技術流出対策ガイダンス第2版を読む（後編）共同研究、すり合わせ、手順書

こんにちは、株式会社TIMEWELLの濱本です。経済産業省「技術流出対策ガイダンス 第2版」を原文に沿って解説する、後編です。

後編で扱うのは、第4章の共同研究、第5章のすり合わせ、参考資料の研究セキュリティの手順書との対応です。そのあとに、原文に基づいて、小さな会社が最初に取り組む順番を筆者の整理として示します。第0章から第3章（目的、共通対策、海外進出、人を通じた流出）は、前編に書きました。共同研究とすり合わせの章でも人の対策が前提になるので、前編の第3章を先に読んでおくと、つながりが分かりやすくなります。

本文の事実は、章と節とページを脚注で示します。ページ番号は、PDFのページ位置と、スライドの右下に印刷された番号が一致しています。

第4章 共同研究に伴う技術流出

第4章は、他の企業や大学と共同研究をするとき、研究の相手や参加者を通じて自社の技術が出ていくのを防ぐ章です。原文は、イノベーションには外部の知識を取り込むことが重要で、経済安全保障の面でも国際的な共同研究の強化が必要だと前置きします。そのうえで、共同研究は他の組織や他国と技術を共有する前提のため技術流出のリスクが高く、テーマや内容、パートナーに応じた適切なマネジメントが重要だと述べます¹。

パートナーの性質はさまざまです。大企業と中小企業では組織の規模と体制が違い、企業と大学や国立研究機関ではガバナンスや研究の目的、従事者の特性が違い、外国の企業や大学では守る法令や慣習が違います。協力会社（装置や資材のメーカー）や試験機関まで考える場合もあります¹。

共同研究のどこに、どんなリスクがあるか

原文は、共同研究の段階ごとに起きうる流出を一覧にしています。準備の段階では、機微なテーマを選ぶこと、信頼性の低い相手を選ぶこと、事前の協議や交渉での不用意なやり取りが挙がります。実施の段階では、相手の内部関係者による不正な持ち出し、相手による目的外の利用、第三者が相手の情報を盗むこと、相手の資本構成の変更や業績悪化、知的財産の扱いが不明確なことによる意図しない利用が挙がります。実施後の段階では、セキュリティの不備、相手の委託先からの二次漏えい、成果の独占や不正利用、予期しない成果の公開、相手の情報処分の不備です¹。

悪意がなくても起きる点が重要です。「相手の不注意による流出」や「当方または相手方の偶発や過失による流出」も別枠で挙がっており、共同研究の対策は、相手を疑うためではなく、善意の相手でも漏れうる前提で設計するものだと読めます。

原文の事例から

事例は四つです。企業名や国名は伏せ、原文に書かれた事実の範囲で要約します²。

一つ目は、事前協議の場面です。秘密保持契約を結んだうえで事前協議を行い、試作品を見せたところ、相手の技術責任者が無断で試作品の写真を撮影しました。協議が打ち切られた数か月後、相手はその写真から得た情報を使って特許を出願し、複数の特許を取得しました。見せた側は、特許権の移転と、秘密保持義務違反に基づく損害賠償を求めて訴訟を起こしています。

二つ目は、大学に委託した共同研究です。輸出管理の対象になりうる技術のデータを、複数の学生が自由に閲覧できる状態になっており、実際に閲覧もしていました。教授自身もデータを持って海外に渡航し、提供していました。大学職員の通報で発覚し、教授は帰国時にPCを押収され、輸出管理法令の違反等で有罪判決を受けています。原文はこの事例に関連して、共同研究に従事する人の決め方、パートナーのDD、参加メンバーと情報の取扱方法の明確化、モニタリング条項などを参照先として挙げています。

三つ目は、国内の工場での包括的な共同開発です。連携先の日本法人に勤めていた技術者が研究データを無断でコピーし、その後、第三国の競合に転職してデータを流用しました。競合の開発が急に進んだことを不審に思って調べ、判明しています。

四つ目は、共同研究の終了時です。食品メーカーが大学の研究者に特殊な効果を持つ細胞を含む試料を提供し、契約終了後の返還と廃棄を定めた秘密保持契約を結んでいました。撤退後に廃棄にも応じてもらいましたが、数年後に大学が同様の効果を持つ菌を特許出願し、関連商品を複数開発しました。メーカーは外部に解析を依頼して同一と判断し、研究者が情報を保有し続けて不正に利用した疑いがあるとして、大学を提訴しています。

四つの事例は、いずれも契約があっても防げなかった場面です。事前の協議、委託先の学生の扱い、事業所内の同居、終了後の廃棄という、契約の外側の運用が分かれ目になっています。

計画の段階

計画の段階の事項は、研究体制の確認、テーマの選定、パートナーの選定に分かれます。

まず、リスクマネジメントのプロセスを社内の業務フローに組み込みます。原文は、実施国、実施相手、関与する個人の三つの観点からDDを行い、リスクを評価し、流出の可能性を減らす措置を講じ、運用をフォローアップして社内の検討に反映させる、という一連の流れをルールにするよう求めます。研究を実施する部門とは別の部署がDDに関与する形も、チェックアンドバランスの観点で例示されています³。

自社の研究体制では、共同研究に従事する人を決める段階で、必要に応じて適性を確認します。確認の項目の例は、社内での情報管理の状況、居住者や特定類型への該当、外国政府等との契約や外国法令による情報収集への協力義務の有無、非違歴や前科の有無などです。どの項目も、前編の第3章で扱った適性の確認の条件が前提になります³。

テーマの選定では、前編の第1章で出てきた四つの領域（コア技術、安全保障上の重要技術、経済安全保障上の重要技術、自社で獲得したい技術）でテーマの機微性を評価し、流出したときの損失と共同研究で得られる価値を比べて、実施の可否とテーマの見直し、リスクの軽減措置を決めます。初めて組む相手とは周辺の無難なテーマから始め、信頼が育つにつれて重要度の高い技術へ移ることもできます。原文はここで「過度に萎縮しない」とも明記しており、経済安全保障に関わる領域でも、自社が持たない技術を持つ企業との共同研究では流出リスクが限定的な場合があり、DDとリスク軽減措置をしたうえでイノベーションを目指すよう求めています⁴。

パートナーのDDは、三つの観点です。

国の観点では、相手国の法制度と慣習を見ます。共同研究の成果を日本や第三国に移すことに相手国の輸出管理法令が適用されるか、第一国出願義務などの制限があるか、外国政府等による情報収集への協力義務を課す法令があるか、政府が民間の保有情報に強制的にアクセスできる国か、といった点です。国連安保理や米国の制裁の対象国との共同研究は、法令遵守の面で事前確認が必要とされます。研究の進捗確認で役職員が現地へ出張する場合は、治安情勢のほか、運用が不透明なスパイ行為の規制法の有無や、他社で出張者の端末から漏えいが起きていないかも確認します⁵。

組織の観点では、制裁リストへの掲載、過去の法令違反や情報インシデント、情報管理の規程と教育計画、外国政府等から情報収集への協力義務を負うものとの関係などを確認します。企業が相手の場合は、株主構成（潜在株式を含む）、役員構成、設立時期と事業実績と財務状況、知的財産の取得状況、過去の情報インシデントという順で項目が挙がります。株主や役員の確認では、議決権の50パーセント以上を占めるか、役員の3分の1以上を占めるか、拒否権付き株式を持つかといった、関係の強さを測る基準が示されています。確認の目的はM&AのDDと違い、あくまで自社の技術情報の流出防止なので、提供する技術の機微性と相手の特性（上場か非上場か、国内か海外かなど）に応じて項目を調整します。また、漏えい事案の有無だけで評価するのは妥当ではなく、毅然とした対応や再発防止策を取っているかが重要だとされています⁶。

大学が相手の場合は、組織としてのガバナンスが働いているかを確認します。原文は、大学の学部や研究室は企業の部署より独立性が高いことが多く、「大学」だけを調査の対象にすると、見落としや過度なリスク評価につながるおそれがあると注意しています。大学全体、学部、研究室を必要に応じて組み合わせて、調査の対象を設定します。経済産業省の「大学における秘密情報の保護ハンドブック」や、産学官連携のガイドラインも参考に挙がっています⁶。大学や研究機関側の制度は、研究インテグリティとセキュリティを整理した記事にまとめています。

個人の観点では、組織としてはリスクが高くないと評価されても、情報を実際に扱うのは参加する研究者なので、必要に応じて共同研究先の協力を得て個人のDDも行います。外国政府等から協力義務を負っていないかなど、研究先の人から直接証拠を得られない項目は、契約で共同研究先に確認と表明保証を求める方法が挙がっています。前科は個人情報保護法上の要配慮個人情報に当たり、取得には本人の同意が要る点も注記されています⁷。留学生の受け入れ側から見た同様の論点は、留学生の受け入れと研究セキュリティの記事が詳しいです。

契約の段階

契約の段階の事項は、11あります。原文でも最も分量が多い部分です。

最初は、秘密保持契約を早く結び、情報を段階的に出すことです。自社から情報を出す前に、目的外利用、第三者への開示、再委託、複製の禁止、提供資料と試料の扱い、返却と破棄の条項を入れた契約を結びます。契約が終わっても、情報が古くなるまでは秘密保持を続けるよう存続させます。営業秘密として守られるための条件は、不正競争防止法と営業秘密の保護を整理した記事で確かめられます。契約を結ぶ前は、機微な情報を出さず、公開情報にとどめます。必要なら、先に自社の技術を特許出願します。相手のDDが済む前には機微な情報を開示せず、済んだあとも最初から全部は出さずに段階的に出します。デジタル権利管理のツールを使って、あとから相手側で閲覧できないようにする方法も挙がっています⁸。

二つ目は、自社の契約書の雛形を使うことです。相手が出してきた案でそのまま契約すると、相手に有利になりやすいので、自社の雛形を用意し、譲歩してはいけない範囲を先に決めておきます。相手のリスクに応じて、表明保証や人材の引き抜き禁止などの条項を足します⁸。

三つ目から五つ目は、研究の目的とテーマの範囲、参加メンバーと取扱方法、提供する技術情報の範囲と知的財産の帰属です。目的やテーマは具体的に書きつつ、狭くしすぎると秘密保持や競業避止の義務が及ばなくなるため、ある程度の幅を持たせ、関係部署と外部の専門家が連携して決めます。参加メンバーは、契約や研究計画書で氏名を特定し、書かれていない人には情報を扱わせないと定めます。大学との共同研究では、学生は通常、大学に雇用されておらず就業規則が及ばないので、秘密保持や損害賠償や成果の帰属を定めた誓約書を求めるか、提出しない学生は関与させないか、大学がリサーチアシスタントとして雇用して雇用契約を結ぶ方法が挙がっています。研究室内の非参加メンバーにも誓約書を求める場合があります。知的財産では、契約前から持っている技術（バックグラウンドIP）と、共同研究で生まれる技術（フォアグラウンドIP）を区別して、混ざらないようにし、成果の帰属と利用権を明記します。相手が単独で特許化したり、無断で第三者と共有したりするのを防ぐには、自社の単独帰属か共有が望ましいとされています⁹。

六つ目は、秘密保持義務と競業避止義務です。共同研究の契約でも、NDAと同様の条項に加えて、終了後も一定期間続く秘密保持を入れます。競業避止は、特定した参加メンバーに、研究終了後の合理的な期間、競合企業との研究開発への従事を禁止する、といった形が挙がっています。ここで原文は、公正取引委員会の共同研究開発ガイドラインに留意するよう、繰り返し注意しています。提供した技術の流用を防ぐための制限は原則問題になりにくい一方、必要な範囲を超えて研究開発を広く制限すると不公正な取引方法に当たるおそれがあるからです。経済安全保障のための自社の行為と独占禁止法の関係が不明なら、公正取引委員会への相談も検討するとあります¹⁰。

七つ目から九つ目は、モニタリング、解除事由、成果の公表です。監査とモニタリングの条項を契約に入れ、対面で確かめることが望ましい事項（情報の保管場所、貸与物やサンプルの状況）と、書面で確かめる事項（アクセス権限とログ、参加メンバーの変更、第三者への共有の有無、成果の公表予定）を分けます。是正に応じない場合は契約を解除できるようにします。相手の合併や事業譲渡、経営権の変動、業績の悪化、外国での多額の研究費の申請、制裁リストへの追加などを、事前承諾や通知の事項、解除事由に定めます。大学との共同研究では、論文や学会での成果の公表が、意図しない技術の公開につながりうるため、提供した情報を特許の公開書類に書かない旨、非公開の期間、公表前の事前の書面承諾とその期間を契約で決めます。研究の終了前に成果確認会を設け、廃棄証明書、アクセス権限の削除ログ、第三者共有記録などの書類を整理しておくことも勧められています¹¹。

十と十一は、終了後の返却と、紛争に備えることです。返却が原則で、難しい場合は削除と廃棄の義務、証明書の提出を求めます。貸与した機材とサンプルにはシリアル番号をつけて管理します。違反があったときの損害賠償や、流出のおそれがあるときの差止請求ができる旨も契約に書きます。準拠法は日本法か中立的な国際ルールとし、裁判では技術情報が訴訟記録として公開されるおそれがあるため、非公開の仲裁条項も有用です。仲裁機関は日本の機関か、外国なら中立的な第三国の機関が望ましいとされます。契約条項の検討では、弁護士など専門家のレビューも勧められています¹²。契約を誰が決め、誰が見張るかという社内の体制は、技術流出対策の組織体制を扱った記事で整理しています。

実施の段階

契約だけでは足りない、という認識が実施段階の出発点です。原文は、契約上の措置のみでは、相手による試料の持ち出しや情報の不適切な利用による流出リスクを減らすのは難しいと書いています¹³。

七つの事項を順に見ます。一つ目は、研究計画書や実験規約を作り、データを扱うシステムや試料を扱う設備の管理と利用の方針、取扱手順を明文化して、研究に参加する各研究者に署名してもらうことです。試料や専用装置に持ち出しの検知タグやGPSトラッカーを付ける例、自社のデバイスの貸与や自社クラウドの利用を求め、電子透かしやアクセス履歴が残るソフトを使う例が挙がっています。

二つ目は、相手に情報管理体制の強化を求め、モニタリングすることです。相手の研究メンバーへの研修や簡易テストを用意し、体制が不十分なら共同研究を止めることもあり、流出したら損害賠償を請求する場合があることを説明します。現地確認が難しければ、書面の報告で確認します。

三つ目は、アクセスの制限と物理的な安全です。相手のサーバーや参加者のデバイスに保存されると自社の管理が及ばないため、自社が管理権限を持つプラットフォームで情報を共有し、権限を絞り、閲覧、編集、ダウンロードの権限を細かく設定し、特に機微なデータは専用の閲覧端末で見せ、アクセスログを常時監視して異常があれば遮断します。試料や専用装置を使う研究は、相手に専用の施設での区分管理や入退室ログの管理を求めるか、可能なら自社の厳重な環境で行います。

四つ目は、委託先とクラウドです。共同研究の相手が第三者に業務を委託する場合は、原則禁止か事前の書面承諾を義務づけ、承認する場合は委託先のDDも行います。委託先にも、相手と同等の義務を課し、報告と監査を求め、契約終了時には委託先も含めて資料とデータの返却と消去を確認します。

五つ目は、堅牢なセキュリティ対策と、外部ツールの利用制限です。重要技術の研究データを扱うPCやネットワークには、堅牢な対策を検討し、特に機密性の高いデータは暗号化して、外部から入れない閉域網やオフラインで管理します。必要に応じて、共同研究者にも多要素認証を求めます。外部の事業者が提供するツールは安全性を評価し、リスクが高い場合は機密性の高い研究では使わず、使うなら契約でデータの利用を制限し、懸念のあるツールのネガティブリストを作ります。

六つ目は、セキュリティ担当者の配置とサイバー防御です。特に重要な技術情報を扱う共同研究では、プロジェクトごとにセキュリティ担当者を置くことが有効とされます。共有リンクに有効期限とパスワードを付ける、定期的に脆弱性診断とバックアップを行う、フィッシング対策訓練を行う、といった例が挙がっています。

七つ目は、流出が起きたときの計画です。アクセスログと送受信ログを管理者が確認して不審なダウンロードや大量送信を見張り、漏えいが疑われたときの報告先と初動を決めたインシデント対応計画を、相手と双方で用意します。

実施段階を人の側から支える仕組みは、前編の第3章（研修、アクセス権限、デバイス、行為の検知）と重なります。人を通じた流出の全体像は、人を通じた流出の記事でも整理しています。

終了の段階

研究が終わった後にも、成果の独占や不正な利用、知的財産の紛争のリスクが残ります。原文は二つの取り組みを示します¹⁴。

一つ目は、終了後のモニタリングと文書の管理です。成果報告会などで定期的に連絡を続け、相手の特許出願、論文発表、プレスリリースを定期的に確認して、不正な利用がないかを見ます。成果の帰属が明確でないものが出たときは、速やかに協議して合意を作ります。訴訟に備えて、実験ノートや実験データなどの記録も、平時から管理します。

二つ目は、技術情報とサンプルの返還と廃棄です。契約で返却と廃棄を義務づけたうえで、終了時に実際に求めます。廃棄を頼むなら廃棄証明書の提出を求め、情報共有プラットフォームは閉鎖するか、相手に付与したアクセス権を解除します。サンプルは期限を決めて返してもらい、リバースエンジニアリングがされていないか確認するために返却時の状態を確認して記録します。

第4章を読んだあとに、自社で確かめる点です。

1. 共同研究に入る前に、テーマの機微性評価と相手のDDを、研究部門とは別の部署が見る流れがあるか
2. 相手が大学の場合、大学全体だけでなく、学部や研究室、参加する学生まで契約と誓約書で押さえているか
3. 終了時に、廃棄証明書やアクセス権限の削除ログ、サンプルの返却記録を集める手順があるか

第5章 すり合わせに伴う技術流出

第5章は、仕様や工程を取引先と調整するとき、つまり日常の取引の中で技術が出ていくのを防ぐ章です。範囲は、サプライチェーンの中（仕入先や顧客）と、外（製造装置メーカーやシステム会社）の二つです¹⁵。

原文は、すり合わせを日本の製造業の「お家芸」と位置づけます。個々の部品の調達に関わる組織が相互に調整して、製品の性能と品質を最大化することです。そのうえで、すり合わせの相手が長年の付き合いのある企業に限られず、世界に広がっていること、国によっては市場へのアクセスを条件に現地調達の比率を高めるよう求める動きがあり、日本企業が現地企業を相手に加えざるをえない場合もあることを指摘します。パートナーの多様化が避けられない一方、すり合わせでは営業秘密を含むさまざまな技術情報を共有するため、リスクが高いという整理です。すり合わせで共有された技術情報を使って、相手が自社の技術力を高めたり、製造する部品の幅を広げたりする行為が懸念として挙がっています¹⁵。

原文の事例から

事例は三つです。匿名のまま、事実の範囲で要約します¹⁶。

一つ目は、原料メーカー（仕入先）の例です。国内で唯一の原料の供給元に、発注の際、自社の新製品の開発の方針を必要以上に伝えてしまいました。仕入先はその情報から新製品の性能や製法を推測し、原料を販売するときに自社の複数の競合にもその情報を示して販路を広げました。気づいたときには競合が同様の新製品を投入しており、情報漏えいを立証する確かな証拠がなく、法的な責任を追及できませんでした。

二つ目は、顧客へのサンプル提供の例です。ライセンス提供も視野に入れて秘密保持契約を結んだうえでサンプルを送りましたが、返却期日をはるかに過ぎて、破損や欠損のある状態で戻ってきました。リバースエンジニアリングを目的に意図的に壊されたと判断し、政府機関との連携を強め、情報セキュリティの体制と知財戦略を見直しています。

三つ目は、製造装置メーカーの例です。電池メーカーが、秘密保持契約を結んだうえで製造プロセスの核心的なデータとノウハウを装置メーカーに共有して装置のカスタマイズを依頼しました。装置メーカーは納入後、そのデータとノウハウを目的外に使って独自に特許を出願し、競合にも販売しました。特許の公開でノウハウによる優位性を失い、競合の参入障壁が大幅に下がっています。

三つとも、日常の発注や仕様調整の中で、悪意がなくても、情報を出しすぎる場面から始まっています。二つ目と三つ目は、契約があっても、返却と目的外使用の管理が追いつかなかった例です。

取引を始める前

取引の開始前は二つの事項です。

取引先のリスク評価では、通常の信用調査に加え、技術流出の観点で評価します。新規の取引先は、事業内容、経営状況、役員構成のほか、可能であればトップの人柄や業界内の評判、他社との取引実績、技術の取扱いをめぐる訴訟の状況を確認します。原文は確認の観点を五つ挙げます。事業内容（類似の事業があり自社が優位なら技術を獲得される可能性）、経営状況（競合に買収される可能性や短期の利益のために不正に取得される可能性）、トップの人柄や意識、役員構成（外国政府等による情報活動への協力義務を負う役員がいる場合）、評判や訴訟の状況です。リスクが高ければ取引を回避するか内容を見直します。ただし、M&AのDDとは違い、流出の防止が目的なので、技術の重要性と相手の特性に応じて項目を調整します。サプライチェーンの戦略を立てるときにも、生産のリードタイムやコストに加え、技術提供の有無や重要性を考慮することが勧められています¹⁷。

取引開始前の情報提供の範囲は、限定します。商談や設備の導入検討の段階でも、うっかり重要な技術情報を口頭で説明したり開示してしまったりすることが少なくないと、原文は書いています。秘密保持契約を結んでから出し、提供してよい範囲を社内で明確にして、商談に出る担当者にも伝えます。固有名詞のコードネーム化や、不要な部分のブラックボックス化も検討します。信頼関係の構築を見ながら、段階的に開示します¹⁷。

契約を結ぶとき

契約の事項は二つです¹⁸。

一つ目は、秘密保持義務と情報の取扱方法の規定です。すり合わせはその都度契約されることが少なく、売買基本契約や加工委託基本契約など、取引基本契約で規律されることが多くなります。原文は、契約の名称にとらわれず、相互の調整のために技術情報をやり取りする可能性があるなら、基本契約に秘密保持義務を入れるよう求めます。目的外利用の禁止、第三者への提供の禁止、複製の禁止、情報の返却と破棄などです。重要な情報を出すときは個別にも秘密保持契約を結び、特に営業秘密として管理している情報を共有する場合は、営業秘密を特定した契約にして、自社の秘密管理の意思を明確にします。秘密管理性は、法人ごと（管理の単位ごと）に判断されることが背景です。取引先が業務を委託するケースに備えて、委託先を把握する条項（事前承認や事前通知）も入れます。

二つ目は、資本の変動などに備えた解除事由です。取引先の業績の悪化、破綻、資本構成の変化によって流出のリスクが高まるため、合併や事業譲渡、経営権の変動を伴う株式の移転を事前承諾か事前通知の事項にし、懸念のある主体が新たな株主になって技術情報に触れる可能性が生じたときは、契約を解除できるようにします。契約を解除しただけではリスクは減らないので、データやサンプルの返却と破棄を定め、実行します。

契約書の確認は、法務だけに任せないほうがよい部分です。技術の意味を分かっている現場の担当者が、どの情報がどの条項で守られるかを読み合わせると、抜けが見つかります。

サプライチェーンの中と外

サプライチェーンの中では、上流（仕入先）にも下流（顧客）にも、提供する情報を絞ります¹⁹。

仕入先には、原料や素材を調達するやり取りから、自社の製品開発の方針や技術情報が推測されるおそれがあります。提供する情報は必要最小限にし、調達する原料の具体的な使途は言わないようにします。相手の他の取引先（他国の競合の有無）や事業規模を踏まえてリスクに応じて範囲を決めます。受け取る仕入先の側も、必要以上の情報を持つと漏えいのリスクと管理のコストが生じるため、この対応は双方に意味があると原文は書いています。

顧客には、立場が強いことが多く、情報の開示を求められても、できる限り提供しないよう努めます。提供せざるをえないときは、情報を選び、説明や表現を工夫し、ノウハウと製造条件は隠し、固有名詞はコード化します。リバースエンジニアリングを防ぐため、コア技術を含む部分はブラックボックス化を検討します。サンプルは回収を徹底します。顧客から工程の監査を受け入れる場合は、事前に可否を検討し、内容を取り決めます。営業担当者任せにせず、提供する技術情報の内容と粒度を社内で整理します。海外の法人とのすり合わせでは、自社の現地法人の社員に対して厳格なアクセスコントロール（本社からの出向者に限るなど）を行います。

仕入先からも顧客からも、外国政府等の要請を背景に、技術やサプライチェーンに関する情報の開示を求められることがあります。原文は、要求の合理性を確認し、不当と思われる場合は安易に応じず、経済産業省への相談も検討するよう書いています。

サプライチェーンの外、つまり製造装置メーカーやシステム会社との連携でも、仕様調整や発注を通じて提供した技術情報が意図せず流出します。対策は、契約の秘密保持条項に加え、提供する情報の限定と調達先の分散です。複数の相手から部品を調達して個々の部品の用途が分からないようにする、装置の改造やカスタマイズは極力自社で行う、修理やメンテナンスに出すときは購入時の仕様に戻す、といった例が挙がっています。カスタマイズを含む製造委託では、段階的な提供、情報セキュリティ体制の構築の依頼と現地のモニタリング、装置の納品後の情報破棄の確実な実施を求めます。競争力に特に大きな影響がある重要なコア技術が装置やそのカスタマイズに宿るときは、コストも踏まえたうえで、内製を検討することも書かれています²⁰。

取引先の情報管理の状況を確認することも勧められています。情報管理者の選任、社内規程の有無、研修の実施状況、漏えいが起きたときの対応を確認して、体制づくりを依頼します。そのために、第三者認証（例として技術情報管理認証制度（TICS））を取引先に促すことも考えられるとされています。TICSについては、認証制度の中身と取得の準備を扱った記事で詳しく書きました。リサイクル事業者に技術情報の処分を委託する場合は、委託の可否を判断し、廃棄時の記録の保存や立ち会いも有用とされます。コンサルタントの活用でも、提供する情報の範囲を、必要性を吟味して絞ります²⁰。

第5章を読んだあとに、自社で確かめる点です。

1. 取引基本契約に、技術情報の目的外利用、第三者提供、複製の禁止と、返却と破棄が入っているか
2. 営業担当者が、顧客や仕入先に話してよい技術情報の範囲を、社内で整理して知っているか
3. 新規の取引先を、信用だけでなく、技術流出の観点でも見ているか
4. サンプルや試作品の返却期限と、返却時の状態の記録を取っているか

参考 研究セキュリティの手順書との対応

最後に、参考資料として、研究セキュリティの確保に関する取組のための手順書が付いています。内閣府の「研究セキュリティと研究インテグリティの確保に関する有識者会議」が2025年12月にまとめたもので、研究成果の公開を前提とする競争的研究費のうち、重要技術領域リストに該当する技術を含みうるもので、経済安全保障の面から特に流出の防止が必要として、所管する府省が資金配分機関と相談して指定する研究開発プログラム（特定研究開発プログラム）が対象です²¹。

企業が研究代表機関や共同研究機関になる場合も、特定研究開発プログラムに応募するときは、手順書が求めるリスクマネジメントが必要です。手順書は大学や研究機関を想定して作られているので、研究機関が企業の場合は、必要に応じてガイダンスの内容を参照するよう書かれています。ただし原文は、ガイダンスが海外進出なども扱い、手順書の最低限や望ましい措置を超える対応も含むため、手順書の適用を受ける企業が、ガイダンスの記載事項を全て守る必要まではないとしています²¹。

手順書が求めるリスクマネジメントは、日常の取り組み（研究者からの申告情報の収集、情報管理体制の整備、データ等の管理に関する情報の収集）、応募時の取り組み、応募の期限までに行うリスクの確認と評価、リスク軽減措置、研究開始後のフォローアップという流れです。リスクの確認と評価では、研究代表機関が、研究の責任者や参画者について、学歴、研究経歴と職歴、研究費の取得歴、論文の著者、特許の出願状況、外国の人材採用プログラムへの参加歴などの13項目を自己申告で確認し、DDを行います。共同研究機関や支援者についても、目的、実績、財務状況と資本構成、リストへの掲載の有無などを確認します。原文は、これらの項目が、ガイダンスの第1章、第3章、第4章のどこに対応するかを、右側の欄に章と節で示しています。たとえば、研究者から申告される外国の機関との連携などの情報は、企業の従業員にとっては副業や兼業に当たる場合が多いため、第3章の副業の項を参照するよう書かれています²¹。

手順書の対象になる研究に関わらない企業にとっては、この参考資料は、共同研究のDD項目を作るときの見本として読めます。企業向けのガイダンスの第4章と、大学向けの手順書が、同じ項目をどう扱っているかを突き合わせられます。

つまずきやすい点と、よくある誤解

ここまでの内容から、実務でつまずきやすい点を、原文の記述に沿って整理します。

ガイダンスを守れば法令を守ったことになる、という誤解があります。原文は、ガイダンスが外為法を守るための義務事項や、営業秘密の保護要件の解説をしないと明記しています。法令の遵守は、別に確認する必要があります。

秘密保持契約を結べば安心、という誤解もあります。原文の事例（共同研究の事前協議、装置メーカーとのすり合わせ、共同研究の終了後）は、いずれも契約があっても防げませんでした。原文自身も、前編で触れた第2章で、契約が必ずしも守られないリスクを常に意識し、契約の内容だけでなく実施にも注意するよう書いています。

相手のDDは一度やれば足りる、という誤解もあります。契約後に相手の株主や経営状況、体制が変わるため、事前承諾、通知、解除事由を決めておき、モニタリングで確かめるのが原文の考え方です。

返却や廃棄を頼めば済む、という誤解もあります。廃棄は、証明書、立ち会い、現地確認までやるのが原文の水準です。

大学や公的機関は信頼できるから調べなくてよい、という誤解もあります。大学は研究室ごとの独立性が高く、学生は雇用関係にないことが多いので、学部や研究室、学生の扱いまで見る必要があります。

そして、全部やらなければならない、という誤解です。原文は、完璧な対策は存在せず、特に中小企業は全部を講じるのは難しいので、取り組める対策から確実に実行するよう求めています。

小さな会社が最初に取り組む順番の提案

ここからは、原文を踏まえた筆者の整理です。原文は、優先順位を示す表を載せていません。冒頭で「取り組める対策から確実に実行する」と述べ、第1章で重要技術の特定を前提に置いていることから、次の順番を提案します。

第一に、守る技術を決めます。第1章に従い、自社の競争力の源泉を確かめ、コア技術がどこにどんな形で存在するかを書き出します。第二に、その技術を営業秘密として管理します。秘密情報の分類をし、アクセスできる人を絞ります。ここまでは、新しい設備を買わなくても始められ、全ての経路に効く土台になります。

第三に、人の出入りに合わせた手続を整えます。退職の申し出があったときのアクセス権限の見直しと貸与物の返却、守秘の誓約書、デバイスと生成AIのルールです。第3章に、小さな会社でも運用しやすい項目が多くあります。

第四に、外に出す情報を絞ります。取引先と共同研究の相手に、渡す情報の範囲を決め、秘密保持契約を先に結び、返却と廃棄を終了時に確かめます。第4章と第5章の共通点は、これです。

第五に、相手の調査を、リスクに応じて濃淡をつけて行います。新規の取引先と、重要な技術を出す相手に絞ります。最後に、経営層に説明し、担当窓口を決めます。小さな会社では、新しい部署を作るより、既存の役割の兼任でもよいと原文も認めています。

相談先について

原文の中にも、相談先は繰り返し出てきます。相手国の制度の確認で迷うときや、不当な情報開示を求められたときは経済産業省への相談を検討すること、中小企業は自社だけでは難しい調査に業界団体や公的機関の情報を使うこと、契約や制度の確認に弁護士などの専門家を使うこと、独占禁止法との関係が不明なら公正取引委員会へ相談することです。

補足として、公的な支援の紹介を、原文以外の情報源から添えます。情報処理推進機構（IPA）のメールマガジンによると、経済産業省は技術情報管理認証制度（TICS）の取得を目指す事業者に専門家を無償で派遣する事業を2026年5月22日から始めています。INPIT（工業所有権情報研修館）の知財戦略エキスパートは、秘密情報の管理体制の整備について無料で相談を受けています²²。受付の状況は変わるため、利用するときは各機関の最新の案内で確かめてください。

結び 原文は、完璧を求めず、続けることを求めています

182ページの原文を通して読んで、いちばん印象に残ったのは、第0章にある「完璧な技術流出対策は存在しない」という認識です。だからこそ、一度作って終わりではなく、事例を取り込んで見直し続けることを前提にしています。

私たち TRAFEED は、輸出管理の該非判定と取引先スクリーニングのための AI エージェントで、取引先や相手先を確認し、判断の根拠を記録として残すところで、本稿の第4章のDDや第5章の取引先のリスク評価と重なります。最終的な判定は、貴社の輸出管理責任者が行うもので、AI はその材料を揃える役割です。詳しくは TRAFEEDのサービスページをご覧ください。体制の相談は個別相談で承っています。

前編の第0章から第3章（目的、共通対策、海外進出、人を通じた流出）は、前編にあります。

参考文献

Footnotes

1. 経済産業省 貿易経済安全保障局 技術調査・流出対策室「技術流出対策ガイダンス 第2版」（2026年4月公表）第4章 共同研究に伴う技術流出への対策、本章で取り扱う範囲 p103、基本的認識 p104から105、リスクの全体像 p106から107。PDFの公開URLは原文に記載がないため示さない。 ↩ ↩² ↩³

2. 同、第4章 0「技術流出事例」Case1から4、p109から112。 ↩

3. 同、第4章 1「計画段階において取り組むべき事項」①リスクマネジメントプロセスの導入、p114から115。②共同研究に従事する役職員の決定、p116から117。 ↩ ↩²

4. 同、第4章 1 ③技術の重要性を踏まえたリスク評価と研究テーマ選定、p118から119。 ↩

5. 同、第4章 1 ④パートナー候補のDDの徹底（相手国の観点）、p120から121。 ↩

6. 同、第4章 1 ⑤パートナー候補のDDの徹底（組織の観点）、p122から125。 ↩ ↩²

7. 同、第4章 1 ⑥パートナー候補のDDの徹底（関与する個人の観点）、p127。 ↩

8. 同、第4章 2「契約締結時に取り組むべき事項」①事前のNDA締結と段階的な情報開示、p130。②自社の契約書ひな型の活用、p131。 ↩ ↩²

9. 同、第4章 2 ③共同研究の目的・テーマの範囲の画定 p132、④研究参加メンバーや情報の取扱方法の明確化 p133、⑤提供する技術情報の範囲と知的財産の帰属等の明確化 p134。 ↩

10. 同、第4章 2 ⑥秘密保持義務・競業避止義務の設定、p135から137。共同研究開発ガイドラインの引用部分は原文の抜粋による。 ↩

11. 同、第4章 2 ⑦モニタリング条項 p138、⑧解除事由等の設定 p139、⑨非公開範囲の設定や成果公開時の事前承諾手続等の明確化 p140。 ↩

12. 同、第4章 2 ⑩契約終了後の情報返却・削除義務の明確化と履行確認 p141、⑪国外訴訟・法制度リスクへの備え p142。 ↩

13. 同、第4章 3「共同研究の実施段階において取り組むべき事項」①から⑦、p144から150。 ↩

14. 同、第4章 4「研究終了時に取り組むべき事項」①②、p152から153。 ↩

15. 同、第5章 すり合わせに伴う技術流出への対策、本章で取り扱う範囲 p155、基本的認識 p156、リスクと対策の全体像 p157から158。 ↩ ↩²

16. 同、第5章 0「技術流出事例」Case1から3、p160から162。 ↩

17. 同、第5章 1「取引開始前に取り組むべき事項」①取引先のリスク評価を行う p164、②取引開始前の情報提供の範囲の限定 p165。 ↩ ↩²

18. 同、第5章 2「契約締結時に取り組むべき事項」①秘密保持義務・情報の取扱方法等の規定 p167、②資本変動等に備えた解除事由等の設定 p168。 ↩

19. 同、第5章 3「サプライチェーンの中との連携において取り組むべき事項」①②、p170から171。 ↩

20. 同、第5章 4「サプライチェーンの外との連携において取り組むべき事項」①製造装置メーカー等との連携時の情報提供制限 p173、②情報管理状況の確認 p174（技術情報管理認証制度の注記を含む）。 ↩ ↩²

21. 同、（参考）研究セキュリティの確保に関する取組のための手順書について、p175から182。手順書の取りまとめ時期は p175 の記載による。 ↩ ↩² ↩³

22. 独立行政法人情報処理推進機構（IPA）「営業秘密のツボ」メールマガジン、2026年6月17日号（TICSの専門家派遣、INPITの支援の紹介）。https://www.ipa.go.jp/security/economics/mailmag/tradesec_mailmag_20260617.html 原文のPDFには書かれていない補足（確認日 2026-11-06）。 ↩