情報管理規程と誓約書のひな形を自社化する手順

経済産業省「秘密情報の保護ハンドブック」をはじめ、情報管理規程・秘密保持誓約書等の参考例は公表されています。ただし、ひな形は自社の情報、組織、使用ツール、競業リスクに合わせて調整し、実際に運用することが重要です。ひな形をそのまま使ったことだけで裁判上無効になるわけではありませんが、対象情報が不明確、競業制限が過大、規程と実態が乖離していると、必要な要件の立証が難しくなります。

手順1：情報の棚卸し

自社にどのような情報があり、どこに保存され、誰がアクセスしているかを洗い出します。部門ごとに、①顧客・取引先情報、②技術・製品情報、③価格・原価・取引条件、④人事・組織情報、⑤経営計画・財務情報、⑥システム・認証情報、の区分で一覧化します。この棚卸しが、秘密情報管理台帳（第19講）の基礎になります。

手順2：保護レベルの決定

棚卸しした情報を、①営業秘密として厳格に管理する情報、②社外秘として通常の管理を行う情報、③公開情報、に区分します。すべてを①にすると管理が形骸化するため、①は「流出すれば事業に重大な影響がある情報」に絞ります。①に区分した情報については、保管場所・アクセス権者・表示方法・持出しの可否を個別に決めます。

手順3：規程の条項を自社の運用に合わせる

ひな形の条項を手順1・2の結果に合わせて修正します。とくに、秘密情報の範囲を従業員が認識できるか、実際に使用するクラウド・チャット・生成AI等のルールが反映されているか、BYODの条件が明確か、貸与端末等の調査ルールが目的・必要性・相当性に配慮した内容か、退職時の返還・削除手続が実際の人事フローと一致するかを確認します。実行しない管理措置を過度に列挙すると、規程と運用の乖離が問題となるため、実施可能なルールを定めて記録を残します。

手順4：誓約書の条項を対象者ごとに設計する

誓約書は対象者の職務・接する情報に応じて内容を分けることが考えられます。例えば、①全従業員向けの秘密保持・持込み禁止・会社端末等の利用ルール、②守るべき利益に接する幹部・技術者・営業責任者向けの合理的な退職後競業避止・代償措置、③プロジェクト別の対象情報確認、④取締役向けの役員委任契約等です。従業員向けに固定額の違約金を追加することは、労基法16条との関係から慎重に検討します。

手順5：法務レビュー

規程・誓約書をレビューする際は、①競業避止条項の合理性、②秘密管理意思が従業員に認識可能な設計か、③就業規則・付属規程との位置づけ、④労基法・労契法との整合（不利益変更、懲戒、違約金・賠償予定等）、⑤個人情報・プライバシー、⑥実際のIT・人事運用との整合を確認します。

手順6：周知・研修・署名の取得

情報管理規程の内容が労働条件・服務規律等を定め、就業規則又はその付属規程に当たる場合は、常時10人以上の労働者を使用する事業場では労基法89条の作成・届出、同90条の意見聴取等を確認し、不利益変更となる場合は労契法9条・10条も検討します。就業規則に当たらない社内ルールであっても、従業員に適用するには適切な周知が重要です。既存従業員へ新たな退職後競業避止義務を求める場合は、個別合意の任意性、制約の必要性・範囲、代償措置等を検討します。

手順7：年次の見直し

事業内容・使用ツール・組織の変化に応じて、年1回、台帳と規程を見直します。見直しの記録自体が、管理体制が生きていることの証拠になります。

規程・誓約書の「自社化」は、文書修正だけでなく、情報の棚卸し、IT権限、BYOD・クラウド・生成AIの実態、人事フロー等を確認して初めて機能します。必要な期間・作業量は会社規模・既存規程・システムによって異なるため、固定的な期間・費用を一般論として示すより、対象範囲を決めて見積もるのが適切です。

実務ポイント

・自社化の手順：棚卸し→保護レベル→規程の修正→対象者別誓約書→法務レビュー→周知・研修・署名→年次見直し。

・広すぎる情報定義、全従業員一律の競業制限、実行不能な管理措置は、いずれも規程の実効性・合理性を弱める。

・規程は「実際に実行できること」だけを書き、実行した記録を残す。