なぜ紙が信頼できる集計の要なのか
選挙を信頼できるものにするために最も重要なことは何かとセキュリティの専門家に尋ねれば、答えは通常一語だ。紙である。紙が時代遅れだからでも、懐古的だからでもない。ハッカーやソフトウェアの不具合が密かに書き換えられない、制度上ただ一つの部分だからである。監査、再集計、法廷での異議申立てといった他のすべての安全策は、最終的には照合すべき物理的記録が存在することに依拠している。
論理は単純である。コンピューターによる集計だけでは、コンピューターを信頼するよう求めることになる。紙の記録は、信頼を検証へと変える。紙は機械の外部に存在するため、機械はそれと照合して確認できる。紙を取り除けば、その後段の安全策はすべて足場を失う。電子的な結果と比較する独立した対象が何も残らないからである。
これは、票がどのように集計されるかを貫くのと同じ原理である。安全性は、検査可能な層から生まれ、紙は他のすべてが依拠する層である。
紙の2つの種類
「紙の記録」は、関連しつつも異なる2つのものを含む。この違いは重要である。
| 種類 | 投票の記録方法 | 検証の問い |
|---|---|---|
| 手書き記入の紙投票用紙 | 有権者が紙に直接記入する | スキャナーは記入内容を正しく読み取ったか？ |
| 投票用紙作成装置（BMD）による印字 | 機械が有権者の選択を紙に印字する | 有権者は印字内容が自らの意図と一致することを確認したか？ |
いずれも堅固な紙の記録を提供し得るが、それは紙が有権者確認済みである場合に限られる。この表現が核心である。有権者が目を通しただけ、あるいは一度も見ていない印字物は、真に確認済みとはいえない。画面と紙の間で生じた誤りや操作が、気づかれずに通過する可能性があるからである。この安全策が機能するのは、人が紙が自らの選択を反映していると確認した場合だけである。
ソフトウェア独立性
この原理の正式名称はソフトウェア独立性である。すなわち、投票ソフトウェアにおける検知されない誤りや故障が、選挙結果に検知されない変更を引き起こしてはならないという考え方である。それを実現するのが紙である。ソフトウェアが、バグや攻撃によって集計を誤れば、紙の記録を手作業で数えることで不一致が明らかになる。
これにより、「もし機械がハッキングされていたらどうするのか」という不安の全体像が捉え直される。紙のない制度では、その問いに答えはない。まさにそれが信頼を損なう理由である。紙ベースの制度では、答えは具体的である。紙を数えればよい。したがって、米国国立アカデミーズによる画期的なレビューを含む専門家の一致した見解は明快である。人間が読める紙の投票用紙を用い、紙のない機械は段階的に廃止すべきである。
紙の記録が可能にすること
紙そのものが安全策なのではない。安全策を可能にするものが紙である。紙は次を支える。
- 再集計 — 接戦や結果に争いがある場合に、物理的な投票用紙を再度集計すること。
- 監査 — 報告された総数と照合するため、紙の一部を手作業で確認し、結果を確かめること。
- 保管・引継ぎの連鎖の確認 — 紙の投票用紙の数と、記録された有権者数を突き合わせること。
信頼できる物理的記録がなければ、これらはいずれも不可能である。紙は、あらゆる確認の原材料である。
紙がない場合
紙の記録の価値は、それが欠けている場合に最も明確になる。その欠如には2つの形がある。
- 紙のない機械。 紙の記録を残さない純粋に電子的なシステムで投票が行われる場合、争われた結果を独立に検証することはまったくできない。再集計すべきものが単に存在しないからである。民主主義諸国でこうしたシステムを廃止する傾向があるのはこのためである。
- 公開されない記録。 紙（またはその同等物）が存在しても、隠されることがある。2020年のBelarusでは、当局は投票所単位のprotocolsを公表しなかったため、公式結果を基礎記録と照合して確認することができなかった。誰も閲覧を許されない紙の記録は、何の保証にもならない。
実務における紙の記録
肯定的な事例も同様に具体的である。2020年のGeorgiaの結果の確定後、当局はすべての紙の投票用紙を対象に全面的な手作業集計を実施した。すべての票について有権者確認済みの紙の記録が存在したため、手作業集計は機械集計と直接比較でき、通常の人的誤差の範囲内で一致した。紙の記録は、「機械がハッキングされた」という衝撃的な主張を、検証可能で、最終的には安心を与える答えを伴う問いへと変えた。
それが、紙を保持することの全目的である。機械が信頼できると仮定するものでも、信頼できないと仮定するものでもない。どちらの場合でも、答えを検証可能にするのである。そして、その検証を効率的かつ大規模に行う手段が、選挙監査である。