コンプライアンス・リスクとは？リスク管理方法とフローを解説

昨今、「コンプラ」と略されるまで浸透したコンプライアンスですが、企業としてはその意味をしっかりと把握しておかなくてはなりません。
コンプライアンスとは、日本語に訳すと「法令遵守」になりますが、近年その意味は拡大しつつあります。

たとえば、社会規範や社会道徳をはじめ、経営者や株主、従業員を含むステークホルダー（利害関係者）の利益や要請にかなうことも、その意味に含まれるようになっています。

こうしたコンプライアンスに違反する恐れのことを「コンプライアンス・リスク」といいます。2000年代に企業による不祥事が次々と発生してからというもの、日本ではコンプライアンスに関連する法案が多く成立しています。

そこで今回は、コンプライアンス・リスク対策に必要な知識と管理方法などを解説します。

【参考】より深く知るための『オススメ』コラム

👉コンプライアンス違反の罰則とは　起こさないための対策と事例を詳しく解説

👉反社チェック（コンプライアンスチェック）を無料で行う方法

👉コンプライアンス・リスクとは？リスク管理方法とフローを解説

チェックリストでわかる！反社チェックの体制・運用点検リスト

▶とりあえずダウンロード！【無料で反社チェック体制・運用を総点検】
​​​​​​​

コンプライアンス・リスクとは？

コンプライアンス・リスクとは、企業に内在するコンプライアンスに反する可能性のことを指します。

金融庁の資料によれば、「ビジネスと不可分一体で、往々にしてビジネスモデル・経営戦略自体に内在する場合が多く、その管理は、まさに経営の根幹をなすものである」とされています。

参考：金融庁『コンプライアンス・リスク管理に関する検査・監督の考え方と進め方（コンプライアンス・リスク管理基本方針）』

つまり、コンプライアンス・リスクは経営方針や企業活動そのものに存在していると指摘しています。

そのため、これまで企業内で常識や習慣として捉えられてきたことが、コンプライアンスに反する可能性もあります。
経営陣も従業員も気づかないうちに重大なコンプライアンス違反を犯していることもあるのです。

そもそも日本の企業は、コンプライアンスの問題をビジネスモデル・経営戦略とは別の問題として位置づけ、コンプライアンスの対象を狭く捉える傾向がありました。
社会問題にもなったサービス残業は、その典型例ともいえるでしょう。

また、コンプライアンス重視を掲げる企業でも形式的な法令違反の確認や表面的な再発防止策などが幾重にも重なって、いわゆる「コンプラ疲れ」が起きていることもあります。

こうしたコンプライアンス・リスクに対応するためには、表面的ではなく抜本的なリスク管理体制を整備する必要があります。

関連記事：コンプライアンスとは？わかりやすく・簡単に意味や使い方を解説

コンプライアンス・リスクと関連する法律

まずコンプライアンス・リスクの管理には、企業におけるリスクの整理と関連する法案の知識が必要です。

労務リスク

従業員の就業規則や勤務実態などにおけるリスクのことです。
多くの企業で従来の「労働基準法」に沿って規則などが設けられていますが、近年改正された「働き方改革関連法」では、基準がさらに厳格化されています。

まず気を付けたいのが「時間外労働の上限規制」です。
改正のポイントは以下の通りです

• 原則的に時間外労働の上限は、月45時間、年360時間
• 臨時的な特別な事情がある場合でも、①年720時間、②2～6ヵ月平均の時間外労働の上限はすべて80時間、③単月100時間未満（休日労働を含む）が限度
• 臨時的な特別な事情がある場合でも、時間外労働が月45時間を超えるのは6ヵ月を限度にする

2019年に施行された大企業ではすでにほとんどが対応していますが、2020年施行の中小企業ではまだ未対応のケースもあります。

ほかにも、非正規雇用者の待遇改善やハラスメントなどにも厳しい規制があります。
特にハラスメントについては民法で罰せられる可能性があり、セクハラやパワハラのみならず、マタニティハラスメントやSOGIハラスメント（性的指向や性自認に関するハラスメント）にも注意が必要です。

ほかにも「男女雇用機会均等法」「高年齢者雇用安定法」に定められた雇用契約なども労務リスクに当たります。

関連記事：IPO準備企業が上場審査に向けて整えるべき労務管理体制とは

契約リスク

企業が営業活動を行ううえで契約は必ず発生するもの。
しかし、その内容が法令に違反していたり、契約者のどちらか一方が不利益を被るような内容になっていると大きなリスクを伴います。
これを一般的に契約リスクと呼びます。

こうしたリスクを回避するためには、契約書の内容をチェックして、必要があれば改定する必要があります。
企業によっては従来のフォーマットを継続して使用していることもあり、現在の法律に沿っていないケースがあるからです。

また、契約書を紛失したり漏えいするリスクも考慮しなければなりません。
そのため、契約書を管理する部門や体制を整備することも大切です。

近年では契約書の管理を効率化するために、電子化された契約書に統一するなどの対応をとる企業も増えています。

「金融商品取引法」や「改正独占禁止法」などを改めて見直し、契約書の内容を精査しましょう。

関連記事：IPO準備＆急成長ベンチャーに必要な「契約管理」　法務体制強化でリスク管理

情報漏えいリスク

ここでいう情報漏えいとは、まだ公表されていない新製品や顧客情報、製品の製造ノウハウなどの重要な情報が紛失したり、外部に漏えいしてしまうことを指します。

たとえば、「不正競争防止法」では、営業秘密として保護されるための要件に以下の３つを挙げています。

1. 秘密管理性：企業が秘密として管理しようとする情報の範囲が従業員などに対して明確に伝えられているか
2. 有用性：その情報が客観的にみて、事業活動にとって有用であるか。反社会的だったり公序良俗に反する情報だと有用性は認められない
3. 非公知性：一般的には知られておらず、または容易に知ることができないか

参照：経済産業省『営業秘密監理指針』

どれも大切な要件ではありますが、特に秘密管理性を認められるためには、その情報を外部に漏えいしてはいけないという従業員への周知が必要になります。

新規プロジェクトなどでは「社外秘」などとされる情報を取り扱うこともありますが、その管理方法を社内規定などでしっかりと管理することが大切です。

従業員からの情報漏えいを防ぐためには、就業規則や社内規定だけでなく、秘密保持誓約書を締結したりして秘密保持を定めることが大切です。
取引先や業務委託先とも、契約書などで秘密保持契約を結びましょう。

さらに近年、企業の不祥事として多いのが個人情報の漏えいです。
ECサイトなで個人情報を管理する機会が増えており、企業は「個人情報保護法」に基づいて適切な管理体制を構築しなくてはなりません。

個人情報の漏えいは、罰則だけでなく、本人からの損害賠償請求などのリスクをはらんでいます。
また、消費者に対する信用が大きく低下するため企業イメージには非常に大きなダメージになります。

特に電子化された個人データは、セキュリティツールを使い、データの保管とプライバシー保護に努めなければなりません。

個人情報保護法は、技術の進歩に合わせて、その都度改正される法律です。
常に法改正をキャッチアップする必要があります。

法令違反リスク

そのほかコンプライアンス・リスクに関わる法律は「下請法」「会社法」「景品表示法」「公益通報者保護法」「外国法」「ISO2600」など多岐にわたります。
近年はフリーランスとの契約に関する法案も議論されており、法案の情報には積極的に収集する必要があります。

自社の法務部や顧問弁護士などと相談し、しっかりと内容を把握しておきましょう。

関連記事：コンプライアンス違反の罰則とは　起こさないための対策

コンプライアンス・リスク管理の方法

まずはリスク管理の考え方を改めて見直すことが大切です。

企業におけるリスク管理とは、経営者による労務管理から従業員による営業活動といった物事の始まりから終わりに至るまでに発生するリスクを洗い出し、整理して分析することを意味しています。

では、具体的なリスク管理の方法をご紹介いたします。

法改正や新法の情報は積極的にキャッチアップする

先述したようにコンプライアンス・リスクに関わる法律は年々改正されたり、新法が施行されたりしています。

改正や新法などの情報は、法務担当者がしっかりとキャッチアップして、その都度社内のコンプライアンス体制をアップデートしていかなければなりません。
各省庁の発表やセミナーなどに参加して、積極的に情報を仕入れる姿勢が肝心です。

また、日頃の業務にも法務リスクが隠れていることがあります。
法務担当者は他の部とコミュニケーションを図りながら、常時監視しておく必要があります。

社内規程やマニュアルの作成や見直し

コンプライアンス・リスクを軽減するためには、すべての従業員が法令等に沿って業務にあたることが大切です。
そのためには会社として社内規定やマニュアルによって従業員に周知をしなければなりません。

まずコンプライアンスに関する一般的な遵守事項を書面にまとめ、各所管部の業務フローにおいて問題になりそうな注意点や対処を規定するといいでしょう。

たとえば、反社会的勢力と思われる人物と接触した場合の対処法などを具体的な事例をまじえて解説するなどが考えられます。
コンプライアンスに関する規定と合わせて、既存の業務マニュアルにコンプライアンス・リスクが含まれていないかどうか検討することも大切です。

内部の法務担当者だけで難しい場合は、外部弁護士のサポートを受けるのもひとつの選択肢になります。

関連記事：IPO準備時に必要な社内規程（社内規定）の整備とは 作成の注意点を具体的に解説

ハラスメント相談窓口や内部通報窓口の設置

社内における違法行為は、経営者や法務担当者からは見えにくいものです。
そこで従業員が通報して、早い段階で違法行為を把握できる体制を構築しておくことが重要になります。

こうした窓口を設置する際に気をつけたいポイントは、従業員が通報しやすい体制と、社内における防止すべき違法行為の整理です。

たとえば、窓口の担当者には社内で利害関係のない外部担当者などが望ましいでしょう。
また、通報によって従業員に不利益が被ることのないよう秘匿性を高めるための措置も必要です。

コンプライアンス・リスク管理の業務フロー

コンプライアンス・リスク管理の具体的な業務フローを整備するためには「PMBOK」の考え方が役立ちます。

これはアメリカのPMI（プロジェクトマネジメント協会）によって策定されたもので、マイナスになるリスクだけでなく、企業にとって有益になる可能性のあるリスクについても言及していることが特徴です。

その要点をまとめると以下のようになります。

リスク・マネジメント計画

ここでは、まずその企業がリスクと感じる事柄やリスクレベルなどを整理したうえで、どのようにマネジメントしていくかを検討し、明確化。
リスクの評価基準についても考慮して計画を立て、書面にまとめます。

リスク特定

その企業による営業活動やプロジェクトに影響を与えるようなリスクを特定することです。
ここで重要になるのはリスクの洗い出し。
リスク登録簿などを作成してまとめると、のちにリスクの優先度をつける際に役立ちます。

リスク分析

リスク分析には「定性的リスク分析」と「定量的リスク分析」の2種類があります。
定性的リスク分析はリスクが与える影響、発生する確率などを考慮し、リスクの優先度をつける作業です。

一方の定量的リスク分析は、特定したリスクの影響を実際に数値化した分析手法です。

リスク対応計画

ここでは、マイナスのリスクへの対策のみならず、チャンスになるプラスのリスクの影響を高める対策を計画します。
つまり、プラスとマイナスのリスクに対する戦略や対策を同時に練るのです。

リスクのコントロール

特定したリスクを追跡や新しいリスクの特定、残っているリスクの監視などを通して、リスクが与える影響を報告、コントロールすることです。

こうした考え方に基づいたコンプライアンス・リスクの管理には、次のような体制が求められます。

経営トップによる統制体制

まずは経営者たちによるリスク・マネジメントの基本方針の策定です。
基本方針を策定したら、社内外のステークホルダーに対してメッセージを発信することも大切です。

現場の管理体制

コンプライアンス・リスクをマネジメントする方針や考え方を現場に落とし込みます。
そのためにはトップによるメッセージだけでなく、各所管部と法務担当者とのコミュニケーションが重要になります。

また、作成した社内規定やマニュアルが形骸化していないかなどのチェックを常に行いましょう。
法務担当者は法改正に応じてマニュアルや社内規定を改定するなどの対応が重要です。

関連記事：IPO準備企業における内部統制への対応方法とは　体制構築のステップも解説

コンプライアンス・リスク回避のために行うべき反社チェックとは

コンプライアンス・リスク管理の中で、企業だけで対応するのが困難なのが反社チェックです。

「暴力団排除条例」によって、各企業には反社会的勢力を排除する努力義務が課せられました。
上場企業の場合は反社会的勢力とのつながりが発覚すると上場廃止になることもあります。
コンプライアンス・リスク管理において、優先度の高い項目だといえるでしょう。

しかし、反社会的勢力の排除について政府指針は発表されているものの、具体的なチェック方法は企業に託されています。

その調査方法にはいくつかありますが、「インターネット上の情報を検索する」「新聞記事データを検索する」「公知情報より独自で収集した反社会的勢力情報データベースを検索する」などの方法が一般的です。

関連記事：IPO準備にはなぜ反社チェック（コンプライアンスチェック）が必要なのか？ 上場基準の反社会的勢力排除の体制づくりについて解説

まとめ

コンプライアンス・リスク管理は、健全な企業活動を継続していくうえで非常に重要になります。
一度法令に抵触してしまうと企業イメージが大きく低下し、自社製品やサービスなどが消費者に敬遠されてしまうからです。

その中で反社チェックは優先度が高いにもかかわらず、社内だけで完結することが難しい項目です。
なぜならインターネットにおける情報は膨大にあり、法務担当者だけで行うのは困難だからです。

こうした情報の検索・収集を効率的に行う反社チェックツールがあるので活用してみてはいかがでしょうか。

関連記事：反社会的勢力に対応するためのガイドライン　反社チェックの基準とは？
関連記事：IPO準備企業にはなぜ監査法人が必要？　必要な理由と選び方について解説