内部統制・公益通報とサステナビリティー｜通報制度の実効性確保

サステナビリティー・ESGの議論は、気候戦略、人的資本、自然関連、サーキュラーといった「攻め」の論点が、主に取り上げられがちです。一方で、ESG戦略の信頼性を、根底で支える「守り」の論点として、内部統制、公益通報（ホイッスルブロワー）、コンプライアンス、内部監査、リスク管理が、本来は同等に重要です。

ご支援先の法務、内部監査、コンプライアンス、リスク管理、サステナビリティー担当の方からも、サステナビリティー関連事案（気候、人権、データ、贈収賄等）の社内通報体制の整備、公益通報者保護法（2022年6月改正、2024年施行内容含む）への対応、J-SOX内部統制の中でのサステナビリティー情報の扱い、グローバル展開企業の現地通報窓口設計、第三者保証（弊社過去記事「ESG開示の第三者保証」参照）と内部統制の整合、といったご相談を頂くようになっています。

ここでは、（1）公益通報者保護法と企業対応、（2）内部統制の中でのサステナビリティー、（3）サステナ事案の通報・調査・対応、（4）グローバル展開企業の論点、という流れで挙げます。

公益通報者保護法（2022年改正）の本質

日本の公益通報者保護法は、2004年に制定、2020年に大幅改正、2022年6月から施行されています。さらに、2025年6月4日に再改正法が成立、6月11日に公布され、2026年12月1日から施行される予定です。再改正の主要点は、（1）事業者の体制整備の徹底と実効性の向上、（2）公益通報者の範囲拡大（業務委託関係のフリーランス等を含む）、（3）阻害要因への対処、（4）不利益取扱いへの罰則強化です。具体的には、通報を理由に解雇・懲戒した個人に対しては6ヶ月以下の拘禁刑または30万円以下の罰金、法人に対しては3,000万円以下の罰金、加えて通報後1年以内の解雇・懲戒は通報を理由としたものと推定される立証責任の転換が導入されます。

主要な要点としては、常時使用する労働者300人超の事業者への内部通報体制の整備義務、通報者への不利益取扱いの禁止、法令違反・刑事罰対象事実という通報対象事実、①事業者内部・②権限を有する行政機関・③報道機関や消費者団体等のその他外部という3つの通報経路、公益通報対応業務従事者の指定義務、複数経路・外部窓口を含む通報受付体制の整備が挙げられます。

2022年改正のポイントは、内部通報体制整備の義務化、通報者の特定情報の管理、是正措置・調査結果の通知でした。

これは、コンプライアンス・ガバナンスの基本インフラとして、上場企業・大企業全体に求められる仕組みです。

サステナビリティー事案の通報：対象論点の広がり

公益通報の対象となる事案は、伝統的には汚職・不正会計・労働法違反・独禁法違反など、コンプライアンス事案が中心でした。

近年、サステナビリティー・ESG関連事案も、通報対象として広がっています。主要な論点には、次のものがあります。

• 気候開示の不正確（虚偽開示、データ操作）
• サプライチェーン上の人権侵害（強制労働、児童労働）
• 環境法違反（排水、大気、廃棄物、化学物質）
• 労働環境の問題（ハラスメント、安全衛生、賃金）
• 贈収賄、政治献金の不正
• データ保護違反、サイバーセキュリティ
• ロビイング・業界団体活動の透明性
• グリーンウォッシュ

これらは、CSRD ESRS、IFRS S2／SSBJ、SBTi、人権DD、CSDDD、環境法、労働法、データ保護法など、複数の法・基準・規範に絡みます。

担当者の方は、自社の通報体制が、これら広範な論点をカバーする設計になっているかを点検する必要があります。

内部通報窓口の設計：複数経路、独立性、匿名性

実効性ある内部通報窓口の設計には、複数の要素が必要です。

複数経路としては、コンプライアンス部・法務部・人事部といった社内窓口、外部弁護士事務所や外部委託サービスといった外部窓口、経営層関連事案用の取締役会・監査役直結窓口、多言語対応のグローバル統一窓口を用意します。独立性の面では、経営層関連事案も通報できるよう経営層から独立させ、通報処理に利害関係者を関与させず、外部窓口を活用します。匿名性・通報者保護の面では、匿名通報の受付、通報者の特定情報の厳格な管理、不利益取扱いの厳格な禁止、通報後の経過通知が必要です。

主要な外部窓口提供者には、次のものがあります。

• 大手弁護士事務所のコンプライアンス部門
• SafeCall、EthicsPoint（NAVEX Global）等のグローバル通報窓口
• 国内：日本コンプライアンス協会、JCBA、等

担当者の方は、自社の通報体制を、これら設計要素で点検することをおすすめします。

J-SOX内部統制とサステナビリティー情報

弊社過去記事「ESG開示の第三者保証」でも触れましたが、J-SOX（金融商品取引法に基づく財務報告内部統制）の枠組みを、サステナビリティー情報にも適用する動きが進んでいます。

J-SOXの基本構造は、財務報告の信頼性を確保するための内部統制で、全社レベル統制と業務プロセス統制、統制活動・リスク評価・情報伝達・モニタリング・IT全般統制、経営者評価と監査人監査からなります。これをサステナビリティー情報に適用すると、Scope1+2+3・人的資本指標・ガバナンス指標等のデータ収集・処理プロセス、データの源泉から開示までのトレーサビリティ、誰がいつどう確認・サインオフするかという統制ポイント、経営層・取締役会の最終承認が対象になります。

COSO ICSR（Achieving Effective Internal Control over Sustainability Reporting、2023年3月）が、サステナビリティー情報の内部統制の参照モデルとして整備されています。

ISSA 5000（2024年11月最終化、2026年12月以降開始期間に適用、弊社過去記事「ESG開示の第三者保証」参照）は、サステナビリティー保証の業界標準として、内部統制の整備を前提とした保証手続を定めています。

サステナ事案の調査・対応プロトコル

サステナビリティー関連事案の通報があった場合は、次の4ステップで対応します。

• ステップ1　事実関係の調査：独立性と必要な専門性を備えた調査チームの組成、関連部門・関係者へのヒアリング、文書・データのレビュー、弁護士・フォレンジック・環境専門家等の第三者専門家の起用
• ステップ2　判断・是正措置：事実関係に基づく判断、業務改善・人事処分・賠償・和解等の是正措置、必要な場合の規制当局への報告、通報者への結果通知
• ステップ3　再発防止：プロセス・組織・文化の原因分析、再発防止策の策定・実施、全社レベルでの教訓共有、モニタリング・継続的レビュー
• ステップ4　開示：統合報告書・サステナビリティーレポートでの開示、規制当局・株主・取引先への説明、場合によってはメディア対応

これら一連のプロトコルが、平時に整備されているかどうかが、危機時の対応の質を分けます。

グローバル展開企業の論点

グローバル展開企業の内部統制・通報体制は、地域別・法域別の差異を反映する必要があります。

主要な論点は、各国の公益通報法・データ保護法、従業員50人超の事業者に通報体制を義務づけるEU Whistleblower Directive（2019年制定、加盟国国内法化済）、米国のSOX法・Dodd-Frank法のホイッスルブロワー保護、各国の労働法・反差別法、多言語通報窓口による現地語対応、そして現地文化での通報の心理的障壁です。

グローバル統一の通報体制（外部窓口提供者を活用）と、地域別の現地窓口の組み合わせが、現実的な設計です。

内部監査・コンプライアンス・サステナの連携

サステナビリティー領域の内部統制・通報は、内部監査・コンプライアンス・サステナビリティー部の連携で動かす必要があります。

部門別の役割分担としては、サステナビリティー部が戦略・KPI・開示・外部対話、コンプライアンス部が通報窓口運営・規程整備・研修、内部監査部が内部統制の有効性評価とサステナ情報の信頼性確認、法務部が法令・規制対応・契約・訴訟対応、リスク管理部が全社リスクの統合管理・事業継続計画、人事部が人事処分・ハラスメント対応・研修を担います。

これら横串の連携を、平時に組み立てておくことが、危機時の対応力を作ります。

「不祥事を起こさない組織」より「不祥事を早期発見する組織」

最後に、内部統制・通報体制で、避けたい思考パターンを一つ。

「うちの会社は不祥事を起こさない」という前提で、通報体制・内部統制を最低限に整備するアプローチは、現実的ではありません。組織が一定規模以上になれば、何らかの問題が起きる可能性は常にあります。

実効性ある組織は、「不祥事を起こさない」ことを目指すのではなく、「不祥事を早期に発見し、誠実に対応し、再発防止する」仕組みを持っています。

担当者の方には、

• 通報体制を、複数経路・独立性・匿名性で設計
• 公益通報者保護法、EU Whistleblower Directive、各国法への対応
• サステナビリティー関連事案の通報対象としての明示
• J-SOX類似の内部統制をサステナビリティー情報にも適用
• 調査・対応・再発防止のプロトコルを平時に整備
• 部門横断（サステナ、コンプライアンス、内部監査、法務、リスク管理、人事）の連携設計
• グローバル展開企業の地域別対応
• 統合報告書での、内部統制・通報体制の透明な開示

このあたりを、ガバナンスの本筋として組み立てることをおすすめします。

「攻めのESG」だけでは、サステナビリティー戦略は完成しません。「守りのガバナンス」――内部統制、通報、コンプライアンス、内部監査――を、同等の重みで運営する組織だけが、長期にわたる信頼を獲得できます。

形だけコンプライアンス対応を行うか、本物の守りのガバナンスを組織の本筋に据えるか。担当者の方の意識付けで、ガバナンスの質と組織の頑健性は、確実に変わります。

---

【ご相談窓口】 弊社（株式会社KI Strategy）では、内部通報体制の設計、サステナビリティー関連の内部統制、コンプライアンス・内部監査・サステナ部門の連携設計、グローバル統一通報体制の伴走支援を実施しています（専門家プラットフォームSasla経由のご相談も可）。守りのガバナンス整備でお悩みの方は、論点の棚卸しからご一緒します。