着服と横領の違いとは？|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年03月23日更新日時: 2026年08月02日

企業で不正が発覚したとき、社内ではよく「着服があった」「横領ではないか」という言い方がされます。どちらも会社の資産を不正に自分のものにした、という意味で使われがちですが、法的には同じ言葉ではありません。

大まかにいえば、着服は一般的な表現であり、刑法上の罪名そのものではありません。一方の横領は、刑法に定められた犯罪類型です。会社の現金を預かっていた経理担当者が私的に使った場合は業務上横領が問題になりますが、架空発注で会社から金銭を支払わせた場合は背任や詐欺の構成になり得ます。顧客情報や営業秘密を退職時に持ち出した場合も、単純にデータ横領と呼ぶより、不正競争防止法違反、不正アクセス禁止法違反、個人情報保護法上の安全管理措置や従業者監督の問題として見る必要があります。

情報システム部門の立場では、横領や着服は経理部門だけの話ではありません。SaaSの管理者権限、顧客データベース、社内チャット、GitHub、クラウドストレージ、代理店ポータル、CRMなど、内部者が正規の権限で触れる場所にこそ、外部攻撃では見えにくいリスクがあります。この記事では、横領と着服の違いを整理したうえで、サイト内で取り上げてきた内部不正事例、海外統計、実務上の防止策をまとめます。

横領と着服の違いのサマリー

着服は、他人や組織の金銭・物品を不正に自分のものにする行為を広く指す一般語です。刑法上の罪名そのものではありません。
横領は、自己が占有している他人の物を不法に自分のものとして扱う刑法上の犯罪です。会社業務として預かっていた財産を使い込む場合は、業務上横領が問題になります。
架空発注、自己発注、取引先との癒着、情報持ち出しは、横領ではなく背任、詐欺、不正競争防止法違反、不正アクセス禁止法違反などで評価される場合があります。
データや営業秘密の持ち出しを安易にデータ横領と呼ぶと、法的な説明としては粗くなります。情報は刑法上の物とは別に整理する必要があります。
ACFEの2026年版調査では、職業上の不正2,402件の総損失が34億ドル超に上り、典型的な不正は発覚まで12か月続いていました。内部不正は、発生してから気づくまでが長い点に怖さがあります。
情報システム部門は、アクセス権、ログ、DLP、退職者管理、特権ID、クラウド利用履歴を、会計・法務・人事・監査と同じ目線で扱う必要があります。

整理表

項目	着服	横領	業務上横領	背任・詐欺・営業秘密持ち出しとの違い
用語の性質	一般語、報道語、社内説明で使われる表現	刑法上の犯罪類型	刑法上の犯罪類型	行為の構造によって別の罪名や法令違反になる
典型例	会社の現金を使い込む、預かった金を私的流用する	預かっていた他人の物を自分のものにする	業務として管理していた会社資金や顧客資産を私的に使う	架空発注、虚偽請求、取引先との癒着、顧客情報の持ち出し
重要な分岐点	何をしたかの説明に使われる	自分が占有していた他人の物か	業務として占有していたか	最初からだまして受け取ったか、任務違背で損害を与えたか、情報を不正取得したか
対象	金銭、物品、売上金、預かり金など	他人の物	業務上占有する他人の物	財産上の利益、会社への損害、営業秘密、個人データ、認証情報など
情報セキュリティ上の見方	内部不正の入口となる言葉	物や金銭の管理統制の問題	経理・金融・顧客資産管理の統制問題	ID管理、DLP、ログ監査、退職者管理、委託先管理の問題
注意点	着服イコール横領とは限らない	情報そのものを雑に横領と呼ばない	法定刑が単純横領より重い	契約違反、懲戒事由、民事責任、刑事責任を切り分ける

着服は罪名ではなく、横領は刑法上の犯罪類型

着服は、実務ではかなり便利な言葉です。会社の売上金を持ち帰った、顧客から預かった金を別用途に使った、経費を水増しして差額を取った、仕入れた備品を私物化した。こうした行為を社内で説明するときに、着服という言葉はよく使われます。

ただし、着服という名前の犯罪が刑法にあるわけではありません。報道で「約4,000万円を着服」と書かれていても、実際の容疑や起訴罪名は、業務上横領、詐欺、背任、窃盗、不正競争防止法違反などに分かれます。ここを曖昧にすると、社内調査の初動や公表文で表現を誤りやすくなります。

横領は、刑法第252条以下に置かれている犯罪類型です。現在の刑法では、自己の占有する他人の物を横領した者は5年以下の拘禁刑、業務上自己の占有する他人の物を横領した者は10年以下の拘禁刑とされています。2025年6月1日から懲役と禁錮が拘禁刑に一本化されたため、現在の法令表示では拘禁刑という用語が使われます。一方で、報道や過去の事件説明では、発生時期や慣用表現として懲役という言葉が残っている場合があります。

実務上の一番の分かれ目は、その人が問題の財産をどのような立場で持っていたかです。会社のお金を預かる立場にある経理担当者、顧客資産を扱う金融機関職員、倉庫の在庫を管理する担当者などは、最初は正当な権限で財産を管理しています。その管理している物を、後から自分のものとして使う方向へ変えると、横領の問題になります。

これに対して、最初からだまして金銭を受け取る場合は詐欺が問題になり得ます。自分の担当業務に反して会社へ損害を与え、自己または第三者の利益を図った場合は背任が問題になります。言葉としてはどれも着服に見えても、法的な骨格はかなり違います。

横領・窃盗・詐欺・背任をどう切り分けるか

社内不正の調査で難しいのは、同じ金銭被害でも、入口が違えば評価が変わる点です。横領は、もともと本人が占有していた他人の物を不正に自分のものにする構造です。窃盗は、他人が占有している物を奪う構造です。詐欺は、相手をだまして財物や財産上の利益を得る構造です。背任は、他人のために事務を処理する立場の人が任務に背き、本人に財産上の損害を与える構造です。

たとえば、経理担当者が会社口座から自分の口座へ送金した場合、会社資金の管理権限を持っていたか、送金権限の範囲内で操作したか、承認フローを偽装したかによって、横領、詐欺、背任、電子計算機使用詐欺などの検討対象が変わります。実際の罪名は、証拠関係と捜査機関・裁判所の判断によります。

ガンホー・オンライン・エンターテイメントの元システム本部長の事例は、この違いを考えるうえで分かりやすい例です。当サイトでは、同社の元システム本部長がクラウドソーシングサイトで個人事業主を装ったアカウントを開設し、架空業務を自分へ発注させたとして、背任容疑で逮捕された件を取り上げました。社内調査では自己発注による着服などが説明されていましたが、逮捕容疑としては背任が問題にされています。つまり、社内説明としては着服と呼ばれ得る行為でも、刑事上は横領とは別の整理になることがあります。

一方で、静清信用金庫の元支店長代理の事例では、顧客口座からの払戻金を巡り業務上横領が問題になりました。当サイトの既報では、元支店長代理が金利の高い定期預金への預け替えを装い、顧客の口座からおよそ4,200万円を横領した疑いで逮捕・送検された経緯を整理しています。この事例では、顧客資産を扱う金融機関の職員が、業務上の立場と顧客からの信頼を利用した点が重く見られます。

現場で大事なのは、最初から罪名を決めつけないことです。社内調査の初期段階では、不正の疑い、不適切な資金流用、会社資産の私的利用、顧客情報の不正取得といった事実ベースの表現にとどめ、弁護士や警察相談の段階で法的評価を詰めた方が安全です。

データや営業秘密を「横領」と呼ぶと危ない理由

旧記事では、情報の着服、データ横領という表現を使っていました。読み物としては分かりやすいのですが、法的な説明としては注意が必要です。

刑法上の横領で中心になるのは、自己の占有する他人の物です。顧客リスト、設計図、ソースコード、商談資料、営業秘密、個人データは、企業にとって重要な資産です。ただし、情報そのものを刑法上の物と同じように扱えるかは別問題です。紙の帳票やUSBメモリのような媒体を持ち去った場合は物の問題が出ますが、クラウドからデータをコピーした、退職前に私用メールへ送った、CRMから一覧をダウンロードした、という場合は横領というより、営業秘密の不正取得、不正アクセス、個人データの漏えい、就業規則違反、秘密保持義務違反として整理する方が実務に合います。

実際、当サイトで取り上げた損害保険会社の顧客情報不正取得事例では、山形県警が元代理店関係者ら4人を不正競争防止法違反、営業秘密領得の疑いで逮捕したとされています。問題となったのは、当時勤務していた代理店から損保会社のコンピューターにアクセスし、営業秘密である顧客情報約5,000件を不正に取得した疑いです。報道表現としては情報の持ち出し、悪用、流用と説明できますが、横領よりも不正競争防止法上の営業秘密の不正取得として見るべき事案です。

個人情報保護委員会のガイドラインでも、個人情報取扱事業者は従業者に個人データを取り扱わせる際、必要かつ適切な監督をしなければならないとされています。従業員が個人データを持ち出した場合、会社にとっては本人の犯罪行為だけでなく、会社側の安全管理措置や従業者監督が問われる場面でもあります。

情報システム部門にとっては、この整理が重要です。金銭の横領であれば会計伝票や銀行口座の監査が中心になりますが、情報持ち出しでは、アカウント、権限、ログ、端末、クラウドストレージ、外部共有設定、メール転送、USB利用、SaaSのAPI連携が調査対象になります。法律用語は違っても、内部者が正規権限を使って会社資産を外へ出すという構造は共通しています。

サイト内事例で見る内部不正の典型パターン

セキュリティ対策Labの内部不正カテゴリーでは、横領、収賄、営業秘密持ち出し、顧客情報の不正取得、不正アクセス、情報漏えい、特権的アクセスの悪用といった事案を継続的に取り上げています。これらを横に並べると、内部不正は大きく四つのパターンに分けられます。

一つ目は、現金・預金・顧客資産を扱う立場の悪用です。静清信用金庫の事例では、顧客口座からの払戻金を巡る業務上横領が問題になりました。既報で整理した通り、払戻理由の確認不足、顧客本人への直接確認の未実施、現金の無施錠管理、出金時の立ち会い不徹底といった内部統制の形骸化が、被害を広げる土壌になっていました。

二つ目は、発注権限・承認権限の悪用です。ガンホー元システム本部長の事例では、架空発注や自己発注が問題になりました。これは経理システムだけの問題ではなく、ワークフロー、発注管理、アカウント本人確認、取引先審査、承認ログの監査が十分だったかというIT統制の問題でもあります。

三つ目は、顧客情報・営業秘密の持ち出しです。損保顧客情報の不正取得事例や、過去の情報持ち出し事例は、退職・転職・出向・代理店変更のタイミングで起きやすい構造を持っています。顧客データに正規権限でアクセスできる人ほど、外部攻撃者よりも短時間で大量の情報を取得できます。アクセス権が残ったままになっていないか、退職前後の大量ダウンロードが見落とされていないか、私用メールや個人クラウドへの送信を検知できているかが問われます。

四つ目は、特権的な立場の私的利用です。当サイトで取り上げたセブンイレブンフランチャイズ店の人気キャラクター商品不正転売問題は、刑事事件としての横領と単純に断定する話ではありません。正規に購入した商品の転売は、直ちに業務上横領や窃盗と評価できるものではなく、契約違反、販売ルール違反、ブランド毀損、フランチャイズガバナンスの問題として検討する必要があります。ただし、店舗関係者が発売情報や在庫への優先アクセスを使い、顧客より先に商品を取り置く構造は、内部者の特権的アクセス悪用という意味で、情報セキュリティ上の内部不正とよく似ています。

ここで見えてくるのは、内部不正は犯罪名で分類するより、どの権限が、どの資産に、どのタイミングで悪用されたのかで見た方が対策につながるということです。

海外統計から見える内部不正の重さ

海外の不正調査でも、内部不正は一過性の小さな問題ではなく、組織に大きな損失を与えるリスクとして扱われています。

ACFEのOccupational Fraud 2026: A Report to the Nationsは、143の国と地域から集めた職業上の不正2,402件を分析しています。同レポートの発表によれば、調査対象事案の総損失は34億ドル超、中央値ベースの損失は1件あたり10万4,000ドル、平均損失は145万7,000ドルでした。さらに、20%の事案では損失が100万ドルを超え、典型的な不正は発覚まで12か月続いていました。発見経路では通報が43%を占め、その半数以上は従業員からの通報でした。

この数字は、内部不正対策を監視ツールだけに寄せてはいけないことを示しています。ログやDLPは重要ですが、不自然な生活水準、過度な業務抱え込み、休暇取得の拒否、取引先との過度な近さ、上司が細部を確認しない文化といった、人と組織の兆候も見逃せません。

米CISAは、内部脅威の軽減は組織横断の取り組みであり、物理セキュリティ、サイバーセキュリティ、人事、法務、コンプライアンスを含む対応が必要だと整理しています。CMU SEIのCERT DivisionによるCommon Sense Guide to Mitigating Insider Threats第7版も、3,000件超の内部脅威事例の分析に基づく22のベストプラクティスを示しています。どちらも、内部不正をセキュリティ部門だけで抱えるのではなく、制度、権限、監査、教育、通報、インシデント対応を組み合わせて管理する発想です。

日本でも、IPAが組織における内部不正防止ガイドラインを公開しています。第5版では、法改正や事業環境・技術環境の変化を踏まえて、内部不正対策を組織的に進める必要性が整理されています。横領や着服を、経理担当者のモラルだけの問題として片付けると、同じ構造の不正が別部署で繰り返されます。

AI・クラウド・リモートワークで変わる着服と内部不正

昔の着服は、現金、印鑑、紙の伝票、手書き台帳の世界で語られることが多かったと思います。今は違います。SaaSの管理画面からCSVを落とす、SlackやTeamsで機密ファイルを共有する、GitHubからソースコードをcloneする、CRMから顧客リストをエクスポートする、生成AIに社内資料を貼り付ける。こうした行為は、すべて数分で終わります。

この変化によって、内部不正の早期発見は難しくなっています。会社の端末から会社のSaaSへアクセスしている限り、通信自体は正規の業務に見えます。多要素認証が有効でも、本人がログインしているなら認証は突破されません。ゼロトラストを掲げていても、権限が広すぎれば、その権限の範囲内で情報を抜き出せます。

生成AIやAIエージェントの利用も、新しい内部リスクです。従業員が悪意なく、契約書、顧客一覧、ソースコード、障害報告書、営業戦略を外部AIサービスへ入力すれば、会社から見ると情報の外部送信です。意図的な着服ではなくても、結果として機密情報の不適切な持ち出しに近い被害を生むことがあります。Shadow AI対策と内部不正対策は、別々に見えるようで、実際にはかなり重なっています。

情報システム部門としては、金銭の流れだけでなく、データの流れを会計監査に近い粒度で見なければなりません。誰が、どの権限で、どのデータに、いつ、どこから、どの量アクセスし、どこへ送ったのか。これを後から説明できない組織は、内部不正が発覚したあとに、被害範囲の説明で必ず苦労します。

企業が取るべき内部不正対策

内部不正対策は、従業員を疑うための仕組みではありません。むしろ、正しく働いている従業員を守り、不正をしようとする人に機会を与えないための仕組みです。

最初に見直すべきは、職務分掌です。発注、検収、支払い、マスタ登録、請求書承認、口座変更、返金、在庫廃棄、顧客情報の一括出力を同じ人が一人で完結できる状態は危険です。システム上の承認フローがあっても、承認者が内容を見ていない、例外処理が多すぎる、代理承認が常態化している、共有IDで操作している、といった状態では意味がありません。

次に、権限を絞る必要があります。最小権限はセキュリティの教科書に必ず出てくる言葉ですが、内部不正では特に効きます。見なくてよい顧客情報を見られないようにする、退職・異動時に即日で権限を外す、代理店や出向者の権限を契約単位で見直す、管理者権限を常時付与せず必要時だけ昇格させる。地味ですが、これが一番効きます。

ログ監査も重要です。ただし、ログを取るだけでは足りません。大量ダウンロード、深夜休日アクセス、退職予定者のアクセス増加、普段触らない顧客群への検索、USB接続、個人メールへの送信、外部クラウド共有、ソースコードの大量取得、AIサービスへのアクセスを、組織のリスクに応じて見られる状態にしておく必要があります。ログは、誰かを処罰するためだけでなく、疑いが晴れる従業員を守るためにも必要です。

DLPやCASB、SASE、EDR、UEBAといった技術も役に立ちます。ただし、製品を入れるだけで内部不正は止まりません。どの情報を機密として分類するのか、どの送信をブロックし、どの送信を警告にとどめるのか、例外承認を誰が見るのかを決めておく必要があります。営業部門が顧客リストを使えなくなるほど厳しくしすぎると、現場は個人端末や私用クラウドに逃げます。厳しさと業務現実のバランスを取ることが、内部不正対策では意外に大事です。

内部通報制度も軽視できません。ACFEの調査で通報が最も多い発見経路だったことを考えると、従業員が違和感を報告できる窓口は、監視ツールと同じくらい重要です。匿名通報の仕組み、報復禁止、調査の独立性、通報後のフィードバックが曖昧だと、現場は黙ります。内部不正は、帳簿より先に現場の違和感として表れることがあります。

不正が疑われたときの初動対応

横領や着服の疑いが出たときに、最初から本人を呼び出して問い詰めるのは危険です。証拠を消される、関係者に口裏合わせをされる、逆に不当な処分だと争われる、というリスクがあります。

初動では、関係する会計データ、メール、チャット、SaaSログ、入退室ログ、端末ログ、クラウドストレージの操作履歴、承認ワークフロー、監視カメラ映像、契約書、請求書、口座変更履歴を保全します。デジタル証拠は、取得方法を間違えると後で証拠性を争われることがあります。特に端末やスマートフォン、クラウドログは、法務・人事・弁護士・フォレンジック会社と連携して慎重に扱うべきです。

本人への事情聴取は、一定の客観資料を押さえた後に行う方が安全です。感情的な追及ではなく、事実確認、弁明の機会、聴取記録の作成、関係資料の提示という手順を踏む必要があります。懲戒処分、損害賠償請求、刑事告訴、警察相談、個人情報保護委員会への報告、顧客への通知が必要になる場合もあるため、早い段階で法務と経営層を巻き込むべきです。

公表文を作る場合も、言葉の選び方には注意が必要です。着服、横領、詐欺、背任、営業秘密の不正取得、個人情報漏えいは、それぞれ意味が違います。事実確認が終わっていない段階で、元従業員が横領したと断定すると、名誉毀損や労務紛争の火種にもなりかねません。公表時点では、確認済みの事実、疑いの内容、被害範囲、再発防止策、関係機関への相談状況を分けて書くのが基本です。

情報システム部門への示唆

横領と着服の違いは、法律用語の細かい話に見えるかもしれません。ただ、情報システム部門にとっては、社内不正をどのように検知し、どの証拠を残し、どの部門と連携するかという実務に直結します。

特に見直したいのは、特権IDとデータ出力権限です。管理者権限、経理システムの振込権限、CRMの一括エクスポート権限、代理店ポータルの閲覧権限、GitHubのリポジトリアクセス、Google WorkspaceやMicrosoft 365の外部共有設定は、内部不正が起きたときの被害額と被害範囲を大きく左右します。誰が持っているかだけでなく、なぜ必要なのか、いつ見直したのか、使われたときに誰が気づくのかまで確認すべきです。

退職者・異動者管理も重要です。退職直前の大量ダウンロード、個人メールへの転送、外部ストレージへの同期、ソースコードの取得、顧客リストの検索増加は、営業秘密や個人情報持ち出しの前兆になり得ます。人事情報とID管理が連携していない組織では、退職後もSaaSアカウントが残る、委託先アカウントが放置される、共有IDの利用者を追跡できないといった問題が起きます。

会計・監査部門との連携も欠かせません。架空発注や自己発注は、ITログだけでも会計帳簿だけでも見つけにくいことがあります。新規取引先登録、発注者と検収者の関係、少額分割発注、同じ住所・電話番号・銀行口座、クラウドソーシング経由の発注、承認者の偏りを、システム上で突合できるようにしておくと、背任や詐欺型の内部不正を早期に見つけやすくなります。

最後に、内部不正対策は監視文化になりすぎないことも大切です。CISAやCERTが示すように、内部脅威対策は人事、法務、セキュリティ、物理管理、コンプライアンスをまたぐ取り組みです。従業員を常に疑うというより、不正をしなくても済む環境、不正をしても見つかる環境、違和感を通報できる環境を作ることが、結果的に会社と従業員の双方を守ります。

横領と着服を正しく切り分けることは、単なる言葉の整理ではありません。金銭、物品、データ、権限、顧客との信頼を、会社がどう守るかという内部統制そのものの話です。