取引先にコンプラ体制の説明を
求められたときの対応

取引先がコンプラ体制の説明を求める理由は、多くの場合、相手方が自社の法的責任、評判、供給網の安定性に波及するリスクを確認したいからです。法令違反、情報漏えい、贈収賄、反社会的勢力との関係、労務トラブル、人権侵害、取引適正化上の問題、輸出管理違反、品質不正、会計不正、サイバー攻撃への脆弱性などが確認対象になります。

次の一覧は、説明要求が出やすい場面、相手方が典型的に求める資料、背景リスクの対応関係を表します。自社に届いた依頼がどの場面に近いかを読むことで、回答の粒度と関与部門を判断しやすくなります。

実務では、似た用語が混同されると説明が抽象的になりやすくなります。次の3つの概念の違いを押さえると、相手方に対して「どのリスクを、誰が、どの規程に基づき、どの頻度で確認し、違反時にどう是正するか」を説明しやすくなります。

コンプラ体制の説明では、誠実に説明することと、何でも開示することを混同してはいけません。次の5段階は、公開しやすい情報から原則非開示情報までを区分したものです。相手方の確認目的に照らし、どの段階まで出す必要があるかを読み取ります。

比較的開示しやすい情報は、相手方が統制の存在と概要を理解するために使われます。次の一覧は、一般的に要旨化して説明しやすい項目です。どれが整備済みで、どれが未整備または改善中かを確認してください。

一方で、次の情報は慎重に扱う必要があります。内部統制の有無を示すために見せたい情報であっても、個人情報、営業秘密、通報者保護、セキュリティ上の安全性に影響するため、要旨化、マスキング、閲覧限定、非開示のいずれかを検討します。

平時に標準回答パッケージを用意しておくと、取引先ごとの回答のブレや期限遅延を防げます。次の表は、どの文書が何を説明し、どの開示レベルで使いやすいかを示します。自社の実態に合わせて、まずLevel 1からLevel 2の資料を整えることが現実的です。

標準回答は、設計と運用の両方を示す必要があります。規程があるという説明だけではなく、経営層の関与、責任部署、教育、相談・通報、取引先管理、記録、モニタリング、是正、継続改善が実際に回っているかを示すことが重要です。

説明文の推奨構成

1. 目的 ― 取引審査または委託先管理のために自社体制の概要を説明する旨を示します。
2. 適用範囲 ― 全社、本件業務、対象部署、子会社の範囲を明記します。
3. 基本方針 ― 法令、契約、社内規程、企業倫理の遵守を掲げます。
4. 組織体制 ― 責任者、担当部署、委員会、報告ラインを示します。
5. 主要規程 ― 存在する規程と概要を示します。
6. 教育・周知 ― 研修の頻度、対象、テーマを示します。
7. 通報・相談 ― 窓口、調査、是正、通報者保護を示します。
8. 取引先管理 ― 反社チェック、委託先審査、再委託管理を示します。
9. 個人情報・情報セキュリティ ― 安全管理措置、アクセス制限、事故対応を示します。
10. モニタリング ― 内部監査、自己点検、改善状況を示します。
11. インシデント対応 ― 発生時の報告、原因分析、再発防止を示します。
12. 留保事項 ― 概要資料であり、詳細資料は守秘義務の下で別途協議する旨を示します。

コンプラ体制の説明で見落とされやすいのは、質問票の回答、プレゼン資料、メール説明が、契約書の表明保証、遵守義務、監査権、解除事由、損害賠償、補償義務と結び付く点です。次の表は、特に注意すべき契約条項と確認ポイントを示します。説明資料と契約書を別々に扱わず、同じ事実認識でそろえる必要があります。

修正文例

• 受託者は、本契約締結日時点において、本業務の遂行に重大な悪影響を及ぼす法令違反を認識していないことを表明します。
• 受託者は、本業務に関連して適用される法令を遵守するため、事業規模および業務内容に応じた合理的なコンプライアンス体制を整備・運用するよう努めます。
• 委託者による監査は、本業務に関連する範囲に限り、合理的な事前通知、受託者の営業秘密・個人情報・セキュリティを保護する条件、および受託者の通常業務に不当な支障を及ぼさない方法により実施します。

質問票は「はい・いいえ」だけで答えられるように見えても、実態を正確に反映しない回答は危険です。次の表は、回答区分ごとの意味と使い方を示します。単純な肯定・否定にせず、根拠資料、対象範囲、改善予定、開示可否を添える点を読み取ります。

悪い回答とよい回答を比べると、範囲、時点、重要性、根拠資料を限定する重要性が分かります。次の比較表では、短い断定ではなく、実態と証跡に基づく説明へ置き換える読み方をします。

不祥事や事故後の説明では、通常の取引審査とは異なり、事実確認中の情報をどう扱うかが重要です。次の判断の流れは、事実、影響、暫定対応、恒久対応、報告を順に整理するものです。未確認情報を断定せず、相手方への影響を優先して説明する点を読み取ります。

事故後説明の回答例

オンサイト監査やリモート監査では、事前合意、当日対応、監査後の是正計画を分けて管理します。次の時系列は、監査を受け入れる前後で決める事項を示します。資料の範囲、コピー可否、指摘事項の扱い、是正期限を事前に決める点を読み取ります。

次のサンプルは、取引先に提出する説明書の骨子です。目的、基本方針、体制、規程、教育、通報、取引先管理、個人情報・情報セキュリティ、モニタリング、照会窓口の順に並べることで、相手方が確認したい全体像を過不足なく読み取れる構成になります。

返信メールでは、すぐに資料を出すのではなく、目的、対象業務、期限、開示先、守秘条件、証跡範囲を確認する姿勢を示します。次の文例は、協力的な姿勢を保ちつつ、内部規程、監査資料、セキュリティ関連情報、個人情報の開示範囲を協議するためのものです。

Q1. 取引先からコンプライアンス規程を全文提出してくださいと言われました。提出すべきですか。

一般的には、必ずしも全文提出が必要とは限りません。規程には社内運用、通報手順、調査権限、懲戒手続、セキュリティ上の詳細、他部署情報が含まれることがあります。まずは規程の存在、目的、目次、主要項目、適用範囲を要旨化し、全文提出が必要な理由を確認する方法が考えられます。ただし、契約内容、監査権、委託業務の性質によって結論は変わる可能性があります。具体的な対応は、資料を整理したうえで弁護士等の専門家へ相談する必要があります。

Q2. 過去3年間にコンプライアンス違反はありませんかと聞かれました。どう答えるべきですか。

一般的には、対象範囲を確認したうえで、範囲、重要性、時点、認識を限定して回答することが多いです。軽微な社内規程違反、労務相談、情報セキュリティ事象、行政指導、顧客クレームまで含むのかで回答は変わります。「本業務に重大な悪影響を及ぼす未是正の法令違反は、回答日時点で認識していません」のような表現が検討されます。ただし、事実関係や契約上の表明保証によって結論は変わる可能性があります。具体的な対応は、弁護士等の専門家へ相談する必要があります。

Q3. 内部通報件数を聞かれました。開示すべきですか。

一般的には、件数のみであっても、会社規模や部署によって個人が推測される場合があります。取引先の確認目的を確認し、必要がある場合でも年度単位・分類単位の集計値として、個人が特定されない形で開示することが考えられます。未了案件、通報者情報、具体的内容は慎重に扱われます。ただし、契約や監査条件によって対応範囲は変わる可能性があります。具体的な対応は、弁護士等の専門家へ相談する必要があります。

Q4. ISO認証がないと取引できないと言われました。

一般的には、相手方が認証を絶対条件としているのか、同等の管理体制で代替可能なのかを確認することが考えられます。認証がない場合でも、方針、責任者、リスク評価、規程、教育、監査、是正の仕組みを説明し、必要に応じて取得計画や外部診断結果を提示する方法があります。ただし、相手方の購買基準や業界規制によって結論は変わる可能性があります。具体的な対応は、専門家へ相談する必要があります。

Q5. 取引先の監査で内部監査報告書を見せる必要がありますか。

一般的には、契約上の監査権がある場合でも、監査範囲は本件業務に関連する合理的範囲に限られることが多いです。内部監査報告書全文には他取引先情報や経営上の秘密が含まれることがあるため、サマリー、該当部分の閲覧、マスキング、口頭説明で代替できるかを協議する方法があります。ただし、契約条項、事故の有無、委託業務の性質で判断は変わります。具体的な対応は、弁護士等の専門家へ相談する必要があります。

Q6. 営業担当が急いで回答した後、誤りに気付きました。どう対応すればよいですか。

一般的には、速やかに社内で事実確認し、誤りの重要性を評価することが必要とされています。重要な誤りであれば、取引先に訂正連絡を行い、正しい回答を提出する対応が考えられます。放置すると、契約締結後に虚偽説明として問題化する可能性があります。ただし、訂正方法や説明範囲は、誤りの内容、契約交渉の段階、相手方への影響によって変わります。具体的な対応は、弁護士等の専門家へ相談する必要があります。

Q7. 取引先から、自社の取引先にも同じ基準を守らせてくださいと言われました。

一般的には、自社の再委託先やサプライヤーにどこまで義務を流す必要があるかは、契約内容と業務内容によって変わります。全取引先に一律で相手方基準を適用するのが現実的でない場合は、本業務に関係する再委託先、個人データ・秘密情報を扱う委託先、重要サプライヤーに限定し、合理的範囲で契約条項・監督を行う形に修正することが考えられます。具体的な対応は、弁護士等の専門家へ相談する必要があります。

Q8. 取引先から違反が疑われる場合は直ちに報告と契約に入れたいと言われました。

一般的には、「疑い」の段階で直ちに報告すると、未確認情報や通報者情報を不適切に共有するリスクがあります。報告義務は、「本業務に重大な影響を及ぼす法令違反または情報漏えいが発生し、またはその具体的可能性を合理的に認識した場合」など、範囲とタイミングを調整することが検討されます。ただし、業務の性質、法令上の通知義務、契約上の監査・報告条項で結論は変わります。具体的な対応は、弁護士等の専門家へ相談する必要があります。

Q9. 取引先からセキュリティツール名やネットワーク構成を聞かれました。

一般的には、詳細なセキュリティ情報は攻撃に悪用される可能性があるため、確認目的を聞いたうえで、導入カテゴリ、管理方針、監視体制、診断実施状況、是正プロセスの説明にとどめる方法が考えられます。ツール名や構成図は、NDA締結後の閲覧限定でも慎重に扱われます。ただし、委託業務の重要性や相手方の監査権によって対応は変わります。具体的な対応は、情報セキュリティ専門家や弁護士等へ相談する必要があります。

Q10. コンプラ体制が十分でないと取引停止になりますか。

一般的には、取引停止となる可能性はあります。ただし、多くの取引先は、完璧な体制だけでなく、リスクを認識し、合理的な管理を行い、改善意思があることも見ています。未整備事項がある場合は、代替措置と改善計画を具体的に示すことが重要です。ただし、相手方の購買基準、法令上の監督義務、事故の有無、契約条件によって結論は変わります。具体的な対応は、弁護士等の専門家へ相談する必要があります。

法令・公的資料

• e-Gov法令検索「会社法」
• e-Gov法令検索「会社法施行規則」
• 日本取引所グループ「コーポレートガバナンス・コード」
• 金融庁「財務報告に係る内部統制の評価及び監査の基準並びに実施基準の改訂について」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン 通則編」
• 消費者庁「公益通報者保護法と制度の概要」
• 消費者庁「事業者の方へ 公益通報に対応するための体制整備義務等」
• 国土交通省掲載資料「企業が反社会的勢力による被害を防止するための指針に関する解説」
• 経済産業省「外国公務員贈賄防止指針」
• 経済産業省「サイバーセキュリティ経営ガイドラインと支援ツール」
• 経済産業省「責任あるサプライチェーン等における人権尊重のためのガイドライン」
• 公正取引委員会「中小受託取引適正化法関係」
• 公正取引委員会「下請代金支払遅延等防止法及び下請中小企業振興法の一部を改正する法律の成立について」
• 経済産業省「営業秘密を守り活用するための資料」

国際規格

• ISO 37301 Compliance management systems
• ISO 37001 Anti-bribery management systems
• ISO/IEC 27001 Information security management systems