Crisis Management
网络事件的内部审批：决策权限、替代负责人及审议记录
有些情况下，即使全貌尚不清楚，也不能等待而必须作出决定。由谁决定、记录什么、在什么条件下重新评估决定？本文从决策权限和记录保存的角度，探讨网络事件的初期应对。委托调查、向交易伙伴说明情况、承担费用等具体决定，分别在其他文章中讨论。
审核：吉川景司律师、专利代理师（第一东京律师会）
以下为虚构情景。A公司（一家正在准备股票上市的制造商，有员工300名、法务人员2名，并设有信息系统部门）的订单及库存系统出现故障，影响了发货。负责运营维护外包业务的供应商B公司也报告称，其业务使用的环境疑似遭到非法访问。目前尚不清楚是否有信息泄露，也不清楚系统故障与疑似非法访问之间是否存在关联。本文讨论在这一阶段，A公司内部由谁决定什么事项。
本文中的A公司、B公司及场景中的其他要素均为虚构，仅用于说明目的，并非描述本所处理的实际案件。
确认哪些决定陷入停滞，以及现有哪些权限
事件初期需要作出决定的事项，一般包括以下内容：防止损害扩大的措施；是停止系统还是继续运行；是否委托外部专家调查；在何时向交易伙伴和客户告知何种内容；是否需要向主管机关报告或通知相关个人；以及是否以替代手段继续业务。
这些决定在性质上都不同于日常决策。这是因为必须在获得决策所需的全部信息之前作出决定，而且在某些情况下，不作决定本身就会扩大损害。
在以金额标准为中心的内部权限规定下，对于停止系统等无法以金额衡量的决定，或委托调查等金额只有事后才能确定的决定，可能无法确定有权审批人。
部门职责或审批责任不明确时，各部门可能都认为该事项应由其他部门决定，从而导致决定延误。以A公司为例，停止系统的方案由信息系统部门拟订，但对发货的影响由业务部门评估，而能否向交易伙伴作出说明，则由法务部门从法律角度进行评估。
首要任务是区分根据现有规定能够确定有权审批人的事项和无法确定的事项。如果存在后一类事项，这些正是事件应对最先陷入停滞的环节。
区分由实务人员作出的决定、管理层审批和重新评估
将决定按特点不同的三类来考虑，更便于整理。
第一类是立即实施、事后报告的措施。对于为防止损害扩大而进行的隔离和断开连接，应根据系统的特性、对业务的影响及现有权限，区分实务人员可凭自身权限立即实施的措施和需要审批的措施。如果不作此区分，一律要求管理层审批，则可能因夜间或非工作日联系不上管理层，导致本可防止的损害扩大。
第二类是应由管理层决定的事项。包括影响业务的系统停止或重启、对外沟通、大额支出以及涉及法律责任的决定。即使存在技术上的紧迫性，这些决定也应作为管理层决定作出并记录在案。
第三类是暂定决定、事后重新评估的事项。事件初期作出的许多决定，都是在信息不足的情况下作出的。作出决定时，应明确标注为“暂定”，并预先确定重新评估的时间。在作出决定的同时设定重新评估的条件，例如“收到中期调查报告时重新评估”或“经过一定期间后确认情况并决定是否继续”，便于在情况变化时修改决定。
指定负责人员、审批人，以及审批人不在时代为处理的替代负责人
与日常审批相比，事件应对中的审批涉及更多角色：拟订方案的部门、负责技术性事实调查的人员、进行法律评估的人员、有权审批人，以及该审批人不在时的替代负责人。
在A公司这样部门职能分立的公司中，这些角色可以整理如下。
| 决定事项 | 拟订提案 | 技术评估 | 法律评估 | 审批人 | 替代负责人 | 事后报告对象 |
|---|---|---|---|---|---|---|
| 网络隔离 | 信息系统部门 | 信息系统部门 | — | 信息系统部门负责人（事后报告） | 科长 | CISO |
| 委托进行外部调查 | 信息系统部门 | 信息系统部门 | 法务部门 | CISO | 行政负责人 | 董事会 |
| 向交易伙伴的初次报告 | 法务部门 | 信息系统部门 | 法务部门 | 行政负责人 | 法务部门负责人 | 社长 |
| 业务的暂停与恢复 | 业务部门 | 信息系统部门 | 法务部门 | 社长 | 副社长 | 董事会 |
| 赔偿和支出 | 法务部门及会计部门 | — | 法务部门 | 社长 | — | 董事会 |
注：以上是虚构情景下的示例。权限、职责和时间仅针对本情景，并非法律法规的要求。对于员工身兼多职的公司，一种做法是将其归并为“经营决策”“技术应对”“沟通与记录”三个角色。
指定替代负责人时，应预先设定联系不上某人时的最长等待时间及替代的优先顺序。如果只设定了优先顺序，而对“是否继续等待回复”仍不确定，那么设置替代负责人就失去了意义。
此外，应将向董事会、监事等（包括监查等委员会和内部审计部门）的报告，设计为独立于审批的渠道。是否已获得审批，与报告是否已送达应接收报告的机构，是两个不同的问题。在设有董事会的公司，确保业务适当开展的体制建设属于董事会决定的事项（《公司法》第362条第4款第6项；在设有董事会的大公司，根据同条第5款，必须作出该决定）。事件应对的权限和报告安排，被视为该体制的一部分。
记录决定理由和重新评估条件，作为咨询的基础
提到“事件应对记录”，人们往往会想到记录何时发生了什么的事实记录。然而，事后常常需要的，是关于为何作出某项决定的记录。
以下是需要记录的项目。
- 决定事项
- 作出决定时已知的事实（以及当时尚不知道的事实）
- 曾考虑的替代方案
- 选择该方案的理由
- 提案人和批准人
- 重新评估的条件和时间
此外，作出决定或事件发生的日期时间，应与记录制作的日期时间分开记录。事后进行补充或更正时，应保留原始记录，并记录变更的日期时间、变更人及变更理由。即使记录整理得很好，如果未能显示当时已知的情况，也无法用来说明事情的经过。不要将后来调查中发现的事实混入当时制作的记录中。
这些记录日后可能会被参考，例如在公司管理人员是否履行了善良管理人注意义务受到质疑时，或在研究公司与供应商之间的责任分担时。保险理赔审核时要求提供的资料，因适用的保险条款和特约条款而异。
然而，保存记录本身并不意味着可以免除责任。这是因为记录是审查决定是否适当的材料，并不能证明决定内容本身的正当性。
遇到以下情况时，建议结合对法律问题的分析一并进行研究。
- 需要决定由谁审批内部权限规定未涵盖的事项时
- 技术评估与法律评估不一致、各部门得出不同结论时
- 在规划应作为管理决策记录的内容时
在需要结合负责技术应对的服务商和事件应对支援服务商的评估，明确公司内部由谁决定什么时，律师可以在某些方面提供协助。
Contact
提出咨询
请在可能的范围内告知以下事项：需要决定的事项及其期限；目前的职责分工和审批体制；以及关于审批或替代负责人安排，您希望明确的要点。
联系表单在首次联系时，请告知贵公司名称、相关当事人的名称及事项概要。我们将在核查利益冲突等事项后，告知能否提供咨询。本表单并非紧急联络窗口，信息发送后，我们可能无法立即查看或回复。
我们可以通过中文电子邮件与您沟通。由于能够使用中文进行面谈的人员有限，安排面谈日程可能需要较长时间。
本文仅提供一般性信息，不构成针对任何具体事项的法律意见。有关您的具体情况，请与我们咨询。内容依据最后更新日期时有效的法律法规编写。