小規模チームのためのトレジャリーポリシー：誰が資金を動かせるのか
企業が初めて暗号資産を保有するとき、それはたいてい一人のウォレットに入っています。創業者が設定し、創業者がリカバリーフレーズを保管し、創業者が支払いを送ります。これで回ります——その人が出張中だったり、病気になったり、退職したり、フィッシングに遭ったり、あるいは誰にも気づかれないまま単にミスをしたりするまでは。
その解決策がトレジャリーポリシーです。長くも堅苦しくもある必要はありません。資金が動く「後」ではなく「前」に全員がルールを把握できるよう、いくつかの問いに明確に答えていれば十分です。
問い 1：誰が支出できるのか？
まず、混同されがちな三つの役割を分けましょう：
- 提案者：支払いを準備できる人。
- 承認者：送金に署名が必要な人。
- 閲覧者：残高や履歴を確認する必要はあるものの、資金には決して触れるべきでない人。たとえば会計担当者です。
中核となる統制は、誰も単独では資金を動かせないことです。暗号資産ではこれをマルチシグで強制します。つまり、N 人の署名者のうち M 人の承認を必要とするトレジャリーアドレスです。三〜五人のチームなら、2-of-3 や 3-of-5 が一般的な出発点です。しきい値を上げると、安全性と手間が同じだけ増えます。
問い 2：人が去るとき、鍵はどうなるのか？
署名者は誰もが、退職したり、端末を失くしたり、応答しなくなったりする可能性のある人間です。それを前提に計画しましょう：
- しきい値は総数より低く。 2-of-3 なら、署名者が一人欠けても資金は凍結されません。
- どの二人の署名者も単一障害点を共有しない：同じオフィスの金庫や同じノート PC は避け、理想的には同じ世帯も避けます。
- オフボーディングの手順。 誰かが去るときは署名者から外し、必要なら資金をその人の鍵を含まないボールトへ移します。問題が起きるまで待ってはいけません。
- 文書化された復旧手順：仕組みを一人の記憶に頼らないこと。
問い 3：どの操作に特別な注意が必要か？
通常の支払いより危険な判断もあります。署名者の変更、所有権の移転、メンバーの削除、組織の削除などです。こうした操作には、ログイン中のアカウントからのワンクリック以上のものを求めるべきです。どの操作が「重要操作」に当たり、どんな確認が必要かを書き出しておきましょう。
問い 4：支払いはどう確認するのか？
承認ステップに価値があるのは、承認者が実際に何かを確認する場合だけです。短いチェックリストで十分です：
- 依頼と一致しているか：請求書、給与支払い、合意済みの送金など。
- アドレスは検証済みか：事前に保存・確認されたもので、メールから貼り付けたものではないか。
- 金額は正しいか：資産の種類やネットワークも含めて。
- コントラクト操作の場合、シミュレーション結果は意図と一致しているか。
最も多いトレジャリーの損失は、鍵のハッキングではなく、アドレスがすり替えられた本物そっくりの請求書です。新しい送金先アドレスは電話や既存の連絡先など別の経路で確認する、というルールがあれば、その多くを防げます。
問い 5：何を記録するのか？
すべての支払いに痕跡を残すべきです。誰が提案し、誰が承認したのか、いつ、なぜ行われたのか。それによってポリシーは監査可能になり、問題が起きたときにチームが経緯を再構成できるようになります。
最初のテンプレート
小規模チームなら、まずは次のような内容で十分です：
- トレジャリーは 2-of-3（または 3-of-5）のしきい値を持つマルチシグボールトで保管する。
- 署名者は名前の明らかな個人とし、アカウントや端末は共有しない。
- 財務チームの誰でも提案できるが、承認するのは署名者のみ。
- 新しい送金先アドレスは、初回使用前に別経路で検証する。
- 署名者の変更と所有権の移転は、再確認を伴う重要操作とする。
- 各支払いの提案、承認、目的を記録として残す。
- オフボーディングには、最終出勤日に署名者から外すことを含める。
- ポリシーは半年ごと、または何らかのインシデントの後に見直す。
SSP Enterprise はこれにどう対応しているか
SSP Enterprise は、まさにこれらの問いを軸に設計されています：
- 役割。 組織にはオーナー、管理者、メンバー、閲覧者がいるため、提案・承認・閲覧が分離されています。各役割で何ができるかは役割と権限で解説しています。
- M-of-N ボールト。 各ボールトは独自のしきい値と署名者セットを持ち、一つの組織で複数のボールトを運用できます。たとえば運転資金用の口座と、しきい値を高くした準備金です。デフォルトモードでは、各署名者が SSP Wallet と SSP Key の両方で承認するため、署名者一人の承認それ自体がすでに 2-of-2 になっています。ボールトのアドレスは署名者の鍵から作られるため、署名できる人を変更するには資金を新しいボールトへ移す必要があります。これはオフボーディング計画に組み込んでおく価値があります。
- 重要操作。 所有権の移転、メンバーの削除、組織の削除、エンタープライズ用メールアドレスの変更には、ログイン中のセッションだけでなくアイデンティティ鍵による再署名が必要です。
- 署名前のチェック。 提案には受取人と金額が表示され、コントラクト操作については署名者が承認する前にシミュレーションとリスク警告が提示されます。
- すべての支払いの記録。 提案には、誰が提案し、誰が署名済みで、誰がまだ未署名かが保存され、会計用のエクスポートも利用できます。
ゼロから始める場合は、最初のエンタープライズボールトの設定で手順を一つずつ説明しています。
率直なまとめ
トレジャリーポリシーは五つの問いに答えるものです。誰が支出できるか、人が去ったらどうなるか、どの操作が重要か、支払いをどう確認するか、そして何を記録するか。必要になる前に、答えを書き出しておきましょう。
マルチシグは最も重要なルール——誰も単独では資金を動かせない——を強制します。残りは習慣です。検証済みのアドレス、承認前の実際の確認、そして期限どおりに行われるオフボーディングです。
