CRA 対応はどの部門が主導し、どの部門が協力すべきか

結論：CRA はどの部門が担当するかを定めていません。義務を負うのは「製造業者」という法的主体です（第 13 条）。実務上、最終責任は製品の設計と上市を決める権限を持つ製品事業部門に置くべきです。製品セキュリティ部門やコンプライアンス部門は専門知識と監督を提供し（第 2 線）、内部監査は独立した保証を提供します（第 3 線）。情報システム部門が担うのは社内システムであり、製品セキュリティを当然に任せるべきではありません。

まず、法規が業務を誰に割り振っているかを見る

誰が主導すべきかを判断する四つの基準

1. 製品の設計と上市を決める権限は誰にあるか：最終責任者（A）とする。サポート期間の長さや上市延期の判断は製品の意思決定です。
2. 24 時間以内に研究開発を動員し、外部に報告できるのは誰か：報告プロセスの実行責任者（R）とする。通常は PSIRT や製品セキュリティの窓口で、事前に権限を与えておく必要があります。
3. サプライヤーとコンポーネントの一覧を把握しているのは誰か：第三者コンポーネントのデューデリジェンスを担う。通常は調達またはサプライチェーン管理が研究開発と組んで担当します。
4. 製品ラインから独立しているのは誰か：監督と保証を担う。最終責任者と同じ人であってはなりません。

社内でセキュリティに詳しいのが情報システム部門だけなら、人員を応援に出してもらうことはできます。ただし、研究開発プロセス、コンポーネント一覧、上市判断は情報システム部門の手元にないため、最終責任は製品ラインに置くべきです。

責任分担表（RACI）の使い方

R＝実行責任、A＝最終責任、C＝事前相談、I＝事後報告。最もよく破られる原則は一つだけです。一つの業務に A は一人だけ。例を二行示します。

その他の業務（技術文書、第三者コンポーネントのデューデリジェンス、サポート期間の決定、脆弱性の処理、定期点検）は、製品ラインの数、自社ブランドの有無、サプライチェーン上の役割、既存の制度に応じて割り振る必要があり、結果は会社ごとに異なります。完全な業務一覧と責任分担表は、積穗科研が無料のメカニズム診断で貴社の組織と製品ラインに合わせて提供します。

三つのラインモデルとの関係

IIA の三つのラインモデル（2020 年公表、2024 年更新）によれば：

• 統治機関（取締役会）：ステークホルダーに対して監督責任を負い、責任と資源を経営陣に委譲します。
• 第 1 線（経営陣の第 1 線の役割）：リスク管理を含め、行動を主導・指揮します。製品事業部門、研究開発、PSIRT の日常業務が該当します。
• 第 2 線（経営陣の第 2 線の役割）：補完的な専門知識、支援、モニタリング、異議申し立てを提供し、リスク管理（内部統制を含む）の妥当性と有効性を報告します。製品セキュリティのガバナンス部門やコンプライアンス部門が該当します。
• 第 3 線（内部監査）：主に統治機関に対して責任を負い、経営陣から独立して、独立かつ客観的な保証と助言を提供します。

規模の小さい会社は役割を兼ねてもかまいませんが、「最終責任」と「独立した保証」を同じ人に置かないでください。

既存の制度にどう組み込むか

CRA のために別の制度を立ち上げる必要はありません。次の四つの接点は、台湾の公開発行会社や上場・店頭上場企業がもともと持っている制度であり、既存の担当者が既存のプロセスの中で対応できます。公開発行会社でない企業はこれらの準則や守則の適用を受けませんが、同じ方法を任意に参考にできます。

区別すべき点が二つあります。

• 報告の対象が異なる：情報通信セキュリティ管理指針の報告手順は自社の情報システムのインシデントを扱い、CRA 第 14 条は製品で積極的に悪用されている脆弱性と重大インシデントを扱います。そのため同じ手順の中にルートを一本加える形になり、発動条件と外部窓口は分けて書く必要があります。
• 規範の性質が異なる：内部統制の処理準則は公開発行会社が遵守しなければならない規定です。ガバナンスとリスク管理の守則、情報通信セキュリティ管理指針の多くは「望ましい」「できる」とする実務指針であり、企業は規模や業種に応じて採用します。

統制ポイントをどのサイクルのどの段階に置くか、自己評価項目をどう書くかは、貴社の既存の内部統制制度に基づき、無料のメカニズム診断で提供します。

よくある誤り

• 情報システム部門の担当と決めつける：製品の開発プロセスとコンポーネント一覧は情報システム部門の手元になく、リスク評価と技術文書の根拠が失われます。
• 窓口だけ指名して権限を与えない：第 14 条は 24 時間以内の早期警告を求めており、窓口に報告するかどうかを決める権限がなければ期限を守れません。
• 報告プロセスを適合性評価の後に回す：第 14 条の報告義務は 2026 年 9 月 11 日からすでに適用され、上市済みの製品も対象です。優先して整備すべきです。

積穗科研の支援

積穗科研は、法規の判定からプロセス、技術的統制まで一つのチームで一貫して計画し、副社長・取締役クラスのコンサルタントが外注せずに最初から最後まで自ら支援します。支援のみを行い、審査・認証は行いません。製品ラインが責任分担表と第 14 条の報告プロセスを実際の部門と権限に落とし込めるよう支援します。