あなたの事務所が連邦税申告書の作成、給与計算、またはクライアントの銀行フィードへのアクセスを行っている場合、連邦政府はすでにあなたの事務所を「金融機関」と見なしています。そして、2026年の申告シーズン以降、書面による情報セキュリティプログラム（WISP）が整備されていることを偽証罪の罰則の下で証明しない限り、IRSはPTIN（申告書作成者納税識別番号）を更新しません。この証明は、単なる形式的なチェックボックスではありません。これは、あなたの事務所がFTCセーフガード規則の9つの要素を実装し、プログラムを運営するための「適格者（Qualified Individual）」を任命し、過去1年以内にテストを実施し、30日以内に規制当局に漏洩を報告する計画を持っているという誓約声明です。
ほとんどの個人事業主や小規模な記帳代行業者がWISPの要件に気づくのは、クライアントからベンダー・デューデリジェンスのアンケートの一環として求められた時か、フィッシング事件の後にIRSから「税務専門家向けセキュリティ意識向上」レターが届いた時です。どちらも、ゼロから始めるのに適したタイミングではありません。本ガイドでは、WISPに実際に含めるべき内容、FTCセーフガード規則を小規模事務所の現実にどのように当てはめるか、そして非常勤のCISOを雇ったりエンタープライズ向けのGRCツールを購入したりすることなく、信頼できるプログラムを立ち上げる方法について説明します。
WISPがもはや任意ではない理由
米国のすべての税務申告作成者と記帳代行業者には2つの規制当局が君臨しており、それらはお互いを補完し合っています。
1つ目は**IRS（内国歳入庁）**です。IRSは長年、内国歳入法7216条およびグラム・リーチ・ブライリー法（GLBA）に基づき、書面によるセキュリティ計画を義務付けてきましたが、最近になってようやく実効性を持たせるようになりました。2024年のPTIN更新サイクルから、すべての申告作成者は最新のWISPを保持していることを宣言しなければならなくなりました。2026年の更新期間では、FTCセーフガード規則の9つの要素に関する明確な誓約が追加されます。虚偽または不注意な誓約は、情報漏洩後の調査で発覚する可能性が高く、PTIN申請時の誤実証は、漏洩そのものとは別の法的リスクとなります。
2つ目は**連邦取引委員会（FTC）**です。FTCは16 CFR Part 314に基づき、セーフガード規則を施行しています。FTCは、準拠したプログラムを維持できていない事務所に対し、1違反につき最大100,000ドルの民事罰を科す権限を持っています。「違反」は狭く定義されることもあり、何百もの顧客レコードにわたって1つの管理策が欠落しているだけで、大規模な申告作成業者に対して8桁の制裁金が課された例もあります。
セーフガード規則は過去3年間でさらに厳格化されました。2023年10月の改正により、500人以上に影響を与える暗号化されていない顧客情報の不正取得（「通知イベント」）が発生した場合、30日以内にFTCに通知することが義務付けられました。この報告義務は2024年5月に施行され、FTCはすでにこれを利用して、漏洩発生時にWISPを整備していなかった事務所を特定しています。計画なしでの漏洩は、計画ありでの漏洩よりもはるかに深刻な事態を招きます。
税務専門家にとって、この重層的な構造は、1回のフィッシング被害がIRSへのPTINリスク、FTCによる民事罰、50州の漏洩通知法に基づく州司法長官の調査、そして影響を受けたクライアントからのなりすまし被害請求の波を引き起こす可能性があることを意味します。WISPは、その被害の広がりを有意義に抑えることができる唯一の文書です。
文書化しなければならない9つの要素
FTCセーフガード規則（16 CFR § 314.4）には、9つの具体的なプログラム要素が列挙されています。IRSのPublication 5708にあるテンプレートも、これらと同じ9つの要素を中心に構成されており、それぞれについて書面で言及されていないWISPは、準拠したWISPとは言えません。小規模事務所において各要素が実際に何を意味するかは以下の通りです。
1. 適格者（Qualified Individual）の指名
セキュリティプログラムに責任を持つ人物を、役職名と氏名で1名指名しなければなりません。FTCは、適格者が特定の学位や資格を持っている必要はないと明示しています。重要なのは、役割が文書化されていること、その人物が意思決定を行う権限を持っていること、そして少なくとも年に一度は経営陣に報告を行うことです。個人事務所では、通常はオーナーが適格者となります。小規模事務所では、技術的な作業については外部のMSP（管理サービスプロバイダー）のサポートを受けつつ、マネージングパートナーやオフィスマネージャーが担当することが一般的です。役割の外注は可能ですが、責任を外注することはできません。
2. 書面によるリスクアセスメントの実施
リスクアセスメントでは、紙の記録、デジタルファイル、クラウドアプリケーション、メール、モバイルデバイス、および使用している第三者サービス全般にわたって、顧客情報に対する予見可能な内部および外部のリスクを特定します。これは書面で行われ、定期的であり、それを読んだ人がどのような脅威を考慮したのかが分かるほど具体的である必要があります。「資産 → 脅威 → 可能性 → 影響 → 緩和策」をまとめた1ページの表があれば、ほとんどの小規模事務所には十分です。「ウイルス対策ソフトを使用している」といった2行程度の記述では不十分です。
3. セーフガードの設計と実装
セーフガード規則（Safeguards Rule）は、プログラムが対処すべき特定の技術的制御を定めています。これには、アクセス制御、資産目録、保存中および転送中の顧客情報の暗号化、社内アプリケーションの安全な開発慣行、顧客データにアクセスするすべてのシステムに対する多要素認証（MFA）、最終的なやり取りから遅くとも2年以内の顧客情報の安全な廃棄、変更管理、および許可されたユーザー活動の監視が含まれます。
小規模な事務所が最も間違いやすい2つの制御は、暗号化とMFAです。この規則では、自社システム内および転送中の顧客情報の暗号化が義務付けられています。もし業務委託契約書（エンゲージメント・レター）が暗号化されずに、個人のノートPCと同期されたDropboxフォルダに置かれている場合、それは不備とみなされます。MFAは、知識、所持、固有性の3つの認証要素のうち少なくとも2つを使用する必要があり、これを省略できる唯一の方法は、適格者（Qualified Individual）が同等の制御を認めた書面による承認がある場合のみです。「不便である」ことは、同等の制御とはみなされません。
4. 定期的なセーフガードの監視とテスト
この規則では、継続的な監視、または、年次の侵入テスト（ペネトレーションテスト）および半年ごとの脆弱性診断のいずれかが求められます。小規模な事務所にとって現実的な道は後者です。年に2回の認証済み脆弱性スキャンと、かなりの件数の申告書を扱っている場合やリスクの高いクライアントデータを扱っている場合は、年次の侵入テストを実施します。テスト結果は文書化し、適格者によって確認される必要があります。
5. 従業員のトレーニング
クライアント情報にアクセスするすべての従業員は、役割に応じたセキュリティトレーニングを受ける必要があり、そのトレーニングは定期的に更新されなければなりません。適格者は、基本的なトレーニング以上の教育を必要とします。フィッシング詐欺シミュレーション、パスワード・ハイジーン、安全なファイル取り扱い、およびインシデント報告手順などは、最低限必要なトピックです。トレーニングログ（日付、出席者、トピック）は、WISPフォルダに保管してください。
6. サービスプロバイダーの監督
税務ソフトウェアベンダー、クラウドストレージプラットフォーム、電子署名サービス、給与計算プロセッサー、または記帳アプリを使用している場合、それらは規則におけるサービスプロバイダーに該当します。適切なセーフガードを維持する能力に基づいてこれらを選択し、契約によってそれを義務付け、その基準を満たし続けているかを定期的に評価しなければなりません。SOC 2 Type II 報告書が標準的な証跡となります。これを提供できないベンダーは注意が必要です。
7. プログラムの最新性の維持
WISPは「生きた文書」です。この規則では、テスト結果、業務の重大な変更、および脅威状況の変化に照らして、プログラムを評価および調整することが求められています。最低でも年1回の見直しに加え、税務ソフトウェアの変更、新しいクラウドプラットフォームへの移行、新しい事務所の開設、または新しいパートナーの加入時には、内容を更新する必要があります。
8. 書面によるインシデント対応計画の策定
インシデント対応計画（IRP）には、セキュリティイベントに対応するための内部プロセス（目標、役割と責任、内部コミュニケーション、外部コミュニケーション、証拠保全、修復手順、および事後レビュー）を明記しなければなりません。また、この計画には規制上の通知経路も含める必要があります。500人以上に影響するイベントについては30日以内にFTC（連邦取引委員会）へ、データ盗難についてはIRS（内国歳入庁）のステークホルダー・リエゾンへ、そして各州の漏洩通知法に従って各州の司法長官へ通知する手順が必要です。
9. 理事会（または所有者）への年次報告
適格者は、少なくとも年に1回、事務所の管理主体（理事会、管理パートナー、または個人事業主）に対して書面で報告しなければなりません。報告書には、プログラムの全体的なステータス、重大なリスク、テスト結果、サービスプロバイダーの問題、およびセキュリティイベントの内容を含めます。1人だけの事務所の場合、これはオーナーが自分宛にメモを書き、日付を入れ、保管することを意味します。馬鹿げているように聞こえるかもしれませんが、FTCの調査官と向き合うことになったときには、これが重要になります。
IRS Publication 5708テンプレートが最も簡単な出発点
IRS、州の税務当局、および主要な税務ソフトウェアベンダーのパートナーシップであるセキュリティ・サミット（Security Summit）は、入力可能なWISPテンプレートをIRS Publication 5708として公開しています。これはFTCの9つの要素に沿って構成された28ページの文書で、小規模な事務所が必要な各セクションを完成させられるようガイドしています。最近の改訂では、MFAの承認ワークフロー、暗号化の代替案、および30日間の漏洩通知プロセスに関する文言が追加されました。
Publication 5708に関する2つの実用的な注意点：
- 完成した計画ではなく、枠組みとして扱うこと。 テンプレートでは、事務所固有のセーフガード、ベンダー、トレーニングトピック、およびインシデント対応の連絡先を記入するよう求められます。プレースホルダーのテキストが残ったままのWISPは、WISPがないよりも悪影響を及ぼします。それは、リスク評価を実施しなかったという文書化された証拠になってしまうからです。
- 付録項目を飛ばさないこと。 テンプレートのデータ分類付録、資産目録、およびベンダーリストこそが、WISPを正当なものにする部分です。資産目録がなかったために「どのクライアントが影響を受けたか正確にはわからない」という状態で始まるインシデント対応は、最悪のスタートです。
関連刊行物である**IRS Publication 4557 — 納税者データの保護（Safeguarding Taxpayer Data）**は、連邦および州の漏洩通知法、税務専門家に対する一般的な攻撃パターン、作成者のEFINが侵害された際のIRS報告ワークフロー、および無料または低コストの技術リソースのリストなど、より広範な内容をカバーする長い教育用ガイドです。一度目を通し、ブックマークに保存して、新しいスタッフを採用した際に再確認してください。
実践的な構築：小規模事務所のための90日間ロードマップ
ゼロからWISPを立ち上げるのが難しく感じられる主な理由は、規制上のエンタープライズ・セキュリティ・プログラムの記述が、6人規模の公認会計士（CPA）事務所にそのまま当てはめにくい言語で書かれているからです。ここでは、小規模な実務に適した順序を提案します。
1日目〜14日目 — インベントリ（目録）作成と指定。 適格者（Qualified Individual）を書面で指定します。アセット・インベントリを作成します。これには、クライアントのデータに触れるすべてのデバイス、すべてのクラウドアプリケーション、すべての紙のファイルの保管場所、すべてのサービスプロバイダーを含めます。このインベントリは、リスク評価、暗号化の決定、ベンダー監視、インシデント対応のすべてがこれを参照するため、WISPにおいて最も重要な文書となります。
15日目〜30日目 — リスク評価。 インベントリを確認し、予見可能な脅威を特定します。スタッフに対するフィッシング。同期されたクライアントファイルが入ったノートパソコンの紛失。ドキュメントリポジトリを暗号化するランサムウェア。ベンダーの侵害によるクライアントのアップロードデータの流出。それぞれをスコアリングし、現在の対策を記録し、不足（ギャップ）を特定します。
31日目〜60日目 — 管理策の実施。 特定されたギャップを埋めます。税務ソフト、メール、クラウドストレージ、電子署名、簿記プラットフォームを含む、クライアントデータに触れるすべてのシステムに多要素認証（MFA）を導入します。すべてのワークステーションとノートパソコンにフルディスク暗号化を施します。紙、ハードドライブ、旧クライアントのフォルダに対する安全な廃棄手順を確立します。セキュリティ義務を含めるようベンダー契約を更新します。完了ログを追跡できる形でスタッフ研修を開始します。
61日目〜80日目 — 計画の策定。 IRSのPublication 5708を開き、これまでに実施したインベントリ、リスク評価、管理策に基づいて各セクションを記入します。具体的な連絡先、FTCへの報告ワークフロー、お住まいの地域のIRSステークホルダー・リエゾン（IRS Stakeholder Liaison）の連絡先を含めたインシデント対応計画を作成します。年次レビューのスケジュールを文書化します。
81日目〜90日目 — テスト、トレーニング、報告。 インシデント対応計画の机上演習（テーブルトップ・エクササイズ）を実施します。信頼できるプロバイダーによる脆弱性スキャンを受けます。正式なスタッフ研修セッションを実施し、出席ログを記録します。適格者による最初の年次報告書を作成し、署名して保管します。
90日が経過する頃には、正当性を主張できるWISPが完成しています。これは一度きりの作業ではなく、毎年プログラムを向上させていく年次サイクルの始まりです。
多くの小規模事務所がいまだに陥る落とし穴
数百の小規模な実務が最初のWISPサイクルを経験するのを見てきましたが、同じような欠落が繰り返し見られます。
- WISPを業務慣行ではなく、単なるWord文書として扱っている。 引き出しにしまわれた計画はプログラムではありません。コンプライアンスの証拠は、計画書自体ではなく、研修ログ、ベンダーレビュー、脆弱性スキャンレポート、年次報告書の中に存在します。
- クライアントの機密保持とデータセキュリティを混同している。 業務委任契約書にある機密保持条項は契約上の義務です。FTCセーフガード規則は、技術的、管理的、物理的な管理要件を伴う規制上の義務です。これらは重複しますが、同じものではありません。
- 個人のデバイスを無視している。 パートナーが個人のスマートフォンでクライアントのメールをチェックする場合、そのスマートフォンはWISPの対象範囲（スコープ）に含まれます。リスク評価でそれに対処し、MFAを強制し、インシデント対応計画で考慮する必要があります。
- サービスプロバイダーのレビューをスキップしている。 クライアントに影響を与える侵害を受けたベンダーがあった場合、適切な監視を証明できなければ、FTCへの通知義務はあなたに残ります。年一度のSOC 2レビューに1時間を費やすことが、事務所を救うことにつながるかもしれません。
- 侵害報告のワークフローを「発生した時に考える」としている。 FTCの30日間の猶予期間は、それが現実だと判断した日ではなく、発見した日からカウントされます。報告フォーム、州ごとの通知連絡先リスト、サイバー保険会社の電話番号をWISP内にあらかじめ用意しておくことが、制御されたインシデントと規制上の混乱の分かれ目となります。
優れた簿記がこれとどう関係しているのか
WISPは根本的に記録に関する物語です。何を持っているのか、どこにあるのか、誰が触れるのか、そして問題が起きた時にどうするのか。セーフガード規則に苦労している事務所は、自社の帳簿にも苦労している事務所であることが多いのです。バラバラのシステムに散在する記録、バージョン履歴の欠如、いつ誰が何を変更したかの監査証跡がない状態です。
この繋がりは偶然ではありません。プレーンテキストでバージョン管理された会計に基づいた簿記の実務は、信頼できるセキュリティプログラムが必要とするものと同じ基本要素を提供します。すなわち、唯一の真実のソース（Single source of truth）、改ざん不可能な履歴、特定の日付の状態を正確に再構築できる能力、そして証跡を失うことなくアクセス権を付与または取り消す能力です。FTCからインシデント発生時に保持していたクライアントデータについて問われた際、「そのタイムスタンプ時点の元帳を照会します」という回答は、「バックアップがまだ生きているか確認させてください」という回答よりも圧倒的に優れています。
事務所の財務記録をWISPと同じくらい堅牢に保つ
書面による情報セキュリティ計画（WISP）の価値は、それが保護する記録の質に左右されます。自社の帳簿がバージョン履歴のない不透明なシステムにある場合、FTCセーフガード規則、職業賠償責任保険会社、そしてクライアントが維持を期待している監査証跡をすでに失っていることになります。Beancount.io は、プレーンテキストによるGitバージョン管理会計を提供し、会計事務所が自社の財務データを完全に透明化できるようにします。すべての取引、すべての再分類、すべての照合が、自身でコントロール可能な改ざん不可能な履歴に記録されます。無料で開始して、クライアントに対して負っているのと同じ証拠基準で事務所を運営しましょう。