x-ray-a-company

企業の内情を調べる

ブランド、ウェブサイト、または請求書を手がかりに、実際に取引しようとしている相手の根拠ある全体像を作成します。法的主体、人々、インフラ、評判、リスクの4つの層を、この順番で調べます。最初の層を飛ばすと、その後のすべてが台無しになります。契約書に記載された商号、ウェブサイト上のブランド名、法廷で責任を負う主体は、実際には3つとも異なることがよくあります。一致していると思い込むと、その後の調査結果はすべて誤った相手に結び付いてしまいます。

ステップ1 — 許可された範囲

調査対象、調査結果が支援する意思決定、対象とするリスク領域、関係する法域、対象外とする事項を記述します。 ../../ETHICS.md をお読みください。公開された登記情報に基づく企業調査は、概して合法であり、義務付けられていることも少なくありませんが、守るべき制限が2つあります。対象企業のシステムには受動的に接してください。DNSや証明書のログを読むのはOSINTですが、認証やプローブを行うのはOSINTではありません。また、社内の個人もデータ主体です。役員の役員就任状況を調べることは問題ありませんが、家族を調べることは対象外です。

完了条件：範囲を記したメモに、意思決定、リスク領域、法域が記載され、対話型のテストは許可されていないことが明記されています。

ステップ2 — まず法的主体を特定する

名称が明確な登記機関で登録番号を探します。登録番号が見つかるまでは、調査対象を特定できていません。

手元にある情報	法的主体へのたどり方
ウェブサイト	フッター、利用規約、プライバシーポリシーを確認します。欧州の多くの地域では、法定開示規則により、法的名称と登録番号をサイトに掲載することが義務付けられています。その後、登記機関で確認します
ブランドまたは商号	商標登録簿で登録上の権利者を確認します。各国の登記簿では、商号を登録者に関連付けて検索できます
請求書または契約書	通常、会社番号、VAT／税務番号、登記上の本店所在地が記載されています。レターヘッドを信用せず、すべて確認します
上場企業	証券規制当局の届出システムは、企業登記簿より情報が豊富です
グループ名のみ	いずれか1社の構成企業を見つけてから、上流と下流の両方向にたどります

登記の仕組みについては who-really-owns-it を実行します。法的名称、登録番号、法域、設立日、ステータス、登記上の本店所在地、役員、資本金を記録します。後続の調査では名称より番号を優先します。名称は変わりますが、番号は変わりません。よくある落とし穴：名称がよく似た事業会社と持株会社、旧ブランドで営業を続ける解散済みの企業、事業会社とは異なる法域の知的財産権管理会社が保有するブランド、製品について法的責任を負わないマーケティング会社が運営するウェブサイト。

完了条件：契約の当事者となる法的主体を、登記機関と登録番号を添えて特定でき、同じブランドを共有する他の企業も明示されています。

ステップ3 — グループ構造と実質的所有者

最終親会社まで上流にたどり、子会社まで下流にたどります。情報源：提出済みのグループ決算書と子会社一覧、子会社を列挙した上場企業の開示資料、実質的所有者の登記簿、who-really-owns-it にある共通役員と共通住所を手がかりにした調査です。国境をまたぐ企業構造は一般的であり、それ自体は危険信号ではありません。重要なのは、所有構造の最終地点が氏名の判明している自然人か、情報を公開していない法域で追跡不能になるかです。たどれるところまで記録し、どこで止まったかを明記します。「公開されていない登記簿を持つケイマン諸島の事業体まで追跡した」は調査結果であり、失敗ではありません。

実質的所有者の特定が難しくなる要因は、予測可能な4つのパターンに分かれます。名義人は法的に記録されていても経済的な実態を伴わないこと、ほとんどの登記簿では信託や財団の背後まで調べられないこと、単一の登記簿ではチェーン全体を把握できない多層構造、そして、基準をわずかに下回る持ち分を4人がそれぞれ保有している場合を制度上見落とす閾値です。

完了条件：所有構造が最終地点、または根拠を示した不透明化地点まで図示され、実質的所有者の氏名が情報源とともに記録されています。

ステップ 4 — 人物

ウェブサイトではなく登記簿から役員一覧を取得してください。ウェブサイトに掲載されているのは、会社が紹介したい人物であり、登記簿に記載されているのは法的責任を負う人物です。判断に関わる人物それぞれについて find-anyone を実行し、さらに who-really-owns-it で役員名を使った検索を行い、その他の役職や過去の役職を調べてください。解散した会社の経歴が続く取締役や、無関係な20社の取締役を務める人物は、一貫性のある経歴を持つ人物とはリスクプロファイルが異なります。

従業員の把握（専門職向けネットワーク、求人情報、チームページから従業員数と職種構成を確認すること）により、会社が主張どおりの事業を実際に行っているかを検証できます。プラットフォーム上の人数には古いプロフィールや重複プロフィールが含まれ、未登録のユーザーは含まれず、国や業界による偏りも大きくなります。人数ではなく、従業員の構成を見てください。

次の場合に完了です： 登記上の役員全員について一覧にまとめ、他の役職を確認し、従業員に関する主張を裏付けるか、問題点として指摘しています。

ステップ 5 — デジタル資産

最初の調査として recon-a-domain-passively を実行してください。これにより who-owns-this-domain、find-hidden-subdomains、find-exposed-servers を網羅できます。セキュリティテストとは異なり、デューデリジェンスで確認したいのは、主張されている設立日と矛盾するドメイン登録日、同一事業者のもとで無関係なブランドと共有されているインフラ、未発表の製品やパートナーを明らかにするサブドメイン、実際の技術スタックを示す求人情報などです。公開リポジトリについては secrets-in-git-history を、メールドメインの情報漏えいについては what-leaked-about-you を確認してください。

次の場合に完了です： ドメインの保有状況をすべて洗い出し、登録日を企業の沿革と照らし合わせ、相違点を記録しています。

ステップ 6 — 訴訟、倒産、調達、情報開示

• 訴訟。 対象企業、旧社名、子会社について、裁判記録と判決データベースを確認します。申立てではなく、判決内容を読んでください。訴えられたことは責任があることを意味せず、和解から分かることは判決より少なくなります。
• 倒産。 倒産登記簿や官報には、解散申立て、管財手続き、清算の公告が掲載されています。役員の過去の在籍企業も確認してください。そこにパターンが表れることがあります。
• 調達。 公共入札や契約落札のデータベースは、第三者によって確認された収益を示します。実際の事業活動を示す最も有力な無料の証拠ですが、十分に活用されていません。これらと併せて、入札資格停止や排除のリストも確認してください。

財務情報について判断する前に、まず提出義務のある情報がどのようなものかを、適用される開示制度に照らして確認してください。上場企業は、監査済み財務諸表、セグメント情報、関連当事者取引、リスク要因を開示します。多くの法域では、小規模な非公開企業が提出するのは、損益計算書や売上高の記載がない、しばしば未監査の要約貸借対照表です。そのため、売上高が開示されていないことは、法律上の通常の扱いであり、隠蔽ではありません。意味のある兆候は、提出の遅れ、監査人の度重なる交代、監査人の辞任、限定付適正意見、資産に設定された登記済みの担保権、そして主張される事業規模と合わない財務諸表です。リスク領域ごとの出典一覧： reference/diligence-checklist.md。

次の場合に完了です： 訴訟、倒産、調達について、それぞれ出典のある調査結果を記録するか、「これらのデータベースを検索したが、該当情報は見つからなかった」と記録し、財務情報はその企業形態に求められる開示義務を踏まえて評価しています。

ステップ 7 — 制裁、PEP、ネガティブ報道

これは独立したステップとして、独立した記録を残します。規制当局や裁判所から証拠の提示を求められるのは、まさにこのステップだからです。対象企業、その親会社と子会社、名前が挙がったすべての個人をスクリーニングします。一次情報源として、OFACの制裁リスト検索、EU統合リスト、英国の制裁リスト、国連統合リストを確認します。OpenSanctionsは複数の管轄区域にまたがる制裁およびPEPデータセットを集約しており、複数の管轄区域を横断して調査する際の実用的な出発点です。OCCRP Alephは調査用のインデックスであり、コンプライアンスのスクリーニングではなく、調査に使用します。PEPであることは不正行為ではなくリスク要因であり、親しい関係者や家族にも対象が広がります。こうした対象こそ、自動スクリーニングが最も苦手とするところです。

ネガティブ報道とは、企業、その旧称、主要人物について、企業関係の連鎖に含まれるすべての管轄区域の現地語で、ニュースや規制当局の発表を体系的に検索することです。外国に親会社がある企業を英語だけで検索しても、ほとんど意味がありません。検索語と対象期間を記録し、該当情報が見つからなかったことを証拠として意味のある形にします。

完了条件 企業関係の連鎖に含まれるすべての企業と個人について、情報源と確認日を記録したうえで制裁およびPEPの情報源を照合し、該当する言語でネガティブ報道を検索していること。

ステップ 8 — ペーパーカンパニーの評価

単独の指標に反応せず、プロファイルをスコア化します。重み付けされた一覧はreference/shell-company-red-flags.mdを参照してください。主な指標の組み合わせは、数百から数千の企業で共有されている住所、取引の当事者となる直前の設立、ウェブ上の情報がない、または提案書より後に登録されたドメイン、無関係な企業間で繰り返し登場する名義上の取締役、従業員がいないことと活動実態を示す会計記録がないこと、既存企業の名称に似せた社名、企業・取締役・業務のいずれとも関係のない管轄区域の銀行口座情報です。どれか一つだけなら、よくあることで、問題がない場合もあります。四つ重なれば、結論は明らかです。

完了条件 各指標の出典を示しながら一覧に照らして企業をスコア化し、どの指標が結論につながったかを明記していること。

ステップ 9 — レポート

write-the-intel-briefに引き継ぎます。まず企業関係図を示します。最終親会社、中間持株会社、契約主体、子会社、主要人物を含めます。続いて、リスク領域ごとに出典、日付、確度を添えて調査結果を記載します。確認できなかった点は独立したセクションにまとめます。確認できなかったことを隠すデューデリジェンスレポートは、何も見つからなかったレポートよりも問題です。

完了条件 企業関係図、リスク領域ごとの調査結果、明示的な未確認事項のセクション、全体の確度の明記がレポートに含まれていること。

ここで問題が起きる

• 登記情報は届け出られたものであり、検証済みではありません。 ほとんどの登記機関が確認するのは書式に不備がないことだけで、内容の真偽ではありません。記録によって証明できるのは、何がいつ届け出られたかだけです。
• 情報の古さは仕組み上避けられません。 年次の届出サイクルにより、公表される役員や会計情報は実態より1年以上遅れることがあり、集約サービスではさらに遅れます。そのため、解散済みの企業が現在も活動中と表示されることがあります。登記機関で確認してください。
• 名称の照合では、誤りが同時に両方発生します。 よくある名前は誤った一致を生み、句読点、法人格を示す接尾辞、音訳、合併後の社名変更は誤った不一致を生みます。旧称も意識して検索してください。
• 届出が見つからない場合、確認先の登記機関が間違っている可能性があります。 連邦、州、市町村の登記簿に加え、外国支店、パートナーシップなどの法人格を持たない事業体についても、それぞれ別の登記簿が存在する場合があります。
• 制裁スクリーニングにはノイズがあります。 音訳された名前は大量の誤検出を生みます。一致が見つかった場合は確認を開始するきっかけであり、確定した事実ではありません。
• ネガティブ報道には言語と富裕度による偏りがあります。 主要市場以外では報道が乏しく、訴訟を起こす対象者は報道を削除させることがあります。

確度の評価

• 確認済み — 主要な登記機関または規制当局への届出、あるいは裁判記録に基づき、文書を取得して日付を確認できているものです。
• 可能性が高い — 信頼できるアグリゲーター、または信頼性のある単一の報道に基づき、主要な記録と整合し、反証されていないものです。
• 未確認 — 企業のマーケティング情報、出典のない単一の報道、または構造だけからの推測です。
• 情報の空白 — 確認できるはずの情報源から何も得られなかったか、管轄区域が情報を公開していません。データベース名と日付を明記してください。確認可能な形で記録された否定的な結果も、成果物の一つです。

所有権に関する主張と事業運営に関する主張は、別々に評価してください。登記上の株主が誰かは確実に分かっていても、最終的な受益者が誰かは分からないことがあります。

実例

取引先候補の「Halberd Logistics」が供給契約を提案してきました。手元にはウェブサイトと請求書があります。

1. サイトのフッターには会社番号とともに「Halberd Logistics Group Ltd」と記載されていますが、請求書には別の番号を持つ「Halberd Ops Ltd」と記載されています。契約当事者は請求書に記載された会社であり、ブランドを担う会社とは異なります。
2. 登記情報によると、Halberd Ops は設立から14か月で、取締役は1人、会計報告はマイクロ事業体向けです。一方、Group の事業体は設立から9年で、実績のある会計報告を提出しています。提案で謳われている取引実績は、契約相手ではない事業体のものです。
3. Halberd Ops の取締役を起点に関連情報を調べると、過去の会社が2社見つかり、いずれも強制登記抹消により解散しています。
4. 手詰まりになった点：登記上の住所には約200の事業体が登録されていますが、会計事務所の住所です。よくあることであり、重要度は低く評価します。
5. ドメインの登録時期は請求書の日付の3か月前ですが、主張されている9年間の実績とは一致しません。2と3の情報も踏まえ、Group の事業体と契約するか、契約を見送ってください。

ピボット

抽出した情報	次に使用するもの
登記番号、役員、株主	who-really-owns-it
役員または取締役の氏名	find-anyone
プライマリドメイン	recon-a-domain-passively、who-owns-this-domain
役員の住所、電話番号、関係者	dig-through-data-brokers
親会社または子会社の事業体	ステップ2からこのワークフローを再開します
会社のメールドメイン、公開リポジトリ	what-leaked-about-you、secrets-in-git-history
複数事業体にまたがる所有関係	graph-the-network
完成した証拠一式	write-the-intel-brief

法的な注意事項

KYB、AML、制裁遵守に関する義務には、このワークフローだけでは満たせない情報源と記録保持の要件があります。規制対象の目的で利用する場合、何をいつ検索し、どのような結果が得られたかを記録に残す必要があります。登記データには再利用条件やレート制限が設けられていることがよくあります。スクレイピングではなく、公開されているAPIや一括提供サービスを利用してください。役員の居住住所や生年月日は多くの登記簿で保護されており、保護対象の住所を意図的に再特定する行為は、一部の管轄区域では犯罪です。