Winners コンサルティング
繁中/EN/日本語

社長（CEO）はどの法規と規格に責任を負うのか？12 の要求事項を一つずつ解説

社長は会社の執行面の最終責任者です。経理人は職務の範囲内で会社の責任者となり、台湾の公開発行会社の財務報告と内部統制制度声明書には社長の名前が入ります。コーポレートガバナンス上の法的責任、台湾証券取引所の ESG 評価指標、そして ERM、ISO 37001、ISO 27001、ISO 22301、営業秘密、EU CRA、NIS2、EU AI 法、GDPR、TISAX、デジタルトランスフォーメーション、AI トランスフォーメーションの 12 の要求事項について、何を先に決め、何から始めるかを社長の立場から解説します。

更新日 2026-11-03

直接の答え：コーポレートガバナンスと法規制において、社長は執行面の最終責任者です。台湾の会社法により、経理人は職務の範囲内で会社の責任者でもあり、忠実に業務を執行し善良な管理者の注意義務を尽くさなければなりません。公開発行会社の財務報告には董事長、経理人、会計責任者が署名し、内部統制制度声明書は取締役会と社長が出します。営業秘密法と個人情報保護法も、法人とその代表者に罰則を定めています。EU で事業を行う場合、NIS2 は対象事業体の経営機関にセキュリティ措置の承認と監督を求め、EU CRA と EU AI 法の制裁金は全世界年間売上高で計算されます。セキュリティ、リスク、個人情報、AI、事業継続、誠実性、輸出市場の規制は、最終的に社長が下す三つの決定に戻ってきます。どの要求が本当に適用されるか、どれから始めるか、人員と予算をどこに配分するかです。覚えておくべきことは二つです。GDPR、NIS2、EU CRA には独立した証明書がなく、ISO の証明書は法令遵守と同じではありません。

コーポレートガバナンスにおける社長：法的責任と出す声明

対象規範原文の要点社長にとっての意味
すべての会社会社法 第 8 条第 2 項会社の経理人は、職務の範囲内において会社の責任者でもある社長は職務の範囲内で会社の責任者としての責任を負う
すべての会社会社法 第 23 条第 1 項・第 2 項会社の責任者は忠実に業務を執行し善良な管理者の注意義務を尽くし、違反により会社に損害を与えた場合は賠償責任を負う。業務執行で法令に違反し他人に損害を与えた場合は、会社と連帯して賠償責任を負う意思決定と監督の過程を記録で説明できるようにする
すべての会社営業秘密法 第 13 条の 4法人の代表者や被用者が業務の執行に関して営業秘密の罪を犯した場合、法人にも罰金を科す。防止に尽力した法人は但し書きを主張できる「防止」を制度と記録にする
すべての非公務機関個人情報保護法 第 50 条非公務機関が過料を科される場合、その代表者、管理人その他代表権を有する者も、防止義務を尽くしたことを証明できない限り、同額の過料を科される個人情報の違反が代表者個人に及び得る
公開発行会社証券取引法 第 14 条第 3 項・第 20 条の 1財務報告は董事長、経理人、会計責任者が署名または押印する。署名者は相当の注意を尽くしたことを証明できない限り賠償責任を負う社長が財務報告に署名する以上、相当の注意を証明できる必要がある
公開発行会社公開発行会社の内部統制処理準則 第 9 条の 1、第 22 条、第 24 条情報セキュリティのために適切な人員と設備を配置する。自己評価は取締役会と社長が内部統制制度声明書を出す主な根拠新しい制度の監査結果を声明書の根拠に入れる
上場・店頭公開企業「上市上櫃公司治理実務守則」第 23 条董事長と社長（総経理）の職責を明確に分け、同一人物が兼ねないことが望ましいガバナンスと執行を分ける
上場・店頭公開企業「上市上櫃公司風険管理実務守則」第 7 条・第 13 条統治機関と上級経営陣による明確なリスク管理の声明とコミットメント。取締役会が十分かつ適切な資源を配分・指定するリスク管理には経営陣のコミットメントと資源が必要
上場・店頭公開企業「上市上櫃公司誠信経営守則」第 8 条・第 22 条取締役と上級経営陣が誠実経営方針の遵守声明を出す。董事長、社長または上級経営陣が誠実の重要性を定期的に伝える社長自身が声明し、伝える
上場・店頭公開企業「上市上櫃公司資通安全管控指引」第 4 条セキュリティ方針は副総経理以上の管理者が承認し、定期的に見直すセキュリティ方針の承認レベル
EU NIS2 の対象事業体NIS2 第 20 条、第 32 条第 5 項・第 6 項経営機関がサイバーセキュリティのリスク管理措置を承認・監督し、違反について責任を問われ得て、研修を受ける。必須事業体では、当局が CEO または法定代表者レベルの者の経営職務の一時的な禁止を求めることができるEU で事業を行う場合、まず対象事業体かどうかを判断する
EU 市場にデジタル製品を出す製造業者EU CRA 第 13 条・第 64 条附属書 I の必須要件に沿って設計、開発、生産する。違反は最大 1,500 万ユーロまたは全世界年間売上高の 2.5%製品が EU 市場に入れるかどうか
EU の AI システムの提供者と導入者EU AI 法 第 99 条禁止行為の違反は最大 3,500 万ユーロまたは全世界年間売上高の 7%、その他の義務の違反は最大 1,500 万ユーロまたは 3%AI を使う・売る前に役割とリスク区分を判断する

公開発行会社と上場・店頭公開企業の規範について、公開発行会社でない企業は対象外で、任意に参考にできます。金融業には別の規定があり、例えば銀行と金融持株会社の情報セキュリティ責任者とリスク管理責任者は、副総経理以上または同等の職責を持つ者が務めます。個人情報保護法の 2025 年 11 月 11 日公布の一部改正条文は施行日を行政院が定めるもので、施行までは現行条文が基準です。これらの責任が成立するかは、法律顧問が個別に判断します。

台湾証券取引所の ESG 評価：社長が見るべき指標

ESG 評価は 2026 年からコーポレートガバナンス評価に代わるもので、対象は上場・店頭公開企業です。2026 年度（第 1 回）は 3 つの側面と 75 の指標からなり、評価期間は 2026 年 1 月 1 日から 12 月 31 日、結果は 2027 年 4 月末までに公表されます。2027 年度の指標は 2026 年 10 月 30 日に公表されました。以下の指標は、S-7 を除き両年度で文言が同じです。

指標内容（要約）加点対応サービス
G-18監査委員会または取締役会レベルの機能別委員会がリスク管理を監督し、取締役会が承認した方針と手続を定め、体制と運用を開示し、少なくとも年 1 回取締役会に報告AA 型、得点すれば総合点に 1 点加算ERM
S-7取締役会が承認した誠実経営方針、専任または兼任の部門、実施状況、少なくとも年 1 回の取締役会への報告（2027 年度の文言。2026 年度は S-7 と S-8 の 2 問）—ISO 37001
S-9社内外の人による違法（汚職を含む）・非倫理的行為の通報制度を会社ウェブサイトで詳しく開示—ISO 37001
S-10事業目標と結びついた知的財産管理計画とその実施状況、少なくとも年 1 回の取締役会への報告TIPS、ISO 56001 または類似の規格の第三者認証で総合点に 1 点加算営業秘密保護、ISO 56001
S-12サイバーセキュリティのリスク管理体制、方針、具体的な管理施策、投入資源（年次報告書に基づき評価）ISO 27001、CNS 27001 などの第三者認証で総合点に 1 点加算ISO 27001
S-13個人情報保護方針を定め、内容と実施状況を開示—ISO 27701、GDPR
S-15サプライヤー管理方針で、サイバーセキュリティやプライバシー保護などの規範の遵守をサプライヤーに求める—TISAX、NIS2

加点があるのは三つです。G-18 で得点した場合と、S-10、S-12 で第三者認証を取得した場合です。社長が投資の優先順位を付けるとき、加点は数値化できる効果の一つです。公開発行会社でない企業は評価されず、指標の内容を任意に参考にできます。

12 の要求事項の一覧

要求事項社長にとっての意味証明書の有無
ERM（COSO ERM、ISO 31000）取締役会にリスクを説明し、優先順位を付けるための骨格なし
ISO 37001国境を越えた贈賄の法的リスクと、顧客の誠実性デューデリジェンスあり、第三者認証。贈賄が起きないことは保証しない
ISO 27001顧客と入札が最初に求めるセキュリティの証明書あり、第三者認証
ISO 22301顧客に約束した復旧時間を BIA と演習で裏付けるあり、第三者認証
営業秘密保護と ISO 56001中核技術が裁判所で認められること。ESG 評価 S-10 の加点営業秘密法にはなし。ISO 56001 はあり
EU CRA2027 年 12 月 11 日以降、要件を満たさないデジタル製品は EU 市場に出せない独立した証明書はなく、製品区分に応じた適合性評価と CE マーキング
NIS2対象事業体の経営機関の責任。サプライヤーは契約で引き受けるなし
EU AI 法と ISO 42001AI の法的義務とガバナンスの証明ISO 42001 はあり。EU AI 法への適合ではない
GDPR と ISO 27701EU の個人データ。制裁金は最大で全世界年間売上高の 4% または 2,000 万ユーロISO 27701 はあり。GDPR に公式の証明書はない
TISAX自動車メーカーがサプライヤー拠点の情報セキュリティを評価する評価と交換の仕組みで ISO の証明書ではない。結果はラベルで共有され有効期間は 3 年
デジタルトランスフォーメーションデジタル化で攻撃対象を広げず、中核業務を止めないサービスページでは ISO 27001 のセキュリティ要求を基準とする
AI トランスフォーメーションガバナンスを先に整え、AI 投資の効果を追跡できるようにするISO 42001 を並行して構築できる。認証は EU AI 法への適合ではない

要求事項ごとに：社長が決めること、何から始めるか、期間

サービスごとに専用ページがあり、役割別の論点に一つずつ答えています。

既存の制度にどう組み込むか

新しい要求は、別の仕組みを作るのではなく、既存の内部統制、リスク管理、誠実経営、セキュリティの制度に組み込むべきです。

既存の制度と根拠既にあるもの新しい要求の組み込み方
内部統制処理準則 第 22 条・第 24 条年次の自己評価と内部統制制度声明書各マネジメントシステムの内部監査結果を自己評価の根拠に入れ、不備は既存の是正追跡に入れる
リスク管理実務守則 第 13〜15 条取締役会が承認した方針、リスク委員会、年次報告セキュリティ、事業継続、AI、個人情報、EU 法規制のリスクを一つのリスクマップ、一つの報告に入れる
誠実経営守則 第 17 条専任部門と毎年の取締役会への報告ISO 37001 のリスク評価、デューデリジェンス、通報の記録を同じ報告に入れる
サイバーセキュリティ管理指引 第 37 条取締役会または経営陣への定期的なセキュリティ報告ISO 27001 の監査結果と通報訓練を同じ報告に入れる
年次報告書準則 第 18 条第 6 款年次報告書のサイバーセキュリティの章投入資源、管理施策、認証結果を同じ数字で開示する

これらの規範は公開発行会社または上場・店頭公開企業に適用され、公開発行会社でない企業は対象外で、任意に参考にできます。各サービスの詳細：ERM 制度支援、ISO 37001、ISO 27001 導入支援、ISO 22301、営業秘密保護制度支援、EU 法令統合コンプライアンス。

積穗科研の進め方

以下は積穗科研自身の説明です。上の質問で、ほかのコンサルタントと同じように私たちも確かめてください。

関連する質問

無料のメカニズム診断を申し込む

コンプライアンスは三位一体、コンサルタントの価値は統合にある

CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。

側面答えるべき問いその側面だけ補った場合によくある欠落
プロセス（マネジメントシステム）誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するかツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない
セキュリティ技術管理策をどう設計し、有効性をどう検証するか文書は整っているが、システムが実際にはそのとおり動いていない
法令遵守どの法規が適用され、自社の役割は何か。期限と罰則は何か管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない

積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。

関連サービス無料のメカニズム診断を申し込む

公式情報源