financial-retention

財務記録の保存期間

概要

財務記録には、複数の規制枠組みにまたがる複雑な法定保存要件が適用されます。GDPR の保存期間の制限原則によって保存期間が決まることの多い他のデータカテゴリとは異なり、財務記録には、保存期間を最小限に抑えるという一般原則に優先する、義務付けられた最低保存期間が定められていることがよくあります。複数の法域で事業を展開する組織は、重複し、ときには相反する要件を調整し、適用される最も厳しい要件を満たす期間は保存しつつ、必要以上に長く保存しないようにする必要があります。このスキルでは、EU、英国、米国の枠組みにおける財務データのカテゴリと法定保存期間を対応付けます。

規制枠組みの一覧

EU／英国の財務記録の保存要件

規制／法令	適用範囲	保存期間	データカテゴリ	法的根拠
Companies Act 2006 (UK)	英国のすべての企業	会計年度末から6年間	会計記録、財務諸表、取締役報告書	s.388(4)
HMRC — Income Tax	英国の納税者	課税年度末から6年間（特定の条件を満たす個人および法人化されていない事業者は5年間）	税務申告書、P60、P11D、給与記録、経費記録	TMA 1970 s.12B; ITEPA 2003
HMRC — VAT	英国で VAT 登録を行っている事業者	VAT 期間末から6年間	VAT 申告書、請求書（売上および仕入れ）、貸方票／借方票	VAT Regulations 1995 reg.31
HMRC — Corporation Tax	英国企業	会計期間末から6年間	法人税申告書、計算書、裏付けとなる記録	TMA 1970 s.34
EU Accounting Directive 2013/34/EU	EU 加盟国の企業	5～10年間（加盟国によって異なります）	年次決算書、経営報告書、監査報告書	Art. 30（加盟国による国内法化）
MiFID II / MiFIR	投資会社	5年間（所管当局により7年間まで延長可能）	顧客注文、取引、連絡記録（電話および電子通信を含む）、適合性評価	MiFID II Art. 16(6)-(7); Commission Delegated Regulation 2017/565 Art. 72-76
EMIR	デリバティブ取引のカウンターパーティー	契約終了後5年間	店頭デリバティブ契約、清算済みデリバティブの記録、取引報告	EMIR Art. 9(2)
AMLD 5 (EU) / MLR 2017 (UK)	義務対象事業者	取引関係の終了または取引完了から5年間	顧客デューデリジェンス記録、取引記録、リスク評価、SAR	AMLD5 Art. 40; MLR 2017 reg.40
Payment Services Directive (PSD2)	決済サービス提供者	5年間	決済取引記録、認証記録	PSD2 Art. 99（執行規定）
GDPR	個人データを処理するすべての管理者	保存期間の制限 — 必要な期間を超えて保存しない	財務記録に含まれるすべての個人データ	Art. 5(1)(e)

米国の財務記録の保存要件

規制／法令	対象範囲	保存期間	データカテゴリ	法的根拠
SOX 第802条	上場企業、監査人	7年	監査調書、レビュー調書、監査／レビューの根拠となる文書	18 U.S.C. §1520；SEC Rule 2-06
SOX 第802条 — 破棄の禁止	上場企業	罰則：最長20年の懲役	調査を妨害する意図で、文書を故意に改ざん、破棄、または隠匿することの禁止	18 U.S.C. §1519
SEC Rule 17a-4	ブローカー・ディーラー	6年（最初の2年間はすぐにアクセス可能な状態で保存）	取引記録、顧客口座記録、通信記録	17 CFR §240.17a-4
IRS 要件	米国の納税者	種類に応じて3～7年	税務申告書（申告から3年、または納税から2年）；雇用記録（4年）；資産記録（処分後3年まで）	IRC §6501（時効）
銀行秘密法（BSA）	金融機関	5年	CTR、SAR、CDD 記録、CIP 記録	31 CFR §1010.430
FCPA	米国との関連性がある企業	最低5年（推奨10年）	帳簿および記録、内部統制文書、支払い記録	15 U.S.C. §78m
ドッド・フランク法	スワップ・ディーラー、証券ベース・スワップ・ディーラー	5年	スワップ取引記録、日次取引記録	17 CFR §23.203

Orion Data Vault Corp に適用される複数法域の要件の調整

同じデータに複数の要件が適用される場合、適用される期間のうち最も長い期間が適用されます。

財務データカテゴリ	英国の要件	EU の要件	米国の要件（該当する場合）	適用期間
一般会計記録	6年（会社法）	5～10年（会計指令）	7年（SOX、米国上場の場合）	7年（米国上場の場合）／6年（英国のみ）
税務記録（法人）	6年（HMRC）	加盟国ごと（通常5～10年）	3～7年（IRS）	6年（英国）
VAT 記録	6年（HMRC）	加盟国ごと	該当なし	6年（英国）
給与記録	6年（PAYE 規則）	加盟国ごと	4年（IRS の雇用記録）	6年（英国）
AML／CDD 記録	5年（MLR 2017）	5年（AMLD5）	5年（BSA）	5年
投資顧客記録	5～7年（MiFID II）	5～7年（MiFID II）	6年（SEC 17a-4）	7年（FCA が延長する場合）
支払い取引記録	6年（時効法）	5年（PSD2）	該当なし	6年（英国）
監査調書	6年（会社法）	加盟国ごと	7年（SOX）	7年（米国上場の場合）
顧客との通信記録（投資）	5年（MiFID II の基本期間）	5年（MiFID II）	6年（SEC 17a-4）	5～7年（MiFID II；所管当局が延長する場合あり）

データカテゴリ別保存スケジュール — 財務記録

Orion Data Vault Corp の詳細な保存スケジュール

カテゴリーID	データカテゴリー	具体的な記録	保存期間	起算事由	法的根拠	見直し頻度
FIN-001	総勘定元帳	仕訳、試算表、勘定科目表	会計年度末から6年間	会計年度末	Companies Act 2006 s.388	年次
FIN-002	買掛金	購入請求書、仕入先の明細書、支払記録	会計年度末から6年間	会計年度末	Companies Act 2006；HMRC VAT	年次
FIN-003	売掛金	売上請求書、クレジットノート、デビットノート、明細書	会計年度末から6年間	会計年度末	Companies Act 2006；HMRC VAT	年次
FIN-004	銀行記録	銀行取引明細書、照合記録、小切手控え	会計年度末から6年間	会計年度末	Companies Act 2006；Limitation Act 1980	年次
FIN-005	給与記録	給与明細書、P45、P60、P11D、NI 記録、年金拠出記録	課税年度末から6年間	課税年度末（4月5日）	Income Tax (PAYE) Regulations 2003；Pensions Act 2004	年次
FIN-006	法人税申告書（CT）	法人税申告書、税額計算書、補足明細	会計期間末から6年間	会計期間末	TMA 1970 s.34	年次
FIN-007	VAT 申告書	VAT 申告書、四半期ごとの概要、MTD 記録	VAT 期間末から6年間	VAT 期間末	VAT Regulations 1995 reg.31	年次
FIN-008	経費精算申請	経費報告書、領収書、承認記録、走行距離記録	課税年度末から6年間	課税年度末	HMRC；Companies Act 2006	年次
FIN-009	AML 記録	CDD 文書、EDD 記録、リスク評価、取引モニタリングのアラート、SAR の提出記録	取引関係または取引の終了から5年間	取引関係の終了／取引日	MLR 2017 reg.40；AMLD5 Art. 40	年次
FIN-010	監査ファイル	外部監査の監査調書、内部監査報告書、経営陣宛て書簡	監査日から7年間（SOX）／6年間（英国のみ）	監査完了日	SOX s.802；Companies Act 2006	年次
FIN-011	投資記録	顧客注文、執行報告書、適合性評価、最良執行記録	記録日から5年間（FCA により7年間まで延長可能）	記録作成日	MiFID II Art. 16(6)；FCA COBS 9.5	年次
FIN-012	通信記録（投資）	顧客の注文および取引に関連する録音済み電話での会話、電子通信	録音日から5年間	録音日	MiFID II Art. 16(7)；Commission Delegated Reg. 2017/565 Art. 76	年次
FIN-013	支払記録	カード取引記録、口座振替記録、BACS/CHAPS 記録	取引日から6年間	取引日	Limitation Act 1980 s.5；PSD2	年次
FIN-014	保険記録	保険証券、保険金請求記録、保険料記録	保険契約期間＋6年間（または人身傷害に関する出訴期限が3年間の場合）	保険契約満了／保険金請求の決済	Limitation Act 1980 s.5 / s.11	年次
FIN-015	契約書（金融）	ローン契約、融資枠通知書、保証書、担保設定書類	契約期間終了後12年間（証書）／6年間（単純契約）	契約終了	Limitation Act 1980 s.5（6年間）／s.8（証書の場合は12年間）	年次

GDPR と財務記録の保存期間との関係

保存期間の制限と法定保存期間の両立

GDPR の保存期間の制限原則（第 5 条第 1 項（e））は、法定保存要件に優先するものではありません。第 17 条第 3 項（b）では、EU 法または加盟国法に基づく法的義務の遵守に処理が必要な場合、消去権は適用されないと明示されています。

ただし、財務上の理由で保存されるデータにも、以下の GDPR 上の義務が引き続き適用されます。

1. 目的の限定（第 5 条第 1 項（b））：法令遵守のために保存されるデータは、その目的に限って処理できます。別個の法的根拠がない限り、マーケティング、プロファイリング、その他の目的に転用することはできません。
2. データの最小化（第 5 条第 1 項（c））：法的義務の履行に必要な個人データ項目のみを保存してください。主要な処理目的が終了した時点で、必須ではない項目は削除または匿名化してください。
3. アクセス制限：法的義務の履行のみを目的として保存されるデータへのアクセスは、権限を付与された担当者（法務、財務、コンプライアンス）に制限し、一般の従業員がアクセスできないようにしてください。
4. 透明性（第 13 条／第 14 条）：データ主体には、保存期間と、保存を義務付ける法的義務について通知する必要があります。

財務データに関する第 17 条の消去請求への対応

[Art. 17 Erasure Request Received — Financial Records]
         │
         ▼
[Identify Financial Data Categories Held]
         │
         ▼
[For Each Category]
   │
   ├── [Statutory retention period still active?]
   │     ├── Yes ──► [Exception applies: Art. 17(3)(b)]
   │     │           [Inform data subject: statutory retention obligation
   │     │            prevents erasure until [date]. Cite specific statute.]
   │     │           [Apply data minimization: delete non-essential fields]
   │     │           [Restrict access to compliance-only]
   │     │
   │     └── No ──► [Statutory period expired]
   │                 [Delete financial records per normal erasure workflow]
   │
   └── [Data subject requests access to retained financial records?]
         └── Yes ──► [Provide access under Art. 15 — financial data
                       retention does NOT suspend access rights]

実装ガイダンス

保存期間カレンダー

Orion Data Vault Corp は、財務記録について、以下の年間保存期間カレンダーを運用しています。

月	作業
4 月	税務年度末 — 給与記録（FIN-005）と経費精算請求（FIN-008）の保存期間カウントを開始
5 月	年次財務諸表の作成 — 前年度の総勘定元帳（FIN-001）の保存期間カウントを開始
6 月	年次外部監査の完了 — 監査ファイル（FIN-010）の保存期間カウントを開始
9 月	Companies House への提出期限 — 年次決算書を提出してアーカイブ
10 月	年次保存期間レビュー — 現行の法定要件と照らして、すべての有効な財務データの保存期間を確認
12 月／1 月	財務年度末（12 月決算の場合）— 会計記録の保存期間カウントを開始
四半期ごと	VAT 申告書の提出 — 申告書とその根拠記録（FIN-007）をアーカイブ
毎月	AML 取引モニタリング — アラートと対応結果（FIN-009）をアーカイブ

技術的管理策

1. 改ざん不可能なストレージ：法定保存の対象となる財務記録は、不正な改変を防ぐため、改ざん不可能な（WORM）ストレージ、または適切な完全性管理策を備えたストレージに保存する必要があります。
2. 監査証跡：保存されている財務記録へのすべてのアクセスについて、アクセスした人、日時、アクセス対象、目的を記録する必要があります。
3. 保存データの暗号化：すべての財務記録は、AES-256 または同等の方式を使用して保存時に暗号化する必要があります。
4. 削除スケジュールの自動化：法定保存期間が終了すると、記録は自動削除キューに入り、完全に削除する前に 30 日間の確認期間が設けられます。
5. 法的保全による削除の停止：訴訟に関する保全措置の対象となっている財務記録は、保存期間が終了していても、予定されている削除の対象から除外されます。