2019年12月17日

企業コンプライアンスの近時の動向
ー法の有効性と法人罰に関する一考察ー

関西大学 社会安全学部教授・博士（法学）髙野 一彦

1問題意識2010年1月20日 欧州委員会「特に技術発展に焦点をあてた、新たなプライバシーの課題への異なるアプローチの比較研究（以下「ECプライバシー研究報告」）」における、ニューサ
ウスウエールズ大学のグレアム・クリーンリーフ教授の調査結果「Country Studies B.5Japan」におけるわが国の評価「データ保護の「十分性（adequacy）」を充足していると判断することは困難」
その根拠として「私企業にとっては、法律違反による多額の罰金や集団訴訟よりも、風評リスクによる損害（risk of reputational damage）のほうが重要」であり、わが国の法律が、「有効」であるとの根拠を見いだせない、との指摘。

法の有効性に関する文書（１）「個人データの第三国への移転：EUデータ保護指令25条及び26条の適用の実務文書」「ルールへの優れたレベルのコンプライアンス」があることが要件
Working Document: Transfers of personal data to third countries: Applying Articles 25 and 26 of the EU data protection directive, 24 July 1998

（２）オーストラリアの2000年プライバシー修正（民間部門）法の欧州委員会への認定申請
第29条作業部会の意見では主に法制度の外形的要件と執行状況の評価
Article 29 Data Protection Working Party Opinion 3/2001 on the level of protection of the Australian Privacy Amendment (Private Sector) Act
2000, (5095/00/EN WP40 final) Adopted on 26th Jan. 2001」

グリーンリーフ報告では「有効性（effectiveness）」を十分性の要件として評価

わが国において企業に自律的な管理を求める法の俯瞰（１）2003年5月23日 個人情報保護法の成立⇒安全管理措置義務（２）2004年6月14日 公益通報者保護法の成立⇒通報制度設置の間接的義務（３）2005年6月29日 会社法の成立⇒内部統制システム構築義務（４）2006年6月7日

金融商品取引法の成立⇒内部統制報告書・確認書の添付義務：（５）2014年6月20日 改正会社法の成立（６）2015年6月1日 コーポレートガバナンス・コード適用開始（７）2015年9月3日 改正個人情報保護法成立 ⇒2017年施行

3会社法、金融商品取引法における「内部統制」
会社法

金融商品取引法（J-SOX）

主目 業務の適正を確保するための体制整備
的 （＝内部統制システム)

財務報告の信頼性の担保（＝内部統制報告書の提出と監査の義務化)

法の 会社法施行規則（2006.2.7）
要請 １．情報の保存と管理
２．リスクマネジメント
３．取締役の業務執行の効率性確保
４．コンプライアンス
５．グループ会社の上記確保の体制

１．内部統制報告書の提出
経営者は、財務報告に係る内部統制の有効性を評価し報告する。経営者は有価証券報告書記載事項について確認書を提出する。

2014年成立の改正会社法では、グループ管理を法文明記

２．外部監査監査法人は提出された内部統制報告書の有効性を検証する。

2015年コーポレートガバナンス・コード大会社、委員会設置会社に「内部統制の基本方針」を取締役会で決議する義務

有価証券報告書提出会社に内部統制報告制度の義務

大会社及び委員会設置会社、有価証券報告書提出会社（公開会社）の経営者にかかる法的義務は、コンプライアンス経営を促すモチベーションとなっているが、
4
非大会社、非公開会社には効果的とは言い難い

企業における情報リスクの評価① 罰金・制裁金
GDPR： 2000万ユーロ又は前年世界売上高の４％のいずれか高い額の制裁金⇒「効果的、比例的及び抑止的」
例：2019年1月21日、CNILのGoogle社への５千万€（約62億円）の制裁金
個人情報保護法： １年以下の懲役又は50万円以下の罰金（83条、87条）② 訴訟リスク
数多くのプライバシーの権利の侵害に関する判例が存在するが、おおむね賠償額は、数千～数万円の間。侵害行為への抑止力としての効果が極めて低い。

企業のリスク評価は、「発生頻度」と「損失規模」で優先順位をつける
ため、「情報法コンプライアンス」の優先順位は低くなる傾向がある。

事業形態による違い
法人顧客相手の事業と、個人顧客相手の事業では、企業のコンプライアンスへの取組みに違いが出る
個人
顧客不信を招く行為は不買運動につながり重要なリスク

適法かつ社会受容性を考慮したルール設定と運用

消費者の信用低下を重要な現行法制度の「間隙」をつく挑戦的なルール設
法人
リスクと捉えない傾向
定と運用
顧客
例：個人情報保護法における第三者提供の同意⇒法と社会受容性に乖離⇒明確な同意を追及するか、約款の一条項として記載するか、など

参考 ESG投資（Environment、Social、Governance）
Dow Jones Sustainability Assessment Questionnaire
Economic dimension ： 32問
Environmental dimension： 31問
Social dimension： 36問

コーポレートガバナンス
リスクマネジメント
コンプライアンス（情報セキュリティーを含む）

2016年度のESG投資残高

非公開会社

日本： 4740億ドル（約52兆円） ※2014年から67倍の伸び、全投資の3.4％は無関心
アメリカ： 8兆7千億ドル（約950兆円） ※2014年から32%の伸び、全投資の21.6％
出典：オリックス銀行「世界のお金の流れが変わる？ESG投資とは」

まとめ： 企業から見たわが国の個人情報保護法制の「有効性」
根拠義務・誘因

対象

効果

会社法

内部統制システム構築
義務

大会社・委員会設置会社の取締役

株主代表訴訟、第三者訴訟による損害賠償請求

金融商品取引法

内部統制報告制度

有価証券報告書提出会社の経営者

報告書の虚偽記載に刑事罰・罰金

個人情報保護法

不正提供他

個人・法人等

罰金30万・50万円

プライバシー侵害訴
訟民事訴訟の提起

全ての法人・個人

損害賠償額は概ね数千円～数万円[参考] CSR評価

ESG投資ファンドのインデックスとして採用

公開会社

企業価値の上昇
日本のSRI残高は伸悩む

わが国において９９.３％（約177万5000社）を占める中小企業の経営者に対して、自律的な管理体制を構築しようとする「誘因」として十分とはいい難いのではないか。

小規模事業者、小資本で起業できて多額な設備投資が不要なため株式公開による資金調達の需要が少ない、B2Bのインターネットビジネスのような業態が該当

コンプライアンス・プログラム
１．グループ横断的な責任者、専任管轄部署の設置
２．定期的なリスク・アセスメントの実施と文書化
重要なリスクについて、規程・ガイドライン等のルールの策定

３．関係者の教育
対象は役員、従業者。分野によっては、子会社、エージェントなどの他社、フランチャイジー、内定者なども対象として検討

４．運用とモニタリング
ネガティブな情報を収集する仕組み
内部通報ライン、コンプライアンス監査、従業者・取引先アンケート、モニタリング（監視）など

５．経営者への報告と改善
６．ディスクローズ
重要リスクで対応が十分でないものは有価証券報告書の「事業等のリスク」
や四半期報告で開示、CSRレポートで任意に開示

７．クライシス対応体制の整備
データ保護分野のコンプライアンスの参考文献
ロタ・ディターマン著、渡邊由美・井上乾介・久保田寛也訳『データ保護ガイドブックーグローバル・コンプライ
アンス・プログラム指針』勁草書房、2019年、など

贈賄規制の国際的動向とコンプライアンス・プログラム
日本

アメリカ・イギリス

OECD

1976年
ロッキード事件1994年 OECD理事会勧告（国際商取引における贈賄行為に関する理事会勧告）

1998年
改正不正競争防止法
不競法改正
2001～6年

1998年 OECD条約（国際商取引における外国公務員に対する贈賄の防止に関する条約）

OECD贈賄WG
1999年 Phase1審査
2004年 Phase2審査※摘発が1件もないと指摘

2007年、K社事件
2009年、2013年と過去に３件の事件

1977年
海外腐敗行為法（FCPA）
1987年
FCPA改正（ファシリティー・ペイメント）

2011年 Phase3審査・・

2010年 イギリス
贈賄法（Bribery Act 2010）

2007年
ゴムB社
事件
2016年
精密O社
事件 9

アメリカ海外汚職行為法（FCPA）の概要
アメリカ海外汚職行為法（The Foreign Corrupt Practice Act）の中の「外国公務員贈賄禁止条項」 （法78条DD-1～3）
主体：

１．NYSE、NASDAQの上場会社等
２．アメリカ市民・居住者等、アメリカに主たる事務所を有する会社等とその役員、従業員、代理人等
３．アメリカ国内の通信手段を用いて贈賄行為を行ったもの

禁止：

１．外国公務員、政党・政党職員、候補者等に対して①職務執行に影響を与える、② 職務違背行為を誘導する、③不正利益を供与する、④あっせんをさせる、ことを目的として金銭の申し出、支払い、その約束などを行う行為。
２．エージェントなどの仲介者に対して、前項の行為をさせ（又は誘導する）

例外：「ファシリテーション・ペイメント」
日常的な政府活動の履行などを目的とした少額の金銭の支払いは適用外「FCPAに関する当局の摘発・訴追姿勢は、かなり強気である。SECとFBIが、FCPAに特化した専門組織を設置」している。 （出典：外国公務員贈賄規制法制に関する海外動向調査、35頁）
参考： 訴追件数（司法省・SEC 総計）、2005年 12件、2007年 38件、2009年 51件、2010年 56件・・10

ゴム事業B社事件
2004年～2007年の間、B社は国営企業との関係を構築していたエージェントを通じて、国営企業の職員に取引総額の一定割合の支払いを行った。
B社は、現地エージェントに対して、国営企業の職員へ支払う金額（合計約1億5000万円）を上乗せして、販売手数料を支払っていた。
2007年、B社の担当部長は米FCPA違反等により逮捕、翌年懲役2年の実刑及び8万ドルの罰金が科せられた。
2011年9月15日、B社は米司法省と2800万ドルの支払いで和解した。その後、同社は司法省の調査に全面的に協力すること、大規模なコンプライアンス体制の改善を行うことなどとし、和解金が減額された。

精密機器O社事件
O社、米子会社などを通じて、中南米の複数の国・公営病院の職員らに対し、機材購入を目的とした賄賂を渡していた。
2016年3月、O社は、米司法省と罰金・和解金として計６億４６００万ドル（約７３６億円）を支払う合意をした。
11

連邦量刑ガイドライン（１） 犯罪の予防、または発見のための規準と手続の規定（２）（Ａ）組織を支配する権限を有するもの（取締役会など）は、法令遵守と企業倫理プログラムの内容と運用を熟知し、また運用と効果を確認すること。
（Ｂ）組織の上級幹部の者が、その組織はこのガイドラインに沿って、効果的な法令遵守と企業倫理プログラムを持っていることを確実にする。特定の上級幹部の者が、法令遵守と企業倫理プログラムの総合的な責任者として任命されていること。
（Ｃ）その責任者は、法令遵守と企業倫理プログラムの日々の運用責任を負う。その責任者は定期的に、また適切に、組織の上級幹部、執行役、または事業部長などに報告すること。またその責任者は、運用責任を果たすために、予算、適切な権限、取締役会などに直接コンタクトをとる機会を与えられなくてはならない。
（３）組織は、犯罪、その他法令遵守と企業倫理に反する行為に関与した者が、組織の実質的な権限を与えられることのないよう、合理的な努力をすること。
（４）（Ａ）組織は、法令遵守と企業倫理プログラムに関する従業者の役割と責任に関する情報伝達の実質的な手順と方法により、定期的に周知する合理的なステップをとらなければならない。全役職員に法令遵守規準や手続に関する情報を効果的に周知徹底すること（Ｂ）上記（Ａ）は、上級幹部、執行役、事業部長、従業者に対して行い、適切な場合はエージェントに対しても行う。
（５）組織は次の合理的なステップを踏まなければならない。
（Ａ）モニタリングと監査によって、法令遵守と企業倫理プログラムを確かなものにする。
（Ｂ）法令遵守と企業倫理プログラムの効果を定期的に評価する。
（Ｃ）従業者またはエージェントが、実際の犯罪またはその可能性について通報するシステムで、通報者に報復などが及ぶおそれのない、匿名または秘密保持のためのメカニズムを有したものを持つこと。
（６）法令遵守と企業倫理プログラムは、それが機能するためのインセンティブを有し、そして違反した者および法令違反を発見できなかった者に対する処分を規定し、継続的な強制力をもたせること。
（７）犯罪が発見されたとき、組織は適切に処置し、また違反行為の再発防止のために法令遵守と企業倫理プログラムを修正するなどの適切な措置をとること。

(1)文書化（可視化）、(2)(3)組織・権限の明確化、(4)従業者の教育・訓練、(5)(A)および(B)監査、(5)(C)内部通報、さらに(7)継続的改善

罰金額が400%～5%の間で変動 （例えば400億～5億円の幅）12イギリス贈賄法 （Bribery Act 2010）2010年、それまでの贈賄防止3法を廃止し、外国公務員に対する贈賄罪、商業組織の贈賄防止策懈怠罪を加えて、包括的な贈収賄罪を新設。
2011年7月1日から発効。
※内容は米国FCPAに比べ、以下に特長がある。
第1条 贈賄罪
人が他人に対して、職務行為を不適切に遂行させることを意図し、金銭上その他の利益の提供を供与等する行為
特長１： 公務員に限定されず、一般の私人も対象となる。
特長２： 「職務行為の不適切な遂行」の判断基準とは、「イギリスの合理的な一般人ならば同様の職務を遂行する上で、「誠実性」「公平性」「信頼性」が期待されており、これを裏切る行為の誘導を意図する利益の提供を「贈賄」と定義
例： 私立病院の職員への贈賄なども対象となる（ただし現在のところ摘発事例はない）
13

イギリス贈賄法（Bribery Act）の概要
第7条 贈賄防止策懈怠罪
会社の関係者（役員、従業員、エージェント、子会社など）が贈賄行為を行った場合、防止のための「適正な手続」を立証できなければ、会社に本条が適用される。（法人罰）
特長３： 贈賄防止懈怠罪：行為者による贈賄行為が発生したとき、企業が贈賄行為を防止する「適正な手続き」を実施していなければ、自動的に可罰される可能性がある「Bribery Act 2010 Guidance」（2011年3月30日）
１．経営者によるコミットメント
２．定期的なリスク評価の実施と文書化
３．関係者※１の調査
４．関係者※１への研修による周知
５．モニタリング（関係者の監視）
６．モニタリングに基づく改善「贈賄防止策懈怠罪」の抗弁※１関係者＝当社役員、従業員、エージェント、子会社など

14

アメリカFCPA・イギリスBribery Actへの企業の対策
会社法により構築した「内部統制システム」※１に、アメリカの連邦量刑ガイドラ
インの要素、イギリスの「Bribery Act 2010 Guidance」の要素を加味した、コン
プライアンス・プログラムの策定と運用※１贈賄による多額の罰金等について、内部統制システム構築義務違反の結果としての損失であれば、取締役の賠償義務が生じる可能性があるため

１．経営者による宣言贈賄行為を行わない旨の意思表示（例：内部統制の基本方針への記載と決議、など）

２．責任者、専管部署
３．リスク・アセスメント
４．ルールの策定
５．運用

コンプライアンス・プログラムの定立と運用、事業を展開する諸国の法制度の確認と報告など
グループ、エージェント等の関係者を含めて評価
企業グループ行動基準への明記⇒ガイドラインの策定
役員・従業員、子会社、エージェントなどへの研修（特にアメリカは教育訓練プログラムを整備と実施を重要視）

６．モニタリング
７．改善
８．クライシス対応

エージェントなどとの契約に贈賄禁止条項を加入
内部通報、業務監査、取引先アンケートなど
定期的な経営トップ等への報告と指示に基づく改善発生時の報告、調査、処罰、などの一連のクライシス
15
対応ルールの整備と運用

【参考】 企業におけるBCP策定率に及ぼす法の影響
国内の課題

わが国の対応1999年末コンピュータ西暦2000年（Y2K）問題
年号を2桁で管理するコンピュータの誤作動問題

2005年 中央防災会議
災害対応 「事業継続ガイドライン 第1版」
2005年 経済産業省
IT事故 「事業継続ガイドライン 第1版」

2003年3月
SARS（重症急性呼吸器症候群）
中国での事業継続リスク

2005年 会社法
「損失の危険の管理（略）の体制」

2007年7月
新潟中越沖地震
自動車部品メーカーの被災

2006年
金融商品取引法（監査法人による評価）
改正防災対策基本法

2008～9年
H5N1パンデミックの懸念
行政が官民にBCP策定を求める

2009年 中央防災会議、厚生労働省
災害対応・新型インフルエンザ対応の事業継続計画ガイドライン

2011年 東日本大震災（会社法施行規則100条1項2号）

大企業と中小企業でBCP策定率に差が生じている
大企業のBCP策定率は上昇
東日本大震災を契機として、大企業のBCPの策定が進展
平成21年度：27.6％
平成23年度：45.8％
平成28年度：60.4％

出所：内閣府「企業の事業継続の取組に関する実態調査－過去からの推移と東日本大震災の事業継続への影響－」2012年、及び「平成27年度企業の事業継続及び防災の取組に関する実態調査」2016年

BCP策定率の企業間格差の拡大
中小企業のBCP策定率：29.9％
BCP未策定の理由：「BCPを考えたことがなかった」：55．4％

出所：内閣府「平成27年度企業の事業継続及び防災の取組に関する実態調査」2016年
出所：日本政策金融公庫「全国中小企業動向調査」

会社法＝大会社・委員会設置会社に内部統制に基本方針の取締役会決議義務⇒「その時の相応の水準」※として、政府のガイドライン等の文書が参照された※大和銀行株主代表訴訟事件大阪地判平12.9.20、ヤクルト本社株主代表訴訟事件東京地判平成16.12.16

大会社のBCP策定率は2005～6年から急上昇
会社法、金融商品取引法は、企業における経営者の防災対策へのモチベーションにも影響しているのではないか営業秘密に関する刑事罰 日米の経年比較
不正競争防止法 営業秘密侵害罪

Economic Espionage Act of 1996

成立

2003年

1996年

刑事罰

個人：5年以下の懲役又は500万円以下

個人：10年以下の拘禁または50万ドル以の罰金下の罰金

法人：1億5千万円以下の罰金

法人：500万ドル以下の罰金

親告罪

非親告罪

個人：10年以下の懲役又は2000万円以

個人：10年以下の拘禁、罰金の上限なし

下 の罰金

法人：500万ドル以下の罰金

親告罪

現在
刑事罰

海外重罰：3000万円 ・犯罪収益没収
法人： 5億円以下の罰金
海外重罰：10億円・犯罪収益没収
親告罪

非親告罪

非親告罪

2017年施行の改正個人情報保護法では、「個人情報データベース等不正提供罪」により、不正取得者の刑事的処罰（1年以下の懲役又は50万円以下の罰金）が可能になったが、抑止力の観点から、企業の情報管理は営業秘密要件を充足する管理を行っている。
18

むすびにかえて －法の有効性と法人罰の関係ー
EU一般データ保護規則 第83条1項「刑罰は効果的（effective）で均衡が取れ（proportionate）、抑止的（dissuasive）でなくてはならない」
規則における制裁金の適用及び設定に関するガイドライン（Guidelines on the application and settingof administrative fines for the purposes of the Regulation、第29条作業部会により2017年10月3日に採択）

企業における認識： 「海外は罰金、国内はレピュテーション」✓2019年 CNILのGoogle社への５千万€（約62億円）の制裁金✓GDPR33条、72時間以内のデータ侵害通知への違反1000万€又は前年世界売上の2%⇒グローバル企業のクライシス対応体制の整備のモチベーション✓2014年 ベネッセ事件は、500円の金券を配布した「顧客対応費」 260億円の特別損失、及び最大約420万人の会員が約270万人に約35％減少
１．企業等のコンプライアンスへの取組と実態から量刑を上下させる仕組※は、企業等に対して、コンプライアンス・プログラムへの取組のモチベーションになっている。
※米連邦量刑ガイドライン、UKBA第7条贈賄防止策懈怠罪におけるガイダンス、わが国の独占禁止法のリニエンシー制度など

２．わが国の99.3％を占める中小企業（小規模事業者）へのコンプライアンス・プログラムへの取組のモチベーションを上げる仕組が必要。
３．国際的整合の視点から、法人罰の量刑の検討が必要。