要約

  • 決議201304.170は、三人の主署名者のうち二人が不在という条件の下で、Dr Krishna SeeburnとChristian Fanchetteを代替署名者として待機させた。これはAFRINIC自身の銀行口座に関する内部的な業務継続措置であり、ネットワーク、経路制御、通信事業者、番号資源に対する公権力を生み出すものではない。
  • 公表文から確認できるのは、主署名者が三人、代替署名者が二人、不在条件が「三人中二人」であることまでだ。不在の定義と証明、発動者、一人または二人の代替者の扱い、残る主署名者との有効な組み合わせ、開始、期間、見直し、解除、銀行の受理は確認できない。
  • 2011年にはSeeburnとFanchetteが四人の署名者名簿に含まれ、2013年には新しい三人の主署名者の後ろに置かれる明示的な代替者となった。これは記録上の地位変更を示すが、銀行での正確な切替日や2011年の委任が明示的に失効したことまでは示さない。
  • 最も穏当な説明は、公開ページが簡潔でも、非公開のDelegation of Authorityと銀行側の手続が発動条件、組み合わせ、期限、解除を完全に定めていた可能性である。しかし、その可能性は実装の証明ではない。機密を守りながら、役職、発動権者、組み合わせ、状態、期間、解除、旧権限の失効を類型的に公開する余地はある。

決議が解こうとした、狭く現実的な問題

決議201304.170の出発点は、2013年4月にAFRINIC理事会が二人の代替銀行署名者を指定したという、きわめて具体的な出来事である。対象となったのは、MauritiusのBoard RepresentativeであるDr Krishna Seeburnと、Director Human Resource and AdministrationであるChristian Fanchetteだった。二人が代替者として働く条件は、直前に置かれた三人の主署名者のうち二人が不在であること、と記録された。

この仕組みが向き合った問題は現実的だ。民間の技術調整組織であっても、職員への給与、取引先への支払い、日々の運営を継続しなければならない。三人の主署名者のうち二人が同時に利用できなければ、必要な銀行手続が止まる可能性がある。予備の署名者をあらかじめ指定しておくことは、二人分の不在が一点障害になるのを避ける方法になり得る。連続性という目的それ自体は正当である。

しかし、正当化できるのは狭い調整機能を守るための連続性までだ。AFRINICは民間の技術的な記録係・調整者であり、主権国家でも、政府でも、規制当局でも、警察でも、検察でも、処罰機関でも、没収機関でも、裁判所でもない。決議はAFRINIC自身の銀行口座について、一定条件下で手続を継続する者を定めたにすぎない。インターネット、経路制御、ネットワーク運用者、番号資源を支配する公法上の権限は、銀行口座の代替署名権からは生じない。

この区別は単なる用語の整理ではない。内部の銀行権限を過大な制度的権威に読み替えると、記録を維持する者と、その記録が支える運用上の現実との関係が逆転する。台帳は現実に奉仕するものであり、玉座にはならない。したがって本件の評価尺度は、AFRINICが広い権威を持つかどうかではなく、私的組織の限定された財務執行権限が、明示的で、条件付きで、比例的で、監査可能で、元に戻せる設計になっていたかどうかである。

公表記録が示す設計には、少なくとも四つの輪郭がある。第一に、通常時の担い手は三人の主署名者だった。第二に、予備として二人の代替署名者が置かれた。第三に、その二人は組織上異なる面に位置した。一人はMauritiusにおける理事会側の役職、もう一人は人事・総務側の職員役職である。第四に、代替者は無条件に常時動くと書かれたのではなく、「三人の主署名者のうち二人の不在」という条件に結び付けられた。

ここに連続性と統制の交換条件が現れる。予備要員がいなければ、二人の不在が支払い能力を止めるかもしれない。だが、予備要員の権限がいつ始まり、誰と組み、いつ終わるかが曖昧なら、連続性のために設けた例外が通常権限の境界を広げかねない。「代替署名者」という呼称は白紙委任状ではない。予備資格を持つことと、特定の時点で有効に行動できることは別である。

二つの役職が示すもの、示さないもの

SeeburnとFanchetteの配置には、組織上の違いがある。SeeburnはBoard Representative in Mauritiusとして記載され、FanchetteはDirector Human Resource and Administrationとして記載された。前者は理事会との接点を持つMauritius所在の役職、後者は組織内部の管理実務に接する職員役職と読むことができる。したがって、同じ種類の二人を控えに置いたのではなく、異なる組織面から一人ずつを予備にした、という限定的な観察は可能である。

その違いは、業務継続の観点では理解しやすい。理事会に近い役職は現地法人としての接続を保ち、管理部門に近い役職は職員側の執行可能性を保つ構成だった可能性がある。しかも二人は、2011年の公表名簿にも銀行署名者として登場している。そのため、まったく新しい人物を緊急時に初めて選ぶ設計ではなく、過去に署名者として記録された二人を新しい主署名者構成の後ろに置いた、と整理できる。

ただし、ここから設計意図を断定してはならない。公表資料は、二人がなぜ選ばれたかを説明していない。理事会と職員の相互牽制を意図したとも、独立性を高めるためだったとも、Mauritiusでの物理的な利用可能性を優先したとも、個人の経験や信頼を評価したとも言えない。組織上異なる二つの役職が予備に置かれたという事実と、それが意図的な相互牽制だったという推論は、別の命題である。

Seeburnの役職表記についても境界が必要だ。Board Representative in Mauritiusという記載は、MauritiusにおけるAFRINIC理事会側の役職を示す。Mauritius国家の公職者、規制者、政府代表であることを示してはいない。Fanchetteの人事・総務部門の肩書も、組織内部の管理職であることを示すだけで、公的な執行権を意味しない。二人の役職を正確に読むことは、内部委任を国家権力のように扱わないための最初の統制である。

また、二人を「代替」と呼ぶことは、二人の権限が同一だったことを自動的には意味しない。公開文は、どちらか一人が一人の主署名者を置き換えられたのか、二人とも同時に入る必要があったのか、それぞれに異なる組み合わせ制限があったのかを示していない。役職の列挙は資格の入口を示すが、署名行為の有効な構成までは示さないのである。

「三人中二人の不在」は条件だが、手続ではない

決議の最も重要な限定は、「三人の主署名者のうち二人が不在」という条件である。この文言があるため、代替者の地位を無条件の常設権限と読むことはできない。主署名者が通常の担い手で、代替者は二人分の不在という状況に備える。少なくとも概念上、通常状態と例外状態を分ける線が引かれている。

一方で、その線は発動手続を完成させていない。まず「不在」が定義されていない。物理的にMauritiusにいない場合なのか、出張や休暇なのか、病気その他の理由で連絡が取れない場合なのか、一定時間内に銀行手続を実行できない場合なのか、利益相反や一時的な職務停止まで含むのかは、公表文から分からない。どれが正しいとも推測できない。

次に、不在を誰が認定し、どの証拠で確認するのかが示されていない。残る一人の主署名者が申告するのか、管理部門が記録するのか、理事会の権限ある役職者が判断するのか、銀行が必要書類を審査するのか、それらを組み合わせるのかは不明である。「二人が不在」という事実命題と、「正式な権限者がその不在を認定した」という手続命題は一致しない。

さらに、条件の成立が自動的に代替権限を有効にしたのかも分からない。決議が発動の根拠となり、条件が整えば直ちに銀行側の署名権が働く設計も理論上あり得る。別途、理事会または経営側による発動通知が必要だった可能性もある。銀行への委任変更やKYC手続が完了して初めて利用できる設計だった可能性もある。公表記録は、どのモデルだったかを選べない。

発動条件と発動権者を分けて記録しなければ、二つの逆方向の誤読が生じる。一つは、二人が実際に不在なら代替者が自動的に権限を得た、という誤読である。もう一つは、発動記録が公表されていないから代替制度は存在しなかった、という誤読だ。決議は代替資格と条件を示す。だが資格と条件だけでは、個別時点の有効化も無効化も証明できない。

不在理由の私生活上の詳細を公開する必要はない。病名、家族事情、旅行経路、連絡手段などは、銀行権限の公開監査に不要で、プライバシーや安全を害し得る。それでも、「所定の非個人的な基準に基づき、権限ある役職が二人の利用不能を確認した」という類型的な記録は可能である。必要なのは個人事情の暴露ではなく、例外権限を起動した判断の存在と種類を示すことだ。

署名の組み合わせという核心

銀行署名の統制では、名簿より組み合わせが重要である。誰が署名者になり得るかという資格一覧だけでは、何人の署名が必要で、どの役職同士なら有効で、誰と誰の組み合わせが禁じられているかは分からない。決議201304.170の公開文は二人の代替者を特定するが、署名行列を掲載していない。

三人の主署名者のうち二人が不在なら、通常は一人の主署名者が残る。このとき考えられる構成はいくつもある。残る主署名者と代替者一人で足りるのか。残る主署名者に代替者二人を加える必要があるのか。代替者二人だけで行為できるのか。どちらか一人の代替者だけが特定の主署名者を置き換えるのか。取引の種類や金額によって構成が変わるのか。公開された文言は、そのいずれも確定しない。

したがって、二人が代替者として列挙されたことから、両者が常に同時に有効だったとは言えない。どちらかが単独で署名できたとも言えない。二人だけで主署名者なしに行動できたとも言えない。逆に、必ず残る主署名者との共同署名を要したとも断定できない。公表情報が許す表現は、二人が条件付きの代替署名者として指定された、というところまでである。

ここで権限の連鎖を分解すると、何が欠けているかが明確になる。第一に、主署名者としての適格性。第二に、代替署名者としての適格性。第三に、例外状態を生む条件。第四に、その条件が成立したことの証明。第五に、有効化を決める権限。第六に、有効な署名の組み合わせ。第七に、権限が続く期間。第八に、途中の見直し。第九に、不在解消後の解除。第十に、古い権限の取消しまたは地位変更である。一つの環が確認できても、次の環を証明したことにはならない。

たとえば「二人の不在」は第三の環にすぎない。二人の代替者の氏名は第二の環を示す。しかし、この二つを組み合わせても、誰が発動し、どの署名構成が許され、いつ失効するかは残る。組み合わせを公表しないことは、攻撃者に金融手続の詳細を与えないという利点を持ち得るが、少なくとも役職カテゴリー単位の説明がなければ、外部から権限の幅を評価しにくい。

2011年から2013年へ――地位変更は見えるが、切替完了は見えない

2011年10月の公表記録では、SeeburnとFanchetteは、CEOおよびDirector Finance and Accountingと並ぶ四人の銀行署名者名簿に含まれていた。2013年4月には、別の三人が主署名者として置かれ、その直後の決議201304.170でSeeburnとFanchetteが明示的な代替署名者に指定された。この比較から言えるのは、二人の記録上の位置付けが、四人の署名者名簿の構成員から、新しい三人の主署名者に対する代替者へ変わったということである。

これは重要な変化だが、銀行での法的・運用的な切替を自動的に証明しない。理事会が新しい構成を採択した日と、関連文書が銀行へ届いた日と、銀行が本人確認や権限登録を終えた日と、新しい委任が実際に有効になった日は、同じであるとは限らない。公表ページは、それらの日付を示していない。

また、新しい決議が古い個人委任を黙示的に消したと決めつけることもできない。2013年の文言はSeeburnとFanchetteを代替者として置くため、統治上は旧来の通常署名者としての位置から後方へ移す意図と整合する。しかし、銀行の記録上で2011年の権限がいつ終了し、どの文書によって失効し、どの受領記録で確認されたかは示されていない。「新しい役割が記録された」と「古い権限が銀行で明示的に取り消された」は別の事実である。

この点で可逆性は抽象的な美徳ではない。予備権限を必要なときだけ使い、不要になれば確実に閉じるためには、各役職の状態を日付付きで追跡できなければならない。誰が通常の主署名者か、誰が予備資格だけを持つか、誰が一時的に発動中か、いつ解除されたか、過去のどの委任が失効したかを別々に記録する必要がある。新しい決議を置くだけでは、旧状態の終了を監査可能にしない。

2011年の四人名簿や金額基準そのものを再評価することは、本件の中心ではない。ここで2011年を参照する目的は一つだけである。同じ二人が、2011年には署名者名簿の一部として、2013年には条件付き代替者として現れるため、地位の移行管理が必要だったことを示すためだ。過去の制度全体を本件の説明に吸収すると、決議201304.170固有の問題、すなわち代替権限の発動と解除が見えなくなる。

周辺四決議は、170を読むための枠でしかない

2013年4月の一連の決議は、決議201304.170が孤立した氏名指定ではなかったことを示す。決議201304.168は、新しい組織構造の下でDelegation of Authority 002-2013を採用し、COOを銀行口座の署名者に加えた。決議201304.169は、CEO、Director Finance and Accounting、COOの三人を主署名者として名指しした。これに続く201304.170が、二人の不在時にSeeburnとFanchetteを代替者として置いた。

その次の決議201304.171は、公表されていないDelegation of Authorityの表に従って名指しされた署名者を認めつつ、USD 100,000相当を超える取引について理事会承認という例外を記した。ただし、「上記の署名者」が、すべての状態で代替者を含んだのか、適正に発動されたときだけ含んだのかは、公表文だけでは確定しない。金額基準の詳細な評価は本件の主題ではなく、代替者にも別の統制層が関係し得たことを示す隣接情報にとどまる。

決議201304.172は、関連する方針と決議をAFRINICの取引銀行に提供するよう指示した。これは外部実装への橋を設ける措置だが、橋を渡り終えた証拠ではない。いつ文書が送られ、どの銀行が受領し、本人確認が完了し、委任変更が受理され、どの時点でシステム上有効になったかは公開されていない。通知の指示と、受領・受理・発効は区別しなければならない。

これらの周辺決議は、170の意味を照らす。168が組織構造の変更、169が三人の主署名者、171が承認例外、172が銀行への通知を示すことで、170がその間に置かれた業務継続用の予備装置だと分かる。しかし、いずれも170に欠ける発動者、組み合わせ、期間、解除を補ってはいない。周辺文言を集めても、非公開のDelegation of Authority表そのものにはならない。

最も強い穏当な説明

公表記録の簡潔さを、ただちに統制不足と同一視するべきではない。最も強い穏当な説明はこうなる。二人の主署名者が同時に利用できない事態は現実にあり得る。SeeburnとFanchetteは2011年にすでに署名者名簿へ載っていた。2013年の理事会は、新しい三人の主署名者を通常系としつつ、過去に記録のある理事会側のMauritius役職と管理部門側の職員役職を予備系に置くことで、支払い停止の危険を減らした。

その上で、公開ページには短い決議だけを載せ、完全な署名行列、発動文書、期限、銀行手続は非公開のDelegation of Authorityに収めていた可能性がある。銀行は関連する方針と決議を受け取り、必要な確認を行い、適切な委任を実装した可能性もある。口座番号、署名見本、認証情報、内部の承認経路、個人的な不在理由、取引別の情報を公開すれば、詐欺やなりすまし、標的化の危険を増すため、非公開には正当な安全上・プライバシー上の理由がある。

この説明は十分に真剣に扱うべきである。公開記録は、内部統制の全体をそのまま公開する運用マニュアルではない。良い透明性は、攻撃に使える情報を無差別に出すことではない。簡潔な理事会記録の背後に、完全で適切に実装された機密委任があった可能性は残る。

ただし、可能性は証拠ではない。公開ページの短さから「統制は存在しなかった」とは言えないのと同じく、非公開文書がすべてを完全に定め、銀行が正しく実装したとも言えない。公表資料は、理事会が何を記録し、何を決議したかを証明する。動機、必要性、実装、銀行受理、完全な組み合わせ、発動、期間、解除、失効までは、組織自身の簡潔な記載から自動的に証明されない。

ここで求められる結論は、非公開情報を全面開示せよというものでも、統制違反があったというものでもない。より狭い結論である。代替権限の状態遷移を示す非機密の公開記録があれば、機密を害さずに監査可能性を高められる。欠落しているのは、口座や取引の秘密ではなく、資格がいつ限定的な実行権限になり、いつ予備状態へ戻ったかという制度上の輪郭である。

公開できるものと、公開すべきでないもの

公開すべきでない情報の境界は明確に引ける。口座番号、銀行アクセス用のcredentials、署名見本、認証手段、内部のセキュリティ手順、詳細な送金経路、個別取引、私的な不在理由は必要ない。これらを出さなくても、制度が限定されているかどうかを示すことはできる。

必要なのは、役職カテゴリーと状態の記録である。たとえば通常の主署名者役職、代替資格を持つ役職、不在を確認できる権限者の役職、代替者を有効にする決定の種類、有効な組み合わせの類型、対象となる業務範囲、開始日、終了予定または見直し日、解除日、銀行による受理状態、旧委任の失効状態を記録できる。人名を載せる場合にも、役職に結び付けて状態を示せばよい。

組み合わせは、攻撃に使えるほど細かく書く必要はない。「残る主署名者一人と、認定された代替者一人の共同」や「所定の二役職による共同」といった類型的な記述で、単独権限の有無と例外の幅を示せる。もし取引額や種類で異なるなら、その詳細を伏せつつ「基準に応じて追加承認が必要」と状態を表せる。公表記録の目的は、実行手順を再現させることではなく、権限が無限定ではないと確認できるようにすることだ。

不在についても同じである。「二人が所定の非個人的な利用不能基準を満たしたと権限ある役職が記録した」という記載なら、病状や旅行先を明かさずに発動根拠を示せる。銀行受理についても、銀行名、担当者、口座番号、技術的手続を出さず、「受理確認済み」「保留中」「未発動」といった状態を示せる。透明性と安全性は、二者択一ではない。

最も重要なのは解除である。代替権限は、二人の主署名者が不在という例外に対応する。ならば不在が解消されたとき、誰が、何を確認し、いつ、どの状態に戻すかが必要になる。開始だけを記録し終了を記録しなければ、臨時権限が事実上の常設権限へ変わり得る。公開台帳は、発動と解除を一対にして初めて可逆性を示す。

さらに、2011年の委任との関係を明示すべきだった。2013年に二人が代替者へ移ったなら、旧来の署名者としての地位がどの文書により、いつ失効または変更されたのかを日付付きで示せる。これは過去の個別取引を公開する要求ではない。二重に読める権限状態を残さないための、最小限の移行記録である。

証拠の限界は、評価の弱さではなく精度である

本件について、分からないことは多い。決議201304.170の正確な日付は、公表記録では2013年4月までしか絞れない。後のJuneの記録には24 Aprilと28 Mayに開かれた会議のminutes承認があるが、170を特定の日に割り当てることはできない。したがって、日付をApril 24と断定してはならない。

Delegation of Authority 002-2013の本文と表も、公表資料からは確認できない。投票数、点呼、提案者、賛成者、反対、棄権、理事会の説明資料、選任理由も示されていない。欠けた記録は、欠けた記録である。それを、統制がなかった証拠、隠蔽の証拠、動機の証拠、あるいは不正の証拠に変えてはならない。

同様に、二人の主署名者が実際に同時不在になったことは証明されていない。SeeburnまたはFanchetteが代替署名者として発動されたことも、取引に署名・承認したことも分からない。誰かが単独権限を持ったとも、二人の代替者だけで行動したとも、金額基準に違反したとも、資金が不正使用されたとも、損失や統制破綻が生じたとも言えない。個人の怠慢、違法性、腐敗、詐欺、その他の責任を示す証拠もない。

「公表されていない」と「存在しなかった」の混同を避ける一方、「決議された」と「実装された」の混同も避ける必要がある。理事会の採択、銀行への通知指示、銀行による受領、本人確認、委任登録、権限の発動、署名行為、解除は、それぞれ異なる出来事である。公表記録が最初の一部を示すからといって、後の全部が完了したとは言えない。

この慎重さは、批判を弱めるものではない。むしろ、何を確認でき、何を確認できないかを分けることで、改善要求を正確にする。問題は不正の存在ではなく、代替資格から発動、運用、解除、旧権限失効へ続く連鎖が、公衆にとって検証できる形に閉じていないことだ。改善策も処罰ではなく、非機密の状態記録になる。

民間の記録係に必要な統制の尺度

AFRINICの役割は、技術的なレジストリ調整を担い、運用上の記録を現実に対応させることにある。番号資源や関連する情報基盤が事業者の継続性に影響するため、組織内部の統治不全が加盟者やネットワーク運用者の不確実性へ波及し得る。この波及可能性こそ、財務上の業務継続を丁寧に設計する理由になる。

しかし、影響が広がり得ることは、公権力を意味しない。重要な技術調整を担う民間組織は、重要だから主権者になるのではない。むしろ、重要であるほど、その権限を本来の狭い機能に結び付け、記録を運用上の現実に従わせなければならない。銀行口座の署名権限は、職員や取引先への支払いを継続するための私的な会社権限である。ネットワークへの命令、経路への強制、ネットワーク運用者への処罰、番号資源の没収、紛争の裁判を可能にするものではない。

この尺度から見ると、決議201304.170の目的と欠点を同時に評価できる。目的は合理的だった。三人の主署名者のうち二人が不在なら、通常系だけでは執行能力が弱まる。二人の代替者を用意することは、連続性を守る種類の措置として妥当である。他方、その正当性は条件、比例性、監査可能性、可逆性に依存する。誰がいつ代替者を動かせるかが曖昧なままなら、狭い例外が必要以上に広く見える。

この評価は、AFRINICの権限を縮小して運営不能にする提案ではない。逆である。私的調整者が本来の仕事を続けるため、予備権限を実際に使える形で準備しつつ、必要が終われば確実に閉じる設計を求めている。強い業務継続と強い権限制限は対立しない。明確な発動条件、署名構成、期限、解除があれば、緊急時には速く動け、通常時には例外を閉じられる。

201304.170の統治上の評価

決議201304.170は、業務継続手段としては筋の通った種類の措置であり、公表された統制記録としては不完全だった。二人の代替者を名指しし、二人分の不在という条件を置いたことで、無条件の追加署名者を増やす文言よりは限定されている。二つの異なる組織役職を予備にしたため、通常系が弱まったときに別の経路から執行能力を補える形でもあった。

だが、公表記録には、予備資格を一時的な実行権限へ変える生命線がない。不在の定義、証明、認定者、発動者、一人または二人の代替者の扱い、残る主署名者との組み合わせ、開始、期間、見直し、解除、銀行受理が示されない。さらに、二人が2011年に持っていた署名者としての地位が、銀行でいつ、どう変更または失効したかも分からない。

この欠落から導けるのは、公開監査可能性が限られるという結論までだ。統制が存在しなかった、適用されなかった、破られた、悪用されたという結論には進めない。誰かを非難する根拠もない。公表文が薄いとき、断定を強くするのではなく、結論の範囲を狭くするのが適切である。

改善の焦点は、非機密の代替権限台帳にある。そこには、役職別の適格性、条件を確認する権限、発動状態、許される組み合わせの類型、対象範囲、開始、期間、見直し、解除、銀行受理、旧委任の失効を載せる。口座番号、認証情報、署名見本、個人的な不在理由、具体的な取引、攻撃に使える手順は載せない。これなら連続性を損なわず、例外権限が白紙委任へ膨らむのを防げる。

反実仮想が示す、より良い記録

より良い状態を具体化すると、理事会の公開通知は短くてもよい。そこには、定義された非個人的な基準に基づき、権限ある役職が三人の主署名者のうち二人の利用不能を記録したとき、指定された代替役職が、残る主署名者を含む定められた類型の組み合わせで、限定された期間だけ有効になる、と記せる。さらに、銀行受理、発動、見直し、解除、2011年の旧委任の状態を日付付きで追記できる。

この形式なら、公開情報の役割は明快である。誰が病気か、どの口座か、どの署名を使うか、どの取引を行うかを明かさず、権限の始点と終点だけを監査できる。担当者が変わっても役職カテゴリーで制度を追え、個人名に依存した曖昧さを減らせる。銀行への通知も「指示済み」から「受理確認済み」へ状態を進められる。

これに対し、状態記録がなければ、後の読者は相反する推測に引き寄せられる。代替者は常に有効だった、二人だけで動けた、どちらか一人が自動的に主署名者を代行した、不在に証明は不要だった、期限はなかった、2011年の権限は新決議で自然消滅した、といった読みである。しかし、公表された決議からは、そのいずれも導けない。

良い記録は、すべてを公開する記録ではない。権限について後から物語を作らなくても済む記録である。決議201304.170に必要だったのは、代替者の氏名をさらに目立たせることではなく、資格、発動、組み合わせ、期間、解除、失効をつなぐ状態の鎖を、機密を除いた形で残すことだった。