Crisis Management
网络事件后的客户补偿与恢复费用：责任分担及追偿所需的记录
网络事件会在短时间内产生范围广泛的支出，包括调查费用、恢复费用、对交易伙伴的补偿以及处理询问的人工成本。公司日后向供应商请求这些金额或通过保险获得补偿时，争点在于“支出是否必要”“是否与事件存在因果关系”以及“金额是否合理”。本文讨论在决定支出时应确认的事项，以及各费用类别应保存的记录。判断是否产生责任的框架，在另一篇文章中讨论。
审核：吉川景司律师、专利代理师（第一东京律师会）
目录
以下是一个虚构的场景。A公司（一家拥有300名员工、正在准备股票上市的制造商）的订单及库存系统遭到未经授权的访问，导致出货停止。A公司已委托调查服务商D公司进行紧急调查，并安排了替代运营环境。企业客户C公司正就交货延误要求补偿。受托运营和维护的供应商B公司的环境也可能与此有关。
本文中的A公司、B公司及场景中的其他要素均为虚构，仅用于说明目的，并非描述本所处理的实际案件。
需要就补偿和恢复费用作出支出决定的情形
事件应对涉及一系列支出决策：委托紧急调查、决定是否进一步开展详细调查、安排替代系统、外包询问处理，以及考虑对交易伙伴的补偿。所有这些决策都必须在短时间内作出。
在这种情况下，由于恢复工作紧迫，证明资料的准备往往被推迟。支出本身虽有记录，但日后很难还原“为何需要该支出”以及“为何选择该金额”。
确认费用类别、原因、合同及保险条款
按类别梳理费用
首先，支出按其性质分类。
- 调查费用
- 遏制及恢复费用
- 替代运营费用
- 通知及询问处理费用
- 对交易伙伴的补偿
- 律师费
- 防止再次发生措施的投资
对于每个费用类别，应确认请求对象及请求依据、与事件的因果关系以及合同上的限制。为应对事件而必需的支出，与借此机会进行的改进投资性质不同。保险的承保范围，应根据适用的保险条款及特约条款另行确认。
确认合同上的责任限制
外包合同可能包含设定责任上限、规定免责事由或限制损失范围的条款。在考虑请求之前，首先确认本公司合同的规定。
确认保险条款
如果公司投保了网络保险，需要确认以下四点。
- 通知保险人事件的期限和方法
- 承保费用的范围（费用补偿与利润补偿的区别、人工成本的定义，以及是否排除通常发生的费用）
- 下订单或达成和解是否需要事先批准
- 保险人代位（《保险法》第25条；指已支付保险金的保险人取得被保险人对第三方所享有的债权的机制）
以上均为需根据适用于本公司的保险条款及特约条款确认的事项。条件因保险产品而异，因此请勿将一般性说明误认为本公司的合同条款。获得保险人的批准，并不等于这些费用会获得全额赔付。
区分损害赔偿与自愿补偿，以及恢复原状与功能增强
区分法律上的损害赔偿义务与为维持业务关系而进行的自愿支出
向交易伙伴的付款，既包括基于法律上损害赔偿义务的付款，也包括为维持业务关系而进行的自愿支出。
能否就已支付的自愿补偿向供应商请求，需结合供应商的责任、与事件的关联、支出的必要性和金额的合理性以及合同上的限制等因素进行审查。在支出时，应保存与该判断相关的资料。为何选择该金额、是否考虑过其他方案，以及交易相对方提出了什么要求，是日后审查的出发点。
区分恢复至事件前状态与功能的追加和增强
恢复工作往往将使系统恢复至事件前状态的工作，与借此机会追加功能或提升性能的工作混合在一起。请将这两部分分开管理。
有一项法院判决曾就这一区分发生争议，涉及前桥市教育信息网络遭到未经授权访问的事件。
前桥地方法院2023年2月17日判决（2020年〔Wa〕第145号）作出后，该案于2023年3月2日被提起上诉，并于2023年9月8日被提起附带上诉。其后，东京高等法院于2025年5月9日提出和解方案，前桥市议会于2025年6月19日通过了和解议案。本文将其作为该特定案件中第一审法院的判断加以介绍。
仅凭“系统恢复一揽子”这样的描述无法显示明细，因此应利用报价单、作业报告等文件，区分恢复至事件前状态的部分与追加和增强的部分。
利润损失及销售减少的处理
因业务中断导致的销售减少，是一种难以证明的损失类别。
东京地方法院2014年1月23日判决（2011年〔Wa〕第32060号；《判例时报》第2221号第71页）涉及信用卡信息泄露，认定向客户致歉的相关费用、咨询应对费用及调查费用均属于损失。对于销售损失，法院则适用《民事诉讼法》第248条，在请求的约6,000万日元中，仅认定400万日元与事件具有相当因果关系。该案还考虑委托方的过失，将法院认定的损失金额减额30%。
注：上述分类以过失相抵减额30%之前所认定的损失金额为基础。详细金额请查阅判例集。
应从事件发生后立即着手，确保计算所依据的资料，例如事件前后的订单及出货记录以及交易伙伴的来函。如果日后才去收集，可能无法全部取得。
分配确认及批准支出和补偿条件的职责
支出由预算的授权审批人批准，而与客户的补偿协议则由该协议的授权审批人批准。支出的批准与能否向交易相对方提出请求，应分开考虑。
向保险人通知以及确认需要事先批准的事项，应与支出决策同时进行。在达成和解之前，请确认保险条款。
如事后才取得紧急支出的批准，应记录相关程序以及无法事先取得批准的理由。
按费用类别证明必要性、因果关系和金额
针对每个费用类别记录以下事项。
- 支出用途
- 与事件的关联
- 曾考虑的替代方案
- 选择该方案的理由
- 报价及作业明细
- 付款记录
- 审批人
- 潜在的请求对象
支出决定的日期和时间与记录创建的日期和时间应分别记录。日后进行补充或更正时，应保留原始记录，并记录变更的日期和时间、变更人及变更理由。
以上要点整理如下。
| 费用类别 | 支出用途 | 替代方案 | 批准 | 证明文件 | 潜在的求偿来源 |
|---|---|---|---|---|---|
| 紧急调查 | 确定影响范围 | 由本公司自行调查 | CISO | 订购单；报告；作业明细 | 供应商／保险 |
| 追加详细调查 | 关于责任及报告的判断 | 不进行 | 经营管理层 | 追加订购的理由说明 | 供应商／保险 |
| 替代系统 | 业务连续性 | 暂停业务运营 | 经营管理层 | 合同；运行记录 | 供应商 |
| 恢复工作 | 恢复至事件前状态 | — | 信息系统负责人 | 作业明细（分别列明恢复至事件前状态的部分与功能增强的部分） | 供应商 |
| 询问处理 | 对交易伙伴的应对 | 由本公司自行处理 | 行政负责人 | 外包合同；询问处理件数记录 | 保险 |
| 对交易伙伴的补偿 | 维持商业关系 | 继续谈判 | 经营管理层 | 书面协议；计算依据 | 供应商（追偿） |
注：以上为虚构场景的示例内容。权限、职责和时间安排为该场景特有，并非法律法规的要求。能否提出请求和获得保险金赔付及其各自范围，需个别审查。追加的人工成本应记入相关行的明细中，并避免重复计算同一支出。
内部人工成本分为性质不同的三类进行记录。
因事件应对而实际增加的加班费、临时人员费用及类似费用，应与正常工资分开，并记录支出理由、金额及所完成的工作。在正常工作时间内投入的员工时间，作为内部管理资料加以记录，用于评估成本和作出经营决策等目的。如果正常业务被推迟或取消，还应分别整理：人员是专门负责事件应对还是与日常职责兼任、计划与实际结果、所涉期间与人员，以及具体影响和证明文件。按时间比例分摊计算的工资金额，并不当然可以作为损害赔偿获得。能否请求损害赔偿及其范围，以及是否适用保险，需另行审查。
在记录对正常业务的影响时，无论人员是专门负责事件应对还是与日常职责兼任，都应按每项任务保存将以下事项相关联的记录。
- 原定工作、负责人员及预定期限，以及转用于事件应对的期间和工时
- 实际的延迟或取消、采取的替代措施及完成日期
- 交货日期变更或订单流失等结果，以及工作计划表、订单记录、与客户的往来记录等证明文件
在能够区分的范围内，将系统停止本身的影响与人员调配的影响区分开来。这些资料用于审查具体的不利影响，并非以能够获得相当于工资的金额为前提的记录。
对此发生争议的一个例子是福冈高等法院2023年12月21日判决（2022年〔Ne〕第663号）。该案虽非网络事件案件，但涉及停水造成的营业损失。法院虽认定原告员工参与了事件应对，但以没有足够证据证明为应对而产生了超出原定计划的追加人工成本为由，未认定相当于人工成本的损失。尽管这只是该特定案件中的认定，但它表明仅记录员工投入的时间是不够的。
已支付的费用不一定能够全额向供应商索赔。索赔的范围取决于合同中的责任限制、过失的分配，以及对费用必要性和合理性的评估。
考虑就费用分担、损害赔偿请求及追偿进行谈判时
遇到以下情况时，建议结合对法律问题的分析一并进行研究。
- 考虑向供应商或其分包商提出索赔时
- 已收到保险金后，需要研究保险人代位求偿的影响时
- 在多方之间分摊费用时
- 无法根据资料区分恢复原状与功能提升各自的费用、赔偿金额的计算依据不足，或者费用的必要性或金额存在争议时
如果书面协议中含有旨在将此前的约定整合到该文件中的条款，公司应确认哪些此前的承诺仍应作为协议的一部分。需保留的承诺应写入协议正文或明确纳入协议的附件。此前的往来沟通是否构成协议的一部分，应与其作为证明事实或协议解释的资料所具有的意义分开审查。关于放弃请求或清算权利义务的范围，也应一并确认对此作出规定的条款。
在将调查服务商和恢复服务商的工作明细及会计记录，与为评估索赔而按费用类别整理的资料进行核对的阶段，律师可以在某些方面提供协助。
→ 追回被骗汇出的资金及应对再次提出的付款要求（事件涉及资金汇款损失时）
Contact
提出咨询
请在可能的范围内告知以下事项：已发生或计划发生的费用及赔偿的概况；与交易相对方就费用分担进行的沟通；以及与保险公司联系和确认的情况。
联系表单在首次联系时，请告知贵公司名称、相关当事人的名称及事项概要。我们将在核查利益冲突等事项后，告知能否提供咨询。本表单并非紧急联络窗口，信息发送后，我们可能无法立即查看或回复。
我们可以通过中文电子邮件与您沟通。由于能够使用中文进行面谈的人员有限，安排面谈日程可能需要较长时间。
本文仅提供一般性信息，不构成针对任何具体事项的法律意见。有关您的具体情况，请与我们咨询。内容依据最后更新日期时有效的法律法规编写。