自動車メーカーとの契約が「TISAX ラベルの取得と維持」を求めている。法務・コンプライアンス責任者はどの条項を確認すべきか？
| 条項 | 確認すべき点 |
|---|---|
| 評価目的とレベル | レベルは評価目的で決まり、自分で選べない。AL2 は通常リモート、AL3 は審査員の現地訪問が必要 |
| 対象拠点 | 範囲内のすべての拠点が評価される。契約が求める拠点がすべて範囲に入っているか |
| 期間と更新 | ラベルの有効期間はクロージングミーティングから 3 年、その間サーベイランス審査はなく、満了時には完全な再評価が必要。契約が満了前の完了を求めているか |
| 版 | 2027 年 1 月 1 日以降に委託する評価には VDA ISA2027 が適用される。決め手は評価日ではなく委託日 |
| 未取得・失効の効果 | 契約違反になるか、進行中の受注に影響するか |
| 納期 | 顧客の納期は実際の準備期間より短いことが多い。ENX は全体期間を見積もれないと明言している |
正式評価は独立した評価機関が行い、コンサルタントはラベル取得を保証しません。自社でコントロールできない日付を約束せず、「期日までに評価を委託する」など履行可能な義務に書き換えます。
TISAX への登録は契約を結ぶことになるのか？参加規約のどこを読むべきか？
はい。ENX の参加者ハンドブックは、TISAX 参加者一般条件（GTC）が ENX との関係および他の参加者との関係を規律し、登録時に受諾するものだと説明しています。また ENX は、参加者間の相互性のため追加条件は受け入れられないとしています。ENX が公開している GTC 3.0.2 版（2023 年 7 月 12 日）の主な内容：
- 準拠法と管轄：ドイツ法に基づき解釈し、専属管轄はドイツ・フランクフルト
- 情報提供：評価情報を ENX や他の参加者に提供するか、どう提供するかは被評価者が決める
- 秘密保持：開示された第三者の評価情報は秘密情報とみなす
- ENX の責任：故意、重過失、製造物責任などについて損害賠償責任を負い、その他の軽過失責任は排除
- 有効期間：評価結果の有効期間は最長 36 か月
登録前に、その時点で適用される GTC の版を確認します。条項が自社に及ぼす法的効果は弁護士が判断します。
評価結果は誰が見られるのか？特定の自動車メーカーだけに共有したり、後で撤回したりできるか？
- 結果は公開されず、参加者が管理し、ENX ポータルを通じて選んだパートナーに共有する（ENX ウェブサイト）
- 他の参加者への共有には、TISAX を通じた被評価者の明示的な同意が必要（GTC 第 XI 節）
- 共有レベルによって、パートナーが結果にアクセスできる深さが決まる（参加者ハンドブック）
- 公開と共有は、一度行うと撤回できない（参加者ハンドブック）
法務・コンプライアンス責任者の枠組み：
- 共有前に、相手先、共有レベル、評価範囲を確認する
- 評価報告書に拠点、システム、第三者の情報が含まれる場合、その顧客の契約に必要な範囲を超えないか判断する
- 自動車メーカーとの秘密保持契約が、受け取る評価情報を対象に含むか確認する
撤回できないため、共有の判断は記録を残し、権限ある管理者が承認します。
自動車メーカーの個人データを処理する場合、TISAX の「データ保護」評価目的と GDPR 第 28 条の処理者契約はどんな関係か？
- ENX 参加者ハンドブック：「Data」評価目的は GDPR 第 28 条（処理者）に基づくデータ保護に対応し、処理者として個人データを処理する場合はこの評価目的が必要になる可能性が高いとしています。
- GDPR そのもの：公式の証明書はなく、処理活動の記録（RoPA）、DPIA、第 28 条の契約、移転メカニズム（SCC／BCR）、侵害記録などで自ら証明します。
判断の枠組み：
| 論点 | 扱い |
|---|---|
| 当社は処理者か管理者か | 実際の処理の目的と手段で判断 |
| 処理者契約は締結済みで内容は十分か | 第 28 条が求める契約であり、TISAX ラベルでは代替できない |
| EU から台湾へのデータ移転にどの移転メカニズムを使うか | 個別に選択 |
| TISAX ラベルの役割 | 処理者の能力を示す証拠の一つ |
これらの法的判断は、弁護士が個別に扱います。
自動車メーカーから預かる試作品や機密について、秘密保持義務を従業員、委託先、AI ツールにどう及ぼすか？
自動車メーカーの試作品と機密は自動車メーカーのものであり、貴社は契約上の秘密保持義務を負います。示すべきは「当社の措置が契約の要求を満たしている」ことです。
- 委託先：VDA ISA2027 ではサプライヤー検証の義務が強化された（旧 1.2.4 が 6.1.3 に移動）。Tier 1 顧客がサプライヤーに TISAX 評価結果を求める場合、Tier 2 も評価を受ける必要がある
- AI ツール：顧客の機密情報や試作品データを処理する限り、その処理は TISAX 評価の情報セキュリティ範囲に含まれ、AI ツールの利用も管理が必要
- 従業員：秘密保持契約、情報の分類と機密表示、アクセス記録。台湾の営業秘密法第 2 条の合理的な秘密保持措置を参照すると、秘密保持契約への署名だけでは合理的な措置とはいえない
法務・コンプライアンス責任者の枠組み：自動車メーカー契約の秘密保持条項、自社の従業員・委託先との契約、実際のアクセス記録の三層が整合していること。
TISAX、UN R155、EU CRA：どれが法的義務で、どれが契約上の要求か？
| 要求 | 性質 | 部品メーカーにとっての意味 |
|---|---|---|
| TISAX | 自動車メーカーの商業上の要求で、法的義務ではない | 自動車メーカーとの契約で求められる |
| UN R155／R156 | 完成車（自動車メーカー）の型式認証要件 | 部品メーカーには多くの場合、自動車メーカーが契約で求める |
| EU CRA | EU の製品規制 | (EU) 2019/2144 に基づき型式認可を受けた車両とその専用システム・部品には適用されない。単独で販売される車載デジタル製品は対象のまま（アフターマーケット機器、診断ツールなど） |
法務・コンプライアンス責任者は「法律による直接の要求」と「契約による転嫁」を分けて管理します。前者は当局と罰則、後者は契約責任と納品上の約束の問題です。製品が単独で販売される車載デジタル製品に当たるかは、品目ごとに判断します。
積穗科研は法務・コンプライアンス責任者の TISAX 対応をどう支援するのか？
- まず顧客の要求を確認：評価範囲、目的、レベル、そして ISA 6.0.3 と ISA2027 のどちらに基づくか
- 仕組みと証拠：VDA ISA に基づき仕組みと成熟度の証拠を整備し、ISO/SAE 21434 と組織レベルの文書を共有
- 該当する場合：試作品保護とデータ保護の運用要件
- 費用と役割の分離：支援、技術的な是正、正式評価の費用は別建て。正式評価は貴社が選んだ評価機関が行い、ラベルや顧客資格の取得は保証しません
- 担当者：副総経理・取締役級のコンサルタントが一貫して直接担当し、外注しません。実名顧客：億豐金屬工業股份有限公司（SGS Taiwan による評価、TISAX ラベル取得）
詳しくは：TISAX 評価支援、台湾の TISAX コンサルタントの選び方、TISAX の所要期間、営業秘密コンサルタントの選び方、GDPR コンサルタントの選び方。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- 法務・コンプライアンス責任者と ISO 37001：代理店の贈賄、通報調査、契約条項をどう管理するか
- 法務・コンプライアンス責任者と営業秘密保護：退職者の持ち出し、提訴、証拠保全で何を先に準備するか
- 法務・コンプライアンス責任者と GDPR・ISO 27701：処理者契約、越境移転、調査にどう対応するか
- 法務・コンプライアンス責任者と EU CRA：製造者責任、報告義務、ODM 契約をどう分けるか
- 法務・コンプライアンス責任者と EU AI 法・ISO 42001：役割の判定、AI 契約、責任をどう管理するか
- 法務・コンプライアンス責任者が見る NIS2：管轄、個人責任、当局調査、顧客条項
- 法務・コンプライアンス責任者が見る DORA：第 30 条の契約、監査権、出口条項の交渉
- 法務・コンプライアンス責任者が見る ERM：法令遵守リスクのマッピングと有効性の証明
- 法務・コンプライアンス責任者が見る ISO 27001：顧客のセキュリティ条項、監査権、インシデント責任