第3回 企業不祥事事例の分類と分析、不正ではない不祥事とコンプライアンス経営の重要性

「第1回 製造不祥事から学ぶ教訓、問題の本質と対応策の提言（前編）」と「第2回 製造不祥事から学ぶ教訓、問題の本質と対応策の提言（後編）」では、製造不祥事に焦点をあて、企業価値向上と毀損防止に向けて企業は何をすべきか述べました。

今回からは、上場企業によって公開された調査報告書を分析した結果をもとに、不祥事の分類ごとに発生原因と学ぶべき教訓、コーポレートガバナンスの観点からの対応策等について提言していきます。

上場企業によって公開された調査報告書173件の分析結果

企業不祥事は、「企業に重大な不利益をもたらす可能性がある業務上の事件または事故であって、企業としての被害軽減対策や防止対策が存在し得るが、当該企業による故意あるいは注意義務の違反が重要な原因であるもの」と定義することができ、それらのすべてが企業のリスク管理対象となります。

企業不祥事の5分類

分析にあたって、分かりやすい分類方法である公認不正検査士協会の区分 ¹ を参考としつつ、日本の法令や商習慣、昨今のIT化等を考慮し、意図的に行われたのか否か、誰が誰に対して行うのか（役職員が企業に対して行う行為なのか、役職員が企業の行為として企業の外に向けて行う行為なのか）という観点を含めて以下の5つに分類します。

企業不祥事事例173件の分類

ここ4年半（2014年1月～2018年6月）に上場企業によって公開された調査報告書173件を分析した結果は下記の図の通りです。
このうち42件は⑤の意図的に引き起こされたわけではない、「その他不祥事」でした。これは不正ではない不祥事とも言えます。
残る131件が意図的に引き起こされた不祥事（不正）で、最多の55件が①不正会計、続いて43件が②会社資産の不正流用、4件が③情報の不正流用（報告された事例はインサイダー取引のみ）、「一連の製造不祥事」を含めた④その他意図的なコンプライアンス違反不祥事が29件でした。

不正ではない不祥事の概要と発生原因

⑤の意図的に引き起こされたわけではない（不正ではない）不祥事42件の概要と発生の原因は、下記の図の通り、ガバナンスの脆弱性に起因するものも多いことがわかります。

これらの不祥事には意図せずに起きた法令違反も含まれていますが、「社会からの期待や要請」に応えることができなかった不祥事と捉えることができます。過年度や当該年度の決算修正を伴う財務報告の誤謬や開示遅延、与信管理の不備による多額の不良債権の発生を回避すること等は、投資家からの当然の要請であるということができます。また、取引先の不法行為による損失の発生、不正アクセスによる個人情報の流出での信用の失墜は、たとえ企業が不可抗力的なものであったと考えたとしても、それらの被害軽減策や防止策があり得るという意味において、投資家の期待を裏切るものです。

上記の図にある「インサイダー情報の社外流出」の事例では、工業ガス大手の企業が総合化学大手の傘下に入ることが決定し、前者の役職員が後者による株式の公開買付に際して「公開買付以降の経営体制に大きな変化はなく安心して欲しい」と伝える意図で、当該情報を公表前に特約店等へ伝達しました。それを受けた者が、金融商品取引法（インサイダー取引規制）違反を行った事件です。

調査報告書では、『「利益を得させる目的をもって」行われたのではない情報伝達行為は、法令違反にはならないとしても、重要事実を知った会社の役職員が果たすべきコンプライアンスの観点からは、常に容認されると考えるべきではない』と記述されています ²。

「コンプライアンス経営」を謳う実のあるコンプライアンス研修の実施と不可欠な3つの視点

コンプライアンスとは「会社等の組織が法令、社内規範、企業倫理などの企業社会における規範と調和しながら、適正かつ健全な事業活動をしていくための仕組みないし「しかけ」を総称するもの」と定義することが可能です。

企業として何をすべきか。次の3つの視点を織り込んだ、役職員向けの「実のあるコンプライアンス研修」を実施し、ビジネス（利益）もコンプライアンス（倫理）も同時に追求する「コンプライアンス経営」の意義を役職員が共有することが提唱されます。

特に、②の視点について、通常は「企業倫理」という形で役職員に伝達されています。ホームページ等に文書化された「企業倫理」はとても美しい言葉で表現されることが多いですが、役職員にとっては抽象的に感じる場合が多いです。それを法務部門が主催するコンプライアンス研修等を通じて、具体的な行動として事例等も挙げながら、わかりやすく役職員へ伝達することが望まれます。

コンプライアンス経営の目的は企業価値の向上

前記2のコンセプトを図にしたものが下記となります。

企業の存在意義は「製品やサービスの提供を通じて社会に貢献すること」と言われております。また、コンプライアンス経営の検討対象は、かつては法令遵守でしたが、現在では、法令規範だけではなく、社内規範や倫理規範を含む３つの規範が対象となってきています。さらに、それらは社会的な期待や要請を満たすレベルであることが求められます。そうすると、コンプライアンス経営の目的が「企業価値の向上」にあり、それを目指すうえでの企業経営の土台となるのが、「不祥事の防止」であることとなります。

加えて、図にある「社会的な期待や要請」が社会の変化とともに年々レベルアップしておりますので、そのレベルアップしている社会的な要請や期待を満たすための会社からのメッセージとしてコンプライアンス研修がある、ということもわかっていただけるものと思います。『ビジネスによる利益の獲得と、コンプライアンスを同時に追求しつつ企業価値を増大させていく経営がコンプライアンス経営であり、経営陣によるその舵取りがコーポレートガバナンスである。そしてそのコンプライアンス経営を現場で担っているのが従業員なのだ』という意識を役職員に浸透させていくことが企業に求められます。

役職員に業務に必要な法令・規則を周知するための実務対応

なお、視点の①「役職員は、業務に必要な法令・規則をすべて知っているか（法令・規制等の変化への対応を含む）」についてはどのような実務対応をすればよいのでしょうか。

財務報告の信頼性確保のための金融商品取引法における内部統制（いわゆるJ-SOX）の全社的な内部統制では、当該上場会社の業容に適用される会計基準等を明確化したうえで、毎年の会計基準の改訂について自社の会計処理への影響を把握するという手法があります。

法令等の遵守についても、この手法を応用することが考えられます。まず、必要に応じて顧問弁護士等の専門家の力を借りて、自社のビジネス、業務に適用される法令、規制のリストを作成し、リスク分析（リスク・アセスメント）を行います。そして法令、規制の改訂の都度、そのリストを更新し、自社への影響があるものについては事前に対応していきます。

企業が対策を要する不祥事の範囲は、①企業が統制できない「法令・規制の整備」の進展、②「市場・社会の期待」の高まり、③「業容の拡大」や「海外進出」という企業の自主的な事情（発展）に伴い拡大することとなります。その際、「適用法令・適用規制のリストの作成」は、グローバル・コンプライアンス達成のためのツールとしても機能することは間違いありません。

次回は、「発覚の端緒」と「会社資産の不正流用」に焦点をあてて、企業価値向上と毀損防止に向けて企業は何をすべきか論じたいと思います。

コラム「コンプライアンス・リスク・アセスメント」

渡辺
コンプライアンス経営を推進するうえで、企業不祥事に関するリスクを把握する必要がありますが、効果的な手法とはどのようなものでしょうか。

西谷
各企業が検討すべきリスク項目は多肢に渡りますが、人的・資金的リソースが限られた中での対応には限界がありますので、メリハリの利いたコンプライアンス対応が重要です。その前提として有効な手法がリスク・アセスメントであり、リスク・アセスメントのプロセスを通じて抽出されたクリティカルなリスクから、優先的に対応する必要があります。

リスク・アセスメントの具体的な手法の一例としては、まず、法務・コンプライアンス担当部門で、ビジネス上・リーガル上のリスクを想定したリスク・アセスメント表を作成します。その際、（A）実際にリスクが発生した場合の影響度（リスクの重大性）と、（B)リスクが発生する可能性（リスクの頻度）の2つの観点から当該リスクの重要性を数値化します。

数値化の仕方は様々ですが、たとえば、上記(A)（B)それぞれにつき1から4で評価し、掛け合わせた数値を記入（最小値1、最大値16）、数値が10を超えた項目について重点的に対応する、ということが考えられます。

このリスク・アセスメント表を用いて、会社の各部署、または、各子会社に自主評価（上記の数値化作業）をしてもらいます。そして、法務・コンプライアンス部門がレビューのうえ、重要項目を中心に各部署・子会社の担当者と意見交換を行い、リスクごとに対応策の検証と問題点の発見、改善策の策定へ繋げていくことになります。

渡辺
コンプライアンス・リスク・アセスメントの手法は分かりましたが、アセスメント対象部門の自主評価をベースとした場合、リスクの数値も結局自己判断になるため、有効なリスク対応ができないのではないでしょうか。

西谷
リスク・アセスメントは一度実施したのみでは効果が期待できません。対象部門と法務・コンプライアンス部門が、リスク・アセスメントを継続し、対話を重ねていくことで、次第に効果が発揮されます。

具体的には、先にご説明した①リスクの検証→②現状のリスク対応策の検証→③リスク対応策の改善策の策定・導入→④改善策の検証という一連のプロセスをPDCAサイクルで回すことにより、優先して対応すべきリスクを継続的に監視しながら、対話を通じて見える化していくことが重要です。

また、法務・コンプライアンス部門がリスク・アセスメント結果を検証する際、内部監査部門と連携し、内部監査結果と照らし合わせてレビューするといったことも効果的です。