コンプライアンスは「証明書」か「実態」か

「御社は完全にコンプライアンスを達成しています」——その言葉が、実は何も証明していなかったとしたら？

何が起きたのか

2026年3月、匿名のSubstackユーザー「DeepDelver」が、セキュリティ・プライバシーのコンプライアンス自動化スタートアップDelveに対する深刻な告発文を公開しました。DeepDelverは自身を「元Delveクライアントの従業員」と名乗り、「報復を恐れて匿名を選んだ」と説明しています。

告発の核心はこうです。Delveは「最速のプラットフォーム」という売り文句を実現するために、実際には行われていない取締役会、テスト、プロセスの証拠を捏造し、それを顧客に「テンプレート」として提供していた。さらに、監査報告書を独立した監査機関が作成する前にDelve側が事実上完成させており、監査機関は形式的に「承認印」を押すだけの存在に成り下がっていた——というものです。

問題はそれだけではありません。DeepDelverは、Delveの顧客のほぼ全てがAccorpとGradientという2つの監査法人を通じており、この2社は「同一の組織の一部」であり、インドを拠点とし米国での実体がほぼないと主張しています。結果として、数百社の顧客がHIPAA（米国医療情報保護法）違反による刑事責任や、GDPR（欧州一般データ保護規則）の高額罰金リスクに晒されている可能性があると警告しています。

DelveはY Combinator出身で、昨年3200万ドルのシリーズAを3億ドルのバリュエーションで調達。Insight Partnersが主導したこのラウンドは、コンプライアンス自動化市場への期待の高さを象徴するものでした。

企業の反論と「言葉の戦い」

告発を受けたDelveは、自社ブログで反論を展開しました。同社の主張は次の通りです。「当社はコンプライアンス報告書を発行していない。当社はあくまで自動化プラットフォームであり、最終報告書と意見は独立した認定監査機関が発行する」。また「偽の証拠」という批判に対しては、「提供しているのはチームがプロセスを文書化するためのテンプレートであり、事前入力された証拠とは異なる」と述べています。

しかしDeepDelverはこの反論を「怠慢で、不器用で、厚かましい」と一蹴しました。「『事前入力された証拠』ではなく『テンプレート』と呼ぶことで責任を顧客に転嫁しようとしている。報告書を『発行』していないと主張するのも、最終的なスタンプを押す行為を『発行』と定義しなければ簡単に言えること」と反論しています。

広告

広告掲載について

[email protected]

広告

さらに告発後、XユーザーのJames Zhou氏が従業員の身元調査や株式付与スケジュールなどDelveの機密情報にアクセスできたと報告。セキュリティ研究者のJamieson O'Reilly氏も「Delveの外部攻撃面に複数の深刻なセキュリティホールが存在する」と詳細を共有しました。コンプライアンスを売りにする企業が、自身のセキュリティで穴を抱えていたという皮肉な事実です。

なぜ今、この問題が重要なのか

コンプライアンス自動化は急成長市場です。SOC 2、ISO 27001、HIPAA、GDPR——グローバルビジネスを展開する企業にとって、これらの認証取得は取引先や投資家からの信頼を得るための「入場券」となっています。そのプロセスを効率化するツールへの需要は高く、Delveのような企業が急速に成長した背景もここにあります。

しかし今回の告発が示すのは、「効率化」と「形骸化」は紙一重であるという現実です。証明書の取得が目的化し、実際のセキュリティ実装が伴わない場合、それは顧客企業だけでなく、その顧客企業が守るべきエンドユーザーのデータをも危険に晒します。

日本企業にとってこの問題は決して対岸の火事ではありません。グローバル展開する日本企業の多くが、SOC 2やISO 27001の認証をベンダー選定の基準としています。もし取引先の海外ベンダーがDelveのようなプラットフォームで「形式上のコンプライアンス」を取得していた場合、その信頼性の根拠が崩れることになります。個人情報保護法の改正が続く日本においても、コンプライアンスの「実態」を確認するデューデリジェンスの重要性は増すばかりです。

複数の視点から読み解く

投資家の立場からは、今回の事態は「バリュエーション3億ドル」という数字が何を根拠にしていたのかを問い直す契機となります。急成長するコンプライアンステック企業の評価において、顧客の「コンプライアンス達成率」という指標がいかに検証困難であるかが浮き彫りになりました。

規制当局の視点では、コンプライアンス自動化ツール自体を監督する枠組みが存在しないという構造的な問題が露わになっています。監査機関を認定する制度はあっても、監査プロセスを「補助」するツールベンダーの品質を保証する仕組みは整っていません。

一方、競合他社にとっては、自社の正当性を示す機会でもあります。しかし同時に、業界全体への不信感が高まるリスクも抱えています。「うちは違う」という主張を、どう証明するのかが問われます。

文化的な視点も興味深いです。日本のビジネス文化において「書類が整っていること」は重要な信頼の証とされてきました。しかし今回の事例は、書類の整合性と実態の乖離がいかに深刻なリスクを生むかを示しています。形式と実質のバランスをどう取るか——これは日本企業が長年向き合ってきたテーマでもあります。