不正ガバナンスフレームワーク

このページは、GitLab が不正管理プログラムをどのように構成、統制、運用するかについてのリファレンスです。チームが、誰が何を担当するか、懸念事項をどのようにエスカレーションするか、誰が調査を主導するか、そしてどのポリシーと報告メカニズムがプログラムを支えるかについて、実用的で共通の認識を持つことを目的としています。

ビジュアルキー

• 目的と範囲 — フレームワークの目的、不正リスクのカテゴリー、検出方法
• ガバナンス — 統治機関、原則、オーナーシップ、監督モデル
• 役割と責任（RACI） — プログラムレベル、インシデントレベル、シナリオベースの調査オーナーシップ
• エスカレーションパス — 受付チャネル、重大度に応じたエスカレーション、証拠の取り扱いと保全の連続性
• 報告体制 — インシデントレベルとプログラムレベルの報告、Audit Committee への最新情報の提供
• ポリシー体系 — ポリシーのリファレンスインデックス、レビューとガバナンスのサイクル、トレーニング体系

1. 目的と範囲

不正管理フレームワークは、次の目的で設計されています。

• GitLab 全体の不正リスク管理に一元化されたガバナンスモデルを提供する。
• 不正の防止、検出、調査、報告に関する役割と責任（RACI）を明確にする。
• さまざまな不正シナリオのエスカレーションパスと調査オーナーシップを確立する。
• 経営幹部と Audit Committee への報告体制を定義する。
• 全社的な不正プログラムを支えるポリシーとトレーニングの体系を整理する。
• 関連するすべての GitLab ハンドブックページとガバナンス文書への直接リンクをまとめたポリシーリファレンスインデックスを提供し、唯一の信頼できる情報源（SSOT）として機能する。

不正の定義と不正インシデントの例については、不正防止ポリシーを参照してください。

このフレームワークにおける「不正インシデント」とは、不正防止ポリシーに記載された種類の行為が発生した、または試みられたことを示す、検証済みの報告または合理的な兆候を指します。すべての不正行為やポリシーの悪用が不正に該当するわけではありません。不正防止ポリシーに定める不正の要素が存在する場合にのみ、このフレームワークの対象となります。

次の不正リスクカテゴリーが、このフレームワークの範囲を定義します。

2. ガバナンスモデル

2.1 統治機関

この表では、各部門がプログラム上継続して担う責任を示します。特定の案件を受け付けた際に各部門が最初に取る運用上の対応については、不正対応プレイブックのセクション 1 で説明します。

2.2 ガバナンス原則

一元的な設計、分散型の実行: DRI が明確に割り当てられた一貫性のあるフレームワークを設け、実行は専門チーム（LACA、Finance、Security、TMR など）が引き続き担います。

RACI に基づく明確性: GitLab の DRI と RACI のガイダンスに従い、主要な不正関連活動ごとに説明責任を負う DRI を 1 名定め、実行責任者、相談先、報告先の役割を明確にします。

Internal Audit の独立性: Internal Audit は助言、独立した保証を提供し、不正の懸念事項の性質に応じて、本書に記載する RACI マトリックスに従って調査を主導または支援する場合があります。Internal Audit はビジネスプロセスや懲戒上の決定を担当しません。Internal Audit Charter に基づき、Internal Audit は、不正リスク、統制、報告が適切に設計され運用されているかを評価し、不正関連の重大なリスクエクスポージャーと統制上の問題を Audit Committee と E-Group に伝えることで、不正ガバナンス全体の十分性を監督する権限を有します。

LACA の可視性と ACP: どのチームが調査を主導するかにかかわらず、LACA は全社的な不正関連案件台帳と関連コミュニケーションを通じて、すべての不正調査を把握します。これにより、弁護士・依頼人間秘匿特権を一貫して適用し、必要に応じて外部弁護士を起用できます。

従業員の懲戒に関する TMR のオーナーシップ: 不正調査を主導する部門にかかわらず、案件によってチームメンバーに懲戒処分が科される可能性がある場合は、Team Member Relations（TMR）を関与させる必要があります。TMR は、Employment Legal および LACA Corporate and Compliance チームと協議して、警告、解雇、退職時のプロトコルを含むすべての懲戒上の決定と対応を主導します。調査のオーナーシップと懲戒のオーナーシップは別です。専門部門が調査を担当し、TMR はその結果として生じる従業員の懲戒を担当します。

学習志向: 調査、内部通報案件、リスク評価の結果をポリシー、トレーニング、統制に反映します。

唯一の信頼できる情報源: すべての不正ガバナンス関連資料を、適切な場合は GitLab ハンドブックで公開し、すべてのチームメンバーにとって唯一の信頼できる情報源を提供します。調査の機密情報は、適用される法的要件とプライバシー要件に従って保護されます。

3. 役割と責任（RACI の概要）

このリストは、各部門の DRI の役職に関する唯一の情報源です。

凡例: R = 実行責任 | A = 説明責任 | C = 相談先 | I = 報告先

このフレームワークでは、各部門の主要 DRI を次の担当者とします。

• LACA: Director of Legal, Compliance & Ethics（またはその代理人）
• Internal Audit: VP, Internal Audit（またはその代理人）
• Finance: CAO（またはその代理人）
• TMR: VP, Team Member Relations（またはその代理人）
• Security: CISO（またはその代理人）
• Procurement: Director, Procurement（またはその代理人）
• SOX PMO: Director, SOX PMO（またはその代理人）
• Audit Committee: Audit Committee Chair

次のセクションでは、不正プログラムの主要な活動に関する大枠の RACI を示します。

3.1 プログラムレベルの RACI

* 年次の財務諸表不正リスク評価は SOX PMO が担当します（A/R）。Internal Audit は相談を受け、評価について独立した保証を提供します。フレームワークを簡潔に保つため SOX PMO は独立した RACI 列として表示していません。詳細な責任は SOX PMO のプログラム文書で管理します。

3.2 インシデント対応の RACI

この RACI は、不正案件のライフサイクルと担当チームを対象とします。不正の種類ごとの調査主導者については、セクション 3.3 を参照してください。

* LACA は全社的な不正関連台帳を所有し、すべての不正インシデントの受付と案件登録について説明責任を負います。これを可能にするため、担当チームにかかわらず、関連する調査主導者は次の責任を負います。（1）不正の懸念事項が特定されたら速やかに LACA へ通知する、（2）調査中の重要な進展について LACA に継続して情報を提供する、（3）案件のクローズを確認し、LACA が全社的な不正関連案件台帳を正確に維持できるようにする。

** 不正の懸念事項が報告された場合、最初に受け付けたチームは、セクション 3.3 のシナリオタイプに基づいて調査主導者を決定し、案件を記録するよう LACA に通知する責任を負います。適切な調査主導者がすぐに明確にならない場合は Internal Audit に相談し、Internal Audit が適切な主導者を決定します。

3.3 調査レベルの RACI（シナリオベースのオーナーシップ）

この表は、不正の種類ごとに調査のオーナーシップを割り当てるための唯一の情報源です。不正対応プレイブックのセクション 2 では、調査主導者が確定した後に、不正の種類ごとに最初に取る運用上の対応について説明します。

すべてのシナリオで、Internal Audit または関連する調査主導者は、受付時に LACA へ通知し、重要な進展について最新情報を提供し、案件のクローズを確認する責任を負います。これにより、LACA は全社的な不正関連案件台帳を正確に維持できます。

どのシナリオでも、チームメンバーが懲戒処分の対象となる可能性がある場合は TMR に相談する必要があります。調査を主導する部門にかかわらず、TMR は LACA Employment と協議して懲戒プロセスを主導します。

4. エスカレーションパス

エスカレーションパスにより、不正の疑いまたは確認済みの不正を、必要に応じて Audit Committee を含む適切な職位レベルで、迅速かつ一貫して処理します。

4.1 受付チャネル

ほとんどの不正に関する懸念事項について、チームメンバーは、匿名での報告方法や報復からの保護を含む適切な報告チャネルを確認するために、内部通報ポリシーを参照してください。

プラットフォームの悪用が疑われる場合は、Slack の /Security コマンド、#security_help、#abuse、[email protected]、GitLab の不正利用報告機能など、Security および Trust & Safety のチャネルを通じて直接報告できます。これらのチャネルでは、技術的な不正（認証情報の不正使用、データ流出、CI/CD の悪用、アカウントの自動作成など）に対応する担当者が配置されており、より迅速な初動対応が可能になる場合があります。

検証済みのすべての報告は、一意の識別子と必要最小限の詳細とともに一元的に記録されます（LACA が所有する全社的な不正関連案件台帳）。

4.2 重大度に応じたエスカレーション

不正インシデントは、CRITICAL、HIGH、MODERATE、LOW に分類します。不正の種類、スコアリング要素、通知対象者、対応目標に基づく重大度レベルの定義は、不正対応プレイブックのセクション 2 で定義し、同セクションのみで管理します。重大度を割り当て、更新するためのトリアージ手順については、不正対応プレイブックのセクション 4（TBD）で扱います。

4.3 証拠の取り扱いと保全の連続性

不正関連のすべての調査記録と証拠は、GitLab の Data Classification Standard に従って RED に分類し、最低 7 年間（または適用法で要求される期間）保持し、調査を主導するチームが知る必要のある範囲に限定して管理する必要があります。証拠の保全の連続性に関するプロトコルを含む詳細な証拠の取り扱い手順は、不正対応プレイブック（TBD）で管理します。

5. 報告体制

5.1 インシデントレベルの報告

案件レベルの報告

LACA は、不正に関する統合台帳（ホットライン案件、不正の兆候があるポリシー違反、重大な統制上の例外を含む）を維持します。担当チームにかかわらず、すべての不正調査主導者は、不正の懸念事項が特定されたら速やかに LACA に通知し、案件のクローズまで状況を更新する責任を負います。これにより、LACA は全社的な不正案件台帳を完全に把握し、すべての調査で ACP による保護を一貫して適用できます。適切な主導者がすぐに明確にならない場合、Internal Audit は初期の事実を評価し、セクション 3.3 のシナリオベースの RACI マトリックスに基づいて適切な主導者を決定します。また、その決定の前または決定と同時に、登録のため案件の詳細を LACA に通知します。

調査が進展するにつれて、主導者は LACA と連携し、各調査の性質と重大度に応じて、申し立て（必要に応じて匿名化）、調査の範囲と状況、暫定的および最終的な結論、懲戒処分（Employment Legal と協議して TMR が管理）、統制の是正（Finance、Security、その他のチームの DRI が担当）などをまとめた文書を維持する必要があります。

Audit Committee へのエスカレーション

Audit Committee は、経営陣または主要な財務担当の役割が関与する申し立て、財務、規制、評判に大きな影響を及ぼす重大な不正インシデント、不正統制に組織的な欠陥があることを示す類似または反復的な問題について説明を受けます。

Internal Audit と LACA は、Audit Committee Charter と内部監査の報告プロトコルに従って、これらの最新情報を共同で調整します。

5.2 プログラムレベルの報告

Internal Audit は少なくとも年 1 回、必要に応じてより頻繁に、LACA および各部門のステークホルダー（Finance、Security、Procurement、TMR）と連携して全社的不正プログラム報告書を作成します。この報告書は Audit Committee に提出し、概要を E-Group と共有します。報告書には次の内容が含まれます。

• 不正リスク評価の結果と残存リスクのテーマの概要。
• ホットラインおよび社内の不正案件の件数と特徴（集計、匿名化）。
• 主なトレーニングとポリシーの指標（Code of Conduct と不正防止ポリシーへの確認、完了状況の追跡など）。
• 高リスクの不正シナリオに対する統制強化と是正の状況。
• 今後 12 ヶ月間に予定するロードマップ項目。
• 外部規制の動向と、不正プログラムへの影響。

6. ポリシー体系

不正プログラムは、一連の中核ポリシーと関連手順によって支えられています。このセクションでは、これらのポリシーの関係と、その担当者を定義します。

6.1 ポリシーリファレンスインデックス

不正関連のポリシー一覧については、GitLab の Ethics and Compliance Program ハンドブックページを参照してください。一覧には次のポリシーが含まれます。

1. 不正防止ポリシー
2. 腐敗防止ポリシー
3. 報復禁止ポリシー
4. Code of Business Conduct & Ethics
5. 贈答品および接待、政治活動および献金、慈善寄付に関するポリシー
6. インサイダー取引ポリシー
7. 関連当事者取引ポリシー
8. SAFE Framework
9. Third Party Risk Management Process

6.2 年次ポリシーレビュー

• Director of Legal, Compliance & Ethics（またはその代理人）は、既存のポリシー変更管理プロセスを使用して、上記のポリシーの年次レビューを調整します。
• 必要に応じて、VP, Internal Audit（またはその代理人）をレビューのワークフローに正式に含め、GitLab Issue または同等のトラッカーに参加の証拠を記録します。

ページのソースコードを見る - ページの編集 - please contribute.