~反映すべき情報については、もちろんマイナンバーということになるが、前述した通りマイナンバーは個人番号と法人番号がある。これらを内部の番号・外部の番号として分別して整理していくと特徴を掴み易い。個人番号については、外部のものが個人顧客・取引先の番号、内部のものが従業員およびその家族の番号といった整理になる。いずれも安全管理措置が必要になるという点では同様だが、特に外部の個人番号については、従業員という身近な存在ではなく個人番号取得のコントロールが効きづらいという点から、比較的対応が困難になるものと想定できる。番号、内部のものが自社の番号という整理になる。いずれも公開情報であり安全管理措置が不要な点で個人番号より対応が容易であるが、業種によっては取り扱う外部の法人番号が比較的多量になる可能性があること、内部の法人番号(=自社番号)は原則全ての書類に記載する必要があることについて留意すべきである。これら反映すべきマイナンバーの情報と、前述した対象書類を併せて整理すると<図表3>のようになる。~反映すべき書類および情報の整理~図表の通り、最も収集が困難だと思われる「外部の個人番号」については、原則、法定調書のみが対象となる。「内部の個人番号」については、税目的と社会保障目的で共用するため、従業員からの番号取得時においては双方の目的で取得する旨を伝えておくことが事業者にとって肝要となる(個人番号取得時には、利用目的を明示する必要があるため)。「外部の法人番号」については、前述した通り対象量に留意しながら対応を進め、「内部の法人番号」は忘れず記載を行っていきたい。プロセスについて、安全管理措置をふまえて設計する必要がある。取得時においては、法令で定められた目的以外では取得禁止であること、事前に利用目的を通知または公表しておくことが必要なことに改めて留意したい。そのため、複数の目的での利用が見込まれる場合については、予め考え得る目的全てを通知しておくのが合理的である。事前の通知・公表の考え方は、他の個人情報と同じ位置付けで対応であるため、対面・書面・ホームページ等に盛り込んでいくことになるだろう。取得の際には本人確認が必要となる。本人確認は「個人番号確認」と「身元確認」の2つが必要であり、個人番号カードの提示を受ければ、双方が担保される。個人番号カードの提示が無い場合は、それぞれに証明書類の取得が必要となり、個人番号確認では通知カードや住民票(個人番号付き)等、身元確認では運転免許証やパスポート等の写しを求めることになる。本人確認の詳細については「行政手続における特定の個人を識別するための番号の利用等に関する法律施行規則(マイナンバー法施行規則)」に詳しいため適宜参照されたい。従業員の個人番号を収集する際については、採用時に身元確認が為されていると解釈できるため改めての取得は不要である。そのものが提出義務者と位置づけられているものについては、事業者による本人確認の必要性が発生するため、これらの識別を行っていくことになる。利用提供時においては、取得時と同様、法令で定められた目的外での利用が禁止されていることに留意したい。これは従業員や顧客の同意があったとした場合であっても禁止ということであり例外は無いと考えてよい。個人番号を他事業者へ提供することも原則禁止されている。所定の目的のもと、業務委託等により予め個人番号を連携することが明らかにされている場合については、その限りではない。ここで提供禁止に該当するケースとしては、例えば従業員が関係会社に出向した場合に、出向元会社から出向先会社へ、本人を介することなく個人番号を提供する例などが挙げられる。保管・廃棄時においては、必要な期間以外での保管禁止であることが重要である。これは、必要でなくなった場合速やかに廃棄されることが求められているということである。そのため、個人番号がどこにあるかを特定し、保管期限がいつなのか把握しておく必要がある。個人番号は書類の形式であったり、電子データの形式であったりする。安全管理措置が求められていることも考えると、あまり分散させずに集中管理を行うことが肝要である。法律によって保管期限が定められている法定調書は、保管期限を超えた個人番号の保持は認められないため速やかな廃棄を行う必要があるが、例えば紙文書としてコピーを残さずシステム的に再印刷できるようにしておき、保管期限を迎えた際に当該システムから自動的に削除されるような仕組みを整備しておくことなどで、合理的な対応を行うことが可能である。法令上、「復元できないように廃棄すること」が求められている。紙文書ではシュレッダーで文書ごと削除することや個人番号部分をマスキングすることによって廃棄とみなすことができる。一方でシステム内情報としては扱いに注意が必要で、法の主旨から判断すると「システム内データの論理削除(削除フラグ等を立てておいて、画面に出力されないようにする等)」についは廃棄と見なされないと考えるべきである。社内で予め定められた範囲(人物/業務)以外での利用やアクセスが禁止されているため、個人番号が反映された文書のある場所やデータに対して、物理的・論理的なアクセス制限を設ける必要がある。個人情報取扱いの延長線上での対応という理解で良いものの、アクセス可能な人物や業務が限定されるという点で、費用と実効性を鑑みた整備を行うことが肝要である。番号制度における金融機関特有の影響もしくは比較的考慮が必要と思われる事項については、<図表5>の通り想定する。ここからは、当該事項について言及を行う。番号制度対応では、金融機関に限って適用される項目が存在する。代表的なものが「預貯金口座に対する個人番号の紐付け」であるだろう。先の国会で番号法の改正が行われたが、そこにおいて2018年より当該対応を実施する旨が定められた。個人番号提出は最終的に預貯金者の任意によるものであるが、金融機関として、個人番号の提示を促していくこと自体は必須になると想定できる。将来的に義務化されることも視野に入れられており、いかに顧客の理解を得ながら計画的に個人番号を収集していくかが肝要になってくる。個人資産の捕捉という法の趣旨をふまえると、保険や証券といった他の口座情報にも対象が広がる可能性は否定できない。現時点で過剰に備える必要はないものの、会社として業界として注視していく必要があるだろう。考慮する必要がある業務として、年金支払がある。個人番号の提供を受けることが可能とされている。先の年金情報流出事件を背景に、個人番号と年金情報の紐付けは延期となったが、これらの運用が開始された場合には、年金支払を行っている金融機関については、行政との連動をふまえた業務設計の必要が出てくるだろう。番号対応を行うにあたっては、まずマイナンバーを反映すべき文書の棚卸から始めることが想定される。金融機関においては、他の業態と比較して法定調書の対象が多いことが想定される。ここで法定調書が全て一元的に管理されていると断言できれば調査負荷も少ないと考えるが、例えば支店や営業現場などが法定調書を伴う支払を行っている可能性が否定できないのであれば、全社横断的な調査が必要になってくるだろう。その際には、先立って「対象となり得る法定調書」を予め整理しておくことが有用であると考える。前述の通り、法定調書の提出先は国税庁であるため当庁のホームページ等にて具体的な対象が整理されている。各部署からの自己申告結果と、当該整理結果を比較することで、対象とすべき文書の漏れを防ぐことができる。国税庁のホームページでは、マイナンバーの記載欄を含んだ法定調書の具体的な書式についても公表されているため参考にされたい。対象となる法定調書が識別された後は、その文書を「いつから」国税庁に提出する必要があるかを整理する必要がある。2017年までに行う」と整理することができる。金融機関が扱う調書の一部(「利子等の支払調書」や「先物取引に関する支払調書」等)については、『2016年1月1日前に締結された「税法上告知したものとみなされる取引」に基づき、同日以後に金銭等の支払等が行われるものに係る「番号」の告知及び本人確認については、同日から3年を経過した日以後の最初の金銭等の支払等の時までの間に行うことができる』とされており、マイナンバー反映まで一定の猶予措置が定められている。このように対象となる法定調書については、提出時期を整理したうえで、マイナンバーの収集時期や方法について検討を進めていくことが有用である。おいては、個人に対する支払業務(=法定調書作成時に個人番号を記載する必要がある業務)が他業種と比較して多く発生するという特性から、外部(特に顧客)の個人番号取得方法について、充分に検討する必要がある。これは必要になった際、つまり対象となる支払が発生するタイミングで取得するか、それ以前、例えば取引開始時に取得するかという大きく2つの選択肢がある。法定上は、将来使用することが合理的に認められる場合は個人番号を取得可能としているため、事務効率や安全管理措置をふまえて各企業が主体的に設定する必要がある。保険業の場合、取引開始から支払までに一定の期間があることから、保険金支払請求のタイミングで個人番号の提出を促すことで事務効率が向上し、また、個人番号を長期保有しないことによる安全管理措置上の負荷軽減にも繋がる。一方で銀行業の場合、前述したように個人番号を各口座に予め紐づけておくことが求められるため、口座開設時に個人番号を取得するとともに、既存の口座に対しても、計画的に個人番号を収集・紐付けを行う必要が出てくるだろう。次に本人確認方法である。個人番号取得時の本人確認方法には、大きく「個人番号確認」と「身元確認」があると前述した。これを実務に照らしてより詳細に設計する必要がある。個人番号カードや運転免許証といった代表的な証明書類が取得できない場合の代用方法について考慮することになる。適当と認める書類等を定める件)。ここでは、例えば個人番号の確認書類として「自身の個人番号に相違ない旨の本人による申立書」が設定されており、国税庁のホームページにおいては様式例も併せて公表されているため、このような情報を適宜参照・活用しながら業務設計を行っていきたい。本人以外の人物を介した確認については、代理人としての枠組みを別途考慮する必要がある。代理人から個人番号の提供を受ける場合は、「代理権の確認」「代理人の身元確認」「本人の番号確認」が必要となる。後者2つの確認書類については前述した各確認書類と同様であるが、代理権の確認書類については改めて考慮する必要がある。法定代理人の場合は戸籍謄本等のその資格を証明する書類、任意代理人の場合は委任状の取得が代表的なものとして設定されている(これらが困難な場合は、本人の健康保険証などでも可)。銀行等の口座開設では親権者が手続きを行うことも多く、保険の支払では複数の受取人がいる場合に代表受取人がとりまとめて保険金請求手続きを行うことが多い。本人から個人番号を提供を受ける場合と、代理人として個人番号を受け取る場合双方を勘案して業務設計を行う必要があるだろう。最後に、これら個人番号を取得するにあたって想定される顧客からの問い合わせ対応の検討である。確認書類が準備できないといった相談から、そもそも個人番号を提示したくないといった苦情に至るまで、様々な問い合わせが発生することが想定される。金融機関であればコールセンター等の顧客問い合わせ窓口は設置済みであると想定するが、これらに対する教育の実施や想定問答集の準備等を充分に検討してきたい。前述の通り、金融機関では大量の個人番号を扱う必要がある。そのため安全管理措置については、特に留意する必要が出てくるだろう。ここでは「紙文書」と「電子データ」2つの切り口で整理する。紙文書としては、個人番号の確認書類と、個人番号を含んだ法定調書等の書類になるだろう。安全管理措置の適用が必須であり、必要でなくなった文書は速やかに削除する必要があることから、早急にシステム反映したうでで廃棄(個人番号部分のマスキングでも可)してしまうことが有用であると考える。システムにおいては厳密なアクセス制御が行われることが前提である。個人番号を含む紙文書を扱うにあたっては、「当該文書を施錠できるキャビネット等に保管する」「当該鍵の貸出・保管ルールを定める」「個人番号を利用した業務エリアを他のエリアと隔離する(困難な場合は、第三者に見られないような配慮措置を行う)」などの安全管理措置が必要となる。この辺りは個人情報保護の枠組みを大きな乖離は無いが、特定個人情報にアクセスできる人員を予め定めたうえで、その範囲に絞ったアクセス制限を強固に講じる必要があることに留意したい。電子データとしては、主に法定調書を作成するシステム(及びデータ)と、そこに至るまでに介在するシステム(及びデータ)が挙げられる。肝要であるのは、情報を保有するシステムを極力限定することと、前述したように、アクセス制御を厳密に実施することである。この時、バックアップファイルやログファイルといった副次的なデータに対する安全管理措置についても考慮する必要があることに留意したい。一部金融機関において、これらファイルからの個人情報や機密情報の漏えいが事件化しており、当局や顧客からの関心も比較的高いことから、暗号化や適時廃棄といった安全管理措置について、より慎重に構築する必要があるだろう。さいごにマイナンバー(個人番号)については、本稿中で何度も触れた通り、利用範囲が明確に限定されている。揶揄され国内にネガティブな捉え方をする層の存在があることとなどが挙げられ、それらをふまえて国が配慮したものと想定できる。一方でその他の個人情報と同様、マイナンバーについても国や事業者が有効活用していく方向に進むことも決して否定できない。金融機関においては、個人の資産を預かったり、個人への支払いが多いという立場から、その影響(負荷)は他業態と比較して非常に大きい。10月号」に掲載されたものを転載しました。kpmg.socialMediaご依頼・ご相談RFP(提案書依頼)Myページへ会員登録すると、興味・関心のあるテーマのコンテンツが表示され、お気に入りの記事をライブラリに保存できます。新規ウィンドウ、またはタブで開くRFP(提案書依頼)送信RFP送信KPMGのインサイトがあなたとあなたの企業にどのように役立つかをご覧ください。無効なメールアドレスです。reserved.close。